Stand: 30.10.2026. Bei der Wahl von Cloud-Diensten fragen die meisten Unternehmen zuerst nach dem Serverstandort. Die Frage ist berechtigt, beantwortet aber nur die Hälfte. Mindestens genauso wichtig ist, wer den Dienst betreibt und welchem Recht dieses Unternehmen unterliegt. Für Websites betrifft das mehr Dienste, als man denkt: Formulare, Newsletter, Terminbuchung, Schriftarten, Videoeinbindungen und die Reichweitenmessung.
Zwei Fragen statt einer
| Frage | Warum sie zählt |
|---|---|
| Wo liegen die Daten? | bestimmt Übertragungswege, Antwortzeiten und welche Aufsichtsbehörden zuständig sind |
| Wer betreibt den Dienst? | ein Unternehmen kann nach dem Recht seines Sitzlandes verpflichtet sein, auch Daten aus dem Ausland herauszugeben |
Ein Rechenzentrum in Frankfurt, betrieben von der Tochter eines US-Konzerns, ist also etwas anderes als ein Anbieter, der vollständig deutschem oder europäischem Recht unterliegt. Beides kann in Ordnung sein. Sie sollten nur wissen, was Sie gewählt haben.
Was der CLOUD Act regelt
Der US CLOUD Act von 2018 hat eine Vorschrift in das US-Recht eingefügt, nach der Anbieter von Kommunikations- und Cloud-Diensten Daten aufbewahren, sichern oder offenlegen müssen, die sich in ihrem Besitz, Gewahrsam oder unter ihrer Kontrolle befinden. Das gilt ausdrücklich unabhängig davon, ob die Daten innerhalb oder außerhalb der USA gespeichert sind [1]. Maßgeblich ist also die Kontrolle durch den Anbieter, der Speicherort allein schützt nicht.
Noch eine Frage offen?
In der gratis Sprechstunde beantworten wir Fragen zu SEO live, jeden ersten Samstag im Monat um 18 Uhr. Oder Sie rufen einfach an.
Was die DSGVO verlangt
Wer einen Dienstleister personenbezogene Daten im eigenen Auftrag verarbeiten lässt, braucht nach Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung. Er muss unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung festlegen und vorsehen, dass der Dienstleister nur auf dokumentierte Weisung arbeitet, auch was Übermittlungen in Drittländer betrifft [2]. Weitere Auftragsverarbeiter darf der Dienstleister nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung einsetzen. Bei einer allgemeinen Genehmigung muss er über jede beabsichtigte Änderung informieren [2].
Für Übermittlungen in die USA gibt es seit dem 10.07.2023 einen Angemessenheitsbeschluss der EU-Kommission, den EU-US-Datenschutzrahmen. Das Gericht der Europäischen Union hat eine Klage auf Nichtigerklärung am 03.09.2025 abgewiesen und bestätigt, dass die USA zum Zeitpunkt des Beschlusses ein angemessenes Schutzniveau für Daten gewährleisteten, die an teilnehmende US-Organisationen übermittelt werden [3]. Die beiden Vorgängerregelungen hatte der Europäische Gerichtshof in den Urteilen Schrems I und Schrems II für ungültig erklärt [3]. Gegen das Urteil hat Philippe Latombe am 31.10.2025 Rechtsmittel beim Gerichtshof eingelegt (Rechtssache C-703/25 P) [5, 6]. Nach den uns bekannten Berichten, zuletzt vom 11.09.2026, ist darüber noch nicht entschieden [5]. Wer US-Dienste nutzt, sollte die Entwicklung deshalb weiter verfolgen.
Was zu tun ist
Bestandsaufnahme. Welche Dienste auf Ihrer Website verarbeiten personenbezogene Daten? Meist sind es mehr als gedacht. Ein Blick in den Quelltext und in die Netzwerkanfragen des Browsers zeigt, welche fremden Server beim Seitenaufruf angesprochen werden.
Verträge prüfen. Gibt es für jeden dieser Dienste einen Vertrag zur Auftragsverarbeitung? Sind die Unterauftragnehmer benannt, und wo sitzen sie?
Alternativen kennen. Für viele Standardaufgaben gibt es Anbieter mit Sitz und Servern in der EU, und manches lässt sich auf dem eigenen Server betreiben. Reichweitenmessung mit Matomo auf eigenem Server ist ein Beispiel, das wir bei Kunden häufig einrichten, siehe Matomo-Einrichtung.
