EU-Hosting: Mehr als nur Schrems II
EU-Hosting ist 2026 Geschäftsanforderung, nicht nur Compliance-Checkbox. Welche Anbieter wirklich EU-only sind, warum AWS-Frankfurt nicht zählt - und was der Cloud Act mit Ihrem Datenraum macht.
Die kurze Geschichte
Schrems II war erst der Anfang
2020 hat der EuGH Privacy Shield gekippt. 2023 kam das EU-US Data Privacy Framework. 2026 ist die Lage immer noch nicht endgültig geklärt - und das hat handfeste Folgen.
Privacy Shield, Data Privacy Framework und Schrems III
Das aktuelle EU-US Data Privacy Framework steht juristisch wackelig. Max Schrems und die NGO noyb haben bereits gegen die Angemessenheits-Entscheidung geklagt; ein „Schrems III“-Urteil ist nicht ausgeschlossen. Unternehmen, die ihre Kunden-Daten ausschließlich auf US-Plattformen halten, haben ein latentes Risiko, das bei jedem EuGH-Urteil neu bewertet werden muss. Das ist kein politisches Statement - das ist Risiko-Management.
Der Cloud Act ist das eigentliche Thema
Der US-amerikanische CLOUD Act verpflichtet US-Konzerne, Daten herauszugeben - auch wenn diese auf EU-Servern liegen. AWS-Frankfurt, Azure-Dublin, Google-Belgien sind technisch in der EU, juristisch aber Töchter von US-Konzernen. Eine Subpoena aus Texas reicht, um Daten herauszufordern. EU-Hosting bei einem EU-Anbieter ist eine andere Liga - und in vielen DSGVO-Konstellationen die einzige saubere Option.
Was wirklich EU-only ist
EU-Hosting hat drei Stufen - und die meisten Anbieter sitzen auf Stufe eins
„Server in Frankfurt“ reicht 2026 nicht mehr. Es gibt Datenresidenz, juristische Zuordnung des Betreibers und operative Kontrollkette. Erst alle drei zusammen ergeben echtes EU-Hosting.
Stufe 1: Daten-Residenz in der EU
Hier sind alle Hyperscaler. AWS-Region Frankfurt, Azure-Region Germany West Central, GCP-Region europe-west3. Die Daten liegen physisch in der EU. Das genügt der DSGVO auf Daten-Lokalitäts-Ebene - aber nicht dem Cloud Act. Wer auf Stufe eins stoppt, kann formal seine Auftrags-Verarbeitungs-Verträge erfüllen, ohne wirklich vom Zugriff durch US-Behörden geschützt zu sein.
Stufe 2: EU-Konzern, EU-Recht
OVHcloud (Frankreich), Hetzner (Deutschland), IONOS (Deutschland), Scaleway (Frankreich), Open Telekom Cloud. Diese Anbieter sind in der EU registriert, dem EU-Recht unterstellt, ohne US-Mutterkonzern. Eine US-Subpoena läuft hier ins Leere. Für die meisten DSGVO-relevanten Mittelstands-Projekte ist Stufe zwei der ehrliche Default - und meistens auch günstiger als Stufe eins.
Stufe 3: Souveränität bis ins Personal
Für KRITIS, BSI-Grundschutz, BaFin-regulierte Workloads gibt es eine dritte Stufe: Rechenzentren in Deutschland, Personal mit Sicherheits-Überprüfung nach SÜG, dokumentierte Betreuungs-Ketten ohne Drittstaaten-Berührung. Plusserver, IONOS Compute Engine mit Sovereign-Cloud-Tarif, T-Systems sovereign-Cloud - hier reden wir über Aufpreis und längere Vertrags-Laufzeiten, dafür auch über Auditierbarkeit, die Banken-Aufseher überzeugt.
Welche Stufe braucht Ihr Projekt?
Wir machen den Quick-Check Ihrer Hosting-Konstellation und sagen, welche Stufe wirklich nötig ist.
Worauf es wirklich ankommt
Die Sub-Auftrags-Kette macht die Wahrheit
Selbst „EU-only“-Anbieter binden oft US-Tochterfirmen für CDN, DDoS-Schutz, Monitoring oder Support ein. Wer EU-Hosting ernst nimmt, prüft die Subauftragnehmer-Liste - nicht nur das Marketing-Material.
