EU-Hosting im Support: Was der Serverstandort wirklich sagt
Ein EU-Serverstandort garantiert keinen Datenschutz im Kundenservice. Erfahre, wie der US CLOUD Act und Subprozessoren die DSGVO-Konformität beeinflussen.
Martin Semmele
Wichtige Erkenntnisse
- Ein physischer EU-Serverstandort schützt nicht vor Datenzugriffen, wenn der Konzern dem US CLOUD Act unterliegt.
- Nach Artikel 48 DSGVO ist die Herausgabe europäischer Daten an Drittstaaten-Behörden ohne spezielles Abkommen untersagt.
- Die DSGVO-Konformität hängt maßgeblich von der gesamten Kette aller genutzten Subprozessoren ab.
- Seriöse Anbieter legen außereuropäische Dienstleister transparent offen, statt pauschale Heilsversprechen zu machen.
Der Irrglaube vom reinen Serverstandort
Wer Software für den Kundenservice auswählt, stößt schnell auf das Argument des europäischen Serverstandorts. Viele Anbieter werben prominent damit, dass ihre Datenbanken in Frankfurt, Amsterdam oder Dublin gehostet werden. Für Entscheider klingt das beruhigend. Die Annahme liegt nahe: Stehen die Server auf europäischem Boden, gilt automatisch die Datenschutz-Grundverordnung (DSGVO) in vollem Umfang und die Daten sind sicher. Das ist jedoch ein weit verbreiteter Trugschluss, der technische Speicherung mit juristischer Zugriffsgewalt verwechselt.
Physische Speicherung unterscheidet sich von rechtlicher Zugriffsgewalt
Der physische Speicherort beschreibt lediglich den Ort, an dem die Festplatten montiert sind und die Datenbits verarbeitet werden. Für Latenz und Ausfallsicherheit ist dieser Faktor entscheidend. Aus datenschutzrechtlicher Sicht ist die Standortfrage alleine jedoch unzureichend. Maßgebend für den rechtlichen Zugriff ist primär die Unternehmensstruktur des Anbieters. Europäischer Datenschutzausschuss (EDSA) und Europäischer Datenschutzbeauftragter (EDSB) haben in ihrer gemeinsamen Stellungnahme zum CLOUD Act darauf hingewiesen, dass die extraterritoriale Wirkung des Gesetzes Dienstleister in einen Normenkonflikt zwischen US-Recht und DSGVO bringen kann1.
- Physischer Speicherort: Bestimmt Rechenzentrum, Latenz und technische Ausfallsicherheit in der EU.
- Rechtliche Jurisdiktion: Richtet sich nach dem Hauptsitz der Muttergesellschaft und deren nationalen Gesetzen.
- Auftragsverarbeitung: Legt die vertraglichen Pflichten nach Artikel 28 DSGVO zwischen Unternehmen und Softwareanbieter fest.
Verwechseln Entscheider diese Ebenen, entsteht eine trügerische Sicherheit. Ein europäisches Rechenzentrum schirmt Daten nicht ab, wenn der Betreiber gesetzlich verpflichtet werden kann, ausländischen Behörden Zugriff zu gewähren. Eine tragfähige Beurteilung erfordert daher den Blick auf die vollständige Gesellschafterstruktur und die rechtlichen Rahmenbedingungen des Anbieters DSGVO-konforme KI.
US-Mutterkonzerne und der CLOUD Act
Der zentralste Risikofaktor bei der Nutzung von US-Softwareanbietern ist der Clarifying Lawful Overseas Use of Data Act, bekannt als CLOUD Act. Dieses US-Bundessetz wurde am 23. März 2018 erlassen2. Es verpflichtet US-amerikanische IT-Dienstleister und deren globale Tochtergesellschaften, US-Ermittlungsbehörden auch dann Zugriff auf gespeicherte Daten zu gewähren, wenn sich die betreffenden Server außerhalb des Gebiets der USA befinden.
