Fast jeder Anbieter wirbt inzwischen mit deutschen Rechenzentren. Der Standort der Festplatte sagt aber wenig darüber aus, welchem Recht ein Anbieter unterliegt und wer im Ernstfall Zugriff verlangen kann. Dieser Beitrag erklärt, worauf es stattdessen ankommt, wie Sie in wenigen Minuten selbst prüfen, wohin Daten tatsächlich abfließen – und was meinMPP konkret unternimmt.
Was digitale Souveränität eigentlich bedeutet
Der Begriff wird inflationär benutzt und meint je nach Sprecher etwas anderes. Nützlich ist eine Unterscheidung in drei Ebenen, die sich unabhängig voneinander bewerten lassen.
1. Datensouveränität
Die Kontrolle darüber, wo Daten liegen, wer sie verarbeitet, wer sie einsehen kann und unter welcher Rechtsordnung dieser Zugriff geregelt ist. Dazu gehören auch Metadaten – also Verbindungsdaten, Logfiles und Telemetrie, die oft übersehen werden, obwohl sie sich häufig genauso gut auswerten lassen wie die Inhalte selbst.
2. Technologische Souveränität
Die Frage, ob eine Organisation ihre Technik wechseln kann, ohne den Betrieb zu gefährden. Wer seine gesamten Prozesse auf proprietäre Dienste eines einzelnen Anbieters aufgebaut hat, ist auch dann abhängig, wenn juristisch alles sauber geregelt ist. Offene Standards, exportierbare Datenformate und dokumentierte Schnittstellen sind hier die eigentliche Absicherung.
3. Operative Souveränität
Wer administriert die Systeme, wer hat Zugriff auf Schlüssel und Backups, und aus welchem Land heraus geschieht das? Auch ein Rechenzentrum in der EU ist nicht souverän betrieben, wenn der Support-Zugriff aus einem Drittstaat erfolgt und dieselben Administratoren dort weisungsgebunden sind.
Diese drei Ebenen erklären, warum eine Aussage wie „unsere Server stehen in Deutschland“ als Souveränitätsnachweis nicht ausreicht. Sie beantwortet nur einen Teilaspekt der ersten Ebene.
Warum der Serverstandort die falsche Frage ist
Der zentrale Punkt: Rechtsordnungen knüpfen nicht an Geografie an, sondern an Personen und Unternehmen. Der US-amerikanische CLOUD Act von 2018 hat in 18 U.S.C. § 2713 ausdrücklich klargestellt, dass ein dem US-Recht unterliegender Anbieter Daten herausgeben muss, die sich in seinem „Besitz, Gewahrsam oder unter seiner Kontrolle“ befinden – und zwar unabhängig davon, ob diese Daten innerhalb oder außerhalb der Vereinigten Staaten gespeichert sind. Genau das ist die entscheidende Formulierung: Eine europäische Tochtergesellschaft, die von einer US-Muttergesellschaft beherrscht wird, kann unter diese Kontrolle fallen.
Wie belastbar entsprechende Zusicherungen sind, hat eine Anhörung vor dem französischen Senat im Juni 2025 gezeigt. Anton Carniaux, Direktor für Rechts- und Regierungsangelegenheiten bei Microsoft Frankreich, wurde unter Eid gefragt, ob er garantieren könne, dass Daten französischer Kunden niemals ohne ausdrückliche Zustimmung französischer Stellen an US-Behörden übermittelt werden. Seine Antwort: „Nein, das kann ich nicht garantieren.“ Er ergänzte, dass ein solcher Fall bislang nicht eingetreten sei – die rechtliche Möglichkeit bestreitet aber niemand mehr ernsthaft.
Auf europäischer Seite steht dem ein klarer Grundsatz gegenüber. Nach Art. 48 DSGVO sind Urteile oder Behördenentscheidungen eines Drittstaats nur dann anzuerkennen, wenn sie auf einem internationalen Abkommen – etwa einem Rechtshilfeabkommen – beruhen. Seit dem 12. September 2025 greift zusätzlich der EU Data Act, dessen Art. 32 Anbieter von Datenverarbeitungsdiensten verpflichtet, alle angemessenen technischen, organisatorischen und rechtlichen Maßnahmen zu ergreifen, um rechtswidrigen behördlichen Zugriff aus Drittstaaten auf in der EU gespeicherte nicht-personenbezogene Daten zu verhindern.