Datensparsamkeit. Art. 5 DSGVO verlangt, dass personenbezogene Daten auf das für den Zweck notwendige Maß beschränkt sind [4]. Was nicht erhoben wird, muss nicht geschützt, übermittelt oder herausgegeben werden. Das ist oft der wirksamste und günstigste Schritt.
Was das mit SEO zu tun hat
Mehr, als es scheint. Jeder eingebundene fremde Dienst ist eine zusätzliche Anfrage beim Laden der Seite und kann die Ladezeit verlängern. Wer Schriftarten, Skripte und Messwerkzeuge auf den eigenen Server holt, verbessert oft Datenschutz und Ladezeit zugleich. Hosting in Deutschland mit Servern unter eigener Kontrolle beschreibt der Beitrag Hosting und SEO, die Begriffe erklärt das Glossar unter Cloud-Hosting.
Dieser Beitrag ersetzt keine Rechtsberatung. Bei größeren Vorhaben gehört die Prüfung in die Hände von Datenschutzbeauftragten oder Anwälten.
Wenn Sie wissen möchten, welche fremden Dienste Ihre Website beim Laden anspricht, stellen Sie die Frage in der gratis SEO-Sprechstunde. Mit einer ersten Liste können Sie dort gemeinsam mit uns beginnen.
- Gesetz 18 U.S. Code § 2713: Required preservation and disclosure of communications and records. Legal Information Institute, Cornell Law School. Stand laufend. abgerufen am 30.10.2026
- Gesetz Art. 28 DSGVO Auftragsverarbeiter. dsgvo-gesetz.de. Stand laufend. abgerufen am 30.10.2026
- Behörde Pressemitteilung Nr. 106/25: Urteil in der Rechtssache T-553/23, Latombe / Kommission. Gerichtshof der Europäischen Union. Stand 03.09.2025. abgerufen am 30.10.2026
- Gesetz Art. 5 DSGVO Grundsätze für die Verarbeitung personenbezogener Daten. dsgvo-gesetz.de. Stand laufend. abgerufen am 30.10.2026
- Is the Data Privacy Framework still valid after Slaughter?. Corporate Intl. Stand 11.09.2026. abgerufen am 30.10.2026
- European Court of Justice to Review Challenge to EU-U.S. Data Privacy Framework. WilmerHale. Stand 01.12.2025. abgerufen am 30.10.2026
Häufige Fragen
Muss ich alle US-Dienste ersetzen?
Nein. Prüfen Sie zuerst, welche Dienste tatsächlich personenbezogene Daten verarbeiten und wie sensibel diese sind. Ein Wechsel lohnt vor allem dort, wo Daten sensibel sind und eine gleichwertige Alternative existiert.
Reicht ein Serverstandort in Deutschland?
Er hilft, entscheidet aber nicht allein. Nach dem US CLOUD Act zählt, ob ein Anbieter die Daten kontrolliert, unabhängig vom Speicherort. Wichtig sind außerdem der Vertrag zur Auftragsverarbeitung und die benannten Unterauftragnehmer.
Gilt der EU-US-Datenschutzrahmen noch?
Das Gericht der EU hat eine Klage gegen den Angemessenheitsbeschluss vom 10.07.2023 am 03.09.2025 abgewiesen. Gegen das Urteil wurde beim Gerichtshof Rechtsmittel eingelegt (C-703/25 P). Nach den uns bekannten Berichten, zuletzt vom 11.09.2026, ist darüber noch nicht entschieden. Da die beiden Vorgängerregelungen gekippt wurden, lohnt es sich, die weitere Entwicklung zu verfolgen.
Was ist ein Vertrag zur Auftragsverarbeitung?
Ein Vertrag nach Art. 28 DSGVO zwischen Ihnen und einem Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet. Er regelt unter anderem Zweck, Dauer, Weisungen und den Einsatz weiterer Unterauftragnehmer.
Noch eine Frage offen?
In der gratis Sprechstunde beantworten wir Fragen zu SEO live, jeden ersten Samstag im Monat um 18 Uhr. Oder Sie rufen einfach an.
Zuletzt geprüft am 03.11.2026, nächste Prüfung spätestens im November 2027. Haben Sie einen Fehler entdeckt? Schreiben Sie uns.
