Was bedeutet Serverstandort?

Serverstandort bezeichnet den Ort, an dem die Rechenzentren stehen, in denen Ihre Daten gespeichert und verarbeitet werden. Für Unternehmen ist er vor allem beim Datenschutz wichtig: Innerhalb der EU gelten einheitliche Regeln, außerhalb sind zusätzliche Voraussetzungen nötig. Kunden, Mandanten und Patienten fragen deshalb oft gezielt nach, wo ihre Daten liegen.

Wie hängen Serverstandort und Datenschutz zusammen?

Die DSGVO gilt in allen EU-Staaten. Werden personenbezogene Daten in ein Land außerhalb der EU und des EWR übermittelt (ein sogenanntes Drittland), verlangt sie zusätzliche Voraussetzungen. Der Serverstandort ist damit eine der ersten Fragen bei jedem Cloud-Dienst.

• Angemessenheitsbeschluss: Die EU-Kommission bestätigt einem Land ein gleichwertiges Datenschutzniveau. Dann dürfen Daten ohne weitere Garantien fließen. Beschlüsse gibt es unter anderem für die Schweiz, das Vereinigte Königreich, Japan und Kanada (für kommerzielle Organisationen).
• USA: Seit Juli 2023 gilt ein Angemessenheitsbeschluss für Unternehmen, die nach dem EU-US Data Privacy Framework zertifiziert sind.
• Andere Drittländer: Hier sind zusätzliche Garantien nötig, meist Standardvertragsklauseln der EU plus eine Prüfung der Risiken.

Der Serverstandort allein sagt aber nicht alles. Wichtig ist auch, von wo aus Support und Wartung auf die Daten zugreifen und wo Backups liegen. Bei Anbietern mit Sitz außerhalb der EU wird außerdem diskutiert, ob ausländische Behörden Zugriff verlangen können.

Neben dem Datenschutz spielt der Standort auch technisch eine Rolle. Liegt das Rechenzentrum weit entfernt, können Antwortzeiten steigen, was etwa bei Telefonie oder Warenwirtschaft spürbar ist. Und wer Daten an zwei getrennten Orten vorhält, ist bei einem Ausfall eines Rechenzentrums besser abgesichert.

Beispiel: die EU Data Boundary von Microsoft

Microsoft hat sich verpflichtet, Kundendaten und personenbezogene Daten für seine Unternehmens-Clouddienste innerhalb der EU und der EFTA-Staaten zu speichern und zu verarbeiten. Das betrifft Microsoft 365, Azure, Dynamics 365 und die Power Platform. Erfasst sind Kundendaten, pseudonymisierte Systemprotokolle und Daten aus professionellen Serviceleistungen.

Microsoft nennt allerdings begrenzte Ausnahmen, in denen Daten weiterhin außerhalb dieser Grenze übertragen werden. Rechenzentren betreibt oder plant der Konzern unter anderem in Deutschland, Österreich, den Niederlanden und der Schweiz. Ein Blick in die Dokumentation lohnt sich also, bevor Sie Kunden einen bestimmten Serverstandort zusagen.

Serverstandort	Rechtliche Lage	Was Sie prüfen sollten
Deutschland, EU, EWR	DSGVO gilt direkt	Auftragsverarbeitungsvertrag, Sicherheitsmaßnahmen
Drittland mit Angemessenheitsbeschluss	Übermittlung ohne weitere Garantien zulässig	Gilt der Beschluss für diesen Anbieter, etwa per Zertifizierung?
Sonstiges Drittland	Nur mit zusätzlichen Garantien	Standardvertragsklauseln, Risikoabwägung, Alternativen

Was bedeutet der Serverstandort für Ihr Unternehmen?

Ein Serverstandort in der EU vereinfacht die Datenschutz-Dokumentation und beantwortet eine häufige Kundenfrage. Er ersetzt aber keine weiteren Pflichten: Auch bei einem deutschen Rechenzentrum brauchen Sie Verträge, Zugriffskonzepte und Sicherheitsmaßnahmen. Die Kosten hängen weniger vom Land ab als vom Anbieter und vom gewählten Tarif.

Diese Punkte sollten Sie bei jedem Cloud-Dienst klären:

• Speicherung und Verarbeitung: Liegen nur die Daten in der EU oder auch Support, Analyse und KI-Funktionen?
• Unterauftragnehmer: Die Liste im Auftragsverarbeitungsvertrag zeigt, welche Firmen in welchen Ländern beteiligt sind.
• Backups: Auch die Kopien in Ihrem Backup haben einen Standort.
• Wechsel: Können Sie Ihre Daten exportieren, falls der Anbieter seine Bedingungen ändert? Stichwort Vendor-Lock-in.

Typische Fehler sind, sich nur auf die Werbeaussage „Server in Deutschland“ zu verlassen, Supportzugriffe aus Drittländern zu übersehen und kleine Zusatzdienste wie Formular-Tools, Terminbuchung oder Newsletter-Software zu vergessen. Gerade solche SaaS-Werkzeuge werden oft ohne Rücksprache mit der IT eingeführt.

Bei der Bewertung Ihrer Dienste hilft unsere Leistung DSGVO für KMU. Dieser Beitrag ersetzt keine Rechtsberatung.

Häufige Fragen zu Serverstandort

Ist ein Serverstandort in Deutschland Pflicht?

Nein, die DSGVO verlangt keinen deutschen Standort. Innerhalb von EU und EWR gelten dieselben Regeln. Branchenvorgaben oder Kundenverträge können aber strenger sein.

Darf ich Cloud-Dienste aus den USA nutzen?

Grundsätzlich ja, wenn die Übermittlung abgesichert ist, etwa über eine Zertifizierung nach dem EU-US Data Privacy Framework. Prüfen Sie Vertrag, Unterauftragnehmer und Ihre Dokumentation.

Wo sehe ich den Serverstandort meines Microsoft-Tenants?

Im Microsoft 365 Admin Center zeigt das Organisationsprofil den Datenspeicherort Ihres Tenants an. Dort sehen Sie, in welcher Region die einzelnen Dienste Ihre Daten ablegen.