Für US-Anbieter entsteht damit ein echter Normenkonflikt: Sie können sich nur nach einer Seite richten. Dieser Konflikt lässt sich vertraglich nicht auflösen – nur durch die Wahl eines Anbieters, der ihm gar nicht erst unterliegt.
Wie der Markt tatsächlich arbeitet
In der Praxis läuft ein sehr großer Teil europäischer HR- und Benefit-Software auf AWS, Google Cloud oder Microsoft Azure. Die Regionen heißen dann „eu-central-1“, „europe-west3“ oder „Germany West Central“, das Rechenzentrum steht tatsächlich in Frankfurt – und im Datenschutzhinweis findet sich der Satz vom deutschen Serverstandort. Beides stimmt. Beides beantwortet die Jurisdiktionsfrage nicht.
Denn der Vertragspartner ist in aller Regel eine Konzerngesellschaft, die mittelbar von einer US-Muttergesellschaft kontrolliert wird. Damit bleibt der CLOUD Act anwendbar, unabhängig davon, wo die Festplatte rotiert. Hinzu kommt die zweite Ebene, die in Datenschutzhinweisen selten auftaucht: Content-Delivery-Netzwerke, DNS-Dienste, Mailversand, Fehler-Tracking, Produktanalytik, Chat-Widgets, Schriftarten und Login-Dienste. Jeder dieser Bausteine ist ein eigener Datenabfluss, und jeder hat seine eigene Jurisdiktion.
Die Anbieter haben darauf mit „Sovereign Cloud“-Angeboten reagiert – etwa getrennten Betriebsgesellschaften, EU-Personal und lokal verwalteten Schlüsseln. Das reduziert Risiken real und ist besser als nichts. Es beseitigt aber nicht die Konzernzugehörigkeit, und damit bleibt die Kernfrage offen: Wer könnte im Ernstfall wen anweisen? Souveränität ist keine Produktfunktion, die man hinzubuchen kann, sondern eine Eigenschaft der Eigentümer- und Rechtsstruktur.
Das Rechtsfundament ist in Bewegung
Wer heute Architekturentscheidungen trifft, sollte die Entwicklung der Transferrechtsgrundlagen kennen. Sie ist in den vergangenen Jahren zweimal gekippt und steht erneut unter Druck.
| Zeitpunkt | Ereignis | Bedeutung |
|---|---|---|
| 16.07.2020 | EuGH, „Schrems II“ (C-311/18) | Privacy Shield für ungültig erklärt; Standardvertragsklauseln nur mit zusätzlichen Schutzmaßnahmen nutzbar |
| 10.07.2023 | Angemessenheitsbeschluss (EU) 2023/1795 | EU-US Data Privacy Framework (DPF) tritt in Kraft – Transfers an zertifizierte US-Unternehmen wieder ohne Zusatzmaßnahmen möglich |
| 03.09.2025 | EuG, Rechtssache T-553/23 („Latombe“) | Nichtigkeitsklage gegen das DPF abgewiesen; der Beschluss bleibt bestehen |
| 12.09.2025 | EU Data Act anwendbar | Art. 32 verpflichtet Cloud-Anbieter, rechtswidrigen Drittstaatenzugriff aktiv zu verhindern |
| 29.06.2026 | US Supreme Court, „Trump v. Slaughter“ | Die Unabhängigkeit der FTC wird aufgehoben – ausgerechnet jene Behörde, deren Unabhängigkeit die EU dem DPF zugrunde gelegt hat |
Die nüchterne Einordnung: Der Angemessenheitsbeschluss ist derzeit weiterhin in Kraft, Unternehmen können sich formal auf ihn stützen. Aber die tragende Annahme einer unabhängigen US-Aufsicht ist erschüttert, und Datenschutzorganisationen haben bereits neue Verfahren angekündigt. Wer eine Plattform baut, die in fünf Jahren noch laufen soll, plant besser nicht auf einer Rechtsgrundlage, die innerhalb von zehn Jahren bereits zweimal gefallen ist.
