Schreibt die DSGVO vor, dass Firmendaten in der EU liegen müssen?

Nein. Die DSGVO verlangt keinen bestimmten Serverstandort, sondern regelt, unter welchen Bedingungen personenbezogene Daten in Länder außerhalb der EU übermittelt werden dürfen. In der Praxis vereinfacht ein EU-Standort die Einhaltung erheblich, weil der gesamte Drittland-Komplex entfällt.

Was ist ein Drittland im Sinne der DSGVO?

Jedes Land außerhalb der EU und des Europäischen Wirtschaftsraums. Übermittlungen dorthin sind nur zulässig, wenn ein Angemessenheitsbeschluss der EU-Kommission vorliegt oder geeignete Garantien wie Standardvertragsklauseln vereinbart wurden.

Reicht es, wenn ein US-Anbieter Server in der EU betreibt?

Nicht automatisch. Entscheidend ist auch, wer auf die Daten zugreifen kann – etwa Support-Teams oder der Mutterkonzern außerhalb der EU. Schon der Fernzugriff aus einem Drittland gilt als Übermittlung und muss abgesichert sein.

Was sind Standardvertragsklauseln?

Von der EU-Kommission vorformulierte Vertragsmuster, mit denen sich ein Anbieter in einem Drittland vertraglich zu einem angemessenen Datenschutzniveau verpflichtet. Sie sind das häufigste Instrument für Übermittlungen in Länder ohne Angemessenheitsbeschluss.

Wo erfahre ich, wo mein Anbieter die Daten tatsächlich speichert?

Im AV-Vertrag samt Anhängen und in der Liste der Sub-Auftragsverarbeiter. Seriöse Anbieter nennen dort die Rechenzentrumsstandorte konkret. Bleiben diese Angaben vage oder fehlen sie ganz, ist das ein Warnsignal.

Wo müssen Firmendaten liegen? EU-Server, Drittland und Datentransfer

Die DSGVO schreibt nirgends wörtlich vor, dass Firmendaten auf Servern in der EU liegen müssen. Sie regelt aber streng, unter welchen Bedingungen personenbezogene Daten – also Daten von Kunden, Mitarbeitern oder Lieferanten – in Länder außerhalb der EU übermittelt werden dürfen. Praktisch heißt das: Mit einem EU-Anbieter und EU-Servern ersparen Sie sich den gesamten Themenkomplex „Drittlandtransfer”. Mit einem Anbieter aus einem Drittland müssen Sie zusätzliche Garantien prüfen, vereinbaren und dokumentieren.

In Kürze

Die DSGVO kennt keine Serverstandort-Pflicht, verlangt aber für jede Übermittlung in ein Drittland eine eigene Grundlage nach Kapitel V der Verordnung.
Ein Drittland ist jedes Land außerhalb der EU und des Europäischen Wirtschaftsraums; der praktisch häufigste Fall sind die USA.
Für zertifizierte US-Unternehmen gilt derzeit ein Angemessenheitsbeschluss (Data Privacy Framework); seine beiden Vorgänger wurden vom Europäischen Gerichtshof aufgehoben.
Der Serverstandort allein genügt nicht: Auch der Fernzugriff aus einem Drittland – etwa durch Support-Teams – gilt als Übermittlung.
Wo Ihre Daten wirklich liegen, steht im AV-Vertrag und in der Liste der Sub-Auftragsverarbeiter. Dort beginnt jede seriöse Prüfung.

Schreibt die DSGVO einen EU-Serverstandort vor?

Nein – und dieses Missverständnis hält sich hartnäckig. Die DSGVO knüpft nicht an den Standort des Servers an, sondern an die Verarbeitung personenbezogener Daten. Sie dürfen solche Daten grundsätzlich auch außerhalb der EU verarbeiten lassen, müssen dann aber die Regeln des Kapitels V der DSGVO (Art. 44 ff.) einhalten. Diese verlangen, dass das Schutzniveau der DSGVO bei der Übermittlung nicht untergraben wird.

Zwei Klarstellungen helfen bei der Einordnung. Erstens: Die DSGVO betrifft nur Daten mit Personenbezug. Reine Maschinendaten oder Rezepturen ohne jeden Bezug zu Personen fallen nicht darunter – in der Praxis enthalten aber fast alle Geschäftsdokumente Namen, E-Mail-Adressen, Unterschriften oder Durchwahlen, womit der Personenbezug hergestellt ist. Zweitens: Auch jenseits der DSGVO gibt es gute Gründe für einen kontrollierten Speicherort, etwa den Schutz von Geschäftsgeheimnissen, Kalkulationen und Know-how.

Was gilt bei der Übermittlung in ein Drittland?

Für Übermittlungen in Länder außerhalb der EU und des Europäischen Wirtschaftsraums sieht die DSGVO im Wesentlichen drei Wege vor:

Angemessenheitsbeschluss: Die EU-Kommission bescheinigt einem Land ein angemessenes Datenschutzniveau. Solche Beschlüsse bestehen etwa für die Schweiz, das Vereinigte Königreich und Japan. Für die USA gilt seit 2023 das Data Privacy Framework – allerdings nur für US-Unternehmen, die sich danach zertifiziert haben.
Geeignete Garantien: Fehlt ein Angemessenheitsbeschluss, kommen vor allem Standardvertragsklauseln in Frage – vorformulierte Vertragsmuster der EU-Kommission. Zusätzlich ist im Einzelfall zu prüfen, ob das Recht des Ziellandes die vertraglichen Zusagen nicht aushebelt.
Ausnahmen für Einzelfälle: Etwa die ausdrückliche Einwilligung der betroffenen Person. Für den laufenden Geschäftsbetrieb sind diese Ausnahmen kein tragfähiges Fundament.

