Serverstandort & Drittland: Wo liegen die Daten deiner Website?
Wer eine Website betreibt, lässt Daten verarbeiten — und es macht einen Unterschied, wo das geschieht. Dieser Beitrag erklärt, warum der Verarbeitungsort zählt und warum eine automatische Standort-Erkennung per GeoIP immer nur ein grober Hinweis ist, nie ein Beweis.
Hinter jeder Website steht eine Kette von Dienstleistern: das Hosting, vielleicht ein Content-Delivery-Netzwerk, ein Analyse-Tool, ein Formular-Anbieter. Sie alle verarbeiten Daten deiner Besucherinnen und Besucher — und der Ort, an dem das geschieht, ist datenschutzrechtlich nicht beliebig. Dieser Beitrag ordnet neutral ein, warum der Verarbeitungsort relevant ist, und macht zugleich ehrlich, wie begrenzt aussagekräftig eine automatische Standort-Erkennung dabei ist.
Hinweis: Dieser Artikel ist eine technische Einordnung und ersetzt keine Rechtsberatung. Im Zweifel ziehst du am besten deine Datenschutzbeauftragte oder einen Fachanwalt hinzu.
Warum der Ort der Datenverarbeitung relevant ist
Solange personenbezogene Daten innerhalb der EU bzw. des EWR verarbeitet werden, gilt für sie das einheitliche Schutzniveau der DSGVO. Sobald Daten an einen Anbieter in einem Drittland — also einem Land außerhalb von EU/EWR, etwa in den USA — übermittelt werden, greifen zusätzlich die Art. 44 ff. DSGVO. Dort ist nicht etwa pauschal jede Übermittlung untersagt; sie ist aber an Bedingungen geknüpft.
Ein Drittlandtransfer ist also nicht automatisch unzulässig — er braucht eine geeignete Transfergrundlage. In der Praxis sind das vor allem die Standardvertragsklauseln der EU-Kommission (SCCs) oder, für zertifizierte Anbieter in den USA, das EU-US Data Privacy Framework. Hinzu kommen je nach Fall ergänzende Maßnahmen (etwa Verschlüsselung), wenn die Grundlage allein das Schutzniveau nicht sicherstellt. Entscheidend ist also nicht, ob ein Drittlandbezug besteht, sondern ob für ihn eine tragfähige Grundlage dokumentiert ist.
Was eine automatische Standort-Erkennung kann — und was nicht
Verlockend einfach wäre es, den Verarbeitungsort an der IP-Adresse eines Servers abzulesen. Genau hier liegt aber das größte Missverständnis — und der Grund, warum man mit solchen Ergebnissen vorsichtig umgehen muss.
GeoIP-Datenbanken lokalisieren eine IP-Adresse, nicht eine Datenverarbeitung. Sie ordnen einer IP einen wahrscheinlichen geografischen Ort zu — mehr nicht. Wo die Daten tatsächlich gespeichert, gesichert oder durch wen sie eingesehen werden, sagt das nicht aus. Eine IP in Frankfurt belegt keine reine EU-Verarbeitung, und eine IP außerhalb der EU belegt keinen Verstoß.
Verschärft wird das durch Anycast und CDNs (zum Beispiel Cloudflare): Hier antwortet immer der Netzwerkknoten, der dem Anfragenden am nächsten liegt. Eine GeoIP-Abfrage trifft dann oft nur einen Edge-Standort, der nichts über den eigentlichen Verarbeitungs- oder Speicherort verrät. Derselbe Dienst kann für unterschiedliche Besucher unterschiedliche Knoten bedienen.
Daraus folgt die wichtigste Einordnung dieses Artikels: Ein GeoIP-Treffer in einem Drittland ist ein Hinweis, genauer hinzusehen — kein Beweis für einen Verstoß. Und umgekehrt beweist eine EU-IP keine ausschließliche EU-Verarbeitung. Wer aus einem reinen Standort-Lookup einen rechtlichen Schluss zieht, baut auf einem zu dünnen Fundament.