Wie Sie selbst prüfen, wohin Daten abfließen
Der wichtigste Perspektivwechsel: Nicht nur die eingesetzte Software entscheidet, sondern der gesamte Transportweg. Daten können auf jeder Zwischenstation ausgeleitet oder mitgelesen werden – beim DNS-Auflöser, im CDN, beim TLS-Terminierungspunkt, im Mailrouting oder über eine eingebundene Drittanbieter-Ressource, die der Browser des Nutzers ganz nebenbei anfragt.
Ein kostenloses Werkzeug dafür ist staysin.eu. Der Dienst analysiert sieben Infrastrukturebenen – Hosting, DNS-Nameserver, CDN, Mailserver, physischen Serverstandort, TLS-Zertifikatsaussteller und Domain-Registrar – sowie die Drittanbieter-Anfragen einer Seite und gibt einen Score von 0 bis 100 aus. Entscheidend ist dabei, dass die Bewertung an der Rechtshoheit des Betreibers ansetzt (über die ASN-Zuordnung) und nicht nur am physischen Standort. Die Prüfung funktioniert ohne Anmeldung: Man hängt die zu prüfende Domain einfach an die URL an.
Zwei Beispiele aus dem HR- und Benefits-Umfeld, die man selbst nachvollziehen kann:
Das zweite Beispiel ist besonders lehrreich – nicht wegen des Ergebnisses, sondern wegen der Domain selbst. Die Endung „b2clogin.com“ gehört zu Azure AD B2C, dem Identitätsdienst von Microsoft. Der Anmeldevorgang, bei dem Zugangsdaten übertragen werden, läuft also über eine Infrastruktur, die in der Produktbeschreibung der eigentlichen Anwendung meist gar nicht erwähnt wird. Genau solche Bausteine übersieht man, wenn man nur nach dem Serverstandort der Hauptanwendung fragt.
Ein Online-Check ersetzt keine Prüfung des Vertragswerks. Er zeigt die technische Realität – die rechtliche ergänzen Sie mit vier Fragen an den Anbieter.
Die vier Fragen an jeden Anbieter
| Prüfebene | Frage an den Anbieter | Warum sie entscheidend ist |
|---|---|---|
| Gesellschaftsrecht | Wer ist Vertragspartner, und gibt es eine Muttergesellschaft oder einen beherrschenden Gesellschafter außerhalb der EU? | Bestimmt, ob der CLOUD Act oder vergleichbare Zugriffsrechte greifen |
| Subprozessoren | Bitte um die vollständige, aktuelle Liste der Unterauftragsverarbeiter samt Sitzland und Konzernmutter | Hier tauchen die Dienste auf, die in der Produktwerbung fehlen – Analytik, Support-Tools, Mailversand |
| Betrieb & Zugriff | Aus welchen Ländern erfolgen Administration, Support und Zugriff auf Backups? | Operative Souveränität: EU-Server nützen wenig bei Fernzugriff aus einem Drittstaat |
| Schlüsselverwaltung | Wer hält die Verschlüsselungsschlüssel, und kann der Anbieter technisch auf Klartextdaten zugreifen? | Ohne Schlüsselhoheit bleibt jede Zusicherung eine reine Vertrauensfrage |
| Exit | In welchem Format und in welcher Frist bekommen wir alle Daten zurück? | Technologische Souveränität: Abhängigkeit entsteht auch ohne Drittstaatenbezug |
Wie echte Datensouveränität funktioniert
Wenn der Standort nicht das Kriterium ist, was dann? Vier Bausteine, die sich in der Praxis bewährt haben – aufsteigend nach Kontrolltiefe:
- Hosting-Partner mit echtem EU-Bezug: Nicht die EU-Niederlassung eines US-Konzerns, sondern ein Anbieter, dessen Gesellschafterstruktur, Sitz und Betrieb vollständig in der EU liegen. Nur dann ist er auch nicht an Herausgabeverlangen aus Drittstaaten gebunden.