Ein Blick in die Geschichte erklärt, warum das Thema so heikel ist: Die beiden Vorgänger des Data Privacy Framework – Safe Harbor und Privacy Shield – wurden vom Europäischen Gerichtshof für ungültig erklärt. Eine Restunsicherheit bleibt also auch beim aktuellen Beschluss. Wer sich nicht darauf verlassen will, wählt den Weg, der ohne Drittlandtransfer auskommt. Informationen zum Datentransfer in Drittländer stellt die österreichische Datenschutzbehörde (dsb.gv.at) bereit.

Welche Konstellation bedeutet was für Ihren Betrieb?

Konstellation	Was das für Sie heißt
EU-Anbieter, Server in der EU	Kein Drittlandtransfer. Die einfachste Konstellation: AV-Vertrag prüfen, fertig.
Anbieter aus einem Drittland, Server in der EU	Der Serverstandort allein genügt nicht – Fernzugriffe aus dem Drittland (Support, Administration, Mutterkonzern) müssen geprüft und abgesichert werden.
US-Anbieter, zertifiziert nach dem Data Privacy Framework	Übermittlung derzeit auf Basis des Angemessenheitsbeschlusses möglich. Die Zertifizierung des konkreten Unternehmens sollte geprüft werden.
Anbieter im Drittland ohne Angemessenheitsbeschluss	Standardvertragsklauseln plus Einzelfallprüfung nötig – für KMU aufwendig und mit Restrisiko verbunden.

Warum ist der Serverstandort allein nicht alles?

„Server in Frankfurt” klingt beruhigend, beantwortet aber nur einen Teil der Frage. Vier Punkte werden gerne übersehen:

Fernzugriff zählt als Übermittlung. Wenn ein Support-Mitarbeiter außerhalb der EU auf Daten zugreifen kann, die in der EU gespeichert sind, liegt datenschutzrechtlich eine Übermittlung vor. Fragen Sie deshalb nicht nur, wo gespeichert, sondern auch von wo aus zugegriffen wird.

Sub-Auftragsverarbeiter. Hinter einem Anbieter stehen fast immer weitere Dienstleister – Rechenzentren, Analyse-Werkzeuge, Support-Plattformen. Sitzt einer davon im Drittland, ist der Transfer wieder da. Die Liste der Sub-Auftragsverarbeiter gehört zum AV-Vertrag und sollte gelesen werden.

Gesetze des Herkunftslandes. US-Gesetze wie der CLOUD Act können US-Anbieter unter bestimmten Voraussetzungen verpflichten, Daten herauszugeben – auch wenn diese in Europa gespeichert sind. Wie weit das im Einzelfall reicht, ist rechtlich umstritten; das Spannungsverhältnis sollte man aber kennen.

Verschlüsselung und Schlüsselverwaltung. Wer die Schlüssel hält, kontrolliert den Zugriff. Eine Verschlüsselung, deren Schlüssel beim Anbieter im Drittland liegen, schützt vor diesem Anbieter nicht.

Wie prüfen Sie in fünf Schritten, wo Ihre Firmendaten liegen?

AV-Vertrag lesen: Der Speicherort muss konkret benannt sein – „EU” oder besser das Land des Rechenzentrums. Vage Formulierungen wie „weltweit verteilte Infrastruktur” sind ein Warnsignal.
Sub-Auftragsverarbeiter-Liste durchgehen: Wo sitzen die Unterauftragnehmer? Werden Änderungen aktiv mitgeteilt?
Fernzugriffe klären: Von wo aus arbeiten Support und Administration? Gibt es Zugriffe aus Drittländern, und wie sind sie abgesichert?
Trainingsausschluss und Zweckbindung prüfen: Gerade bei KI-Diensten sollte vertraglich ausgeschlossen sein, dass Ihre Dokumente zum Training der Modelle verwendet werden.
Zusagen schriftlich festhalten und ablegen: Serverstandort-Zusagen gehören in den Vertrag, nicht nur auf die Website – und der Vertrag gehört an einen Ort, an dem Sie ihn im Anlassfall sofort wiederfinden.

Praxisleitfäden zum Datenschutz für Unternehmen bietet auch die Wirtschaftskammer (wko.at). Und zur Einordnung: Dieser Beitrag gibt die Grundzüge wieder und ersetzt keine Rechtsberatung im Einzelfall – bei konkreten Zweifelsfragen holen Sie Fachberatung ein.

Was heißt das für KI-Tools und Wissensdatenbanken?

Bei KI-Diensten ist die Frage nach dem Datenstandort besonders wichtig, weil dort nicht einzelne Formulardaten, sondern ganze Dokumente verarbeitet werden: Verträge, Angebote, Serviceberichte, interne Anleitungen – mit allem Personenbezug, der darin steckt. Eine KI-Wissensdatenbank mit EU-Datenhaltung vermeidet den Drittlandtransfer von vornherein, verwendet Kundendokumente nicht zum Training fremder Modelle und nennt zu jeder Antwort das Quelldokument, damit Sie die Aussage prüfen können.

Der Serverstandort ist dabei nur einer von mehreren Bausteinen eines DSGVO-konformen KI-Einsatzes – neben AV-Vertrag, Trainingsausschluss und Zugriffskontrolle. Wie diese Bausteine zusammenspielen, zeigt der Überblicksbeitrag KI und DSGVO in Österreich.

Als Faustregel: Fragen Sie jeden Anbieter zwei Dinge – „Wo liegen die Daten?” und „Wer kann von wo darauf zugreifen?”. Wer beides klar und schriftlich beantwortet, ist meist die richtige Wahl. Wie eine Einführung mit EU-Datenhaltung Schritt für Schritt abläuft, sehen Sie unter wie die Einführung abläuft.