DSGVO & Cloud: Darf mein Anbieter Server außerhalb Deutschlands nutzen?

“Unsere Daten liegen in der Cloud” – das sagen viele Unternehmen. Aber wo genau liegen sie? Und ist das mit der DSGVO vereinbar?

Was die DSGVO grundsätzlich erlaubt

Die DSGVO untersagt Datentransfers in Drittländer außerhalb der EU nicht pauschal – aber sie knüpft sie an Bedingungen. Entweder muss das Zielland ein angemessenes Datenschutzniveau haben (z.B. Schweiz, Japan), oder es müssen geeignete Garantien (Standardvertragsklauseln, verbindliche Unternehmensregeln) vorliegen.

Das Problem mit US-Cloud-Anbietern

Der EU-US Data Privacy Framework (2023) ermöglicht Datentransfers in die USA zu zertifizierten Unternehmen – theoretisch. Praktisch bleibt das Risiko: US-Behörden können auf Basis des CLOUD Act auf Daten zugreifen, die bei US-Unternehmen gespeichert sind – unabhängig vom physischen Serverstandort. Das bedeutet: Auch wenn Microsoft, AWS oder Google Ihre Daten auf deutschen Servern speichern, bleibt ein Restrisiko durch den Konzernhaftungsbereich.

Was ist bei kritischen Daten zu tun?

Für Unternehmen, die mit besonders sensiblen Daten arbeiten (Gesundheitsdaten, Mandantendaten, Unternehmensgeheimnisse), empfehlen Datenschutzbehörden nach wie vor:

• Verwendung von Cloud-Anbietern mit ausschließlichem EU-Sitz und ohne US-Konzernmutter
• Alternatively: Eigene Server in Deutschland mit voller Kontrolle

Die VIOCOM-Lösung

VIOCOM betreibt eigene Server-Hardware, seit 2025 colocated im Rechenzentrum von Dokom21 in Dortmund. Die Hardware gehört VIOCOM – kein US-Konzern, kein Zugriff durch ausländische Behörden. Alle Daten bleiben in Deutschland unter vollständiger Kontrolle.

Das ist besonders relevant für: Steuerberater, Anwälte, Ärzte, Unternehmen mit NIS2-Pflichten und alle, die ihre Datenschutz-Compliance nachweisen müssen.

Mehr über unsere deutschen Cloud-Server erfahren