Warum es gerade jetzt wichtig ist zu wissen, wo deine Daten gespeichert sind

EU-Datenresidenz klingt nach einem Problem für Juristen – bis ein Kunde beim Audit oder ein neuer Mitarbeiter eine einfache Frage stellt: Wo werden unsere Daten eigentlich gespeichert? Du öffnest eine Tabelle, schaust in ein paar Anbieter-Dashboards und stellst fest, dass du schlicht nicht weißt, in welchem Land die Hälfte deiner Tools Daten verarbeitet.

Unternehmen, die eine in der EU gehostete IT-Plattform wie deeploi nutzen, umgehen viele dieser Probleme von vornherein. Aber selbst mit guten Infrastrukturentscheidungen musst du die Regeln verstehen und deinen gesamten Stack prüfen. Dieser Leitfaden führt dich durch den Prozess: Finde deine Daten, ordne sie zu, beurteile, ob deine Konfiguration konform ist, und wisse genau, welche Fragen du jedem Anbieter stellen musst.

Was EU-Datenresidenz wirklich bedeutet (und warum „in der EU gehostet" nicht die ganze Geschichte ist)

Datenresidenz vs. Datensouveränität

Diese beiden Begriffe klingen ähnlich, beschreiben aber unterschiedliche Dinge.

‍

Hinweis: Ein US-amerikanisches Unternehmen, das Rechenzentren in der EU betreibt, bietet dir Datenresidenz, aber keine Datensouveränität. Es unterliegt weiterhin der US-Rechtshoheit – einschließlich Gesetzen wie dem CLOUD Act, die eine Offenlegung von Daten erzwingen können, unabhängig davon, wo sich der Server physisch befindet.

Was die DSGVO tatsächlich vorschreibt – und was sie empfiehlt

Hier ein weit verbreitetes Missverständnis: Die DSGVO schreibt nicht vor, dass deine Daten innerhalb der EU bleiben müssen. Was sie tut: Sie regelt jede Übermittlung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums (EWR) streng. Wenn du Daten in ein Land übermittelst, für das kein Angemessenheitsbeschluss der Europäischen Kommission vorliegt, benötigst du zusätzliche rechtliche Mechanismen wie Standardvertragsklauseln (SCCs) und eine dokumentierte Folgenabschätzung zur Datenübermittlung (TIA). Die Speicherung von Daten in EU-Rechenzentren vereinfacht die Compliance erheblich, macht dich aber nicht automatisch konform. Entscheidend ist die Rechtsgrundlage für die Übermittlung.

Die deutsche Ebene

Wenn dein Unternehmen in Deutschland ansässig ist, kommt eine weitere Ebene hinzu. Das Bundesdatenschutzgesetz (BDSG) gilt ergänzend zur DSGVO, und die Durchsetzung liegt bei den jeweiligen Landesdatenschutzbehörden. Welche Datenschutzbehörde (DPA) zuständig ist, hängt davon ab, wo dein Unternehmen eingetragen ist. Über die Vorschriften hinaus wachsen die Erwartungen rund um die „digitale Souveränität", insbesondere bei der IT-Compliance in regulierten Branchen und bei der Beschaffung im öffentlichen Sektor, wo eine BSI-C5-Attestierung zunehmend verlangt wird.

Bevor du loslegst: Was du brauchst

• Eine vollständige Liste aller SaaS-Tools, Cloud-Speicherkonten und IT-Systeme, die dein Unternehmen nutzt – einschließlich Shadow-IT und KI-Tools, die Mitarbeiter möglicherweise eigenmächtig eingeführt haben.
• Zugang zu den Datenverarbeitungsverträgen (DPA, in deutschen Verträgen oft als Auftragsverarbeitungsvertrag oder AVV bezeichnet) der einzelnen Anbieter sowie zu deren veröffentlichten Datenschutzunterlagen.

