Hosting in der EU vs. USA: DSGVO-Risiko bei US-Servern nach Schrems II

Wer eine Website für ein deutsches Unternehmen betreut, kommt an der Frage nicht vorbei: Wo liegt der Server, und was bedeutet das datenschutzrechtlich? Seit dem Schrems-II-Urteil des EuGH aus dem Jahr 2020 ist klar, dass die Serverstandortwahl keine rein technische Entscheidung mehr ist. Sie hat direkte Auswirkungen darauf, ob personenbezogene Daten Ihrer Besucher legal verarbeitet werden.

Ich erlebe in meiner Arbeit als Webentwickler regelmäßig, dass Kunden aus Hamburg oder dem Ruhrgebiet gar nicht wissen, dass ihr WordPress-Theme von einem CDN aus Atlanta ausgeliefert wird oder dass ihr Shared-Hosting-Anbieter unter US-amerikanischem Recht operiert. Dieser Artikel erklärt, was das konkret bedeutet, warum EU-Hosting das Schrems-II-Problem strukturell löst, und worauf Sie bei Cloudflare und anderen US-CDNs achten müssen. Vorweg: Ich bin Webentwickler, kein Rechtsanwalt. Dieser Artikel ersetzt keine individuelle Rechtsberatung.

Was Schrems II wirklich bedeutet

Im Juli 2020 hat der Europäische Gerichtshof in der Rechtssache C-311/18 das sogenannte EU-US Privacy Shield für nichtig erklärt. Der Kernvorwurf: US-amerikanische Geheimdienste dürfen nach Section 702 des Foreign Intelligence Surveillance Act (FISA) und Executive Order 12333 auf Daten europäischer Nutzer auf US-Servern zugreifen, ohne dass Betroffene wirksame Rechtsschutzmöglichkeiten hätten. Das kollidiert fundamental mit Art. 44 ff. DSGVO, die Drittlandübertragungen nur unter bestimmten Voraussetzungen erlaubt.

Konsequenz: Jeder, der Daten europäischer Nutzer auf Servern in den USA verarbeitete oder verarbeiten ließ, stand von einem Tag auf den anderen ohne gültige Rechtsgrundlage da. Standardvertragsklauseln (SCCs) nach Art. 46 DSGVO blieben zwar prinzipiell möglich, mussten aber durch zusätzliche technische und organisatorische Maßnahmen ergänzt werden, was in der Praxis kaum jemand vollständig umgesetzt hat.

EU-US Data Privacy Framework: eine Lösung mit Verfallsdatum?

Im Juli 2023 trat der EU-US Data Privacy Framework (DPF) in Kraft, ein neuer Angemessenheitsbeschluss der EU-Kommission. Zertifizierte US-Unternehmen, darunter Amazon AWS, Google, Microsoft und Cloudflare, können Daten wieder ohne zusätzliche Übertragungsinstrumente empfangen.

Das klingt nach einer Entwarnung, ist aber keine vollständige Sicherheit. NOYB (None Of Your Business), die Datenschutzorganisation von Max Schrems, hat das DPF sofort angefochten. Im September 2025 hat der EU General Court eine erste Klage abgewiesen, aber das Urteil ist noch nicht rechtskräftig, und NOYB hat angekündigt, weitere Schritte zum EuGH zu prüfen. Die politische Lage in Washington macht die Sache nicht einfacher: Wenn die Unabhängigkeit der zuständigen US-Datenschutzgremien erneut in Frage gestellt wird, droht ein "Schrems III".

Warum EU-Hosting das Problem strukturell löst

Wenn der Server in Deutschland oder der EU steht und der Hoster ausschließlich nach EU-Recht operiert, entfällt das Drittlandübertragungsproblem vollständig. Es gibt keine Übertragung in ein Drittland, also kein Schrems-II-Risiko, keinen Angemessenheitsbeschluss, den man im Auge behalten müsste, und kein AVV, der plötzlich wertlos wird.

Bei einem Kundenprojekt aus Hamburg, einer Kanzlei mit sensiblen Mandantendaten im Kontaktformular, haben wir genau aus diesem Grund von einem US-amerikanischen Managed-Hosting-Anbieter zu einem deutschen Hoster gewechselt. Der Aufwand war gering, der Gewinn an Rechtssicherheit erheblich. Kein Datenschutzbeauftragter, der kritische Fragen zur Drittlandübertragung stellt, keine jährliche Prüfung, ob der bisherige Anbieter noch DPF-zertifiziert ist.

Was bei Cloudflare und US-CDNs zu beachten ist

Cloudflare ist das meistgenutzte CDN weltweit und ein US-Unternehmen. Seit 2023 ist Cloudflare DPF-zertifiziert, was eine wichtige Grundlage für den DSGVO-konformen Einsatz schafft. Dennoch bleiben praktische Tücken.

