Sind deutsche Server automatisch DSGVO-konform?

Der Wunsch ist eindeutig. Im Cloud Report 2026 des Bitkom, einer repräsentativen Telefonbefragung von 603 Unternehmen ab 20 Beschäftigten, zeigt sich folgendes Bild:

• 91 Prozent geben an, sie würden deutsche Cloud-Anbieter bevorzugen (tatsächlich nutzen 53 Prozent welche).
• 85 Prozent halten Deutschland für zu abhängig von US-Anbietern.
• 37 Prozent würden für eine ausschließlich in Deutschland verarbeitende Cloud Abstriche bei Funktionsumfang oder Preis hinnehmen.

Die Kapazität wächst mit. Das Bundeskabinett hat am 18. März 2026 die Nationale Rechenzentrumsstrategie beschlossen: Bis 2030 soll sich die IT-Anschlussleistung deutscher Rechenzentren gegenüber 2025 verdoppeln, die Anschlussleistung für High Performance Computing und KI mindestens vervierfachen. Technologie und Souveränität ist eines der drei Handlungsfelder. Nach Angaben des Statistischen Bundesamts nutzten 2025 bereits 54 Prozent der Unternehmen ab zehn Beschäftigten kostenpflichtige Cloud-Dienste, bei Großunternehmen ab 250 Beschäftigten waren es 86 Prozent.

Hinter der Präferenz steht fast immer dieselbe Annahme: Wer in Deutschland hostet, ist datenschutzrechtlich auf der sicheren Seite. Die Verordnung sagt etwas anderes.

Artikel 3 stellt auf die Niederlassung ab

Der räumliche Anwendungsbereich der DSGVO hängt am Sitz des Verantwortlichen, und zwar ausdrücklich. Artikel 3 Absatz 1 erklärt die Verordnung für anwendbar, „soweit diese im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, unabhängig davon, ob die Verarbeitung in der Union stattfindet“.

Absatz 2 erfasst zusätzlich Anbieter ohne Niederlassung in der Union, sobald sie Personen in der Union Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. Der Europäische Datenschutzausschuss hält in seinen Leitlinien 3/2018 fest, dass der Ort der Verarbeitung für diese Einordnung ohne Belang ist.

Ein Münchner Unternehmen, das seine Kundendatenbank in Virginia betreibt, unterliegt damit vollständig der DSGVO. Und ein Server in Frankfurt leistet genau eine Sache: Er verschiebt die Prüfung des Drittlandtransfers nach Kapitel V. Der Pflichtenkatalog daneben bleibt unverändert bestehen.

Das KI-Recht liegt auf einer anderen Ebene. Die KI-Verordnung (EU) 2024/1689 ist Produkt- und Marktaufsichtsrecht, und das deutsche KI-Marktaufsichts- und Innovationsförderungsgesetz, seit dem 29. Juli 2026 in Kraft, benennt dazu die Bundesnetzagentur als koordinierende Aufsichtsbehörde. Beides gilt neben der DSGVO.

Nicht der Standort, sondern der Vertrag

Wer einen Server mietet, macht den Anbieter zum Auftragsverarbeiter und sich selbst zum Verantwortlichen. Artikel 28 Absatz 1 verlangt, nur mit Auftragsverarbeitern zu arbeiten, die „hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden“, dass die Verarbeitung der Verordnung entspricht.

Absatz 3 verlangt einen Vertrag mit folgendem vorgeschriebenem Inhalt:

• Gegenstand und Dauer
• Art und Zweck der Verarbeitung
• Art der Daten
• Kategorien betroffener Personen
• Pflichten und Rechte des Verantwortlichen

Darin ist der Auftragsverarbeiter auf folgende Punkte zu verpflichten:

• Dokumentierte Weisungen
• Vertraulichkeit
• Die Sicherheitsmaßnahmen des Artikels 32
• Löschung oder Rückgabe
• Auditrechte

Dieser Auftragsverarbeitungsvertrag wird geschlossen, zusätzlich zur Bestellung.

