Datensouveränität: Hosting in Deutschland für Kommunen

Wenn eine Gemeinde eine App einführt, laufen darüber schnell sensible Informationen: Meldungen von Bürger:innen, Kontaktdaten, Anliegen aus dem Rathaus, teils personenbezogene Verwaltungsvorgänge. Für all diese Daten stellt sich früher oder später die Frage, die in Ausschreibungen und Datenschutzprüfungen immer wieder auftaucht: Wo genau liegen die Server, und wer kann darauf zugreifen? Der Begriff dafür lautet Datensouveränität – und für Kommunen ist er weit mehr als ein Marketingversprechen.

Dieser Beitrag ordnet ein, warum der Serverstandort Deutschland beziehungsweise EU für Kommunal-Apps eine so große Rolle spielt, welche rechtlichen Fallstricke bei US-Anbietern lauern und worauf Sie bei der Auswahl achten sollten. Er ersetzt keine Rechtsberatung, sondern gibt Ihnen die Argumente an die Hand, die Sie für Gespräche mit Ihrem Datenschutzbeauftragten und für Ausschreibungen brauchen (Stand 2026, bitte prüfen).

Was Datensouveränität bedeutet

Datensouveränität beschreibt die tatsächliche Kontrolle darüber, wer wann und unter welchen Bedingungen auf Daten zugreifen kann. Es geht also nicht nur darum, wo Daten physisch gespeichert sind, sondern welchem Recht der Betreiber unterliegt und wer ihn zur Herausgabe zwingen könnte.

Für Kommunen wiegt dieser Punkt besonders schwer. Verwaltungen verarbeiten hoheitliche Daten und Informationen, die Bürger:innen ihnen im Vertrauen anvertrauen. Wer eine App der Gemeinde nutzt, geht selbstverständlich davon aus, dass diese Daten in Deutschland bleiben und nicht in den Zugriffsbereich einer ausländischen Behörde geraten. Datensouveränität ist damit auch eine Frage der Glaubwürdigkeit gegenüber den Menschen vor Ort.

Das CLOUD-Act-Problem

Der US-amerikanische CLOUD Act erlaubt es US-Behörden, von US-Unternehmen die Herausgabe von Daten zu verlangen – unabhängig davon, wo diese Daten physisch gespeichert sind. Das ist der entscheidende und oft übersehene Punkt: Auch wenn ein Anbieter seine Server in einem Rechenzentrum innerhalb der EU betreibt, kann er zur Herausgabe verpflichtet werden, sofern das Unternehmen der US-Jurisdiktion unterliegt (Stand 2026, bitte prüfen).

Ein EU-Rechenzentrum allein löst das Problem also nicht. Entscheidend ist, wem das Unternehmen gehört und welchem Recht es untersteht. Eine deutsche Tochtergesellschaft eines US-Konzerns kann weiterhin in den Anwendungsbereich des CLOUD Act fallen. Für Kommunen entsteht daraus ein handfestes Risiko: Sie müssten im Zweifel damit rechnen, dass Bürgerdaten außerhalb des deutschen und europäischen Rechtsrahmens abgerufen werden könnten.

Drittlandtransfer nach Kapitel V DSGVO

Sobald personenbezogene Daten in ein Land außerhalb der EU übermittelt werden – oder von dort aus zugänglich sind – greift Kapitel V der DSGVO. Der Einsatz von US-Cloud-Diensten ist damit nicht generell verboten, aber an Bedingungen geknüpft. Zulässig ist er nur, wenn eine der vorgesehenen Garantien vorliegt.

• Zertifizierung des Anbieters nach dem Data Privacy Framework (DPF) als Grundlage für den Transfer in die USA.
• Alternativ Standardvertragsklauseln (SCC) in Kombination mit einem Transfer-Impact-Assessment (TIA), das die tatsächliche Rechtslage im Drittland bewertet.
• Ergänzende Zusatzmaßnahmen, etwa starke Verschlüsselung oder ein Bring-Your-Own-Key-Ansatz (BYOK), damit der Anbieter selbst die Daten nicht im Klartext einsehen kann.

