Serverstandort deiner Tools: Warum er wichtig ist und was sonst zählt

Für die Sicherheit deiner Kreativdaten ist der Serverstandort eines Tools wichtig – er bestimmt mit, welchem Recht deine Daten unterliegen. Viele Anbieter werben mit DSGVO-Konformität, doch ein Badge allein sagt wenig darüber, wo deine Daten liegen und welche Dienstleister an ihrer Verarbeitung beteiligt sind. Dieser Beitrag erklärt, welche Rolle der physische Speicherort deiner Daten spielt, was neben dem Serverstandort zählt und wie du die Spreu vom Weizen trennst.

Warum der Serverstandort deines Tools wichtig ist

Die DSGVO regelt den Schutz personenbezogener Daten. Sobald du Kundendaten, Entwürfe mit Personenfotos oder auch nur die E-Mail-Adressen von Feedbackgebern in einem Tool verarbeitest, greift sie. Ein zentraler Punkt ist der internationale Datentransfer: Daten dürfen nur dann in Länder außerhalb der EU übermittelt werden, wenn dafür eine Grundlage nach der DSGVO besteht – etwa ein Angemessenheitsbeschluss oder geeignete Garantien wie Standardvertragsklauseln.

Ein „DSGVO-konform“-Badge auf einer Website ist oft nur Marketing. Entscheidend ist, wo deine Daten physisch gespeichert werden, wer sie in deinem Auftrag verarbeitet und auf welcher Grundlage sie gegebenenfalls in Drittländer übermittelt werden. Liegen die Kerndaten auf Servern in der EU, bleiben sie im Geltungsbereich der DSGVO. Werden sie in Ländern wie den USA oder Australien gespeichert oder dort von Dienstleistern verarbeitet, kommen zusätzlich die dortigen Gesetze ins Spiel – dann muss die Übermittlung eigens abgesichert sein. Für Agenturen und Unternehmen im DACH-Raum bedeutet das: Wer ein Tool einsetzt, ohne Speicherort, Auftragsverarbeitung und Drittlandübermittlungen geprüft zu haben, riskiert Bußgelder und Reputationsschäden.

Rechtsgrundlagen im Überblick: DSGVO, Schrems II, Data Privacy Framework und CLOUD Act

Um das Thema richtig einzuordnen, ist ein kurzer Blick auf die rechtlichen Rahmenbedingungen hilfreich. Diese Begriffe solltest du kennen, wenn du Software für dein Team evaluierst.

Die DSGVO und der Datentransfer in Drittländer

Artikel 44 ff. der Datenschutz-Grundverordnung definieren klare Regeln für die Übermittlung von Daten in sogenannte Drittländer (alle Staaten außerhalb des Europäischen Wirtschaftsraums EWR). Ein solcher Transfer ist nur zulässig, wenn:

1. Ein Angemessenheitsbeschluss der EU-Kommission vorliegt: Die Kommission hat bestätigt, dass das Datenschutzniveau des Drittlandes dem der EU entspricht (z. B. bei der Schweiz oder Kanada). Für zertifizierte US-Unternehmen gilt seit Juli 2023 das EU-US Data Privacy Framework.
2. Geeignete Garantien bestehen: Hierzu zählen primär die Standardvertragsklauseln (Standard Contractual Clauses, SCCs). Dabei ist zu prüfen, ob das Recht des Ziellandes den Schutz untergräbt; gegebenenfalls sind zusätzliche technische und organisatorische Maßnahmen nötig.
3. Ausnahmeregelungen greifen: Diese sind für den regelmäßigen Geschäftsbetrieb jedoch kaum relevant.

Von Schrems II zum EU-US Data Privacy Framework

Das Urteil „Schrems II“ des Europäischen Gerichtshofs (EuGH) vom Juli 2020 erklärte das „EU-US Privacy Shield“-Abkommen für ungültig. Der Grund: US-amerikanische Überwachungsgesetze wie FISA 702 erlaubten US-Behörden aus Sicht des Gerichts einen zu weitreichenden Zugriff auf Daten, die bei US-Unternehmen liegen.

Seit Juli 2023 gibt es mit dem EU-US Data Privacy Framework wieder einen Angemessenheitsbeschluss – für US-Unternehmen, die sich darunter zertifiziert haben. Für alle anderen bleiben Standardvertragsklauseln die übliche Grundlage. US-Dienste sind also nicht automatisch unzulässig – du musst aber wissen, welche Grundlage dein Anbieter und seine Dienstleister nutzen.

