Ist das Hosting von Daten außerhalb der EU ein DSGVO-Risiko? Was es wirklich bedeutet und wie Sie es begrenzen

Wenn Ihr Unternehmen Kundendateien, Projektordner oder Teamnotizen in der Cloud aufbewahrt, liegt sehr wahrscheinlich ein Teil dieser Daten bereits außerhalb der Europäischen Union, oft ohne dass es jemand bewusst entschieden hat. Eine voreingestellte Serverregion, ein Anbieter in US-Besitz, ein Sicherungs-Bucket in einem anderen Land: Die Daten überqueren still eine Grenze, und die Verantwortung bleibt bei Ihnen. Für Freelancer, kleine Kanzleien oder ein Unternehmen ohne eigene Rechtsabteilung lautet die ehrliche Frage nicht „Ist das verboten?“, sondern „Wie viel Risiko gehe ich ein, und was kann ich tatsächlich dagegen tun?“.

Dieser Artikel beantwortet das. Er ist keine Rechtsberatung, und kein einzelnes Werkzeug macht Sie von allein DSGVO-konform. Aber Sie können die Regeln gut genug verstehen, um vernünftige Entscheidungen zu treffen, und Sie können noch heute konkrete Maßnahmen ergreifen.

Kurze Antwort

Personenbezogene Daten außerhalb der EU zu hosten ist nach der DSGVO nicht automatisch rechtswidrig, aber es ist eine regulierte „Übermittlung“, die Sie rechtfertigen können müssen. Die Übermittlung braucht eine Rechtsgrundlage aus Kapitel V der DSGVO: einen Angemessenheitsbeschluss für das Zielland oder geeignete Garantien wie Standardvertragsklauseln, meist gestützt auf eine Bewertung der Übermittlungsrisiken (Transfer Impact Assessment). Das schärfste praktische Risiko ist der Zugriff ausländischer Behörden, etwa nach dem US CLOUD Act, der Daten bei US-kontrollierten Anbietern erreichen kann, selbst wenn die Server in Europa stehen. Der wirksamste Weg, dieses Risiko zu begrenzen, ist, das zu verringern, was ein Anbieter tatsächlich lesen kann: starke clientseitige Verschlüsselung, bei der nur Sie die Schlüssel halten, plus, wo möglich, die Wahl eines Hostings mit Sitz in der EU oder unter Kontrolle eines EU-Unternehmens.

Warum das gerade kleinere Unternehmen beunruhigt

Große Organisationen haben eine Datenschutzbeauftragte, eine Rechtsabteilung und Lieferantenverträge, die Zeile für Zeile verhandelt werden. Ein Freelancer, ein Studio mit zwei Personen oder eine kleine Praxis hat nichts davon, trägt aber als Verantwortlicher dieselben Pflichten. Wenn Sie die Dokumente, Rechnungen, Verträge, Gesundheitsangaben oder Ausweispapiere eines Kunden speichern, verarbeiten Sie personenbezogene Daten im Auftrag eines anderen, und Sie stehen dafür ein, wo sie landen.

Drei Dinge machen das unangenehm:

1. Übermittlungen passieren standardmäßig. Viele beliebte Werkzeuge speichern Daten in den USA oder verteilen sie über weltweite Regionen, sofern Sie nicht ausdrücklich etwas anderes wählen. Sie können „übermitteln“, ohne je auf eine Export-Schaltfläche geklickt zu haben.
2. „EU-Region“ heißt nicht „außerhalb ausländischer Reichweite“. Ein Anbieter kann Ihre Dateien in Frankfurt speichern und trotzdem von einer Regierung außerhalb der EU rechtlich zur Mitwirkung verpflichtet werden, weil es darauf ankommt, wem das Unternehmen gehört und wer es kontrolliert.
3. Die Rechenschaftspflicht liegt bei Ihnen. Nach der DSGVO ist es selbst eine Pflicht, nachweisen zu können, warum Ihre Einrichtung rechtmäßig ist. „Ich wusste nicht, wo die Server stehen“ ist keine Verteidigung.