Diese Anforderungen sind erfüllbar, aber aufwändig. Sie müssen dokumentiert, regelmäßig überprüft und bei einer Prüfung durch die Aufsichtsbehörde belegt werden. Für eine kleine oder mittlere Kommune bedeutet das erheblichen Aufwand für eine Konstellation, die man mit der richtigen Anbieterwahl von vornherein vermeiden kann (Stand 2026, bitte prüfen).

Warum EU/DE-Hosting die einfachere Antwort ist

Anbieter, die in europäischen Rechenzentren hosten und selbst ausschließlich europäischem Recht unterliegen, fallen nicht unter den CLOUD Act. Damit entfällt der gesamte Prüf- und Dokumentationsaufwand rund um den Drittlandtransfer. Es gibt keinen Transfer, für den Garantien nachzuweisen wären, und keine Restunsicherheit über den Zugriff durch ausländische Behörden.

Für Kommunen ist das die deutlich schlankere und rechtssicherere Variante. Datensouveränität entsteht hier nicht durch eine Kette von Schutzmaßnahmen, die man mühsam absichern muss, sondern schlicht dadurch, dass die kritische Konstellation gar nicht erst auftritt. Weniger Aufwand, weniger Risiko, klarere Verhältnisse gegenüber Bürger:innen und Aufsichtsbehörde.

Serverstandort Deutschland – Substanz statt Siegel

Der Werbebegriff Serverstandort Deutschland taucht inzwischen bei vielen Anbietern auf. Er ist jedoch nur so viel wert wie die Substanz dahinter. Entscheidend ist nicht allein der physische Standort, sondern die Jurisdiktion des Betreibers. Ein Server in Frankfurt hilft wenig, wenn das dahinterstehende Unternehmen US-Recht unterliegt.

Prüfen Sie daher konkret: Welchem Recht unterliegt der Betreiber selbst? Werden Subunternehmer eingesetzt, und wo sitzen diese – ein Punkt, der eng mit dem Auftragsverarbeitungsvertrag zusammenhängt? Und wie werden die Daten verschlüsselt, im Transit wie im Ruhezustand? Erst wenn diese Fragen sauber beantwortet sind, steht hinter dem Siegel auch echte Datensouveränität.

Beschaffung: Was Kommunen oft fordern (dürfen)

In öffentlichen Ausschreibungen ist es zulässig und weit verbreitet, eine EU-souveräne Cloud oder ein Hosting in Deutschland als Anforderung festzuschreiben. Kommunen dürfen den Serverstandort und die Jurisdiktion des Betreibers zum Vergabekriterium machen, um Datensouveränität und DSGVO-Konformität sicherzustellen. Häufig ist das sogar eine explizite Vorgabe der jeweiligen kommunalen Datenschutzrichtlinien (Stand 2026, bitte prüfen).

Der Nachweis erfolgt üblicherweise über den Auftragsverarbeitungsvertrag (AVV), in dem Serverstandort, eingesetzte Subunternehmer und technische Schutzmaßnahmen dokumentiert sind. Wer diese Unterlagen bereits vorliegen hat, spart im Vergabeverfahren und in der Datenschutz-Dokumentation viel Zeit.

Fazit für Kommunen

Die Frage nach dem Serverstandort ist für Kommunen keine Nebensache, sondern eine Kernentscheidung mit rechtlichen Folgen. US-Cloud-Dienste sind nicht per se verboten, verlangen aber einen aufwändigen Nachweisapparat aus DPF oder SCC, TIA und Zusatzmaßnahmen. Ein Anbieter, der ausschließlich in Deutschland und unter deutschem Recht hostet, macht diesen ganzen Apparat überflüssig – und schafft Vertrauen bei den Menschen vor Ort.

Genau hier setzt die Gemeinde-App an: Sie wird über das Feature „Hosting auf sicheren Servern in Deutschland“ betrieben. Datensouveränität ist damit von Anfang an Teil des Produkts und muss nicht nachträglich erkämpft werden. Zusammen mit dem bereitliegenden AVV haben Kommunen den Serverstandort für Ausschreibung und Datenschutz-Dokumentation belastbar geklärt – ohne juristische Klimmzüge und ohne Umweg über eine US-Cloud.

Datensouveränität entsteht nicht durch ein Siegel, sondern durch die Jurisdiktion des Betreibers – wer in Deutschland hostet, klärt die Frage, bevor sie in der Ausschreibung gestellt wird.