Schritt 1: Prüfe jedes Tool, das mit deinen Daten in Berührung kommt

Erstelle das Inventar

Beginne mit einer einfachen Tabelle. Trage für jedes Tool Folgendes ein: Tool-Name, verarbeitete Datentypen, Hosting-Region, ob ein DPA unterzeichnet ist, gelistete Unterauftragsverarbeiter und die Aufbewahrungsfrist. Das muss nicht aufwendig sein. Eine gemeinsam genutzte Tabelle reicht zunächst völlig aus – es geht vor allem um Transparenz. So sieht eine ausgefüllte Zeile aus:

Vergiss die unsichtbaren Systeme nicht

Die Tools, für die du bezahlst, sind der einfache Teil. Denk auch an E-Mail-Dienste, deine HR-Plattform, Backup-Systeme, Analysetools und KI-Assistenten wie ChatGPT oder Microsoft Copilot, in die Mitarbeiter Unternehmensdaten einfügen. KI-Shadow-IT ist die am schnellsten wachsende Kategorie nicht nachverfolgter Datenflüsse in den Jahren 2025 und 2026. Untersuchungen zeigen (G2), dass 80 % der Beschäftigten zugeben, SaaS-Anwendungen bei der Arbeit zu nutzen, ohne die Genehmigung der IT-Abteilung einzuholen. Jedes dieser nicht genehmigten Tools ist ein potenzieller blinder Fleck in Sachen Datenresidenz.

Diese Prüfung ist zudem gesetzlich vorgeschrieben

Was du hier aufbaust, ist im Wesentlichen dein Verzeichnis der Verarbeitungstätigkeiten gemäß Artikel 30 (VVT). Die DSGVO schreibt vor, dass die meisten Organisationen ein solches Verzeichnis führen müssen. Unternehmen mit weniger als 250 Mitarbeitern profitieren zwar von einer engen Ausnahmeregelung, die in der Praxis jedoch selten greift: Sobald deine Datenverarbeitung nicht nur gelegentlich erfolgt – Lohnabrechnung, Personalwesen und Kundendaten zählen alle dazu – oder besondere Kategorien personenbezogener Daten betrifft, gilt die Pflicht wieder. Für fast jedes KMU ist diese Übung also nicht nur gute Praxis, sondern eine gesetzliche Verpflichtung, die du dabei gleich abhaken kannst.

Schritt 2: Finde heraus, wo jeder Anbieter Daten tatsächlich hostet und verarbeitet

Auf Produktseiten wird oft mit „EU-Rechenzentren" geworben, aber das allein sagt dir wenig. Ein Anbieter in US-Besitz könnte deine Primärdaten in Frankfurt speichern, Support-Tickets aber über ein Team in den USA abwickeln oder Backups in eine Region außerhalb des EWR replizieren. Du musst genauer hinschauen.

Beginne damit, die Unterauftragsverarbeiterliste des Anbieters zu prüfen. Seriöse Anbieter veröffentlichen diese und sind gemäß DSGVO vertraglich verpflichtet, Änderungen offenzulegen. Kann ein Anbieter dir keine Unterauftragsverarbeiterliste vorlegen, ist das ein Warnsignal. Achte besonders auf die Standardeinstellungen zur Cloud-Replikation. Viele Plattformen kopieren Backups automatisch über Regionen hinweg, um Redundanz zu gewährleisten. Wird dabei eine Region in den USA oder im asiatisch-pazifischen Raum einbezogen, haben deine Daten die EU verlassen – ob beabsichtigt oder nicht.

Unternehmen speichern heute 78 % ihrer sensiblen Daten in SaaS-Anwendungen (DevSquad), was bedeutet, dass dein SaaS-Stack dein Datenperimeter ist. Nimm die Prüfung der Unterauftragsverarbeiter genauso ernst wie eine Sicherheitsbegehung in einem physischen Büro.

Schritt 3: Bewerte EU-US-Datentransfers und die rechtlichen Mechanismen

Das EU-US-Datenschutzrahmen im Jahr 2026

Das EU-US-Datenschutzrahmen (DPF) ist derzeit gültig und ermöglicht es zertifizierten US-Unternehmen, personenbezogene Daten aus der EU ohne zusätzliche Schutzmaßnahmen zu empfangen. Seine rechtliche Grundlage ist jedoch wackeliger, als es den Anschein hat. Ein Urteil des US-Supreme-Court vom Juni 2026 (Trump v. Slaughter, 29. Juni 2026) untergrub die Unabhängigkeit der FTC, auf die sich der Angemessenheitsbeschluss der Europäischen Kommission teilweise stützte. Datenschutzorganisationen wie noyb bereiten eine formelle Anfechtung vor, und die damit verbundenen Gerichtsverfahren laufen weiter. Sollte das DPF für ungültig erklärt werden, befänden wir uns wieder in einer Welt nach Schrems II, in der Unternehmen auf alternative Übermittlungsmechanismen angewiesen wären.

