Wo Ihre Daten liegen, wenn Sie mit mir arbeiten

Ein Verein aus dem Landkreis St. Wendel hat mich neulich gefragt: Wo landen unsere Daten eigentlich, wenn wir mit Ihnen arbeiten?

Normalerweise beantworte ich das in zwei Sätzen. Diesmal ausführlich.

1. Warum der Serverstandort zählt

Werden personenbezogene Daten in die USA übertragen, gilt dort ein anderer Rechtsrahmen. US-Behörden können unter bestimmten Gesetzen Zugriff verlangen. Was ein Anbieter seinen europäischen Kunden vertraglich zusichert, ändert daran wenig. 2020 hat der Europäische Gerichtshof deshalb das EU-US Privacy Shield für ungültig erklärt.

Seit 2023 gibt es einen Nachfolger, das EU-US Data Privacy Framework. Es gilt, und Übertragungen an zertifizierte US-Anbieter sind damit zulässig. Ich baue trotzdem nicht darauf. Gegen den Angemessenheitsbeschluss läuft ein Rechtsmittel beim Europäischen Gerichtshof, und dasselbe Gericht hat bereits zwei Vorgängerregelungen kassiert. Wer heute einen US-Dienst einsetzt, plant mit einer Grundlage, die in ein paar Jahren wegfallen kann.

Ein Punkt wird dabei oft übersehen. Ein US-Anbieter mit Rechenzentrum in Frankfurt löst das Problem nicht automatisch. Der US CLOUD Act verpflichtet amerikanische Unternehmen zur Herausgabe von Daten, die in ihrer Kontrolle stehen, auch wenn diese Daten physisch in Europa liegen. Der Serverstandort ist deshalb nur die halbe Antwort. Die andere Hälfte ist die Frage, wem das Unternehmen gehört und welchem Recht es unterliegt.

Für Sie heißt das: Sie sollten wissen, wo Ihre Daten liegen und bei wem. Im Streitfall ist das die erste Frage.

2. Mein Setup

Ein Server bei Contabo trägt drei Dinge. Nextcloud für Dateiaustausch und Projektunterlagen, n8n für meine Automatisierungen und das DSGVO-Selbstcheck-Tool unter dsgvo.schroeck.biz. Alles auf derselben Maschine, die ich selbst einrichte und pflege. Der Server steht in Frankreich.

Getrennt davon läuft alles, was mit Ihren Kontaktdaten zu tun hat. Mein eigenes CRM, mein E-Mail-Postfach und das Hosting sämtlicher Websites, die ich betreue, liegen bei Alfahosting, einem deutschen Anbieter mit Servern in Deutschland.

Bleibt der Newsletter. Wenn Sie ihn abonnieren, liegt Ihre E-Mail-Adresse bei Brevo, einem französischen Anbieter mit Servern in der EU.

Mit allen drei Anbietern habe ich einen Auftragsverarbeitungsvertrag. Der Serverstandort allein reicht nämlich nicht.

In der Praxis sieht das so aus. Zu Beginn eines Projekts bekommen Sie einen Ordner in meiner Nextcloud. Dort landen Logos, Texte, Bilder und alles andere, was Sie mir schicken. Kein Mailanhang, der irgendwo im Postfach versauert, und kein Link auf ein Laufwerk, das jemand anderem gehört. Zugangsdaten zu Ihrer Website liegen verschlüsselt, nicht in einer Notiz-App.

Kein Dropbox, kein Zapier, kein Mailchimp. Das war nicht immer so. Projektdateien lagen früher in Google Drive, Notizen und Planung in Notion, beides US-Anbieter. Google Drive habe ich durch meine eigene Nextcloud ersetzt, Notion nutze ich nur noch für eigene Inhalte. Der Umzug hat Zeit gekostet und war überfällig.

3. Wo ich die Grenze ziehe

US-Werkzeuge kommen bei mir trotzdem vor. Wenn ich schon Namen nenne, dann auch hier.

