Warum ist der Serverstandort für Kanzleien überhaupt wichtig?

Der Serverstandort bestimmt mit, welches Recht auf die gespeicherten Daten anwendbar ist und wie leicht die Kanzlei ihre DSGVO-Pflichten erfüllen kann. Bei Servern in der EU gilt europäisches Datenschutzrecht unmittelbar; bei US-Anbietern kommen Fragen der Drittlandübermittlung und des Zugriffs durch US-Behörden hinzu. Für einen Berufsstand mit Verschwiegenheitspflicht ist diese Kontrollfrage zentral.

Ist die Nutzung von US-Cloud-Diensten für Kanzleien verboten?

Nein, ein generelles Verbot besteht nicht. Übermittlungen in die USA können auf Grundlage des jeweils geltenden Angemessenheitsbeschlusses und vertraglicher Garantien zulässig sein. Die Kanzlei muss die Rechtsgrundlage aber prüfen und dokumentieren — und sollte einkalkulieren, dass solche Beschlüsse in der Vergangenheit von Gerichten gekippt wurden und sich die Rechtslage ändern kann.

Reicht es, wenn ein US-Anbieter Rechenzentren in der EU betreibt?

Nur teilweise. Ein EU-Rechenzentrum verbessert die Lage, löst aber nicht jede Frage: US-Unternehmen können nach US-Recht unter Umständen auch zur Herausgabe von Daten verpflichtet werden, die außerhalb der USA gespeichert sind. Wer diese Restfrage vermeiden will, wählt europäische Anbieter ohne US-Konzernbezug oder hostet selbst.

Was bedeutet Drittlandübermittlung nach der DSGVO?

Eine Drittlandübermittlung liegt vor, wenn personenbezogene Daten in ein Land außerhalb der EU beziehungsweise des EWR übermittelt werden — etwa in die USA. Solche Übermittlungen sind nur zulässig, wenn ein angemessenes Schutzniveau gewährleistet ist, zum Beispiel durch einen Angemessenheitsbeschluss der EU-Kommission oder Standardvertragsklauseln mit zusätzlichen Garantien.

Welche Lösung bietet Kanzleien die größte Datenhoheit?

Die größte Kontrolle bietet ein selbst gehostetes System auf Servern in der EU, die der Kanzlei zugeordnet sind. Dort greifen weder fremde Konzernstrukturen noch fragliche Übermittlungsgrundlagen; die Kanzlei bestimmt Speicherort, Zugriff und Löschung selbst. Ein geprüfter EU-Anbieter mit Auftragsverarbeitungsvertrag ist die zweitbeste Option.

EU-Server oder US-Cloud: Der Unterschied für Mandantendaten

Für Mandantendaten macht der Serverstandort einen handfesten Unterschied: Auf EU-Servern gilt europäisches Datenschutzrecht unmittelbar, und die Kanzlei kann ihre Pflichten aus DSGVO und Verschwiegenheitspflicht (§ 9 RAO) ohne Drittland-Konstruktion erfüllen. Bei US-Cloud-Diensten kommen zwei Ebenen hinzu: die rechtliche Frage der Drittlandübermittlung und die praktische Frage, welchen Zugriff US-Behörden und Konzernstrukturen auf die Daten haben. Verboten ist die US-Cloud nicht — aber sie verlangt Prüfaufwand und Vertrauen, die ein EU-Server schlicht nicht benötigt.

In Kürze

Der Serverstandort entscheidet mit, welches Recht auf Mandantendaten anwendbar ist und wie viel Kontrolle die Kanzlei behält.
Übermittlungen in die USA sind Drittlandübermittlungen im Sinne der DSGVO und brauchen eine tragfähige Rechtsgrundlage — etwa den jeweils geltenden Angemessenheitsbeschluss.
Frühere Angemessenheitsbeschlüsse für die USA wurden vom Europäischen Gerichtshof aufgehoben; wer auf sie baut, baut auf eine veränderliche Grundlage.
Auch EU-Rechenzentren von US-Anbietern lösen nicht jede Frage, weil US-Recht Unternehmen unter Umständen zur Datenherausgabe verpflichten kann.
Die größte Datenhoheit bieten EU-Server unter Kontrolle der Kanzlei — selbst gehostet oder bei einem europäischen Anbieter mit klaren Verträgen.
Öffentliche Consumer-KI-Tools sind für Mandantendaten unabhängig vom Standort ungeeignet, weil die Kontrolle über die Datenwege fehlt.