SCCs und die Folgenabschätzung zur Datenübermittlung

Standardvertragsklauseln (SCCs) sind die gängigste Ausweichlösung, aber keine Sache, die man einmal einrichtet und dann vergisst. Seit Schrems II wird erwartet, dass du für jede Datenübermittlung, die auf SCCs gestützt wird, eine Folgenabschätzung zur Datenübermittlung (Transfer Impact Assessment, TIA) dokumentierst. Das bedeutet: das rechtliche Umfeld des Empfängerlandes bewerten und prüfen, ob die Rechte der betroffenen Person dort realistisch durchgesetzt werden können.

Ergänzende technische Maßnahmen

Wenn du die Nutzung eines in den USA ansässigen Tools nicht vermeiden kannst, solltest du ergänzende technische Maßnahmen in Betracht ziehen. Eine Möglichkeit ist Verschlüsselung, bei der die Schlüssel ausschließlich innerhalb der EU verbleiben. Ein weiterer Ansatz ist Pseudonymisierung, bei der Identifikatoren vor der Übermittlung von den Daten getrennt werden. Diese Maßnahmen lösen nicht jedes Szenario, zeigen aber einen vertretbaren Ansatz zum Schutz sensibler Unternehmensdaten und können Aufsichtsbehörden überzeugen, dass du verhältnismäßige Schritte unternommen hast.

Schritt 4: Lege Kriterien für die Auswahl DSGVO-konformer, in der EU gehosteter Tools fest

Wenn du neue Anbieter bewertest oder bestehende neu beurteilst, bevorzuge Tools, die ein Hosting ausschließlich in der EU unter EU-Rechtshoheit anbieten, eine transparente Unterauftragsverarbeiterliste veröffentlichen, einen Auftragsverarbeitungsvertrag (DPA) bereitstellen, der den Speicherort der Daten ausdrücklich benennt, sowie klare Bestimmungen zur Aufbewahrung und Löschung enthalten.

Zu den Warnsignalen gehören Formulierungen wie „Daten können weltweit verarbeitet werden", vage oder nicht unterzeichnete Datenschutzvereinbarungen sowie Anbieter, die ihre Unterauftragsverarbeiter nicht nennen können. Wenn die Datenschutzseite eines Anbieters wie ein Standardtext wirkt und keine konkreten Angaben enthält, solltest du vom Schlimmsten ausgehen und direkt nachfragen.

Der Standort allein ist jedoch nicht die ganze Antwort. Ein in der EU ansässiger Anbieter mit einer lückenhaften Datenschutzvereinbarung, ohne Unterauftragsverarbeiterliste und ohne Löschrichtlinie ist ein größeres Risiko als ein gut konfigurierter US-Anbieter mit starken Schutzmaßnahmen. „Europäisch" ist ein nützliches Signal, aber keine Garantie. Was zählt, ist das Gesamtbild: Hosting, Rechtshoheit, Transparenz und der Umgang des Anbieters mit Zugriffsrechten und Datenlöschung.

Für Kategorien, in denen Tools mit Hauptsitz in den USA dominieren, gibt es Alternativen mit Sitz in der EU, bei denen sowohl Datenresidenz als auch Datensouveränität innerhalb der EU bleiben:

Die EU-Region eines US-Hyperscalers erfüllt die Residenzanforderung, nicht aber die Souveränitätsanforderung – das Unternehmen unterliegt weiterhin US-Recht. Speziell beim IT-Management bedeutet die Wahl eines deutschen Unternehmens, das deine Daten in der EU hostet, dass Gerätesicherheit, Softwareverwaltung und sicheres Offboarding unter einem einzigen DSGVO-konformen, nach ISO 27001 zertifizierten Stack zusammenlaufen – und du hast einen einzigen Anbieter, den du für den Speicherort dieser Daten zur Verantwortung ziehen kannst.

