Wo eine Website liegt: Serverstandort, DSGVO und die Grenzen des EU-Arguments

„Unsere Daten liegen in Frankfurt" — Sätze wie dieser tauchen in Angeboten von Webdienstleistern immer häufiger auf. Doch was bedeutet der Standort eines Rechenzentrums wirklich: für die Geschwindigkeit einer Website, für den Datenschutz, für die Rechtssicherheit? Und wo endet die beruhigende Wirkung des Wortes „EU-Server"? Eine Einordnung für Unternehmen, die verstehen wollen, was sie da eigentlich einkaufen.

Transparenz: Dieser Beitrag erscheint als Anzeige und stammt aus dem Umfeld von BitBau aus Osnabrück, einer Webagentur, die Kundenprojekte auf Infrastruktur am Standort Frankfurt betreibt. Der Text ist keine Rechtsberatung — er soll die technischen und rechtlichen Zusammenhänge so erklären, dass man dem eigenen Dienstleister die richtigen Fragen stellen kann.

Zuerst die Technik. Hosting bedeutet: Irgendwo steht ein Rechner, der die Website ausliefert, sobald jemand sie aufruft. Zwischen diesem Rechner und dem Besucher liegen Glasfaser, Vermittlungsknoten — und Physik. Daten reisen schnell, aber nicht unendlich schnell, und jede Anfrage pendelt mehrfach zwischen Browser und Server hin und her. Je weiter der Server entfernt ist, desto spürbarer summieren sich diese Wege.

Für ein Publikum in Deutschland, Österreich und der Schweiz ist Frankfurt deshalb keine zufällige Wahl: Die Stadt beherbergt einen der wichtigsten Internetknoten Europas, hier laufen die Leitungen zusammen. Eine in Frankfurt gehostete Seite antwortet Besuchern aus dem deutschsprachigen Raum schlicht schneller als dieselbe Seite von der amerikanischen Ostküste. Der Unterschied liegt im Bereich von Zehntelsekunden — was harmlos klingt, aber über gefühlte Trägheit, Absprungraten und Suchmaschinenbewertung mitentscheidet.

Moderne Hosting-Plattformen relativieren die Entfernung teilweise, indem sie Kopien der Website auf Server in aller Welt verteilen. Für die reine Auslieferung von Seiten funktioniert das gut. Sobald aber individuelle Anfragen verarbeitet werden — ein Formular, ein Login, eine Buchung —, muss die Anfrage dorthin, wo die eigentliche Verarbeitung stattfindet. Und damit sind wir beim zweiten, gewichtigeren Thema: Wo werden Daten verarbeitet, und nach welchem Recht?

Bevor sich diese Frage beantworten lässt, lohnt ein Blick darauf, was „die Website" im technischen Sinn alles umfasst. Denn zum Auftritt gehört mehr als der Webserver: eine Datenbank, in der Inhalte und Formulareingaben liegen; Sicherungskopien, die an einem anderen Ort lagern können als das Original; Protokolldateien, die festhalten, wer wann was aufgerufen hat; der Dienst, der Formulareingaben als E-Mail zustellt; womöglich ein Werkzeug zur Fehlerüberwachung. Jede dieser Komponenten kann bei einem anderen Anbieter in einer anderen Weltregion laufen — und über jede lässt sich die Standortfrage getrennt stellen. Sie ist deshalb keine einzelne Frage, sondern eine kleine Inventur des eigenen Auftritts.

Denn eine Website ohne personenbezogene Daten gibt es praktisch nicht. Schon der bloße Seitenaufruf übermittelt die IP-Adresse des Besuchers, die nach europäischem Verständnis als personenbezogen gilt; dazu kommen Server-Protokolle, Formulareingaben, Cookies, eingebundene Dienste. Die Datenschutz-Grundverordnung nimmt dafür den Websitebetreiber in die Verantwortung — nicht den Hoster. Der Dienstleister verarbeitet die Daten rechtlich in seinem Auftrag, festgehalten in einem Auftragsverarbeitungsvertrag.

Dieser Vertrag ist keine Formalie, sondern das zentrale Dokument des Verhältnisses zwischen Betreiber und Dienstleister. Er regelt üblicherweise, welche Daten zu welchem Zweck verarbeitet werden, dass der Dienstleister nur auf Weisung handelt, welche Unterauftragnehmer er einsetzen darf, wie Daten nach Vertragsende gelöscht werden und wie er den Betreiber unterstützt, wenn Betroffene Auskunft oder Löschung verlangen. Große Plattformen stellen solche Verträge standardisiert bereit — mit dem Anklicken ist es allerdings nicht getan: Der Betreiber sollte das Dokument tatsächlich abrufen, ablegen und wissen, was darin steht. Denn im Zweifel muss er selbst belegen können, dass die Verarbeitung geordnet vereinbart ist.

