Ratgeber
EU-Server oder US-Cloud: Was der Speicherort für Mandantendaten bedeutet
Für Mandantendaten macht der Speicherort einen handfesten Unterschied: Liegen die Daten On-Premise auf Servern in der Kanzlei, bleiben sie im eigenen Haus, und Fragen der Drittlandübermittlung stellen sich nicht; auch bei einem europäischen Cloud-Anbieter gilt europäisches Datenschutzrecht unmittelbar. Das erleichtert die Pflichten aus DSGVO und Verschwiegenheitspflicht (§ 9 RAO); die Bewertung obliegt der Kanzlei bzw. ihrer Kammer. Bei US-Cloud-Diensten kommen zwei Ebenen hinzu: die rechtliche Frage der Drittlandübermittlung und die praktische Frage, welchen Zugriff US-Behörden und Konzernstrukturen auf die Daten haben. Verboten ist die US-Cloud nicht — aber sie verlangt Prüfaufwand und Vertrauen, die ein On-Premise-System schlicht nicht benötigt.
Dieser Artikel vergleicht die drei Speicherorte aus rechtlicher Sicht: anwendbares Recht, Drittlandübermittlung, Behördenzugriff und Dokumentationsaufwand. Wie der Betrieb auf einem Server in der Kanzlei praktisch aussieht, wer ihn betreut und welche Systeme sich dafür eignen, beschreibt On-Premise in der Kanzlei.
In Kürze
- Der Speicherort entscheidet mit, welches Recht auf Mandantendaten anwendbar ist und wie viel Kontrolle die Kanzlei behält.
- Übermittlungen in die USA sind Drittlandübermittlungen im Sinne der DSGVO und brauchen eine tragfähige Rechtsgrundlage — etwa den jeweils geltenden Angemessenheitsbeschluss.
- Frühere Angemessenheitsbeschlüsse für die USA wurden vom Europäischen Gerichtshof aufgehoben; wer auf sie baut, baut auf eine veränderliche Grundlage.
- Auch EU-Rechenzentren von US-Anbietern lösen nicht jede Frage, weil US-Recht Unternehmen unter Umständen zur Datenherausgabe verpflichten kann.
- Die größte Datenhoheit bietet On-Premise: Die Daten liegen auf Servern in der Kanzlei und unter ihrer Kontrolle. Eine EU-Cloud bei einem europäischen Anbieter mit klaren Verträgen ist die Alternative mit weniger Eigenaufwand.
- Öffentliche Consumer-KI-Tools sind für Mandantendaten unabhängig vom Standort ungeeignet, weil die Kontrolle über die Datenwege fehlt.
Worum geht es bei der Standortfrage eigentlich?
Hinter dem Begriffstrio „On-Premise, EU-Cloud oder US-Cloud“ stecken zwei getrennte Fragen, die oft vermischt werden. Die erste: Wo stehen die Server physisch, auf denen die Daten liegen — im eigenen Haus, bei einem europäischen Anbieter oder bei einem US-Konzern? Die zweite: Welchem Recht unterliegt das Unternehmen, das sie betreibt? Beide Fragen haben eigene Konsequenzen.
Der physische Standort bestimmt unter anderem, ob eine Drittlandübermittlung im Sinne der DSGVO vorliegt. Die Unternehmenszugehörigkeit bestimmt, welche staatlichen Zugriffsrechte greifen können: US-Recht kennt Regelungen, nach denen US-Unternehmen unter bestimmten Voraussetzungen zur Herausgabe von Daten verpflichtet werden können — nach verbreiteter Lesart auch dann, wenn diese Daten auf Servern außerhalb der USA liegen. Ein EU-Rechenzentrum eines US-Konzerns beantwortet also die erste Frage, aber nicht vollständig die zweite. Bei On-Premise stellt sich die zweite Frage nicht, weil kein fremdes Unternehmen die Daten betreibt.