Die Fragen zur Anbieter-Due-Diligence, die du jedem Anbieter schicken solltest

Kopiere diese Fragen und sende sie an jeden Anbieter, der Daten deines Unternehmens oder deiner Mitarbeiter verarbeitet:

1. Wo werden unsere Daten gespeichert und verarbeitet? Nenne das konkrete Land und die Region.
2. Unter welcher Rechtsordnung ist euer Unternehmen tätig?
3. Wer sind eure Unterauftragsverarbeiter, und wo befinden sie sich?
4. Übermittelt ihr personenbezogene Daten in die USA oder in ein Land außerhalb des EWR? Wenn ja, auf welcher Rechtsgrundlage?
5. Wo werden Backups repliziert? Werden Backup-Kopien außerhalb der EU gespeichert?
6. Wie lange werden die Daten aufbewahrt, und wie wird die Löschung gehandhabt, wenn wir unser Konto kündigen?
7. Werdet ihr uns proaktiv über Änderungen beim Hosting oder bei den Unterauftragsverarbeitern informieren?

Die meisten konformen Anbieter beantworten diese Fragen innerhalb weniger Tage. Bleiben Antworten aus oder fallen sie vage aus, ist das ein Datenresidenzrisiko, das du angehen musst.

Häufige Fallstricke, die unbemerkt die Compliance gefährden

• Backups, die außerhalb der EU repliziert werden: Viele Cloud-Plattformen nutzen standardmäßig eine regionsübergreifende Replikation. Überprüfe die Einstellungen für jedes Tool – nicht nur für die primäre Hosting-Region.
• Shadow-IT, einschließlich KI-Tools: Wenn Mitarbeiter ChatGPT, Notion AI oder andere Tools ohne Genehmigung nutzen, fließen Unternehmensdaten auf Server, die du nicht geprüft hast. Eine IT-Management-Plattform wie deeploi, die dir Transparenz über alle Geräte und Softwareprogramme bietet, hilft dir, das frühzeitig zu erkennen.

{{cta}}

‍

• Anbieter, die Unterauftragsverarbeiter oder Regionen ohne Vorankündigung wechseln: Selbst konforme Anbieter aktualisieren ihre Infrastruktur. Wenn du ihre Unterauftragsverarbeiterlisten nicht im Blick behältst, kannst du unbemerkt aus der Compliance herausfallen.
• Daten, die ohne Aufbewahrungsrichtlinie dauerhaft gespeichert werden: Der Grundsatz der Speicherbegrenzung der DSGVO verlangt, dass du personenbezogene Daten löschst, sobald sie nicht mehr benötigt werden. Haben deine Anbieter keinen klaren Löschmechanismus, ist das eine Compliance-Lücke.

Halte deine Datenkarte aktuell

Ein Audit ist nur dann sinnvoll, wenn es aktuell bleibt. Weise einen klaren Verantwortlichen für deine Datenübersicht zu – oft ist das dieselbe Person, die für die DSGVO-Compliance zuständig ist – und führe mindestens einmal im Jahr eine erneute Prüfung durch. Löse eine zusätzliche Prüfung aus, sobald du ein neues Tool einführst, den Anbieter wechselst oder eine Änderungsmeldung zu Unterauftragsverarbeitern erhältst.

Hier zahlt sich die Konsolidierung deines IT-Stacks aus. Wenn Geräteverwaltung, Softwareverwaltung, Onboarding, Offboarding und IT-Support über eine einzige, in der EU gehostete Plattform laufen, bleiben Datenspeicherorte und Zugriffsrechte auch beim Wachstum transparent. Konsolidierte, in der EU gehostete IT-Plattformen wie deeploi (ISO 27001-zertifiziert, DSGVO-konform, mit in der EU gehosteten Daten) schaffen diese Transparenz von Grund auf – und helfen so zu verhindern, dass Shadow-IT deinen Daten-Fußabdruck unbemerkt ausweitet.

