Kennst du das? Du suchst ein neues Tool für dein Team, klickst dich durch die Funktionsliste, startest die kostenlose Testphase – und merkst erst Wochen später, dass die Daten in einem US-Rechenzentrum liegen und es keinen Auftragsverarbeitungsvertrag gibt. Spätestens wenn die Aufsichtsbehörde oder ein:e Auftraggeber:in einen Nachweis verlangt – etwa dein Verzeichnis der Verarbeitungstätigkeiten – wird das unangenehm.
Die gute Nachricht: Für DSGVO-konformes Arbeiten brauchst du kein Jura-Studium. Dieser Leitfaden zeigt dir die häufigsten Fallen, eine Checkliste pro Tool-Kategorie und einen konkreten Stack. Spoiler: Open-Source-Software mit EU-Hosting macht schon mal einiges leichter!
Hinweis: Dieser Artikel ist eine praxisnahe Orientierung, keine Rechtsberatung. Im Zweifel helfen dir Datenschutzbeauftragte oder Fachanwält:innen weiter.
Das Wichtigste in Kürze
- US-Cloud ist nicht automatisch verboten, aber riskant: Seit dem Schrems-II-Urteil des EuGH (16. Juli 2020) brauchen Transfers in die USA eine eigene Absicherung – und die steht juristisch immer wieder unter Druck.
- Vier Prüffragen reichen meist: Serverstandort, AVV, Verschlüsselung und Löschkonzept decken die häufigsten Lücken ab.
- EU-Hosting löst das Drittland-Problem an der Wurzel: Liegen die Daten in der EU bei einem EU-Anbieter, entfällt die komplizierte Transfer-Folgenabschätzung.
- Open Source gibt dir Kontrolle: Du weißt, wo die Daten liegen, kannst sie exportieren und bist nicht an einen Anbieter gebunden.
Die 5 häufigsten DSGVO-Fallen bei SaaS
Die meisten Probleme entstehen nicht aus bösem Willen, sondern weil ein Tool schnell eingeführt und der Datenschutz nachgereicht wird. Diese fünf Fallstricke sehen wir am häufigsten:
- US-Cloud ohne Prüfung: Viele beliebte SaaS-Dienste hosten in den USA oder gehören US-Konzernen. Das ist ein Drittlandtransfer, der nach Kapitel V der DSGVO (Art. 44 ff.) eine eigene Absicherung braucht – etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln.
- Tracking und Analyse im Hintergrund: Eingebundene Marketing-Pixel, Session-Recorder oder Analytics-Skripte verarbeiten oft mehr personenbezogene Daten, als dir bewusst ist.
- Unklare Auftragsverarbeitung: Wer verarbeitet eigentlich in wessen Auftrag (ggfls. auch „nachgelagert“)? Ohne saubere Rollenverteilung fehlt die Grundlage für alles Weitere.
- Fehlender oder veralteter AVV: Ohne Auftragsverarbeitungsvertrag nach Art. 28 DSGVO fehlt dir bei jedem externen Dienstleister ein Pflichtdokument.
- Drittlandtransfer ohne Absicherung: Standardvertragsklauseln allein genügen seit Schrems II oft nicht – du musst zusätzlich prüfen, ob das Schutzniveau im Drittland wirklich vergleichbar ist.
Übrigens: Den AVV behandeln wir ausführlich in einem eigenen Beitrag. Wenn du wissen willst, was genau hineingehört und worauf du beim Unterschreiben achten solltest, lies unseren Leitfaden zum Auftragsverarbeitungsvertrag.
Schrems II und die Folgen für US-Clouds – praxisnah erklärt
Im Juli 2020 hat der Europäische Gerichtshof im Verfahren „Schrems II“ das damalige Privacy Shield für ungültig erklärt. Der Grund: US-Behörden konnten auf Daten zugreifen, ohne dass Betroffene aus der EU dagegen wirksam vorgehen konnten. Standardvertragsklauseln blieben zwar zulässig, reichen seitdem aber allein nicht mehr aus. Du musst zusätzlich prüfen, ob im Zielland ein vergleichbares Schutzniveau besteht, und das dokumentieren.