Die gute Nachricht: Sie müssen nicht zur Datenschutzjuristin werden. Sie brauchen ein klares Denkmodell und eine kurze Checkliste.

Was die DSGVO tatsächlich über Übermittlungen sagt

Die Regeln für das Senden personenbezogener Daten aus der EU (genauer: aus dem Europäischen Wirtschaftsraum) stehen in Kapitel V der DSGVO, Art. 44 bis 50. Das Grundprinzip ist einfach: Sie dürfen Daten nur dann aus dem EWR übermitteln, wenn der Schutz, der mit ihnen reist, dem Schutz in der EU im Wesentlichen gleichwertig bleibt. Dafür gibt es einige anerkannte Wege.

Angemessenheitsbeschlüsse

Die Europäische Kommission kann beschließen, dass ein Land ein angemessenes Schutzniveau bietet. Übermittlungen in diese Länder werden dann weitgehend wie Übermittlungen innerhalb der EU behandelt, ohne zusätzlichen Mechanismus. Mehrere Länder haben einen solchen Status, und für die Vereinigten Staaten gibt es das EU-U.S. Data Privacy Framework, das US-Unternehmen abdeckt, die sich danach selbst zertifizieren. Angemessenheitsbeschlüsse können angefochten werden und sich ändern; sie sind also eine Grundlage, die man dokumentiert, kein Kästchen, das man einmal ankreuzt und dann vergisst.

Geeignete Garantien (Standardvertragsklauseln)

Wenn es keinen Angemessenheitsbeschluss gibt, ist der häufigste Weg die geeignete Garantie nach Art. 46, meist die Standardvertragsklauseln (SCC) der Kommission. Das sind Vertragsbedingungen, die Ihr Anbieter unterzeichnet und mit denen er sich zu einem Schutz auf EU-Niveau verpflichtet. Seriöse Cloud-Anbieter veröffentlichen die SCC in ihren Auftragsverarbeitungsverträgen.

Der Realitätscheck durch Schrems II

Hier der Teil, den viele übersehen. In seinem Urteil Schrems II von 2020 hat der Europäische Gerichtshof den vorherigen Rahmen für Übermittlungen in die USA gekippt und klargestellt, dass die Unterzeichnung von SCC für sich allein nicht genügt. Sie müssen auch prüfen, ob das Recht im Zielland diesen vertraglichen Schutz untergraben könnte, etwa durch staatliche Überwachungsbefugnisse. Diese Prüfung wird gemeinhin Transfer Impact Assessment genannt. Wo das rechtliche Umfeld riskant ist, wird von Ihnen erwartet, „zusätzliche Maßnahmen“ zu ergreifen, und eine starke Verschlüsselung, die der Anbieter nicht entschlüsseln kann, ist das Lehrbuchbeispiel, auf das die europäischen Aufsichtsbehörden verweisen.

Das Risiko, das Verträge nicht vollständig beheben können: Zugriff ausländischer Behörden

Dass Verschlüsselung immer wieder zur Sprache kommt, liegt an einer bestimmten Lücke, die Papierkram nur schwer schließt. Gesetze wie der US CLOUD Act können Unternehmen mit Sitz in den USA oder unter US-Kontrolle verpflichten, Daten herauszugeben, die sie halten, unabhängig davon, in welchem Land die Server stehen. Ein europäisches Rechenzentrum, das von einem US-Anbieter betrieben wird, bringt die Daten für sich allein also nicht außer Reichweite.

Das ist wichtig, weil es die ganze Frage neu stellt. Es geht weniger darum, „in welcher Stadt die Festplatten stehen“, als darum, „wer rechtlich verpflichtet werden kann, meine Daten zu lesen, und ob er sie im Ernstfall tatsächlich lesen kann“. Wenn der Anbieter die Schlüssel hält, kann eine rechtmäßige behördliche Anfrage zu lesbaren Kundendateien werden. Wenn der Anbieter die Schlüssel nie hält, liefert dieselbe Anfrage unlesbares Rauschen.