Der US CLOUD Act: ein Prüfpunkt bei US-Anbietern

Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) erlaubt US-Behörden, von US-amerikanischen Technologieunternehmen unter bestimmten Voraussetzungen die Herausgabe gespeicherter Daten zu verlangen – unabhängig davon, wo auf der Welt die Server stehen. Auch ein US-Anbieter mit Rechenzentrum in Frankfurt kann also grundsätzlich zur Herausgabe verpflichtet werden. Das macht US-Tools nicht pauschal unzulässig, ist aber ein Prüfpunkt: Gehört der Anbieter oder sein Hosting-Dienstleister zu einem US-Konzern, frag nach, wie er mit Behördenanfragen umgeht und welche Schutzmaßnahmen wie Verschlüsselung greifen.

Regionen im Überblick: Was der Serverstandort bedeutet

Abhängig vom Serverstandort unterscheiden sich die rechtlichen Voraussetzungen für deine Daten deutlich. Hier sind die wichtigsten Regionen im Überblick.

Die USA: Data Privacy Framework oder Standardvertragsklauseln

Für Datenübermittlungen in die USA gibt es heute zwei übliche Wege: Ist der US-Anbieter oder -Dienstleister unter dem EU-US Data Privacy Framework zertifiziert, gilt für ihn der Angemessenheitsbeschluss. Andernfalls braucht es Standardvertragsklauseln und eine Prüfung, ob ergänzende Maßnahmen nötig sind. Viele Cloud-Tools – auch europäische – setzen für einzelne Aufgaben wie Auslieferung, Mailversand oder KI-Funktionen US-Dienstleister ein; entscheidend ist, dass diese offengelegt und abgesichert sind. Bekannte Werkzeuge wie Frame.io oder Krock haben beispielsweise ihren Sitz und ihre Serverinfrastruktur in den USA, was für europäische Unternehmen eine genaue rechtliche Prüfung erfordert.

Drittländer ohne Angemessenheitsbeschluss (z. B. Australien)

Neben den USA gibt es zahlreiche weitere Länder, für die kein Angemessenheitsbeschluss der EU-Kommission existiert. Ein Beispiel ist Australien. Bei Tools, die dort gehostet werden (wie z. B. GoVisually), brauchen Datentransfers Standardvertragsklauseln und eine Einzelfallprüfung, ob zusätzliche Maßnahmen nötig sind.

EU- und EWR-Staaten: Daten im Geltungsbereich der DSGVO

Liegen die Daten auf Servern innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums, bleiben sie im Geltungsbereich der DSGVO, und für die Speicherung selbst ist keine Drittlandübermittlung nötig. Das ist ein klarer Vorteil, aber noch nicht alles: Ganz ohne Dienstleister außerhalb der EU arbeiten die wenigsten Cloud-Tools – prüfe also auch, welche Unterauftragsverarbeiter beteiligt und wie sie abgesichert sind. Wenn du ein DSGVO-konformes Review-Tool suchst, solltest du gezielt nach Anbietern filtern, die ihren Speicherort, ihren AVV und ihre Dienstleister transparent nachweisen.

So prüfst du den tatsächlichen Serverstandort eines Anbieters

Verlass dich nicht auf Werbeversprechen. Mit wenigen Schritten kannst du selbst prüfen, wo ein Tool deine Daten speichert und wer sie verarbeitet.

1. Blick in die Datenschutzerklärung und das Impressum: Prüfe zunächst den Firmensitz im Impressum. Suche anschließend in der Datenschutzerklärung (Privacy Policy) nach den Abschnitten „Datentransfer“, „Sub-processors“ oder „Internationale Datenübermittlung“. Hier muss der Anbieter auflisten, welche Subunternehmer er einsetzt (z. B. Amazon Web Services, Google Cloud) und in welchen geografischen Regionen die Daten verarbeitet werden. Steht dort „USA“ oder „global“, schau genau hin: Ist die Übermittlung über das EU-US Data Privacy Framework oder Standardvertragsklauseln abgesichert?

2. Den Auftragsverarbeitungsvertrag (AVV) anfordern: Nach Art. 28 DSGVO brauchst du mit jedem Anbieter, der personenbezogene Daten in deinem Auftrag verarbeitet, einen AVV. Er sollte die Unterauftragsverarbeiter samt Sitz bzw. Verarbeitungsort nennen und festhalten, wie Übermittlungen in Drittländer abgesichert sind.