Kollision mit Artikel 48 der DSGVO
Diese extraterritoriale Gesetzgebung steht in direktem rechtlichen Konflikt mit der europäischen Gesetzgebung. Artikel 48 der DSGVO stellt klar, dass Urteile oder Entscheidungen von Behörden aus Drittstaaten eine Datenübermittlung nur dann rechtfertigen, wenn sie auf einer internationalen Vereinbarung wie einem Rechtshilfeabkommen beruhen2. Verlangt eine US-Behörde auf Basis des CLOUD Act die Herausgabe von Kundendaten aus einem Frankfurter Rechenzentrum, steht der US-Konzern vor einem Dilemma: Befolgt er das US-Gesetz, verletzt er die DSGVO. Befolgt er die DSGVO, bricht er US-Recht. Diese Darstellung stellt keine Rechtsberatung dar, sondern beschreibt die unbestreitbare technische und juristische Realität im internationalen Softwaremarkt.
| Bewertungskriterium | US-Mutterkonzern mit EU-Servern | EU-Anbieter ohne US-Mutter |
|---|---|---|
| Hauptsitz der Gesellschaft | USA | EU / Deutschland |
| Anwendbarkeit CLOUD Act | Ja (extraterritorial verpflichtet) | Nein (keine US-Unterwerfung) |
| Konflikt mit Art. 48 DSGVO | Strukturell vorhanden | Nicht vorhanden |
Die Konsequenz für europäische Unternehmen ist eindeutig: Allein die Tatsache, dass eine US-Tochtergesellschaft Verträge in Europa abschließt und Server in Deutschland nutzt, schützt nicht vor extraterritorialen Herausgabeverlangen. Welches Recht im Konfliktfall durchgesetzt wird, bleibt rechtlich ungeklärt, weshalb das finale Risiko beim datenverantwortlichen Unternehmen verbleibt.
Schrems II und die rechtlichen Folgen
Die juristischen Unsicherheiten beim internationalen Datentransfer sind keineswegs neu. Am 16. Juli 2020 erklärte der Europäische Gerichtshof (EuGH) im wegweisenden Schrems-II-Urteil (Rechtssache C-311/18) das damalige EU-US Privacy Shield für ungültig3. Grund dafür war die Erkenntnis, dass US-Überwachungsprogramme auf Basis von Section 702 des Foreign Intelligence Surveillance Act (FISA) und der Executive Order 12333 kein der EU im Wesentlichen gleichwertiges Schutzniveau bieten4.
Einzelfallprüfung statt pauschaler Urteile
Auch nach der Verabschiedung des EU-US Data Privacy Frameworks im Jahr 2023 und der dazugehörigen Executive Order 14086 raten Datenschutzexperten zur Vorsicht2. Die gesetzlichen Grundlagen des CLOUD Act und der US-Überwachungsbefugnisse bestehen fort. Anstelle von pauschaler Panikmache oder naiver Entwarnung fordert die Datenschutz-Grundverordnung von Unternehmen eine fundierte Einzelfallprüfung. Jedes Unternehmen muss im Rahmen eines Transfer Impact Assessments (TIA) bewerten, welche Daten konkret verarbeitet werden und welche Risiken damit verbunden sind.
- 011. Datenfluss-Analyse: Erfassung aller Supportdaten, die an externe Software übermittelt werden.
- 022. Eigentümerprüfung: Klärung des Hauptsitzes des Softwareherstellers und seiner Mutterkonzerne.
- 033. Risikobewertung (TIA): Dokumentation der Rechtslage im Empfängerland und bestehender Schutzmaßnahmen.
- 044. Vertragliche Absicherung: Abschluss von EU-Standardvertragsklauseln (SCC) bei Drittlandsbezug.
Ein fundiertes Risikomanagement unterscheidet zwischen hochsensiblen Kundendaten und allgemeinen Support-Anfragen. Wer blind auf Werbeversprechen vertraut, riskiert bei behördlichen Prüfungen Bußgelder. Wer dagegen sachlich evaluiert, trifft rechtskonforme Entscheidungen.
Die verborgene Kette der Subprozessoren
Bei der Bewertung von Kundenservice-Software richten viele Entscheider ihren Blick ausschließlich auf den Hauptanbieter. Das greift jedoch zu kurz. Moderne SaaS-Plattformen sind selten monolithische Systeme. Sie nutzen spezialisierte Drittanbieter für Teilleistungen wie Transaktions-E-Mails, Authentifizierung, Datenbanken oder die Verarbeitung von Sprachmodellen. Diese Unterauftragnehmer werden als Subprozessoren bezeichnet.