Für Kanzleien ist diese Unterscheidung wichtiger als für die meisten anderen Branchen, weil neben der DSGVO die Verschwiegenheitspflicht nach § 9 RAO steht: Viele Kanzleien leiten daraus ab, dass sie die Kontrolle über anvertraute Informationen behalten müssen — und Kontrolle ist genau das, was bei mehrstufigen Konzern- und Rechtskonstruktionen schwer nachweisbar wird. Zur Einordnung: Dieser Artikel ist keine Rechtsberatung; die Bewertung des konkreten Setups bleibt bei der Kanzlei.
On-Premise, EU-Cloud und US-Cloud im direkten Vergleich
Die folgende Tabelle stellt die drei Varianten entlang der Kriterien gegenüber, die für Kanzleien praktisch relevant sind. On-Premise ist dabei die Variante, die wir empfehlen, weil die Daten im eigenen Haus bleiben:
| Kriterium | On-Premise (Server in der Kanzlei) | EU-Cloud (europäischer Anbieter) | US-Cloud (US-Anbieter) |
|---|---|---|---|
| Anwendbares Datenschutzrecht | DSGVO unmittelbar, keine Drittlandfrage | DSGVO unmittelbar, keine Drittlandfrage | DSGVO plus Drittlandübermittlung mit eigener Rechtsgrundlage |
| Rechtsgrundlage der Übermittlung | Nicht erforderlich (Daten bleiben im Haus) | Nicht erforderlich (keine Übermittlung ins Drittland), aber Auftragsverarbeitungsvertrag nötig | Angemessenheitsbeschluss oder Standardvertragsklauseln nötig |
| Stabilität der Rechtsgrundlage | Hoch — unabhängig von transatlantischen Abkommen | Hoch — unabhängig von transatlantischen Abkommen | Veränderlich: frühere Beschlüsse wurden gerichtlich aufgehoben |
| Behördenzugriff aus Drittstaaten | Kein Dritter betreibt die Daten | Kein US-Rechtsbezug, sofern kein US-Konzern dahintersteht | Herausgabepflichten nach US-Recht möglich, auch bei EU-Rechenzentren |
| Nachweis der Verschwiegenheit | Direkt: Speicherort und Zugriff liegen in der Kanzlei und sind belegbar | Indirekt: abhängig von Vertrag und Betrieb durch den Anbieter | Indirekt: abhängig von Vertragsketten und Konzernzusagen |
| Prüf- und Dokumentationsaufwand | Gering bis mittel | Mittel | Hoch: Übermittlungsgrundlage, Garantien, Zertifizierungen |
| Kontrolle über KI-Training mit Eingaben | Bei lokal betriebenem Modell technisch ausgeschlossen, sonst vertraglich ausgeschlossen | Vertraglich auszuschließen, Kontrolle eingeschränkt | Nur vertraglich ausschließbar, Kontrolle eingeschränkt |
| Eigenaufwand | Hardware und Wartung nötig (Betreuung durch Dienstleister möglich) | Gering | Gering |
Das Bild ist deutlich, aber nicht schwarz-weiß: Die US-Cloud ist kein verbotenes Terrain, und seriöse US-Anbieter bieten Auftragsverarbeitungsverträge, EU-Rechenzentren und Zertifizierungen. Der Unterschied liegt im Aufwand und in der Restunsicherheit — die Kanzlei muss mehr prüfen, mehr dokumentieren und mehr vertrauen. Ehrlich gehört auch dazu: On-Premise braucht Hardware und laufende Wartung; dafür bleibt die Kontrolle am vollständigsten im eigenen Haus. Welcher Betriebsaufwand konkret entsteht und wie ein Dienstleister ihn übernehmen kann, zeigt On-Premise in der Kanzlei.
Warum ist die Rechtsgrundlage für US-Übermittlungen ein wackliges Fundament?