Genau diesen Unterschied erklärt der Artikel darüber, was sich wirklich ändert, wenn verschlüsselte statt Klartextdaten nach außen gelangen, und deshalb zählen die Begriffe: Den konkreten Unterschied zwischen Verschlüsselung im Ruhezustand, Ende-zu-Ende und Zero-Knowledge zu kennen, ist das Nützlichste, was Sie lernen können, bevor Sie einen Anbieter wählen.

Ihre realistischen Optionen im Vergleich

Die meisten kleineren Organisationen wählen am Ende zwischen vier Lösungen. Keine ist perfekt. Hier ein ehrlicher Vergleich nach den Kriterien, die das Übermittlungsrisiko nach der DSGVO beeinflussen.

Lösung	Wo die Daten liegen	Wer sie lesen kann	Hauptproblem nach der DSGVO	Übermittlungsrisiko
US-Cloud (Schlüssel beim Anbieter)	Oft USA oder weltweit	Der Anbieter und jeder, der ihn rechtlich zur Mitwirkung verpflichten kann	Übermittlungsgrundlage plus Lesbarkeit für den Anbieter	Hoch
EU-Region eines US-kontrollierten Anbieters	Rechenzentrum in der EU	Der Anbieter, weiterhin nach ausländischem Recht erreichbar	Eigentum und Kontrolle, nicht nur der Standort	Mittel bis hoch
Anbieter mit Sitz in der EU, Schlüssel beim Anbieter	EU	Der Anbieter	Lesbarkeit für den Anbieter bei Einbruch oder Anordnung	Mittel
Beliebiger Anbieter, clientseitige Verschlüsselung, Sie halten die Schlüssel	Überall	Nur Sie	Für Inhalte weitgehend gelöst; Metadaten und Rechtsgrundlage zählen weiterhin	Niedrig für Inhalte

Zwei ehrliche Vorbehalte. Erstens schützt clientseitige Verschlüsselung den Inhalt Ihrer Dateien, löst aber nicht auf magische Weise jede Pflicht in Luft auf: Sie brauchen weiterhin eine Rechtsgrundlage für die Verarbeitung selbst, Sie verarbeiten weiterhin Metadaten, und Sie schulden Ihren Kunden weiterhin Transparenz darüber, wer Ihre Unterauftragsverarbeiter sind. Zweitens beseitigt es die Übermittlungsfrage für diese Kopie vollständig, wenn Sie Daten rein lokal auf Ihren eigenen Rechnern halten, verlagert das Risiko aber auf Ihre eigenen Sicherungen, auf Gerätediebstahl und Verlust. Es gibt keine Option ohne Abwägungen, nur Optionen, bei denen Sie die Abwägung verstehen.

Was das in der Praxis bedeutet: eine kurze Checkliste

Sie brauchen keine Compliance-Abteilung, um danach zu handeln. Sie brauchen eine Handvoll bewusster Entscheidungen.

