EU-Hosting vs. US-Cloud — was DSGVO 2026 wirklich verlangt

„Ist das DSGVO-konform?” — diese Frage höre ich bei jedem zweiten Erstgespräch. Die Antwort hängt fast immer am Hosting. Wer Daten in die USA fließen lässt — sei es über AWS, Google Cloud, Azure, oder einfach durch eingebundene US-Tracking-Tools — bewegt sich seit Schrems II in einer juristischen Grauzone, die 2026 immer enger wird.

Hier eine pragmatische Übersicht: was wirklich DSGVO-konform ist, was theoretisch geht aber Risiken birgt, und wie KMU eine sichere Entscheidung treffen.

Schrems II in zwei Sätzen

Der Europäische Gerichtshof hat 2020 (Urteil C-311/18) entschieden: US-Anbieter können personenbezogene Daten von EU-Bürgern nicht rechtssicher verarbeiten, weil US-Behörden (FBI, NSA) auch ohne Verdacht Zugriff haben. Das EU-US Data Privacy Framework von 2023 hat das teilweise repariert — aber nur für US-Unternehmen, die sich explizit zertifizieren lassen, und nur unter sehr strikten Auflagen.

Praktisch heißt das: jeder Verarbeitungsvorgang mit US-Anbietern braucht eine konkrete Risikoanalyse, einen geprüften Auftragsverarbeitungs-Vertrag (AVV), und im Zweifel zusätzliche Schutzmaßnahmen (Verschlüsselung, Pseudonymisierung).

Was definitiv EU-konform ist

Hosting auf EU-Servern bei EU-Anbietern

Hetzner (Falkenstein), IONOS (Karlsruhe), Strato (Berlin), Dogado (Dortmund), All-Inkl (Friedersdorf), Plesk-Hosting bei jedem deutschen Provider: 100 Prozent EU-konform. Datenstrom verlässt die EU nicht.

Bei webAION läuft die gesamte Infrastruktur auf einem deutschen Plesk-VPS. Keine US-Cloud, kein US-CDN, keine US-Tracking-Tools.

Anthropic Claude über EU-Endpoints

Anthropic bietet seit Q3 2025 EU-Endpoints (Frankfurt-Region). Wenn du ausschließlich diese nutzt und im AVV explizit „EU-Datenresidenz” vereinbart ist, sind Claude-Verarbeitungen DSGVO-konform.

Azure OpenAI mit EU-Datenresidenz

Microsoft Azure bietet Azure OpenAI in EU-Datenregionen mit AVV. Trotz Microsoft-Mutterunternehmen US ist das aktuell die rechtssicherste Variante für ChatGPT-Modelle.

Google Gemini über Google Workspace EU

Google Workspace bietet EU-Datenresidenz und einen entsprechenden AVV. Gemini-Anfragen über Workspace bleiben in der EU.

n8n Self-Hosted

n8n ist Open-Source und kann komplett auf eigenem Server laufen. Wenn du n8n auf einem EU-VPS hostest, sind alle Workflows DSGVO-konform — egal welche externen APIs sie aufrufen, weil dein Server der Datenhüter ist.

Was DSGVO-grenzwertig ist

Standard-OpenAI-API

Direkter Zugriff auf api.openai.com ohne Azure: Datenflüsse in die USA. Theoretisch über DPA und EU-Datenpaket gehbar, in der Praxis riskant. Datenschutzbehörden mehrerer EU-Länder haben das 2024–2025 als problematisch eingestuft.

AWS, Google Cloud, Azure ohne EU-Region-Zwang

Ohne explizit konfigurierte EU-Region speichern diese Anbieter Daten weltweit verteilt. AWS „eu-central-1” allein reicht nicht, wenn andere Services (CloudFront, IAM, Cognito) ohne Region-Lock laufen.

US-Tracking auf der Website

Google Analytics 4, Facebook Pixel, LinkedIn Insight Tag — alle senden Daten in die USA. Mit Cookie-Banner und expliziter Einwilligung machbar, aber mit Risiko: Datenschutzbehörden (besonders die österreichische und französische) haben 2024 mehrfach Bußgelder verhängt.

US-CDN ohne EU-First-Konfiguration

Cloudflare, Fastly, KeyCDN: meist mit globaler Verteilung. Bei sensiblen Daten (Gesundheits-, Finanz-, Behörden-Daten) problematisch.

Was eindeutig nicht DSGVO-konform ist

Standard-WhatsApp Business API

Trotz Meta-Versprechungen läuft die WhatsApp-Business-API in den USA und Singapur. Für Kunden-Kommunikation mit personenbezogenen Daten: Datenschutzrisiko.

TikTok-Pixel und ähnliche chinesische Tracking-Tools

ByteDance ist chinesischer Konzern mit Datenflüssen außerhalb EU/USA. DSGVO-Konformität faktisch unmöglich.

Free-Tier Cloud-AI ohne AVV

Claude Free, Gemini Free, ChatGPT Free: keine AVVs, keine Datenresidenz-Garantie. Für interne Tests okay, für Kunden-Daten verboten.

Praktische Empfehlung für KMU

Drei Stufen-Plan:

Stufe 1 (sofort, niedrigster Aufwand): Website-Hosting auf einem deutschen Provider. Kosten: 5–40 Euro pro Monat. Effekt: 80 Prozent der DSGVO-Probleme weg.

Stufe 2 (3–6 Monate, mittlerer Aufwand): KI-Workloads auf Anthropic-EU oder Azure-OpenAI-EU umstellen. Kosten: gleich wie ohne EU-Lock. Effekt: KI-Verarbeitung rechtssicher.

Stufe 3 (6–12 Monate, höherer Aufwand): n8n self-hosted statt Make.com oder Zapier. Kosten: 15–30 Euro pro Monat zusätzlich für VPS. Effekt: keine Vendor-Lock-in-Risiken mehr.

Bei webAION starten wir bei jedem Kunden mit Stufe 1 und Stufe 2 — und beraten Stufe 3 dann, wenn das Volumen den Aufwand rechtfertigt.

Was bei dir realistisch ist

Wenn du aktuell auf US-Cloud läufst und dir nicht sicher bist, ob deine Verarbeitungsvorgänge DSGVO-konform sind, ist der erste Schritt eine Bestandsaufnahme. Im 15-Min-Erstgespräch sehen wir uns deine Hosting-, Tracking- und KI-Setup an und identifizieren die Top-3-Risiken. Direkt mit dem Builder, kein Account-Manager. Bei webAION läuft alles auf EU-Infrastruktur — und wir migrieren dich gerne dorthin, wenn du heute noch US-abhängig bist.