Und Artikel 32 verlangt Handlungen: Auf einer Maschine mit vollem Root-Zugriff sind Patchstand, Zugriffskontrolle, Verschlüsselung und Backup Sache des Mieters. Die Standortwahl liegt vor all dem.

Zwischen Frankfurt und Roubaix liegt eine Rechtsordnung

Deutsche Verarbeitung ist auf dieser Produktklasse zu haben. In der Regionsübersicht der Eco-Reihe steht Frankfurt neben Gravelines, Roubaix, Straßburg, Warschau, London und Mailand; welches Modell dort gerade verfügbar ist, prüft man vor der Bestellung. Der Anbieter beschreibt seine Rechenzentren als ISO-27001-zertifiziert und liefert alle Dedicated Server mit aktiviertem DDoS-Schutz aus.

Die zweite Hälfte der Souveränitätsfrage liegt woanders, und sie ist die interessantere. Vertragspartner ist eine juristische Person, und die hat ihre eigene Rechtsordnung. Im Kleingedruckten der deutschen Seiten steht, wer das hier ist: die OVH Groupe SA, 537 407 926 RCS Lille Métropole, 2 Rue Kellermann, 59100 Roubaix, Frankreich, mit französischem Recht und französischen Gerichten als Gerichtsstand. Der Serverschrank steht dann in Hessen, das Unternehmen dahinter unterliegt französischem und damit europäischem Recht.

Genau darum geht es, wenn 85 Prozent der befragten Unternehmen Deutschland für zu abhängig von US-Anbietern halten. Gemeint ist die Frage, welche Behörde welchen Staates sich an welches Unternehmen wenden kann. Sie folgt der Konzernkontrolle, und die steht im Handelsregister.

2,9 Cent in der Stunde, wenn die Maschine durchläuft

Damit zur Rechnung, die dem Standort vorausgeht. Stundenweise abgerechnete Instanzen und ein monatlicher Festpreis treffen sich an einem Punkt, und der lässt sich ausrechnen. OVHcloud legt seinen eigenen Monatspreisen für Instanzen der dritten Generation 730 Stunden pro Monat zugrunde. Das ist der Maßstab, gegen den ein Festpreis antritt.

Die günstigste Variante in dieser Rechnung ist ein dedizierter Server aus der Eco-Reihe von OVHcloud:

• Intel Xeon-D 1520 (mit vier Kernen und acht Threads)
• 32 GB DDR4-ECC-Speicher
• Zwei Datenträger zwischen 480 GB und 2 TB
• 500 Mbit/s garantierte und unbegrenzte Bandbreite

Das Angebot ist ausgewiesen mit 20,99 Euro inklusive Mehrwertsteuer im Monat und einer einmaligen Einrichtungsgebühr in gleicher Höhe. Auf 730 Stunden gerechnet sind das 2,9 Cent pro Stunde. Im ersten Jahr, in dem die Einrichtungsgebühr mitläuft, liegt der Gesamtbetrag bei 272,87 Euro und damit bei 3,1 Cent je Stunde des Jahres. Jede stundenweise Abrechnung, die günstiger sein soll, muss diese Zahl unterbieten, und zwar rund um die Uhr.

Der Festpreis macht Leerlaufstunden allerdings nicht billiger, sondern unsichtbar. Läuft dieselbe Maschine nur acht Stunden am Tag, also rund 243 Stunden im Monat, kosten diese Stunden 8,6 Cent, weil die restlichen 487 mitbezahlt werden. Ein Workload mit ausgeprägten Lastspitzen und langen Ruhephasen rechnet sich weiterhin variabel.

Zur Ehrlichkeit gehört auch, was der niedrige Preis an Zusage kostet. Für die Eco Dedicated Server nennt der Anbieter ein SLA von 99,90 Prozent, für seine Public-Cloud-Instanzen dagegen eine garantierte Verfügbarkeit von über 99,99 Prozent, Discovery-Instanzen ausgenommen. 99,90 Prozent bedeuten rechnerisch rund 43 Minuten zulässigen Ausfall im Monat und knapp neun Stunden im Jahr. Der Backup Agent ist in dieser Reihe eine kostenpflichtige Option. Und wer sich länger bindet, verschiebt den Vergleichspunkt erneut: Auf die Instanzen gewährt derselbe Anbieter mit Savings Plans bis zu 30 Prozent Rabatt.

