Worauf es bei der Auswahl wirklich ankommt
Wenn die Daten irgendwo liegen, nur keiner weiß wo
„Wo liegen eigentlich Ihre Kundendaten?“ Diese Frage stelle ich in fast jedem Erstgespräch. Die häufigste Antwort: „In der Cloud.“ Auf die Nachfrage, bei welchem Anbieter, in welchem Land und mit welchem Vertrag, wird es dann meistens still.
Dabei ist die Antwort keine Nebensache. Wer Kundendaten, Personalunterlagen oder Projektdateien einem Cloud-Anbieter anvertraut, bleibt datenschutzrechtlich verantwortlich. Der Anbieter arbeitet im Auftrag, die Haftung bleibt im Haus. Umso mehr lohnt der Blick darauf, wem man diese Arbeit überträgt.
Dieser Beitrag zeigt, welche Kriterien bei der Auswahl eines Cloud- oder Hosting-Anbieters zählen, warum deutsche und europäische Anbieter vieles einfacher machen und was sich durch den EU Data Act beim Anbieterwechsel gerade ändert. Mit einer Übersicht empfehlenswerter Anbieter aus Deutschland.
Das Wichtigste in Kürze
- Wer Daten in die Cloud gibt, bleibt selbst verantwortlich. Grundlage der Zusammenarbeit ist ein Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO.
- Ein Serverstandort in Deutschland oder der EU erspart die Diskussion um Drittlandtransfers. Gerade beim Transfer in die USA ist die Rechtslage seit Jahren alles andere als stabil.
- Vier Fragen entscheiden über die Anbieterwahl: Auftragsverarbeitung, Serverstandort, Sicherheitsnachweise und Support, den man im Ernstfall auch erreicht.
- Seit dem 12. September 2025 gilt der EU Data Act. Er verpflichtet Cloud-Anbieter, den Wechsel zu einem anderen Dienst aktiv zu ermöglichen. Ab dem 12. Januar 2027 dürfen dafür keine Wechselentgelte mehr verlangt werden.
- Deutsche Anbieter wie IONOS, Hetzner, netcup, manitu, Stackfield oder Wolkesicher decken vom einfachen Speicher bis zur gemanagten Nextcloud die meisten KMU-Bedürfnisse ab.
1. Warum der Speicherort keine Geschmacksfrage ist
Technisch ist die Cloud nur der Rechner von jemand anderem. Rechtlich ist sie eine Auftragsverarbeitung. Der Anbieter verarbeitet personenbezogene Daten nach Ihren Weisungen, und Sie müssen belegen können, dass er das ordentlich tut.
Liegt der Anbieter samt Servern in Deutschland oder der EU, ist dieser Nachweis vergleichsweise unkompliziert. Liegt er in einem Drittland, allen voran den USA, kommt eine zweite Baustelle dazu: der Drittlandtransfer. Die rechtliche Grundlage dafür hat in den letzten zehn Jahren zweimal vor dem Europäischen Gerichtshof nicht gehalten, und auch die aktuelle Regelung steht politisch unter Dauerbeobachtung. Man kann US-Dienste rechtskonform einsetzen, aber man handelt sich Prüfaufwand und ein Restrisiko ein, das ein deutscher Anbieter schlicht nicht hat.
Für ein kleines Unternehmen ohne eigene Rechtsabteilung ist die pragmatische Faustregel deshalb einfach: Je sensibler die Daten, desto näher sollten sie liegen. Kundendaten, Personalakten und Gesundheitsdaten gehören auf europäische Server. Das ist keine Ideologie, sondern Aufwandsminimierung.
2. Vier Fragen vor der Anbieterwahl
Prospekte vergleichen können Sie selbst. Diese vier Fragen entscheiden, ob ein Anbieter datenschutzrechtlich trägt.
Frage 1: Gibt es einen Vertrag zur Auftragsverarbeitung? Ohne AVV nach Artikel 28 DSGVO keine Zusammenarbeit. Seriöse Anbieter stellen den Vertrag von sich aus bereit, meist zum Online-Abschluss. Fehlt er oder muss man danach suchen, ist das ein Warnsignal. Wie der AVV in den Datenschutz im KMU-Alltag eingebettet ist, habe ich an anderer Stelle beschrieben.
Frage 2: Wo stehen die Server, und wer betreibt sie? Entscheidend ist nicht nur das Land auf der Webseite, sondern der Vertrag. Manche Anbieter werben mit deutschem Standort, ziehen aber Subunternehmer aus Drittländern hinzu. Der AVV muss auflisten, welche weiteren Verarbeiter beteiligt sind. Lesen lohnt sich.