Wie deeploi die Fragen in diesem Leitfaden beantwortet

Wenn du deeploi als deine IT-Plattform in Betracht ziehst, siehst du hier, wie es bei den oben genannten Kriterien abschneidet. Deine Unternehmensdaten werden in der EU gehostet, und deeploi agiert als deutsches Unternehmen (deeploi GmbH) nach deutschem und EU-Recht. Die Plattform ist nach ISO 27001 zertifiziert und DSGVO-konform, mit Dokumentation, die für Audits und Lieferantenprüfungen bereitsteht. Der Zugriff ist von Grund auf transparent: Mit einem Datenschutzfilter kannst du genau festlegen, welche HR-Felder deeploi auslesen darf, und du behältst den Überblick darüber, wer Zugriff auf was hat. Und da Geräteverwaltung, Software, Onboarding, Offboarding und Support alle über eine einzige Plattform laufen, vermeidest du die Flut nicht nachverfolgbarer Tools, die Daten unbemerkt aus der EU herausleiten.

{{cta}}

Fazit

Du brauchst kein Rechtsteam, um herauszufinden, wo sich deine Daten befinden. Du brauchst eine Tabelle, die richtigen Fragen und die Bereitschaft, jeden Anbieter zur Rechenschaft zu ziehen. Beginne mit dem Audit, erstelle dein Verzeichnis der Verarbeitungstätigkeiten gemäß Artikel 30, bewerte deine Übermittlungsmechanismen und ersetze die Tools, die dir keine klaren Antworten geben können. Der Gewinn liegt nicht nur in der Compliance – sondern in der Gewissheit, dass sich die Daten deines Unternehmens genau dort befinden, wo du sie erwartest.

FAQ

Garantiert die Nutzung eines US-amerikanischen Anbieters mit Rechenzentren in der EU die DSGVO-Konformität?

Nein. Die US-Rechtsordnung, einschließlich des CLOUD Act, kann ein Unternehmen mit Hauptsitz in den USA zur Offenlegung von Daten zwingen, unabhängig davon, wo sich seine Server physisch befinden. Eine in der EU gehostete Infrastruktur verringert das Risiko, aber du musst dennoch die rechtliche Zuständigkeit des Anbieters, seine Unterauftragsverarbeiter und seine Datenübermittlungsmechanismen prüfen.

Verlangt die DSGVO, dass die Daten meines Unternehmens in der EU gespeichert werden?

Streng genommen nein. Die DSGVO regelt Datenübermittlungen außerhalb des EWR, anstatt sie gänzlich zu verbieten. Für Übermittlungen in Länder ohne Angemessenheitsbeschluss sind jedoch Standardvertragsklauseln (SCCs), eine Folgenabschätzung zur Datenübermittlung und möglicherweise ergänzende technische Maßnahmen erforderlich. Ein Hosting ausschließlich in der EU ist der einfachste Weg zur Compliance.

Was passiert, wenn das EU-US-Datenschutzrahmen für ungültig erklärt wird?

Das ist kein hypothetisches Szenario mehr. Nach dem Urteil des US-Supreme-Court vom Juni 2026 laufen derzeit rechtliche Anfechtungsverfahren. Sollte das DPF scheitern, müssten sich Unternehmen auf Standardvertragsklauseln in Kombination mit einer dokumentierten Folgenabschätzung zur Datenübermittlung und ergänzenden Schutzmaßnahmen stützen – ähnlich wie nach dem Schrems-II-Urteil im Jahr 2020.

Wie oft sollten wir unsere Datenkarte neu prüfen?

Mindestens einmal im Jahr. Du solltest außerdem eine Prüfung anstoßen, wenn du ein neues Tool einführst, den Anbieter wechselst oder eine Benachrichtigung erhältst, dass ein Anbieter seine Unterauftragsverarbeiter oder Hosting-Regionen geändert hat. Nur wenn du diesen Prozess am Laufen hältst, wird aus einer reinen Abhakübung echte Compliance.

Wo speichert deeploi meine Unternehmensdaten, und wer hat Zugriff darauf?

deeploi hostet Kundendaten in der EU und agiert als deutsches Unternehmen nach deutschem und EU-Recht. Es ist nach ISO 27001 zertifiziert und DSGVO-konform. Der Zugriff ist kontrolliert und transparent: Über einen Datenschutzfilter kannst du genau festlegen, welche HR-Felder deeploi lesen darf – so behältst du die Kontrolle darüber, wer sensible Mitarbeiterdaten einsehen kann.