Website-Hosting in Europa: was der Abschied von US-Anbietern wirklich bringt, und in welcher Reihenfolge

„Unser Steuerberater meint, wir sollen weg von den amerikanischen Anbietern. Betrifft das auch unsere Website?" Die Frage kam von einem Maschinenbauer aus dem Bergischen, und sie steht stellvertretend für ein Thema, das 2026 aus den IT-Abteilungen der Konzerne in den Mittelstand gewandert ist: digitale Souveränität. 85 Prozent der von Bitkom befragten Unternehmen halten Deutschland für zu abhängig von US-Cloud-Anbietern, 91 Prozent würden lieber deutsche Anbieter nutzen. Tatsächlich laufen 71 Prozent auf amerikanischer Infrastruktur.

Dieser Beitrag erklärt, was hinter der Diskussion rechtlich steckt, was sich 2026 tatsächlich verändert hat, wo die Daten eurer Website heute wirklich liegen, und welche Schritte für einen kleinen oder mittleren Betrieb sinnvoll sind und welche nur Theater. Vorweg: Wir sind Webdesigner, keine Juristen. Für eine verbindliche Einschätzung eures Falls braucht es eine Kanzlei mit Schwerpunkt IT-Recht.

Worum es beim CLOUD Act geht

Der amerikanische CLOUD Act aus dem März 2018 verpflichtet US-Unternehmen, Daten auf Anordnung an US-Behörden herauszugeben, und zwar, so der Gesetzestext, unabhängig davon, ob die Daten „innerhalb oder außerhalb der Vereinigten Staaten" gespeichert sind. Entscheidend ist nicht der Standort des Servers, sondern wer die Kontrolle über die Daten hat. Ein Rechenzentrum in Frankfurt, das einem US-Konzern gehört, fällt genauso darunter wie eines in Virginia.

Wie real das ist, hat Microsoft Frankreich im Juni 2025 vor einem Ausschuss des französischen Senats bestätigt. Auf die Frage nach einer Garantie, dass Daten nicht ohne Zustimmung der französischen Behörden an US-Stellen gehen, antwortete der Justiziar wörtlich: „Nein, das kann ich nicht garantieren, aber es ist bisher noch nie passiert." Beide Hälften des Satzes sind wichtig. Rechtlich lässt sich der Zugriff nicht ausschließen. Praktisch meldet Microsoft für das zweite Halbjahr 2025 weltweit 190 behördliche Anfragen zu Firmenkunden, bei 94 wurden Daten herausgegeben, bei 45 davon Inhalte. Für die Website eines Handwerksbetriebs ist das statistische Risiko also winzig. Das rechtliche Problem bleibt trotzdem, weil es sich vertraglich nicht wegverhandeln lässt.

Warum das Thema gerade 2026 so laut ist

Die rechtliche Brücke zwischen EU und USA heißt Data Privacy Framework, kurz DPF, und sie hat 2026 mehrere Risse bekommen. Im September 2025 hat das Gericht der Europäischen Union eine Klage gegen das Abkommen zwar abgewiesen, die Berufung vor dem Europäischen Gerichtshof läuft aber noch. Die amerikanische Aufsichtsbehörde PCLOB, die im Abkommen als Kontrollinstanz vorgesehen ist, hat seit Anfang 2025 keine beschlussfähige Besetzung mehr. Und am 29. Juni 2026 hat der Supreme Court entschieden, dass der Präsident Mitglieder der Handelsbehörde FTC jederzeit entlassen darf. Die FTC ist die Behörde, die das Abkommen auf US-Seite durchsetzen soll. Am 31. Juli 2026 hat der Europäische Datenschutzausschuss die EU-Kommission deshalb schriftlich aufgefordert zu prüfen, ob das Abkommen noch trägt.

Noch gilt das DPF. Aber wer Datenschutz seit 2015 verfolgt, kennt das Muster: Safe Harbor fiel 2015, der Privacy Shield 2020, jeweils durch ein einziges Urteil. Beim dritten Mal wollen viele Unternehmen nicht wieder über Nacht ihre Verträge umbauen müssen.