• Zeichnen Sie auf, wohin Ihre Daten gehen. Listen Sie die Werkzeuge auf, die Kunden- oder personenbezogene Daten halten, und finden Sie für jedes heraus, in welcher Region gespeichert wird und aus welchem Land das Unternehmen kontrolliert wird. Wenn Sie das nicht herausfinden können, ist das ein Warnsignal.
• Bevorzugen Sie, wo möglich, Hosting in der EU. Das verringert die Angriffsfläche für ausländische Zugriffe, ohne sie zu beseitigen, und vereinfacht Ihren Papierkram.
• Verschlüsseln Sie vor dem Upload, wenn die Daten sensibel sind. Wenn der Anbieter Ihre Dateien nicht lesen kann, gibt eine Übermittlung oder eine behördliche Anfrage Chiffretext preis, keine Kundendokumente. Das ist die zusätzliche Maßnahme, die die Aufsichtsbehörden ausdrücklich bevorzugen.
• Behalten Sie die Schlüssel selbst. „Der Anbieter verschlüsselt Ihre Daten“ bedeutet wenig, wenn der Anbieter auch den Schlüssel hält. Suchen Sie nach Zero-Knowledge-Designs, bei denen der Schlüssel Ihre Seite nie verlässt.
• Dokumentieren Sie Ihre Überlegungen. Halten Sie die Übermittlungsgrundlage fest (Angemessenheitsbeschluss oder SCC) und bewahren Sie eine kurze schriftliche Bewertung des Risikos und der getroffenen Maßnahmen auf. Das nachweisen zu können, ist selbst eine Anforderung der DSGVO.
• Planen Sie die Wiederherstellung. Eine Verschlüsselung, die nur Sie aufheben können, bedeutet: Wenn Sie Ihren Schlüssel oder Ihre Wiederherstellungsphrase verlieren, kann Ihnen niemand helfen. Bewahren Sie Ihr Wiederherstellungsmaterial sicher offline auf.

Für branchenspezifische Blickwinkel gehen zwei unserer Leitfäden genau auf dieses Spannungsfeld ein: wie Steuer- und Buchhaltungskanzleien Kundendokumente nach der DSGVO speichern und wie Freelancer und Berater Kundendaten ohne IT-Abteilung schützen.

Wo Filarr helfen kann und wo nicht

Filarr ist ein verschlüsselter Local-first-Arbeitsbereich: Notizen, Dateien und ein Graph, der sie verknüpft, verschlüsselt auf Ihrer eigenen Festplatte gespeichert. Für diese Diskussion ist es aus einem bestimmten Grund relevant, also seien wir genau, was es löst und was nicht.

Wobei es hilft. Jede Datei wird auf Ihrem Gerät mit AES-256-GCM verschlüsselt, unter Ihrem Kontoschlüssel und mit einem neuen Zufallswert pro Datei, bevor irgendetwas Ihren Rechner verlässt. Die optionale Cloud-Synchronisierung lädt nur bereits verschlüsselte, undurchsichtige Datenblöcke hoch: Laut Code speichert der Server Chiffretext, den er nicht lesen kann, Dateinamen werden durch undurchsichtige Kennungen ersetzt, und Ihr Verschlüsselungsschlüssel erreicht den Server nie im Klartext. Das heißt: Auch wenn das standardmäßige Synchronisierungs-Backend auf Cloudflare R2 läuft (einem US-kontrollierten Anbieter), hält der Anbieter unlesbare Daten, und genau das ist die Art zusätzlicher Maßnahme, auf die die Leitlinien nach Schrems II verweisen. Wie das funktioniert, können Sie im Blick in die Zero-Knowledge-Synchronisierung von Filarr nachlesen. Seit dem 16. Oktober 2026 sendet die Anmeldung einen auf Ihrem Gerät abgeleiteten Schlüssel statt Ihres Passworts; während einer Übergangszeit von etwa zwei Monaten sendet ein Konto, das sich noch nicht erneut angemeldet hat, oder eine ältere Version der App das Passwort weiterhin über HTTPS, und ein kompromittierter Server könnte es in diesem Moment abfangen. Wenn Sie selbst wählen wollen, wo die verschlüsselten Dateien gespeichert werden, unterstützt Filarr im Pro-Tarif auch eigenen Speicher: Sie können die Synchronisierung auf einen S3-kompatiblen Bucket Ihrer Wahl in der EU richten, während Ihr Konto und Ihre Anmeldung weiterhin auf der Infrastruktur von Filarr laufen; die Anleitung zur Einrichtung von eigenem S3-Speicher führt Sie durch.