Kompliziert wird es, sobald Daten die EU verlassen. Die DSGVO erlaubt Übermittlungen in Drittländer nur unter besonderen Voraussetzungen, und um kein Drittland wird so intensiv gerungen wie um die USA. Zweimal bereits hat der Europäische Gerichtshof Abkommen gekippt, die den Datenverkehr über den Atlantik absichern sollten — zuletzt 2020 in der Entscheidung, die als „Schrems II" bekannt wurde. Seit 2023 gilt mit dem EU-US Data Privacy Framework der dritte Anlauf: US-Unternehmen, die sich darunter zertifizieren, gelten als zulässige Empfänger.

Ehrlicherweise gehört dazu: Auch dieser dritte Anlauf wird juristisch angegriffen, und niemand kann garantieren, dass er auf Dauer Bestand hat. Für Unternehmen heißt das nicht Panik, sondern Vorsorge. Verträge mit Dienstleistern sollten neben dem Framework auch die klassischen Standardvertragsklauseln vorsehen, damit bei einem erneuten Kippen nicht über Nacht die Rechtsgrundlage fehlt. Wer heute Infrastruktur einkauft, kauft die Frage mit ein, wie krisenfest deren rechtliche Grundlage ist.

An dieser Stelle stellt sich für viele Unternehmen die Grundsatzfrage: europäischer Anbieter oder amerikanische Plattform mit europäischem Standort? Beides ist vertretbar, und beides hat seinen Preis. Ein Hoster mit Sitz in Deutschland oder der EU vereinfacht die rechtliche Lage spürbar — dafür liegt mehr Betriebsarbeit beim Dienstleister oder beim Unternehmen selbst: Updates, Skalierung und Veröffentlichungsprozesse wollen organisiert sein, und die technische Integration moderner Frameworks ist nicht immer so eng wie bei den spezialisierten Plattformen. Die großen US-Anbieter nehmen genau diese Arbeit ab, bringen aber die beschriebenen Transferfragen mit. Wichtig ist weniger, welche Antwort ein Unternehmen wählt, als dass es die Wahl bewusst trifft, die Abwägung festhält — und sie auf Nachfrage begründen kann.

Vor diesem Hintergrund wird klar, was ein EU-Serverstandort leistet — und was nicht. Er sorgt dafür, dass die laufende Verarbeitung räumlich in Europa stattfindet, verkürzt die Wege und vereinfacht die datenschutzrechtliche Argumentation erheblich. Er macht aus einem US-Anbieter aber kein europäisches Unternehmen: Betreibt eine amerikanische Muttergesellschaft die Plattform, bleiben Fragen — etwa die vieldiskutierte, ob US-Behörden unter bestimmten Umständen Herausgabe von Daten verlangen können, die physisch in Europa liegen. Diese juristische Debatte ist nicht abgeschlossen. Seriös ist, sie zu benennen, statt sie wegzulächeln.

Wie geht man praktisch damit um? Das lässt sich am Beispiel der Agentur hinter diesem Beitrag zeigen. BitBau betreibt Kundenprojekte auf Vercel-Infrastruktur am Standort Frankfurt. Die Abwägung dahinter ist typisch für viele Digitalprojekte: Die Plattform ist technisch eng auf das eingesetzte Framework zugeschnitten und nimmt dem Betreiber viel Betriebsarbeit ab; der Standort Frankfurt hält Latenz und laufende Datenverarbeitung im europäischen Raum. Zugleich ist Vercel ein US-Unternehmen — weshalb Auftragsverarbeitungsvertrag, Zertifizierung unter dem Data Privacy Framework und Standardvertragsklauseln zum Pflichtprogramm gehören, nicht zur Kür. Ein EU-Standort ersetzt diese Hausaufgaben nicht; er ergänzt sie.