Anforderungen nach Artikel 28 DSGVO
Gemäß Artikel 28 der DSGVO darf ein Auftragsverarbeiter weitere Auftragsverarbeiter nur mit vorheriger schriftlicher Genehmigung des Verantwortlichen in Anspruch nehmen und muss über jede beabsichtigte Änderung bei Subprozessoren informieren5. Setzt ein europäischer Softwareanbieter für Teilleistungen Dienstleister aus Drittstaaten ein, wird die Kette des Datentransfers verlängert. Dabei müssen dem weiteren Auftragsverarbeiter vertraglich dieselben Datenschutzpflichten auferlegt werden, und der erste Auftragsverarbeiter haftet gegenüber dem Verantwortlichen, wenn der weitere Auftragsverarbeiter seine Datenschutzpflichten nicht erfüllt5.
| Funktionsbereich | Typischer Subprozessor | Datenschutzrechtliche Relevanz |
|---|---|---|
| E-Mail-Versand | Transaktions-Maildienstleister | Verarbeitung von Kunden-E-Mail-Adressen und Nachrichteninhalten |
| Authentifizierung | Identity-Management-Dienst | Verarbeitung von Nutzerdaten, IP-Adressen und Login-Informationen |
| Semantische Suche / KI | Vektordatenbank & Modell-API | Verarbeitung von Wissensdatenbanken und Chat-Protokollen |
Ein europäischer Softwareanbieter, der sensible Supportdaten ungesichert an Subprozessoren in Drittstaaten weiterleitet, hebelt die Vorteile seines eigenen EU-Standorts teilweise wieder aus. Transparenz über die gesamte Lieferkette ist daher unerlässlich, um das Entstehen von KI-Halluzinationen und unkontrollierten Datenabflüssen zu vermeiden.
Radikale Transparenz statt Panikmache
Aus den komplexen Vorgaben der DSGVO folgt keineswegs, dass die Nutzung internationaler Dienstleister grundsätzlich verboten oder unmöglich ist. Wichtig ist eine sachliche und ehrliche Abwägung. Unternehmen benötigen keine pauschalen Verbote, sondern volle Transparenz über die eingesetzten Architekturen, um Risiken eigenverantwortlich bewerten zu können.
Namen nennen statt hinter Siegeln verstecken
Anbieter von Support-Software sollten auf schwammige Aussagen oder Marketing-Floskeln verzichten. Anstatt sich hinter generischen Vertraulichkeitsgarantien oder bedeutungslosen Phantasie-Siegeln zu verstecken, müssen alle eingesetzten Subprozessoren namentlich benannt werden. Praktisch hilfreich ist eine Aufstellung, die den Namen des Dienstes, seine Funktion im System, den Ort der Datenverarbeitung und die rechtliche Grundlage des Datentransfers ausweist.
- Namentliche Nennung: Jeder Subprozessor wird im Auftragsverarbeitungsvertrag ausdrücklich mit Namen aufgeführt.
- Klare Funktionstrennung: Exakte Aufschlüsselung, welche Daten in der EU verbleiben und welche Schnittstellen genutzt werden.
- Keine KI-Trainingsnutzung: Vertragliche Garantie, dass Kundendaten nicht zur Optimierung fremder Basismodelle dienen.
Pragmatischer Datenschutz basiert auf überprüfbaren Tatsachen. Wenn ein Anbieter klar offenlegt, wo Stärken und Grenzen seiner Infrastruktur liegen, schafft er eine verlässliche Verhandlungsgrundlage für den Sicherheits- und Datenschutzansatz im Unternehmen.
Checkliste für den Software-Vergleich
Damit Entscheider bei der Auswahl einer Kundenservice-Software die Datenschutzkonformität schnell und fundiert prüfen können, empfiehlt sich ein strukturiertes Vorgehen. Die folgenden Kriterien helfen dabei, Marketing-Aussagen von der tatsächlichen rechtlichen Absicherung zu unterscheiden.
Prüfpunkte für das Vendor Assessment
Vor dem Abschluss eines Softwarevertrags sollten die rechtlichen Rahmenbedingungen systematisch hinterfragt werden. Zentrales Prüfdokument ist der Auftragsverarbeitungsvertrag (AVV): Artikel 28 Absatz 3 DSGVO verlangt, dass die Verarbeitung durch einen Auftragsverarbeiter auf einem bindenden Vertrag beruht, in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen festgelegt sind5. Liegt kein transparenter AVV vor oder enthält dieser vage Klauseln zu Subprozessoren, ist Vorsicht geboten.
| Prüfkriterium | Gute Praxis (Grünes Licht) | Warnsignal (Rotes Licht) |
|---|---|---|
| Hauptsitz der Mutter | EU-Anbieter ohne Beherrschung durch US-Mutterkonzern | US-Mutterkonzern verweist lediglich auf EU-Server |
| Subprozessor-Liste | Sämtliche Dienstleister sind namentlich im AVV benannt | Vage Formulierungen wie 'namhafte Cloud-Anbieter' |
| Verwendung von KI-Daten | Vertraglicher Ausschluss der Nutzung von Daten für Modelltraining | Unklare Passagen zur Nutzung von Chatverläufen |
| AVV-Verfügbarkeit | Standardisierter AVV sofort online abrufbar | AVV nur auf gesonderte Anfrage oder nach Verhandlungen |
Wer diese Prüfpunkte konsequent anwendet, schützt sein Unternehmen vor unliebsamen Überraschungen bei externen Audits und stellt sicher, dass die gewählte Software auf einem soliden Fundament steht Auftragsverarbeitungsvertrag.