- Software aus der EU, betrieben in der EU: Herkunft und Betrieb müssen zusammenfallen. Europäische Software, die auf US-Infrastruktur läuft, löst das Problem nicht – ebenso wenig wie US-Software auf europäischen Servern.
- Self-Hosting, wo es sinnvoll ist: Für Website, Analytik, CRM, Ticketing oder Dateiablage gibt es ausgereifte Open-Source-Alternativen, die man auf eigener EU-Infrastruktur betreibt. Der Preis ist Betriebsaufwand, der Gewinn ist vollständige Kontrolle über Daten und Metadaten.
- Datenminimierung und lokale Verarbeitung: Die souveränste Verarbeitung ist die, die gar nicht erst über das Netz geht. Was sich im Browser des Nutzers berechnen lässt, sollte dort berechnet werden – dann entsteht schlicht kein übertragener Datensatz, der irgendwo abgefangen werden könnte.
Ein realistischer Hinweis: Vollständige Souveränität über alle Schichten – bis hinunter zu Prozessoren und Netzwerkhardware – erreicht heute in Europa praktisch niemand. Das Ziel ist deshalb nicht Reinheit, sondern die bewusste Entscheidung: Welche Abhängigkeiten gehen wir ein, welche lösen wir auf, und in welcher Reihenfolge?
Was meinMPP konkret tut
Für ein Mitarbeiter-PC-Programm sind die verarbeiteten Daten sensibel: Es geht um Gehaltsbestandteile, Steuerklassen, Beschäftigungsverhältnisse und Gerätezuordnungen einzelner Mitarbeitender. Deshalb behandeln wir Souveränität nicht als Marketingversprechen, sondern als Architekturentscheidung.
- Betrieb in der EU: Die Plattform wird in der EU betrieben – und zwar bei Partnern, die selbst der EU-Jurisdiktion unterliegen, nicht nur dort ein Rechenzentrum unterhalten.
- So viel Self-Hosting wie möglich: Tracking, CRM, Website und weitere Bausteine der Plattform betreiben wir selbst, statt sie an Drittanbieter auszulagern. Damit bleiben auch die Metadaten – wer wann was aufgerufen hat – in unserer Hand.
- Der Gehaltsrechner rechnet lokal: Die Eingaben im Gehaltsrechner werden im Browser verarbeitet. Was darüber hinaus serverseitig verarbeitet wird, läuft ausschließlich auf EU-Servern unter EU-Jurisdiktion. Wer nur wissen möchte, was ein Gerät netto kostet, hinterlässt damit keinen Datensatz in einer fremden Rechtsordnung.
- Die letzten US-Produkte fliegen raus: Wir sind derzeit dabei, die verbliebenen US-Dienste aus unserer Plattform zu entfernen. Das ist ehrlicherweise noch nicht abgeschlossen – wie bei fast jedem europäischen Softwareunternehmen sind einzelne Werkzeuge historisch gewachsen und werden schrittweise ersetzt.
Souveränität ist dabei nur eine von zwei Prüfdimensionen. Die zweite ist die steuer- und arbeitsrechtliche Ausgestaltung des Programms selbst – wirtschaftliches Eigentum, wirksame Entgeltumwandlung, Störfallregelungen. Welche acht Punkte darüber entscheiden, ob ein Mitarbeiter-PC-Programm einer Lohnsteuer-Außenprüfung standhält, haben wir im Beitrag Compliance im Mitarbeiter-PC-Programm: Woran Arbeitgeber ein rechtssicheres Modell erkennen ausführlich beschrieben.
Häufig gestellte Fragen (FAQ)
Digitale Souveränität bezeichnet die Fähigkeit einer Organisation, selbst über ihre Daten, ihre Technologie und ihren IT-Betrieb zu bestimmen. Dazu gehört, dass kein Dritter – auch keine ausländische Behörde – ohne ihre Kenntnis oder gegen ihren Willen Zugriff erlangen kann. Der Serverstandort ist dabei nur ein Teilaspekt; ausschlaggebend ist, welchem Recht der Anbieter unterliegt.