Worum geht es bei der Standortfrage eigentlich?

Hinter dem Begriffspaar „EU-Server oder US-Cloud“ stecken zwei getrennte Fragen, die oft vermischt werden. Die erste: Wo stehen die Server physisch, auf denen die Daten liegen? Die zweite: Welchem Recht unterliegt das Unternehmen, das sie betreibt? Beide Fragen haben eigene Konsequenzen.

Der physische Standort bestimmt unter anderem, ob eine Drittlandübermittlung im Sinne der DSGVO vorliegt. Die Unternehmenszugehörigkeit bestimmt, welche staatlichen Zugriffsrechte greifen können: US-Recht kennt Regelungen, nach denen US-Unternehmen unter bestimmten Voraussetzungen zur Herausgabe von Daten verpflichtet werden können — nach verbreiteter Lesart auch dann, wenn diese Daten auf Servern außerhalb der USA liegen. Ein EU-Rechenzentrum eines US-Konzerns beantwortet also die erste Frage, aber nicht vollständig die zweite.

Für Kanzleien ist diese Unterscheidung wichtiger als für die meisten anderen Branchen, weil neben der DSGVO die Verschwiegenheitspflicht nach § 9 RAO steht: Sie verlangt Kontrolle über anvertraute Informationen — und Kontrolle ist genau das, was bei mehrstufigen Konzern- und Rechtskonstruktionen schwer nachweisbar wird. Zur Einordnung: Dieser Artikel ist keine Rechtsberatung; die Bewertung des konkreten Setups bleibt bei der Kanzlei.

EU-Server und US-Cloud im direkten Vergleich

Die folgende Tabelle stellt die beiden Welten entlang der Kriterien gegenüber, die für Kanzleien praktisch relevant sind:

Kriterium	EU-Server (europäischer Anbieter oder selbst gehostet)	US-Cloud (US-Anbieter)
Anwendbares Datenschutzrecht	DSGVO unmittelbar, keine Drittlandfrage	DSGVO plus Drittlandübermittlung mit eigener Rechtsgrundlage
Rechtsgrundlage der Übermittlung	Nicht erforderlich (keine Übermittlung ins Drittland)	Angemessenheitsbeschluss oder Standardvertragsklauseln nötig
Stabilität der Rechtsgrundlage	Hoch — unabhängig von transatlantischen Abkommen	Veränderlich: frühere Beschlüsse wurden gerichtlich aufgehoben
Behördenzugriff aus Drittstaaten	Kein US-Rechtsbezug	Herausgabepflichten nach US-Recht möglich, auch bei EU-Rechenzentren
Nachweis der Verschwiegenheit	Direkt: Speicherort und Zugriff sind belegbar	Indirekt: abhängig von Vertragsketten und Konzernzusagen
Prüf- und Dokumentationsaufwand	Gering bis mittel	Hoch: Übermittlungsgrundlage, Garantien, Zertifizierungen
Kontrolle über KI-Training mit Eingaben	Bei Self-Hosting technisch ausgeschlossen	Nur vertraglich ausschließbar, Kontrolle eingeschränkt

Das Bild ist deutlich, aber nicht schwarz-weiß: Die US-Cloud ist kein verbotenes Terrain, und seriöse US-Anbieter bieten Auftragsverarbeitungsverträge, EU-Rechenzentren und Zertifizierungen. Der Unterschied liegt im Aufwand und in der Restunsicherheit — die Kanzlei muss mehr prüfen, mehr dokumentieren und mehr vertrauen.

Warum ist die Rechtsgrundlage für US-Übermittlungen ein wackliges Fundament?