Übermittlungen personenbezogener Daten in die USA stützen sich in der Praxis meist auf einen Angemessenheitsbeschluss der EU-Kommission oder auf Standardvertragsklauseln. Die Geschichte dieser Grundlagen mahnt zur Vorsicht: Der Europäische Gerichtshof hat mit den Entscheidungen zu Safe Harbor und später zum Privacy Shield bereits zwei transatlantische Datenschutzabkommen für ungültig erklärt. Auch zum aktuellen Rahmen gibt es kritische Stimmen und die Möglichkeit erneuter gerichtlicher Überprüfung.
Für die Kanzleiplanung heißt das nicht, dass US-Dienste morgen unzulässig werden — es heißt, dass eine Architektur, die vollständig von einer solchen Grundlage abhängt, ein eingebautes Änderungsrisiko trägt. Wer Mandantendaten langfristig sicher aufstellen will, wählt eine Lösung, die auch dann trägt, wenn sich die transatlantische Rechtslage erneut verschiebt. Informationen zu den datenschutzrechtlichen Grundlagen stellt die österreichische Datenschutzbehörde auf ihrer Website bereit.
Was bedeutet das für den KI-Einsatz in der Kanzlei?
Bei KI-Diensten verschärft sich die Standortfrage, weil zu Speicherung und Zugriff eine dritte Dimension kommt: die Weiterverwendung der Eingaben. Consumer-KI-Tools — typischerweise von US-Anbietern — können Eingaben zum Training ihrer Modelle verwenden; die Kanzlei kontrolliert dort weder Speicherort noch Verwendungszweck. Für Mandantendaten sind solche Werkzeuge deshalb unabhängig von der Standortdebatte ungeeignet.
Bei Business-Varianten lässt sich das Training vertraglich ausschließen, die Drittlandfragen bleiben aber bestehen. Die konsequenteste Antwort ist ein On-Premise betriebenes KI-System auf Servern in der Kanzlei: Läuft auch das Sprachmodell in einer Umgebung, die im eigenen Haus steht, verlassen Mandantendaten diese Umgebung nicht, und ein Training durch Dritte ist technisch ausgeschlossen statt nur vertraglich versprochen. Wird ein externes Modell angebunden, geht nur ein minimierter Ausschnitt hinaus — dann ist das Training vertraglich ausgeschlossen, und Verarbeitungsort und AVV gehören geprüft. Wie eine solche Umgebung technisch und organisatorisch abgesichert wird, zeigt unsere Seite zu DSGVO und Datensicherheit. Ein typischer Anwendungsfall ist der Posteingang, in dem täglich Mandantendaten ankommen; wie eingehende Nachrichten dort vorsortiert und Antwortentwürfe zur Freigabe vorbereitet werden, beschreibt die Seite zur E-Mail-Automatisierung für Kanzleien.
Unabhängig vom Standort gilt dabei die Grundregel jedes seriösen KI-Einsatzes: Die Systeme liefern Entwürfe, ein Mensch prüft und gibt frei. Datenhoheit ersetzt keine fachliche Kontrolle — sie stellt nur sicher, dass die Arbeit an vertraulichen Inhalten im geschützten Raum stattfindet.
Wie treffen Kanzleien die Standortentscheidung konkret?
Für die Praxis hat sich eine einfache Prüfreihenfolge bewährt:
- Datenkategorie klären: Enthält das System Mandantendaten oder mandatsbezogene Inhalte? Wenn ja, gelten die strengsten Maßstäbe. Rein interne, nicht personenbezogene Inhalte sind flexibler.
- On-Premise zuerst prüfen: Lässt sich der Zweck mit einem System auf einem Server in der Kanzlei abdecken? Wenn ja, ist das der Standardweg — er vermeidet die Drittlandfragen komplett und hält die Daten im eigenen Haus. Wo Hardware und Wartung nicht im Verhältnis stehen, ist ein geprüfter europäischer Cloud-Anbieter die Alternative.