Was es nicht löst. Filarr ist ein Werkzeug für Verschlüsselung und Speicherung, keine DSGVO-Zertifizierung und keine Rechtsberatung. Es wählt nicht Ihre Rechtsgrundlage für die Verarbeitung, schreibt nicht Ihre Auftragsverarbeitungsverträge, verwaltet nicht die Einwilligungen Ihrer Kunden und bearbeitet nicht für Sie die Anfragen betroffener Personen. Verschlüsselung ist eine Maßnahme unter mehreren. Wenn Ihre Verarbeitung insgesamt nicht rechtskonform ist, ändert die Verschlüsselung der Dateien daran nichts. Und weil nur Sie die Schlüssel halten, liegt die Wiederherstellung in Ihrer Verantwortung: Verlieren Sie die Wiederherstellungsphrase, sind die Daten weg.

Kurz gesagt: Filarr kann den am schwersten zu behebenden Teil des Problems „außerhalb der EU“ verkleinern, nämlich die Lesbarkeit für den Anbieter, und es kann Sie wählen lassen, wo die verschlüsselten Datenblöcke liegen. Der Rest der Compliance bleibt Ihre Aufgabe.

Häufige Fragen

Ist es verboten, Kundendaten außerhalb der EU zu speichern? Nein. Es ist eine regulierte Übermittlung, kein Verbot. Sie ist rechtmäßig, wenn Sie eine gültige Grundlage nach Kapitel V der DSGVO haben, typischerweise einen Angemessenheitsbeschluss oder Standardvertragsklauseln, und seit Schrems II eine begründete Bewertung der Risiken im Zielland mit zusätzlichen Maßnahmen, wo nötig.

Mein Anbieter speichert Daten in einer EU-Region. Bin ich damit vor ausländischem Zugriff sicher? Nicht unbedingt. Wenn der Anbieter einem Unternehmen außerhalb der EU gehört oder von ihm kontrolliert wird, können Gesetze wie der US CLOUD Act die Daten auch in einem Rechenzentrum in der EU erreichen. Der Standort hilft, aber Eigentum und die Frage, ob der Anbieter Ihre Daten lesen kann, zählen ebenso viel.

Macht Verschlüsselung mich DSGVO-konform? Nein, aber sie gehört zu den stärksten Einzelmaßnahmen, die Sie ergreifen können. Eine Verschlüsselung, bei der nur Sie die Schlüssel halten, ist die zusätzliche Maßnahme, die die europäischen Aufsichtsbehörden für riskante Übermittlungen ausdrücklich bevorzugen, denn eine behördlich angeordnete Offenlegung oder ein Einbruch legt dann nur unlesbaren Chiffretext offen. Die Compliance hängt weiterhin von Ihrer gesamten Verarbeitung ab, nicht von einem Werkzeug.

Was ist die einfachste Änderung mit großer Wirkung? Lassen Sie den Anbieter bei sensiblen Daten nicht mehr Ihre Schlüssel halten. Nutzen Sie clientseitige Zero-Knowledge-Verschlüsselung, damit Dateien auf dem Server unlesbar sind, und bevorzugen Sie Speicher mit Sitz in der EU oder einen selbst gewählten Speicher. Diese Kombination adressiert das Risiko eines Einbruchs und das Risiko ausländischen Zugriffs zugleich.

Ist es eine gültige Option, alles lokal statt in der Cloud zu halten? Ja, und es beseitigt die Übermittlungsfrage für diese Kopie, weshalb viele datenschutzbewusste Nutzer es bevorzugen. Die Abwägung verlagert sich auf Ihre eigenen Sicherungen und die Sicherheit Ihrer Geräte; kombinieren Sie lokale Speicherung also mit verschlüsselten Sicherungen und einem sicher aufbewahrten Wiederherstellungsschlüssel.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung. Für Entscheidungen über Ihre konkreten Pflichten wenden Sie sich an eine qualifizierte Fachperson für Datenschutz.