Übermittlungen personenbezogener Daten in die USA stützen sich in der Praxis meist auf einen Angemessenheitsbeschluss der EU-Kommission oder auf Standardvertragsklauseln. Die Geschichte dieser Grundlagen mahnt zur Vorsicht: Der Europäische Gerichtshof hat mit den Entscheidungen zu Safe Harbor und später zum Privacy Shield bereits zwei transatlantische Datenschutzabkommen für ungültig erklärt. Auch zum aktuellen Rahmen gibt es kritische Stimmen und die Möglichkeit erneuter gerichtlicher Überprüfung.

Für die Kanzleiplanung heißt das nicht, dass US-Dienste morgen unzulässig werden — es heißt, dass eine Architektur, die vollständig von einer solchen Grundlage abhängt, ein eingebautes Änderungsrisiko trägt. Wer Mandantendaten langfristig sicher aufstellen will, wählt eine Lösung, die auch dann trägt, wenn sich die transatlantische Rechtslage erneut verschiebt. Informationen zu den datenschutzrechtlichen Grundlagen stellt die österreichische Datenschutzbehörde auf ihrer Website bereit.

Was bedeutet das für den KI-Einsatz in der Kanzlei?

Bei KI-Diensten verschärft sich die Standortfrage, weil zu Speicherung und Zugriff eine dritte Dimension kommt: die Weiterverwendung der Eingaben. Consumer-KI-Tools — typischerweise von US-Anbietern — können Eingaben zum Training ihrer Modelle verwenden; die Kanzlei kontrolliert dort weder Speicherort noch Verwendungszweck. Für Mandantendaten sind solche Werkzeuge deshalb unabhängig von der Standortdebatte ungeeignet.

Bei Business-Varianten lässt sich das Training vertraglich ausschließen, die Drittlandfragen bleiben aber bestehen. Die konsequenteste Antwort ist ein selbst gehostetes KI-System auf EU-Servern: Das Sprachmodell läuft in einer Umgebung, die der Kanzlei zugeordnet ist, Mandantendaten verlassen diese Umgebung nicht, und ein Training durch Dritte ist technisch unmöglich statt nur vertraglich versprochen. Wie eine solche Umgebung technisch und organisatorisch abgesichert wird, zeigt unsere Seite zu DSGVO und Datensicherheit.

Unabhängig vom Standort gilt dabei die Grundregel jedes seriösen KI-Einsatzes: Die Systeme liefern Entwürfe, ein Mensch prüft und gibt frei. Datenhoheit ersetzt keine fachliche Kontrolle — sie stellt nur sicher, dass die Arbeit an vertraulichen Inhalten im geschützten Raum stattfindet.

Wie treffen Kanzleien die Standortentscheidung konkret?

Für die Praxis hat sich eine einfache Prüfreihenfolge bewährt:

Datenkategorie klären: Enthält das System Mandantendaten oder mandatsbezogene Inhalte? Wenn ja, gelten die strengsten Maßstäbe. Rein interne, nicht personenbezogene Inhalte sind flexibler.
EU-First anwenden: Gibt es für den Zweck eine europäische oder selbst gehostete Lösung? Wenn ja, ist sie der Standardweg — sie vermeidet die Drittlandfragen komplett.
US-Dienste bewusst entscheiden: Wo ein US-Dienst fachlich klar überlegen oder alternativlos ist, die Übermittlungsgrundlage prüfen, den Auftragsverarbeitungsvertrag und den Trainingsausschluss dokumentieren — und das Änderungsrisiko der Rechtslage einplanen.
Ausstieg mitdenken: Bei jedem Dienst klären, wie die Daten wieder herauskommen. Ein Anbieterwechsel darf kein Notfallprojekt sein.

Wie diese Standortfrage in die datenschutz- und berufsrechtliche Gesamtstrategie der Kanzlei passt — von der Anbieterprüfung bis zu Auftragsverarbeitungsverträgen —, behandelt ausführlich unser Leitfaden zu KI und DSGVO in der Kanzlei.

Wenn Sie für Ihre Kanzlei klären möchten, welche Systeme auf welchen Servern laufen sollten und wo Handlungsbedarf besteht, ist ein unverbindliches Erstgespräch der einfachste nächste Schritt: Kontakt aufnehmen.