So setzt ComLayer den Datenschutz um
Als in Hamburg ansässiges Unternehmen zeigt ComLayer (betrieben von der CITO GmbH), wie radikale Transparenz beim Datenschutz in der Praxis aussieht. Bei der Entwicklung der KI-Support-Plattform steht der Schutz europäischer Kundendaten im Mittelpunkt. Sämtliche Kerninhalte, Konversationen, Wissensdatenbanken und die KI-Verarbeitung laufen auf Servern in europäischen Regionen.
Offene Deklaration peripherer Dienste
Zur ehrlichen Differenzierung gehört auch die Offenlegung von Grenzen. Für spezialisierte Aufgaben wie die Anmeldung, die Zahlungsabwicklung, den Transaktions-Mailversand und die semantische Suche nutzt die Plattform vier definierte Dienstleister außerhalb der EU. Diese Anbieter werden namentlich benannt, anstatt sie in verschachtelten Vertragswerken zu verstecken. Ein Auftragsverarbeitungsvertrag (AVV) nach Artikel 28 DSGVO steht allen Kunden direkt zur Verfügung.
- EU-Hosting für Kerninhalte: Wissensbasis, Widget, Posteingang und KI-Agenten verbleiben in der EU.
- Kein Training mit Kundendaten: Die eingegebenen Inhalte werden nicht für das Training eigener oder fremder KI-Modelle verwendet.
- Namentliche Subprozessoren: Alle externen Partner sind transparent gelistet.
- Transparente Preise: Der Einstieg gelingt kostenfrei im Free-Tarif, während der Pro-Tarif ab 49 € pro Monat umfassende KI-Automatisierung bietet.
Transparenz schafft Vertrauen im Kundenservice. Unternehmen erhalten eine klare Übersicht über alle Datenflüsse und können KI-gestützte Support-Prozesse datenschutzkonform betreiben Preismodell.
Häufig gestellte Fragen
Warum reicht ein reiner Serverstandort in der EU nicht für den Datenschutz aus?
Wenn der Software-Anbieter eine US-Muttergesellschaft hat, unterliegt er dem US CLOUD Act. Dieses Gesetz erlaubt US-Behörden den weltweiten Zugriff auf Unternehmensdaten, unabhängig vom physischen Speicherort. Dies steht im direkten Konflikt mit Artikel 48 der DSGVO.
Was bedeutet das Schrems-II-Urteil für den Kundenservice?
Das Urteil des Europäischen Gerichtshofs kippte das bisherige Privacy Shield. Es verlangt von Unternehmen, bei jedem Datentransfer in die USA genau zu prüfen, ob die Rechte der EU-Bürger gewahrt bleiben - insbesondere wegen US-Überwachungsgesetzen.
Dürfen US-Tools im europäischen Support überhaupt noch genutzt werden?
Ja, aber es erfordert eine präzise rechtliche Absicherung. Durch die Executive Order 14086 und das neue EU-U.S. Data Privacy Framework gibt es eine rechtliche Basis. Dennoch müssen alle Risiken im Vorfeld abgewogen und im Auftragsverarbeitungsvertrag dokumentiert werden.
Welche Rolle spielen Subprozessoren bei SaaS-Lösungen?
Selbst wenn die Hauptsoftware aus der EU stammt, nutzen Anbieter oft US-Dienste für Mailversand oder Authentifizierung. Nach Artikel 28 DSGVO muss diese komplette Lieferkette transparent gemacht und rechtlich durch Verträge abgesichert sein.
Wie geht ComLayer mit Subprozessoren und dem EU-Hosting um?
ComLayer hostet Kerninhalte wie Konversationen und das KI-Modell in Europa. Vier spezifische Dienstleister für Randbereiche wie E-Mails sitzen in den USA und werden völlig transparent beim Namen genannt. So ist nach Artikel 28 DSGVO alles vertraglich klar geregelt.