- US-Dienste bewusst entscheiden: Wo ein US-Dienst fachlich klar überlegen oder alternativlos ist, die Übermittlungsgrundlage prüfen, den Auftragsverarbeitungsvertrag und den Trainingsausschluss dokumentieren — und das Änderungsrisiko der Rechtslage einplanen.
- Ausstieg mitdenken: Bei jedem Dienst klären, wie die Daten wieder herauskommen. Ein Anbieterwechsel darf kein Notfallprojekt sein.
Wie diese Standortfrage in die datenschutz- und berufsrechtliche Gesamtstrategie der Kanzlei passt — von der Anbieterprüfung bis zu Auftragsverarbeitungsverträgen —, behandelt ausführlich unser Leitfaden zu KI und DSGVO in der Kanzlei.
Wenn Sie für Ihre Kanzlei klären möchten, welche Systeme On-Premise laufen sollten und wo Handlungsbedarf besteht, ist ein unverbindliches Erstgespräch der einfachste nächste Schritt: Kontakt aufnehmen.
Quellen
Häufige Fragen
Warum ist der Speicherort für Kanzleien überhaupt wichtig?
Der Speicherort bestimmt mit, welches Recht auf die gespeicherten Daten anwendbar ist und wie leicht die Kanzlei ihre DSGVO-Pflichten erfüllen kann. Liegen die Daten im eigenen Haus oder auf Servern in der EU, gilt europäisches Datenschutzrecht unmittelbar; bei US-Anbietern kommen Fragen der Drittlandübermittlung und des Zugriffs durch US-Behörden hinzu. Für einen Berufsstand mit Verschwiegenheitspflicht ist diese Kontrollfrage zentral.
Ist die Nutzung von US-Cloud-Diensten für Kanzleien verboten?
Nein, ein generelles Verbot besteht nicht. Übermittlungen in die USA können auf Grundlage des jeweils geltenden Angemessenheitsbeschlusses und vertraglicher Garantien zulässig sein. Die Kanzlei muss die Rechtsgrundlage aber prüfen und dokumentieren — und sollte einkalkulieren, dass solche Beschlüsse in der Vergangenheit von Gerichten gekippt wurden und sich die Rechtslage ändern kann.
Reicht es, wenn ein US-Anbieter Rechenzentren in der EU betreibt?
Nur teilweise. Ein EU-Rechenzentrum verbessert die Lage, löst aber nicht jede Frage: US-Unternehmen können nach US-Recht unter Umständen auch zur Herausgabe von Daten verpflichtet werden, die außerhalb der USA gespeichert sind. Wer diese Restfrage vermeiden will, wählt europäische Anbieter ohne US-Konzernbezug oder betreibt die Systeme On-Premise auf Servern in der Kanzlei.
Was bedeutet Drittlandübermittlung nach der DSGVO?
Eine Drittlandübermittlung liegt vor, wenn personenbezogene Daten in ein Land außerhalb der EU beziehungsweise des EWR übermittelt werden — etwa in die USA. Solche Übermittlungen sind nur zulässig, wenn ein angemessenes Schutzniveau gewährleistet ist, zum Beispiel durch einen Angemessenheitsbeschluss der EU-Kommission oder Standardvertragsklauseln mit zusätzlichen Garantien.
Welche Lösung bietet Kanzleien die größte Datenhoheit?
Die größte Kontrolle bietet ein On-Premise-System auf Servern in der Kanzlei. Dort greifen weder fremde Konzernstrukturen noch fragliche Übermittlungsgrundlagen; die Kanzlei bestimmt Speicherort, Zugriff und Löschung selbst. Dafür braucht es Hardware und laufende Wartung, die ein Dienstleister übernehmen kann. Ein geprüfter EU-Cloud-Anbieter mit Auftragsverarbeitungsvertrag ist eine mögliche Alternative mit weniger Eigenaufwand.