Safe Harbor und Privacy Shield sind gefallen, beim Data Privacy Framework laufen Berufung und Prüfung.

Parallel hat die EU die Ausstiegstür aufgemacht: Der Data Act gilt seit dem 12. September 2025 und zwingt Cloud-Anbieter, einen Wechsel technisch zu ermöglichen. Gebühren für den Datenabzug dürfen seitdem nur noch kostendeckend sein, ab dem 12. Januar 2027 sind sie ganz verboten. Wer wechseln will, hat ab Januar den günstigsten Moment.

Was die Zahlen über Wunsch und Wirklichkeit sagen

Der Bitkom Cloud Report 2026 vom Juni, eine Telefonbefragung von 603 Unternehmen ab 20 Mitarbeitenden, zeigt die Schere deutlich. 91 Prozent würden am liebsten deutsche Anbieter nutzen, 53 Prozent tun es. 8 Prozent bevorzugen US-Anbieter, 71 Prozent nutzen sie. 64 Prozent sagen, die US-Politik zwinge sie, ihre Cloud-Strategie zu überdenken. 37 Prozent würden für eine rein deutsche Cloud höhere Kosten oder weniger Funktionen in Kauf nehmen, im Vorjahr waren es 27 Prozent. Und 59 Prozent nennen die Abhängigkeit vom bestehenden Anbieter, den Lock-in, als größte Hürde.

Wunsch und Wirklichkeit im Bitkom Cloud Report 2026.

Der Markt bewegt sich langsamer als die Stimmung. Nach Zahlen von Synergy Research halten die drei großen US-Anbieter rund 70 Prozent des europäischen Cloud-Markts, europäische Anbieter zusammen etwa 15 Prozent, 2017 waren es noch 29. Gartner erwartet, dass sich die Ausgaben für souveräne Cloud-Infrastruktur in Europa 2026 auf 12,6 Milliarden Dollar fast verdoppeln. Das Geld fließt, aber von einer sehr kleinen Basis aus.

Was 2026 neu ist, und was nur neu klingt

Amazon hat im Januar 2026 seine „European Sovereign Cloud" in Brandenburg eröffnet, mit einer deutschen GmbH als Betreiberin und europäischem Personal, für 7,8 Milliarden Euro. Die Telekom hat im Februar in München eine Industrial AI Cloud mit rund 10.000 Nvidia-Chips gestartet, betrieben auf deutschem Boden. Microsoft hat seine EU Data Boundary bereits 2025 abgeschlossen und verspricht seit April 2026, jede Anordnung zur Abschaltung europäischer Dienste vor Gericht anzufechten. Das BSI hat im April Kriterien für Cloud-Souveränität veröffentlicht, und die EU-Kommission hat im Juni einen Cloud and AI Development Act vorgeschlagen, der die Rechenzentrumskapazität in Europa in fünf bis sieben Jahren verdreifachen soll.

Der Haken, den Analysten bei fast allen dieser Angebote benennen: Die europäische Tochter bleibt eine Tochter. Auch die Amazon-Sovereign-Cloud gehört zu 100 Prozent Amazon.com, und der CLOUD Act knüpft an genau diese Kontrolle an. Microsofts Versprechen betrifft das Abschalten von Diensten, nicht die Herausgabe von Daten. Eine „EU-Region" bei einem US-Anbieter ändert Latenz und Papierkram, nicht die rechtliche Reichweite. Rechtliche Unabhängigkeit vom CLOUD Act gibt es nur bei Anbietern mit europäischem Eigentümer und eigener Infrastruktur, etwa STACKIT, IONOS, Hetzner, OVHcloud oder Mittwald.

Wo die Daten eurer Website heute liegen

Hier wird es konkret, und für viele überraschend. Wir haben die Angaben der Anbieter selbst nachgelesen.