Claude nutze ich für Texte, für Code und um Konzepte zu sortieren. Diesen Beitrag habe ich damit überarbeitet. Geschrieben und verantwortet habe ich ihn selbst. Gemini läuft nebenher für schnelle Fragen im Alltag. NotebookLM setze ich ein, wenn ich längere Dokumente durcharbeite, etwa Gesetzestexte oder Leitfäden von Aufsichtsbehörden. Bilder für meine eigene Website entstehen mit Bild-KI und werden in Canva nachbearbeitet. Gelegentlich teste ich lokale Modelle mit Ollama, das läuft auf meinem eigenen Rechner.

Die Regel dahinter ist simpel. Diese Werkzeuge bekommen meine eigenen Inhalte zu sehen. Keine Mitgliederlisten, keine Kundenkontakte, keine Projektunterlagen, keine Zugangsdaten. Kundenbilder bearbeite ich nicht in Canva, und Kundendaten tippe ich in keinen Chat.

KI-generierte Bilder kennzeichne ich. Für bestimmte Inhalte schreibt der EU AI Act das seit dem 2. August 2026 ohnehin vor.

Ich schreibe das mit, weil “ausschließlich EU-konform” auf vielen Websites steht und bei genauem Hinsehen selten stimmt.

4. Was das für Ihr Projekt bedeutet

Wenn wir zusammenarbeiten, läuft nichts von Ihren Projektdaten, Ihren Dateien oder unserer Kommunikation über einen Server in den USA.

Bei einem Verein bleiben die Mitgliederdaten aus einem Website-Projekt im europäischen Rechtsraum. Das betrifft schneller, als man denkt: eine Mitgliederliste für den internen Bereich, Fotos vom Sommerfest, Kontaktdaten der Übungsleiter. Bei einem Unternehmen liegt die Angebots- und Projektkommunikation bei einem Anbieter ohne Auskunftspflichten gegenüber US-Behörden.

Buchen müssen Sie das nicht. So ist mein Setup aufgebaut.

5. Warum ich die Anbieter beim Namen nenne

“DSGVO-konform” in die Fußzeile schreiben kann jeder. Nachprüfen lässt sich so eine Aussage erst, wenn Namen fallen. Deshalb nenne ich Contabo, Alfahosting und Brevo mit Standort. Deshalb verlinke ich den Selbstcheck.

Als Solo-Selbstständiger habe ich keine Rechtsabteilung, die mir diese Entscheidungen abnimmt. Ich muss selbst wissen, was ich einsetze und warum. Sie bekommen dafür kurze Wege und einen Ansprechpartner.

6. Was Sie jeden Dienstleister fragen können

Das gilt nicht nur für mich. Wenn Sie mit einer Agentur oder einem anderen Freelancer arbeiten, kommen Sie mit vier Fragen ziemlich weit:

1. Bei welchem Hoster liegt meine Website, und in welchem Land steht der Server?
2. Wo werden meine Dateien und Zugangsdaten während des Projekts gespeichert?
3. Gibt es für die eingesetzten Dienste einen Auftragsverarbeitungsvertrag?
4. Welche Werkzeuge bekommen meine Kundendaten zu sehen, und welche nicht?

Wer diese Fragen beantworten kann, hat sein Setup im Griff. Wer ausweicht oder auf “alles DSGVO-konform” verweist, meist nicht. Sie brauchen dafür kein technisches Vorwissen, nur die Bereitschaft, nachzufragen.

7. Ihr nächster Schritt

Wenn Sie wissen wollen, wie Ihre eigene Website dasteht: Der Selbstcheck unter dsgvo.schroeck.biz dauert wenige Minuten und verlangt keine sensiblen Daten von Ihnen.

Wenn Sie eine neue Website planen oder bei einer bestehenden Unterstützung brauchen, fragen Sie mich direkt nach der Datenhaltung. Ich zeige Ihnen die komplette Kette, vom Hoster bis zum Newsletter-Tool.

Mein Name ist Thorsten Schröck, Webdesigner in Sankt Wendel im Saarland. Fragen zum Projekt oder zum Datenschutz beantworte ich persönlich, nicht über ein Ticketsystem.

Dieser Beitrag ersetzt keine Rechtsberatung.