Frage 3: Welche Sicherheitsnachweise gibt es? Eine Zertifizierung des Rechenzentrums nach ISO 27001 ist ein guter Anhaltspunkt, ebenso verschlüsselte Übertragung, Zwei-Faktor-Anmeldung und ein Berechtigungskonzept, das nicht jedem Mitarbeitenden alles zeigt. Sie müssen die Technik nicht selbst prüfen können. Sie müssen nur danach fragen und die Antwort ablegen.
Frage 4: Erreichen Sie im Ernstfall einen Menschen? Bei einer Datenpanne zählt die Zeit, unter Umständen laufen 72 Stunden bis zur Meldepflicht. Ein Support auf Deutsch, der abhebt, ist dann mehr wert als jedes Feature. Fragen Sie vor Vertragsschluss, wie der Anbieter bei Sicherheitsvorfällen informiert und unterstützt.
Ein Tipp aus der Beratungspraxis: Lassen Sie sich schriftlich geben, wo und wie Ihre Daten gespeichert werden. Bei einer Prüfung ist genau dieses Blatt Ihr Nachweis.
3. Neu seit September 2025: Der Wechsel wird leichter
Ein Argument gegen den Umzug zu einem passenderen Anbieter lautete jahrelang: zu aufwendig, die Daten stecken fest. Dieses Argument verliert gerade seine Grundlage.
Seit dem 12. September 2025 gilt der EU Data Act. Er verpflichtet Anbieter von Cloud- und ähnlichen Datenverarbeitungsdiensten, den Wechsel zu einem anderen Anbieter oder zurück ins eigene Haus aktiv zu unterstützen. Die Eckpunkte: Kündigungsfristen dürfen höchstens zwei Monate betragen, der eigentliche Übergang ist im Grundsatz binnen 30 Tagen abzuwickeln, und die Daten sind in einem strukturierten, gängigen und maschinenlesbaren Format herauszugeben. Noch dürfen Anbieter dafür ihre nachweisbaren Kosten berechnen. Ab dem 12. Januar 2027 sind Wechselentgelte vollständig untersagt.
Für kleine Unternehmen bedeutet das zweierlei. Wer heute bei einem Anbieter sitzt, der nicht mehr passt, hat einen klaren rechtlichen Hebel für den Umzug. Und wer neu auswählt, sollte trotzdem gleich auf Exportmöglichkeiten achten. Ein Recht auf dem Papier ersetzt keinen sauberen Exit-Plan.
4. Deutsche Anbieter im Überblick
Die folgende Übersicht ist eine Einordnung, keine Kaufempfehlung. Welcher Anbieter passt, hängt von Größe, Prozessen und Budget ab. Prüfen Sie AVV und Serverstandort immer im konkreten Fall, denn Anbieter ändern ihre Bedingungen.
| Anbieter | Schwerpunkt | Für wen interessant |
|---|---|---|
| IONOS | Cloud, Hosting, E-Mail, Office-Angebote | Allrounder mit deutschem Support, wächst mit |
| Hetzner | Server, Cloud, Storage | Preis-Leistung, gut für technikaffine Teams und Self-Hosting |
| netcup | Webhosting, vServer, Cloud | Sehr günstiger Einstieg, viel Kontrolle |
| manitu | Hosting, gemanagte Nextcloud | Persönlicher Service, Strom aus erneuerbaren Energien |
| Stackfield | Projektmanagement und Zusammenarbeit | Teams, die Chat, Aufgaben und Dateien in einem Werkzeug wollen, Ende-zu-Ende-verschlüsselt |
| Wolkesicher | Gemanagte Nextcloud für kleine Teams | Einfacher Einstieg in die eigene Cloud ohne eigenen Admin |
Zwei Wege haben sich in der Praxis bewährt. Wer vor allem Speicher, E-Mail und Webseite braucht, ist bei den klassischen Hostern gut aufgehoben. Wer Dateiablage, Kalender und Zusammenarbeit unter eigener Kontrolle will, landet häufig bei einer Nextcloud, entweder selbst betrieben oder als gemanagte Variante. Die gemanagte Variante kostet etwas mehr, nimmt aber Betrieb und Updates ab, und genau dort passieren sonst die Fehler.
5. Zwei Beispiele aus der Praxis
Handwerksbetrieb mit fünfzehn Mitarbeitenden. Baupläne und Aufmaße lagen verstreut auf Bürorechnern und in privaten Dropbox-Konten der Monteure. Heute läuft eine gemanagte Nextcloud bei einem deutschen Hoster. Die Mitarbeitenden greifen mobil von der Baustelle zu, der Zugriff ist nach Projekten getrennt, und der AVV liegt unterschrieben im Ordner. Die privaten Cloud-Konten sind Geschichte.