Das größte Problem: Cloudflare sitzt als Reverse Proxy vor Ihrer Website und verarbeitet die IP-Adresse jedes Besuchers bereits beim ersten HTTP-Request, also noch bevor ein Cookie-Banner erscheint. IP-Adressen gelten nach der DSGVO und nach dem CJEU-Urteil C-511/21 als personenbezogene Daten. Das bedeutet: Entweder Sie haben eine Einwilligung (praktisch kaum umsetzbar für einen CDN-Proxy) oder Sie dokumentieren ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO, was mit einer Interessenabwägung verbunden ist.

Bei einem E-Commerce-Projekt für einen Hamburger Fachhändler haben wir Cloudflare mit aktivierter Metadata Boundary und eigenem AVV betrieben und dabei den Datenschutzbeauftragten von Anfang an eingebunden. Das hat funktioniert, aber der Dokumentationsaufwand war erheblich höher als bei einem reinen EU-Hoster.

Europäische CDN-Alternativen zu Cloudflare

Wer Cloudflare wegen der Drittlandproblematik meiden möchte, hat einige Optionen, die ausschließlich europäische Infrastruktur nutzen.

Empfehlenswerte EU-Hoster für WordPress und WooCommerce

Für meine Kundenprojekte in Deutschland nutze ich seit Jahren eine Handvoll Anbieter, die DSGVO-konformes Hosting mit vernünftigem Preis-Leistungs-Verhältnis verbinden. Bei allen ist der AVV standardmäßig im Kundenkonto verfügbar und die Rechenzentren liegen in Deutschland.

• Hetzner Online (Nürnberg, Falkenstein): Sehr gutes Preis-Leistungs-Verhältnis, VPS ab 4 Euro/Monat, dedizierte Server, Object Storage. Für Managed WordPress eignet sich Hetzner in Kombination mit dem WordPress-Entwickler-Setup bestens.
• netcup (Nürnberg): VPS und Managed Server, 100 % Ökostrom, günstige Einstiegspreise, solider Kundensupport.
• Mittwald (Herford): Spezialisiert auf Agenturen und WordPress-Entwickler, eigene Infrastruktur, DSGVO-Gutachten abrufbar, Managed WordPress mit automatischen Updates.
• IONOS (Karlsruhe): Größter europäischer Hoster, breites Produktportfolio, auch für Kunden ohne technisches Wissen einfach zu verwalten.

Was der AVV allein nicht regelt

Ein unterschriebener AVV mit dem Hoster reicht für DSGVO-Konformität nicht aus. Das Hosting ist nur ein Baustein. Auf Ihrer Website laufen typischerweise weitere Dienste, die eigene Rechtsgrundlagen brauchen: Google Analytics 4 (Consent Mode erforderlich, AVV mit Google), eingebettete YouTube-Videos (Einwilligung vor Laden des iframes), Google Fonts (lokal einbinden oder Einwilligung), reCAPTCHA und ähnliche Dienste.

Außerdem gilt seit Mai 2024 das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz), das das frühere TTDSG ablöst und den Zugriff auf Endgeräte, also Cookies und ähnliche Technologien, regelt. Wer eine Website für den deutschen Markt betreibt, muss beides im Blick haben: DSGVO für die Datenverarbeitung generell und TDDDG für den Cookie-Consent.

Wenn Sie Ihre Website professionell aufsetzen lassen, sorge ich dafür, dass Hosting, AVV, Datenschutzerklärung und Cookie-Consent von Anfang an aufeinander abgestimmt sind, anstatt diese Punkte nachträglich flicken zu müssen.

Fazit: EU-Hosting ist keine Paranoia, sondern Pragmatismus

Das Schrems-II-Urteil hat gezeigt, dass rechtliche Rahmenbedingungen für Datentransfers in die USA nicht dauerhaft stabil sind. Safe Harbor fiel 2015, Privacy Shield 2020. Das aktuelle DPF ist der dritte Versuch und steht weiterhin unter juristischer Beobachtung. Für kleine und mittlere Unternehmen in Deutschland ist EU-seitiges DSGVO-konformes Hosting in der EU nicht nur die datenschutzrechtlich sicherere Wahl, sondern oft auch die praktisch einfachere: kein Tracking mehrerer Angemessenheitsbeschlüsse, kein jährliches Prüfen von DPF-Zertifikatslisten, kein Erklärungsbedarf gegenüber dem betrieblichen Datenschutzbeauftragten.

Cloudflare und US-CDNs sind nicht per se verboten, erfordern aber deutlich mehr Aufwand für Dokumentation und Konfiguration als ein europäischer Anbieter mit sauberem AVV. Ob dieser Aufwand gerechtfertigt ist, hängt von den Anforderungen des Projekts ab. Für die meisten mittelständischen Websites in Deutschland ist er es nicht.