Framer, unser bevorzugtes System, ist ein niederländisches Unternehmen aus Amsterdam. In seiner Sicherheitsdokumentation steht aber unmissverständlich: Alle Dienste werden in Amazon-Rechenzentren in den USA betrieben. Formulareingaben und CMS-Inhalte liegen also in den USA, die Rechtsgrundlage sind das DPF und ersatzweise Standardvertragsklauseln. Eine reine EU-Option gibt es nicht. Webflow speichert Kunden- und Besucherdaten nach eigener Aussage in den USA. Squarespace ebenso, Wix in den USA und Irland. Shopify legt die Shop-, Bestell- und Kundendaten neuer europäischer Händler standardmäßig in Europa ab, verarbeitet aber weiterhin international.

Und dann ist da die Schicht, die kaum jemand auf dem Zettel hat: das Content Delivery Network, also das Zwischennetz, das die Seite weltweit ausliefert. Wer Cloudflare im kostenlosen Tarif nutzt, lässt seine verschlüsselten Verbindungen an jedem Cloudflare-Standort weltweit entschlüsseln. Die Beschränkung auf EU-Standorte gibt es, sie kostet extra.

Auch „deutscher Anbieter" ist nicht gleich „deutsche Infrastruktur". Raidboxes, ein beliebter deutscher WordPress-Hoster, läuft laut eigener Datenschutzerklärung auf Amazon-Servern in Frankfurt. Mittwald betreibt ein eigenes Rechenzentrum in Espelkamp, Hetzner eigene in Falkenstein und Nürnberg. Wer „Serverstandort Deutschland" prüfen will, muss drei Fragen stellen: Wem gehört der Anbieter, wem gehört die Hardware, und wo wird die Verbindung entschlüsselt?

Wo Website-Baukästen und Hoster ihre Daten nach eigenen Angaben speichern.

Die Lektion aus dem Google-Fonts-Urteil

Wie schnell aus einer Theoriefrage Post vom Anwalt wird, hat das Landgericht München im Januar 2022 gezeigt. Eine Website hatte Schriften dynamisch von Google-Servern geladen und damit die IP-Adresse eines Besuchers ohne Einwilligung in die USA übertragen. Das Gericht sprach 100 Euro Schadensersatz zu. Was folgte, war eine Abmahnwelle mit Tausenden Schreiben, die Berliner Generalstaatsanwaltschaft ermittelte in mindestens 2.418 Fällen gegen die Abmahner selbst. Die technische Lösung, Schriften vom eigenen Server zu laden, dauert eine Stunde. Dasselbe Muster gilt für Google Maps, YouTube-Einbettungen und reCAPTCHA: entweder einwilligungspflichtig einbinden oder selbst hosten.

Analytics und E-Mail: die eigentlichen Datenflüsse

Bei einer normalen Unternehmenswebsite ohne Shop und Login fließen personenbezogene Daten an drei Stellen: über das Kontaktformular, über die Besucherstatistik und über das Postfach, in dem die Anfragen landen. Genau dort lohnt sich der Blick, nicht beim Baukasten selbst.

Google Analytics braucht eine Einwilligung, und die Datenschutzbehörden in Österreich und Frankreich hatten den Einsatz 2022 bereits für rechtswidrig erklärt, bevor das DPF eine neue Grundlage schuf. Fällt das DPF, ist die Frage sofort wieder offen. Plausible, ein europäischer Anbieter, hostet bei Hetzner in Falkenstein und verspricht, dass Website-Daten die EU nie verlassen. Matomo Cloud läuft in Frankfurt und steht in konfigurierter Form auf der Liste einwilligungsfreier Werkzeuge der französischen Aufsicht. Wir setzen bei Kunden seit zwei Jahren fast nur noch solche Werkzeuge ein, auch weil sie ohne Cookie-Banner auskommen.

Bei Microsoft 365 ist die Lage uneinheitlich: Die Datenschutzkonferenz hatte 2022 festgestellt, dass Microsoft einen datenschutzkonformen Betrieb nicht nachweisen konnte. Der hessische Datenschutzbeauftragte kam im November 2025 nach eigenen Verhandlungen mit Microsoft zum Ergebnis, ein konformer Einsatz sei unter Bedingungen möglich. Das gilt für Hessen, andere Länder haben sich nicht angeschlossen. Wer auf Nummer sicher gehen will, nimmt für die Firmenpost einen deutschen Anbieter.