Übersetzungsbüro mit zwei Festangestellten. Kundendokumente, teils mit sensiblen Inhalten, wurden früher als E-Mail-Anhang hin- und hergeschickt. Jetzt werden sie verschlüsselt in der Cloud abgelegt und Kunden erhalten zeitlich begrenzte Freigabe-Links. Der Aufwand für die Umstellung: ein Nachmittag. Der Gewinn: keine unkontrollierten Kopien mehr in fremden Postfächern.
FAQ: Cloud-Anbieter und DSGVO
1. Ist eine Cloud automatisch DSGVO-konform, wenn die Server in Deutschland stehen? Nein. Der Serverstandort ist ein wichtiger Baustein, ersetzt aber weder den Vertrag zur Auftragsverarbeitung noch ein Berechtigungskonzept und sichere Zugänge. DSGVO-Konformität entsteht aus dem Zusammenspiel von Anbieter und eigener Organisation.
2. Brauche ich für jeden Cloud-Dienst einen AVV? Ja, sobald der Dienst personenbezogene Daten für Sie verarbeitet. Das gilt für den Speicherdienst genauso wie für das Projektmanagement-Tool oder den Newsletter-Versand. Grundlage ist Artikel 28 DSGVO.
3. Darf ich US-Anbieter wie Microsoft oder Google überhaupt nutzen? Grundsätzlich ja, derzeit auf Basis des EU-US-Datenschutzrahmens. Diese Grundlage ist allerdings politisch und juristisch weniger stabil als ein Anbieter, bei dem sich die Frage gar nicht stellt. Für besonders sensible Daten ist der europäische Weg der ruhigere.
4. Was ändert der EU Data Act für Cloud-Kunden? Seit dem 12. September 2025 müssen Anbieter den Wechsel zu einem anderen Dienst aktiv ermöglichen, mit klaren Fristen und Datenexport in gängigen Formaten. Ab dem 12. Januar 2027 dürfen für den Wechsel keine Entgelte mehr verlangt werden.
5. Ist eine ISO-27001-Zertifizierung Pflicht? Nein, eine Pflicht ist sie für Ihren Anbieter nicht. Sie ist aber ein belastbarer Hinweis darauf, dass Informationssicherheit dort systematisch betrieben wird, und erleichtert Ihnen den eigenen Nachweis angemessener Maßnahmen.
6. Selbst hosten oder gemanagte Lösung? Self-Hosting bietet maximale Kontrolle, verlangt aber jemanden, der Updates, Backups und Sicherheit dauerhaft betreut. Fehlt diese Person, ist die gemanagte Lösung beim deutschen Anbieter fast immer die sicherere Wahl.
Wenn Sie einen Blick von außen möchten
Die Wahl des Cloud-Anbieters ist kein Großprojekt, sondern eine Handvoll klarer Fragen. Wenn Sie unsicher sind, ob Ihre bestehenden Dienste datenschutzrechtlich tragen oder welcher Anbieter zu Ihrem Betrieb passt, hilft ein strukturierter Blick von außen. Ohne Vortrag, ohne Paragrafen-Overkill und ohne Verkaufsdruck. Sie entscheiden danach in Ruhe, was Sie selbst umsetzen und wo Unterstützung sinnvoll ist. Mehr dazu bei LexGeneralis-Datenschutzconsulting auf lex-generalis.com.
Ihr nächster Schritt
Sie müssen nach dem Lesen nichts überstürzen. Wenn Sie wissen wollen, wo Ihr Unternehmen konkret steht, gibt es zwei einfache Wege.
- Kostenloser Webseiten-Check: Ich schaue mir Ihre Website an und sage Ihnen klar, wo typische Datenschutz-Risiken liegen, auch bei den eingebundenen Diensten. Ohne Vortrag, ohne Verpflichtung. Webseiten-Check anfragen
- Lieber direkt sprechen? In einem kurzen Time-2-Call klären wir Ihre Fragen. Termin buchen
Über den Autor
Stephan Wagner ist Jurist, TÜV-Dozent und externer Datenschutzbeauftragter. Mit LexGeneralis-Datenschutzconsulting auf Sylt begleitet er Inhaber und Geschäftsführer dabei, Datenschutz, KI und Compliance praxisnah umzusetzen. Ohne Bürokratie-Overkill, mit klarem Fokus auf Lösungen, die im Alltag funktionieren.
Disclaimer
Dieser Beitrag bietet eine allgemeine Orientierung zur Auswahl von Cloud- und Hosting-Anbietern aus Datenschutzsicht. Er ersetzt keine individuelle Rechtsberatung und keine Prüfung des Einzelfalls durch qualifizierte Fachleute. Anbieterangaben und Rechtslage, insbesondere zum Data Act, können sich ändern, maßgeblich ist der jeweils aktuelle Stand.