Diese Ehrlichkeit unterscheidet belastbare Beratung von Etikettenschwindel. „Serverstandort Deutschland" ist ein Argument, kein Freifahrtschein: Eine Website kann in Frankfurt gehostet sein und trotzdem Datenschutzprobleme haben — etwa wenn sie Schriften, Videos oder Analysewerkzeuge von Drittservern nachlädt, die Besucherdaten in alle Welt übertragen. Deutsche Gerichte haben bereits beanstandet, dass allein das Einbinden von Schriftarten, die von US-Servern geladen werden, die IP-Adresse der Besucher ungefragt übermittelt. Die Kette ist so stark wie ihr schwächstes Glied.

Deshalb lohnt der Blick auf die gesamte Website, nicht nur auf den Hoster. Welche Drittdienste sind eingebunden — Kartendienste, Schriften, Videos, Statistik? Lassen sich Schriften lokal vom eigenen Server ausliefern statt von fremden? Braucht es das externe Analysewerkzeug wirklich, oder genügt eine datensparsame Alternative? Solche Fragen entscheiden in der Praxis häufiger über die Datenschutzqualität einer Website als die Wahl des Rechenzentrums.

Zur Sorgfalt gehört schließlich, dass die Papierlage mit der Wirklichkeit Schritt hält. Wechselt der Hoster, kommt ein Analysewerkzeug hinzu oder fällt ein Dienst weg, muss die Datenschutzerklärung das abbilden — eine Erklärung, die Dienste aufzählt, die längst abgeschaltet sind, oder neue verschweigt, ist mehr als ein Schönheitsfehler. Dasselbe gilt für die interne Dokumentation der Verarbeitungen, die auf demselben Stand sein sollte wie die Website selbst. Das ist keine einmalige Projektaufgabe zum Livegang, sondern laufende Pflege — und zugleich ein guter Anlass, den Bestand an Drittdiensten einmal im Jahr grundsätzlich zu hinterfragen: Was davon wird eigentlich noch gebraucht, und was läuft nur mit, weil es nie jemand entfernt hat?

Für das Gespräch mit dem eigenen Dienstleister genügt dann ein kurzer Katalog. Gibt es einen Auftragsverarbeitungsvertrag, und liegt er dem Unternehmen tatsächlich vor? In welcher Region werden Website, Datenbank und Sicherungskopien verarbeitet — und ist das vertraglich festgeschrieben oder nur eine Voreinstellung? Welche Subunternehmer sind beteiligt, und wo sitzen sie? Auf welche Rechtsgrundlage stützen sich Übermittlungen in Drittländer? Und schließlich: Wer meldet sich innerhalb welcher Frist, wenn etwas schiefgeht?

Wer auf diese Fragen klare Antworten erhält, arbeitet mit einem Dienstleister, der sein Handwerk ernst nimmt. Ausweichende Antworten — „darum kümmert sich der Hoster", „das ist alles zertifiziert" — sind dagegen ein Warnsignal, denn verantwortlich bleibt am Ende der Websitebetreiber selbst. Datenschutz lässt sich delegieren wie die Buchhaltung: Man kann Fachleute beauftragen, aber die Verantwortung nicht abgeben.

Das gilt übrigens unabhängig von der Größe des Projekts. Auch wer seine Website mit einem Baukasten betreibt, hat einen Hosting-Anbieter — er hat ihn nur nicht bewusst gewählt, weil er im Paket steckt. Die Fragen bleiben dieselben: Wo verarbeitet der Anbieter die Daten, gibt es einen Auftragsverarbeitungsvertrag, welche Unterauftragnehmer sind beteiligt? Der Unterschied ist lediglich, dass die Antworten in den Vertragsunterlagen des Baukasten-Anbieters stehen statt in einem individuell verhandelten Vertrag. Nachlesen sollte man sie in beiden Fällen — die Verantwortung des Betreibers schrumpft nicht mit dem Monatspreis.

Bleibt die Ausgangsfrage: Zählt der Standort? Ja — gleich dreifach. Technisch, weil Nähe Geschwindigkeit bedeutet und Geschwindigkeit über Nutzung entscheidet. Rechtlich, weil Verarbeitung im europäischen Rechtsraum die Argumentation vereinfacht und die Abhängigkeit von fragilen Transatlantik-Abkommen verringert. Und als Signal, weil ein Dienstleister, der über Standorte, Verträge und Grenzfälle offen spricht, vermutlich auch sonst sauber arbeitet. Nur eines ist der Standort nie: ein Ersatz für die eigenen Hausaufgaben — sparsamer Umgang mit Drittdiensten, saubere Verträge und eine Datenschutzerklärung, die beschreibt, was tatsächlich passiert.