Wer wechselt, hat seit September 2025 ein Recht darauf

Die dritte Kostenschicht fällt erst beim Weggehen an, und Angebotsvergleiche führen sie selten. Hier hat sich die Rechtslage bewegt. Nach den Vorgaben des EU Data Act, die laut Bundesnetzagentur seit dem 12. September 2025 für alte wie neue Verträge gelten, hat ein Anbieter nach der Wechselmitteilung höchstens zwei Monate für die technische Vorbereitung, und der Übergangszeitraum beträgt 30 Kalendertage.

Bei den Entgelten gilt eine Staffel: Vom 11. Januar 2024 bis zum 12. Januar 2027 sind nur Kosten in unmittelbarem Zusammenhang mit dem Wechsel berechenbar, ab dem 12. Januar 2027 entfällt das Wechselentgelt vollständig.

Bis dahin bleibt der laufende Datenausgang eine reale Position. Google Cloud weist für ausgehenden Internet-Traffic aus europäischen Regionen im Premium Tier 0,12 US-Dollar pro GiB oberhalb des ersten freien GiB aus, im Standard Tier 0,085 US-Dollar pro GiB oberhalb von 200 freien GiB (Stand: 8. September 2026). Ein Terabyte ausgehendes Video kostet im Premium Tier damit rund 123 US-Dollar im Monat, ein Vielfaches der Maschine, auf der es liegt.

Das gilt allerdings anbieterspezifisch. OVHcloud erklärt ausgehenden öffentlichen Traffic in allen Regionen außer dem asiatisch-pazifischen Raum für im Instanzpreis enthalten, und die Eco-Server kommen mit unbegrenztem, kostenlosem ein- und ausgehendem Traffic in Europa, den USA und Kanada. Wer Egress-Kosten als Argument gegen die Cloud hört, sollte fragen, gegen welche.

Die feinere Bewegung steht ohnehin auf derselben Preisliste und geht in die andere Richtung: Zum 1. Oktober 2026 nimmt OVHcloud lokalen Speicher und die IPv4-Adresse aus dem Preis der b3-, c3- und r3-Instanzen heraus und berechnet beides separat. Aus einer Position werden drei. Genau so entstehen versteckte Kosten, und man findet sie in der Fußnote des Anbieters.

Fünf Fragen vor der Bestellung

Die folgenden fünf Fragen sollten Sie vor der Bestellung klären:

1. Rollen: Wer ist Verantwortlicher, wer Auftragsverarbeiter, und liegt der Vertrag nach Artikel 28 tatsächlich vor, mit allen dort aufgezählten Punkten?
2. Gegenseite: Welche juristische Person steht im Vertrag, in welchem Handelsregister ist sie eingetragen, welchem Recht unterliegt sie?
3. Traffic: Was kostet ausgehender Verkehr heute, was ist ab welchem Datum separat berechenbar, und was passiert beim Umzug?
4. Auslastung (die einzige Frage, die sich messen lässt): Wie viele Stunden im Monat läuft die Maschine wirklich unter Last?
5. Verfügbarkeit (steht meist nur in den besonderen Bedingungen): Welches Verfügbarkeitsversprechen gilt für genau diese Produktreihe, und welche Ausfälle sind davon ausgenommen?

Die Antwort auf die Frage in der Überschrift ist nein, und das ist eine gute Nachricht. Ein Standort in Frankfurt erspart die Prüfung eines Drittlandtransfers und erledigt ansonsten nichts. Alles danach steht in einem Vertrag, den man selbst schließt, und in Maßnahmen, die man selbst ergreift. Der Serverstandort ist die einfachste Entscheidung in dieser Kette und die einzige, die sich mit einer Postleitzahl beantworten lässt.