2023 hat die EU-Kommission mit dem EU-US Data Privacy Framework einen neuen Angemessenheitsbeschluss erlassen. Damit sind Transfers an zertifizierte US-Unternehmen wieder leichter möglich. Wichtig: Dieses Framework steht juristisch auf wackligen Beinen. Eine erste Klage des französischen Abgeordneten Philippe Latombe hat das Gericht der EU im September 2025 zwar abgewiesen, das Rechtsmittelverfahren vor dem EuGH läuft jedoch noch – und Datenschützer:innen rechnen mit weiteren Verfahren, wie schon beim Vorgänger.
Für dich heißt das praktisch: Wer auf US-Cloud setzt, baut auf eine Rechtsgrundlage, die jederzeit kippen kann. Genau das ist der Punkt, an dem EU-Hosting unaufgeregt überlegen ist. Liegen die Daten in einem EU-Rechenzentrum bei einem EU-Anbieter, gibt es schlicht keinen Drittlandtransfer – und damit auch keine Transfer-Folgenabschätzung, die dir um die Ohren fliegen kann. Mehr zum größeren Bild liest du in unserem Beitrag zur digitalen Souveränität.
Die DSGVO-Checkliste
Bevor du eine Software einführst, gehst du am besten immer dieselben vier Fragen durch. Das folgende Schaubild zeigt den Ablauf:
Serverstandort
Frag konkret nach: In welchem Land steht das Rechenzentrum, und wer betreibt es? Ein deutscher Reseller eines US-Dienstes löst das Problem nicht – entscheidend ist, wer am Ende Zugriff auf die Server hat.
Auftragsverarbeitungsvertrag
Sobald ein Dienstleister personenbezogene Daten für dich verarbeitet, brauchst du einen AVV. Seriöse Anbieter stellen ihn von sich aus bereit. Fehlt er oder musst du lange danach suchen, ist das ein Warnsignal.
Verschlüsselung
Transportverschlüsselung (TLS) ist heute Standard. Spannender ist die Frage, ob die Daten auch „at rest“ (also auf der Platte abgespeichert) verschlüsselt sind und wer die Schlüssel hält. Bei Passwort-Managern ist Ende-zu-Ende-Verschlüsselung praktisch unverzichtbar – Art. 32 DSGVO verlangt ohnehin ein dem Risiko angemessenes Schutzniveau.
Löschkonzept
Das Recht auf Löschung (Art. 17 DSGVO) funktioniert nur, wenn du Daten auch tatsächlich entfernen kannst – inklusive Backups und Versionen. Kläre vorab, wie ein Account vollständig gelöscht wird und ob du deine Daten vorher exportieren kannst.
Ein DSGVO-konformer Open-Source-Stack
Theorie ist schön, aber wie sieht ein sauberer Stack konkret aus? Hier eine Zusammenstellung aus Open-Source-Tools, die du bei server.camp auf EU-Servern mit AVV betreiben kannst:
- Dokumente: Paperless-ngx digitalisiert und verschlagwortet deinen Papierkram. Alle Dokumente bleiben unter deiner Hoheit und können jederzeit exportiert, gelöscht, etc. werden. Wann Self-Hosting oder ein gemanageter Service besser passt, vergleichen wir im Beitrag self-hosted vs. managed.
- Dateien und Zusammenarbeit: Nextcloud ersetzt Dropbox und Google Drive – mit Kalender, Kontakten und Office-Funktionen. Auch hier bleiben alle Dokumente dort, wo du sie erwartest.
- Team-Chat: Mattermost ist die Open-Source-Alternative zu Slack oder Teams, komplett unter deiner Kontrolle. Sensible Nachrichten, Bilder, usw. landen nicht in der US-Cloud.