Souveränität ist nicht dasselbe wie Sicherheit

Ein Punkt, den die Chefin des BSI, Claudia Plattner, im Sommer 2025 deutlich gemacht hat und der ihr Kritik eingebracht hat: „Souveränität ist nicht gleich Autarkie." Es gehe darum, Optionen zu haben, nicht darum, alles selbst zu können. Die BSI-Kriterien vom April 2026 setzen deshalb voraus, dass ein Anbieter zuerst die Sicherheitsanforderungen des C5-Katalogs erfüllt, bevor Souveränität überhaupt bewertet wird.

Übersetzt für die Website: Ein vernachlässigtes WordPress mit veralteten Plugins auf einem Hetzner-Server ist souverän und unsicher. Eine gepflegte Framer-Seite auf US-Servern ist sicher und rechtlich abhängig. Das eine löst das andere nicht. Wer wechselt, ohne Updates, Backups und Zugriffsrechte zu regeln, hat ein Problem gegen ein anderes getauscht.

Was wir kleinen und mittleren Betrieben empfehlen, in dieser Reihenfolge

1. Statistik tauschen, ein Tag. Google Analytics gegen Plausible oder Matomo. Nebeneffekt: Der Cookie-Banner kann bei vielen Seiten ganz weg, was nach unserer Erfahrung mehr Anfragen bringt.

2. Formulare umziehen, ein bis zwei Tage. Formulardaten sind die sensibelsten Daten einer normalen Website. Sie lassen sich an einen EU-Endpunkt senden, etwa ein eigenes WordPress, ein europäisches Formularwerkzeug oder einen kleinen Dienst auf einem deutschen Server, ohne den Baukasten zu verlassen.

3. E-Mail prüfen, ein Wochenende. Postfächer zu einem deutschen Anbieter, mit sauberem DNS-Umzug. Das ist der Schritt mit dem meisten Nutzen pro Euro, weil dort die Anfragen, Angebote und Verträge liegen.

4. Externe Einbettungen aufräumen, ein Nachmittag. Schriften selbst hosten, Karten und Videos nur nach Einwilligung laden.

5. Website-Hosting zuletzt. Der Baukasten selbst verarbeitet bei einer Präsentationsseite nach den Schritten 1 bis 4 fast keine personenbezogenen Daten mehr. Ein Wechsel lohnt sich dann, wenn ohnehin ein Relaunch ansteht oder wenn Buchungen, Kundenkonten oder Gesundheitsdaten im Spiel sind. Für diese Fälle bauen wir inzwischen auf europäisch gehosteten Systemen, und ab Januar 2027 ist der Wechsel dank Data Act auch ohne Ausstiegsgebühren möglich.

Die Reihenfolge, die wir kleinen und mittleren Betrieben empfehlen.

Fazit: weniger Panik, mehr Reihenfolge

Das Risiko ist real, aber asymmetrisch. Fällt das Abkommen mit den USA, hat ein Betrieb mit europäischer Statistik, europäischen Formularen und deutscher Post an dem Tag nichts zu tun. Alle anderen wiederholen die Vertragsschlacht von 2020. Die vier ersten Schritte kosten zusammen eine Arbeitswoche, ändern am Aussehen der Website nichts und nehmen dem Thema den Schrecken. Ob der Baukasten selbst umziehen muss, ist danach eine Frage des Geschäftsmodells, nicht der Angst.

Wollt ihr wissen, wohin eure Website gerade Daten schickt?

Wir prüfen einmal, welche Dienste eure Seite lädt, wo Formulare, Statistik und Schriften landen, und sagen euch, welche der fünf Schritte bei euch etwas bringen und welche nicht. Schreibt uns kurz über das Kontaktformular. Wir antworten innerhalb von 24 Stunden, persönlich und ohne Vertriebsgespräch.