3. Den Support direkt befragen: Die direkteste Methode ist eine Anfrage an den Support oder Vertrieb. Frage unmissverständlich: „In welchem Land und in welcher Rechenzentrumsregion werden unsere Unternehmensdaten gespeichert und verarbeitet – und welche Dienstleister außerhalb der EU sind beteiligt?“ Ein seriöser Anbieter wird dir diese Frage klar und ohne Ausflüchte beantworten. Skeptisch solltest du bei vagen Antworten wie „Wir sind DSGVO-konform“ werden.

4. Technische Tools für einen Plausibilitätscheck: Für eine erste technische Einschätzung kannst du die Domain des Anbieters (z. B. app.toolname.com) mit einem Online-Tool wie dem „IP Location Finder“ überprüfen. Das Ergebnis ist allerdings nur ein grober Hinweis: Nutzt der Anbieter ein weltweites Auslieferungsnetz (CDN), zeigt die Abfrage meist den nächstgelegenen Auslieferungsserver – nicht den Ort, an dem die Daten gespeichert sind.

Praktische Handlungsempfehlung für dein Unternehmen

Der Serverstandort ist kein Detail, sondern ein wichtiges Kriterium für die rechtskonforme Digitalisierung deiner Kreativprozesse – zusammen mit dem AVV, den Unterauftragsverarbeitern und der Absicherung von Drittlandübermittlungen. Um Bußgelder zu vermeiden und das Vertrauen deiner Kunden zu wahren, solltest du eine klare Richtlinie für die Tool-Auswahl etablieren.

Dein nächster Schritt: Erstelle eine Checkliste für die Beschaffung neuer Software. Nimm den Speicherort der Daten (bevorzugt in der EU), einen AVV nach Art. 28 DSGVO, die offengelegte Liste der Unterauftragsverarbeiter und die Grundlage jeder Drittlandübermittlung als feste Prüfpunkte auf. Prüfe deine bestehenden Tools nach denselben Kriterien. Ein sicherer und effizienter Design-Freigabe-Prozess ist nur mit Werkzeugen möglich, die deine Compliance-Anforderungen nachvollziehbar erfüllen. draftgo speichert Daten auf EU-Servern im Rechenzentrum Frankfurt und stellt jedem Kunden einen AVV nach Art. 28 DSGVO (deutsches Recht) bereit. Einige Dienstleister, etwa für Auslieferung, Mailversand und KI-Funktionen, sitzen in den USA – sie sind im AVV offen aufgeführt und über EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework abgesichert.

FAQ: Häufige Fragen zum Serverstandort

Ist ein Tool mit Firmensitz in der EU automatisch sicher?

Nein, nicht zwangsläufig. Ein europäisches Unternehmen kann dennoch Cloud-Infrastruktur in den USA (z. B. AWS US-East) oder US-Dienstleister für einzelne Aufgaben nutzen. Entscheidend ist nicht allein der Firmensitz, sondern wo die Daten gespeichert werden, welche Unterauftragsverarbeiter beteiligt sind und auf welcher Grundlage Daten in Drittländer übermittelt werden.

Was sind Standardvertragsklauseln (SCCs) und reichen sie aus?

Standardvertragsklauseln sind von der EU-Kommission genehmigte Vertragsvorlagen, die ein angemessenes Datenschutzniveau bei der Datenübermittlung in Drittländer sicherstellen sollen. Sie sind eine anerkannte Grundlage. Seit dem Schrems-II-Urteil muss zusätzlich geprüft werden, ob das Recht des Ziellandes (z. B. der CLOUD Act) den Schutz untergräbt, und gegebenenfalls müssen ergänzende Maßnahmen vereinbart werden. Für US-Unternehmen, die unter dem EU-US Data Privacy Framework zertifiziert sind, gilt seit Juli 2023 zudem ein Angemessenheitsbeschluss – dann ist diese Einzelfallprüfung nicht erforderlich.

Mein US-Anbieter sagt, seine Server stehen in der EU. Bin ich damit sicher?

Der EU-Speicherort ist ein wichtiger Pluspunkt, beantwortet aber nicht alle Fragen. Als US-Unternehmen unterliegt der Anbieter dem CLOUD Act, und Zugriffe aus den USA – etwa für Support – können eine Drittlandübermittlung sein. Prüfe deshalb, ob der Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist oder Standardvertragsklauseln anbietet und was sein AVV regelt. Ein Pauschalurteil lässt sich daraus nicht ableiten.

Dieser Beitrag ersetzt keine Rechtsberatung – im Zweifel hilft dir dein Datenschutzbeauftragter weiter.