- Passwörter: Vaultwarden verwaltet Zugangsdaten Ende-zu-Ende-verschlüsselt im Team – noch nicht einmal der Sysadmin hat Zugriff.
- Anmeldung: Authentik bündelt alle Logins per Single Sign-On – ein zentraler, gut abgesicherter Zugang statt vieler verstreuter Passwörter. Accounts lassen sich im Notfall zentral an einem Ort deaktivieren. Wie das in der Praxis aussieht, zeigt unser Beitrag zu Single Sign-On für KMU.
Der Vorteil dieses Ansatzes: Du weißt jederzeit, wo deine Daten liegen, du bekommst pro Dienst einen AVV, und du bist nicht an einen Anbieter gebunden. Fällt eine Rechtsgrundlage für US-Transfers, betrifft dich das schlicht nicht.
Häufige Fragen zu DSGVO und Open-Source-Tools
Ist die Nutzung von US-Cloud-Diensten jetzt komplett verboten? Nein. Dank des EU-US Data Privacy Frameworks sind Transfers an zertifizierte US-Anbieter grundsätzlich möglich. Du verlässt dich damit aber auf eine Rechtsgrundlage, deren Vorgänger Safe Harbor und Privacy Shield bereits vom EuGH gekippt wurden und die aktuell selbst angefochten wird. EU-Hosting umgeht dieses Risiko von vornherein.
Macht mich Open-Source-Software automatisch DSGVO-konform? Nein. Open Source gibt dir Kontrolle und Transparenz, aber die Konformität hängt davon ab, wo und wie du die Software betreibst. Ein selbst gehostetes Tool ohne Verschlüsselung und Löschkonzept ist genauso problematisch wie eine schlecht konfigurierte Cloud.
Brauche ich für jedes Tool einen eigenen AVV? Ja, sobald ein externer Dienstleister personenbezogene Daten in deinem Auftrag verarbeitet. Betreibst du alles auf eigener Hardware, brauchst du keinen AVV – dann bist du selbst verantwortlich. Details dazu findest du in unserem AVV-Leitfaden.
Reicht es, wenn der Anbieter „DSGVO-konform“ auf die Website schreibt? Nein. Das ist ein Werbeversprechen, kein Nachweis. Prüfe Serverstandort, AVV, Verschlüsselung und Löschkonzept selbst und dokumentiere das Ergebnis – diese Dokumentation ist im Zweifel dein wichtigster Beleg. Übrigens: auch wenn das US-Unternehmen deine Daten physisch in der EU speichert, haben US-Behörden unter Umständen Zugriff.
Fazit
DSGVO-Konformität entsteht nicht durch ein Häkchen in den Einstellungen, sondern durch bewusste Entscheidungen bei der Tool-Auswahl. Wenn du bei jedem neuen Dienst dieselben vier Fragen stellst – Serverstandort, AVV, Verschlüsselung, Löschkonzept –, erkennst du die häufigsten Fallen, bevor sie zum Problem werden.
Schrems II hat gezeigt, wie schnell eine vermeintlich sichere Rechtsgrundlage für US-Transfers wegbrechen kann. Statt jedes Mal auf das nächste juristische Framework oder Gerichtsurteil zu warten, ist es der entspanntere Weg, die Daten gar nicht erst ins Drittland zu geben. Open-Source-Tools auf EU-Servern geben dir genau diese Kontrolle – und du behältst die Freiheit, deine Daten jederzeit mitzunehmen.
In der Praxis lohnt es sich, klein anzufangen: sich eine Kategorie von Software-Tools vornehmen, den aktuellen Dienst gegen die Checkliste prüfen und ihn bei Bedarf durch eine EU-gehostete Open-Source-Alternative ersetzen. So entsteht Schritt für Schritt ein Stack, der auch die nächste Datenschutz-Debatte unbeschadet übersteht.