CDN als Achillesferse
Cloudflare, Fastly, AWS CloudFront sind US-Konzerne. Wer EU-Hosting will und vor diese Setups ein US-CDN klemmt, hat die Lock-Tür wieder geöffnet. Alternativen: BunnyCDN (Slowenien), KeyCDN (Schweiz, mit EU-PoPs), CDN77 (Tschechien). Für DDoS-Schutz lohnt myra Security (Deutschland). Klingt erstmal nach mehr Aufwand - ist aber sauber dokumentierbar und juristisch konsistent.
Monitoring, Logging, Analytics
Datadog, New Relic, Sentry hosted in den USA - alles im Default-Setup ein Cloud-Act-Risiko. Wir setzen auf self-hosted Sentry, Grafana Loki und Plausible Analytics (in Deutschland gehostet). Self-Hosting kostet eine kleine Wartungs-Tasche, dafür bleibt jede Log-Zeile unter Ihrer Kontrolle und passt sauber in die AVV-Logik. Sentry SaaS gibt es auch mit EU-Region - funktioniert, kostet pro Monat aber das Doppelte.
E-Mail-Versand und Transaktional-Mails
SendGrid, Mailgun, Postmark - alle US-Anbieter, alle mit potenziellem Cloud-Act-Zugriff auf Ihre Mail-Inhalte und Empfänger-Listen. EU-Alternativen sind Mailjet (Frankreich, mittlerweile Pathwire-Tochter), Brevo (Frankreich), Amazon SES nur mit Vorbehalt und SMTP über eigene Mailserver oder Mailcow-Setups. Für Newsletter empfehlen wir Listmonk auf eigenem Server - Aufwand minimal, Kontrolle maximal.
Was wir hosten lassen
Unser Default-Setup für EU-Hosting
Wir hosten den Großteil der Kundenprojekte bei Hetzner in Falkenstein und Nürnberg - und sagen ehrlich, wann ein anderer Anbieter besser passt.
Hetzner als ehrlicher Default
Hetzner ist deutsch, sitzt in der EU, hat ISO-27001-Zertifizierungen für Rechenzentren in Falkenstein und Nürnberg, klare AVVs, transparente Preise und keine versteckten Egress-Gebühren. Für Standard-Webanwendungen, Statamic-Sites, Laravel-Apps und Mittelstands-Plattformen ist das die Lösung mit dem besten Preis-Leistungs-Verhältnis im EU-Raum. Wir bauen damit seit Jahren, kennen die Limits und wissen, ab wann Skalierung knirscht.
Laravel Cloud für PaaS-Komfort
Wenn Kunden Komfort eines Managed-PaaS wollen, ohne in die AWS-Falle zu laufen, empfehlen wir Laravel Cloud mit EU-Region. Das Backend läuft auf AWS - der juristische Auftraggeber ist allerdings Laravel LLC, was die Vertragsgestaltung deutlich angenehmer macht als ein direkter AWS-Account. Für stark regulierte Workloads bleibt es Stufe eins der EU-Hosting-Pyramide, deshalb sagen wir es vorher ehrlich.
Stufe 3 ehrlich: nicht unser Tisch
Wo BaFin-Aufsicht, DORA-Anforderungen oder KRITIS-Vorgaben ins Spiel kommen, wechselt die Liga - und wir hosten dort selbst nicht. Was wir liefern: ehrliche Anforderungs-Analyse, Provider-Vorauswahl und ein klares Kriterien-Set, damit Sie beim souveränen Cloud-Anbieter nicht in eine Lock-in-Falle laufen. Den Betriebs-Vertrag schließen Sie direkt mit dem RZ-Betreiber - wir bleiben im Software-Werk.
Artikel teilen
EU-Hosting, das Ihre Aufsicht überzeugt
Wir helfen Ihnen, die richtige Stufe für Ihr Projekt zu wählen - und liefern selbst auf Hetzner.
Inklusive Subauftragnehmer-Audit, AVV-Vorlagen und einer ehrlichen Einschätzung, wo Sie aktuell juristisch wackelig stehen. Kein Cloud-Religionskrieg, sondern eine Lösung, die Ihr Compliance-Team und Ihre Entwickler gleichzeitig akzeptieren.