Nein. Ein deutscher Serverstandort erfüllt für sich genommen keine Anforderung der DSGVO. Entscheidend sind die Rechtsgrundlage der Verarbeitung, der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, die Kette der Subprozessoren und die Frage, ob Zugriffe aus Drittstaaten möglich sind. Ein US-Anbieter mit Rechenzentrum in Frankfurt kann datenschutzrechtlich problematischer sein als ein EU-Anbieter mit Servern in Schweden.
Ja. Nach 18 U.S.C. § 2713 müssen dem US-Recht unterliegende Anbieter Daten herausgeben, die sich in ihrem Besitz, Gewahrsam oder unter ihrer Kontrolle befinden – unabhängig vom Speicherort. Erfasst werden dadurch auch europäische Tochtergesellschaften US-amerikanischer Konzerne, soweit die Muttergesellschaft die Kontrolle ausübt.
Der Angemessenheitsbeschluss (EU) 2023/1795 ist formal weiterhin in Kraft; das Gericht der Europäischen Union hat die Nichtigkeitsklage in der Rechtssache T-553/23 am 3. September 2025 abgewiesen. Seit der Entscheidung des US Supreme Court in „Trump v. Slaughter“ vom 29. Juni 2026 steht die Annahme einer unabhängigen US-Aufsicht jedoch infrage, auf der die Angemessenheitsentscheidung aufbaut. Unternehmen sollten ihre Abhängigkeit dokumentieren und einen Plan B vorbereiten.
Technisch mit einem Infrastruktur-Check wie staysin.eu, der Hosting, DNS, CDN, Mailserver, Serverstandort und Drittanbieter-Anfragen einer Domain auswertet und nach Rechtshoheit bewertet. Rechtlich ergänzend über die Subprozessorenliste, die Gesellschafterstruktur des Anbieters, die Herkunftsländer von Administration und Support sowie die Frage der Schlüsselhoheit.
In Bezug auf Datenkontrolle ja, in Bezug auf Sicherheit nicht automatisch. Ein selbst betriebener Dienst ist nur so sicher wie sein Patch-Management, seine Backups und sein Monitoring. Self-Hosting verlagert die Verantwortung, es beseitigt sie nicht. Sinnvoll ist es dort, wo die eigene Organisation den Betrieb dauerhaft leisten kann.
Verarbeitet werden die für ein Mitarbeiter-PC-Programm erforderlichen Daten – unter anderem Angaben zum Beschäftigungsverhältnis, zu Entgeltbestandteilen und zur Gerätezuordnung. Die Verarbeitung erfolgt in der EU bei Partnern unter EU-Jurisdiktion; die Eingaben im Gehaltsrechner werden lokal im Browser verarbeitet. Bis Ende Q1 2027 sollen alle eingesetzten Produkte der EU-Jurisdiktion unterliegen.
Fazit
„Serverstandort Frankfurt“ ist eine Antwort auf eine Frage, die niemand gestellt hat. Die relevante Frage lautet: Welcher Rechtsordnung unterliegt der Anbieter, wer kontrolliert ihn gesellschaftsrechtlich, und welche Behörden können ihn zur Herausgabe zwingen? Solange ein US-Konzern in der Kette steht, bleibt der CLOUD Act anwendbar – daran ändert kein Rechenzentrum in Hessen etwas.
Für Arbeitgeber, die ein Mitarbeiter-PC-Programm oder ein anderes HR-System einführen, ergibt sich daraus eine schlichte Handlungsempfehlung: Den Anbieter nach Vertragspartner, Muttergesellschaft, Subprozessoren, Zugriffsländern und Schlüsselhoheit fragen, das Ergebnis dokumentieren – und die technische Seite mit einem Infrastruktur-Check gegenprüfen. Das kostet eine halbe Stunde und ersetzt fünf Seiten Marketingversprechen.