Was wirklich zählt
Ob ein Drittlandbezug besteht und wie er abgesichert ist, ergibt sich nicht aus einer IP, sondern aus den vertraglichen und organisatorischen Unterlagen deiner Dienstleister:
- Vertragliche Zusagen & AVV: der Vertrag zur Auftragsverarbeitung (AVV) regelt, was ein Dienstleister mit den Daten tun darf und wo er sie verarbeitet.
- Sub-Prozessor-Listen: viele Anbieter setzen selbst Subunternehmer ein. Deren Liste zeigt, welche weiteren Dienste und Regionen mit im Spiel sind.
- Konzernsitz & mögliche Zugriffswege: wer steht hinter dem Anbieter, und wer könnte — technisch oder rechtlich — auf die Daten zugreifen?
Gerade der letzte Punkt zeigt, warum der reine Serverstandort trügen kann: Auch ein Rechenzentrum in der EU kann einen Drittlandbezug aufweisen, wenn der Anbieter zu einem US-Mutterkonzern gehört. Diskutiert wird das unter dem Stichwort US-Behördenzugriff (etwa über den US CLOUD Act), der US-Unternehmen unter bestimmten Voraussetzungen verpflichten kann, auf von ihnen kontrollierte Daten zuzugreifen — auch wenn diese physisch in der EU liegen. Wie weit das im Einzelfall reicht, ist eine fachliche und teils umstrittene Frage; hier geht es nur darum, dass „Server in der EU“ allein die Frage nach dem Drittlandbezug nicht abschließend beantwortet.
Wie prüfst du deine eigene Seite?
Einen belastbaren Überblick bekommst du nicht über einen Standort-Lookup, sondern über deine Unterlagen — der GeoIP-Blick ist nur der allererste, grobe Indikator:
- Hosting- & AVV-Unterlagen lesen: wer hostet deine Seite, welche Region ist vertraglich zugesagt, und liegt ein AVV vor? Das ist die verlässlichste Quelle.
- Sub-Prozessor-Listen durchgehen: die meisten seriösen Anbieter veröffentlichen sie. Hier siehst du, welche weiteren Dienste und Drittländer eine Rolle spielen.
- Whois / GeoIP nur als groben ersten Eindruck: Diese Werkzeuge zeigen bestenfalls, bei wem eine Domain registriert ist oder wo eine IP grob verortet wird — sie ersetzen kein Lesen der Verträge.
- Bei Unsicherheit nachfragen: wenn unklar bleibt, wo und durch wen verarbeitet wird, frag direkt beim Anbieter nach. Eine schriftliche Auskunft ist mehr wert als jeder IP-Lookup.
Wie konfora technische Signale erhebt und wo bewusst die Grenzen liegen, beschreibt unsere Methodik. Einen automatisierten ersten Eindruck zum erkennbaren Server-Standort deiner Seite liefert der Serverstandort- & Drittland-Check. Behandle einen Drittland-Treffer dort als Anlass zum genaueren Hinsehen, nicht als Befund.
konfora prüft als einen von 16 Bereichen automatisiert, welcher Server-Standort für die aufgerufene Seite erkennbar ist und ob sich daraus ein möglicher Drittlandbezug ergibt. Ein Treffer wird dabei ausdrücklich als Hinweis ausgewiesen, dem du anhand deiner Verträge nachgehen solltest — nicht als Beweis und nicht als Rechtsgutachten.
Der Report als PDF zeigt dir konkret, wo deine Website steht — mit priorisierter Aufgabenliste. Er liegt bei 14,99 € (Einmalkauf, kein Abo). Den Zugang zu deinem Report bekommst du per Magic-Link an deine E-Mail.
Kurz zusammengefasst
- Der Verarbeitungsort zählt: Bei einer Übermittlung in ein Drittland greifen die Art. 44 ff. DSGVO. Sie ist nicht pauschal unzulässig, braucht aber eine Transfergrundlage (z. B. SCCs oder EU-US Data Privacy Framework) und ggf. ergänzende Maßnahmen.
- Eine automatische Standort-Erkennung per GeoIP lokalisiert nur die IP, nicht die Datenverarbeitung — bei Anycast/CDNs trifft sie oft nur einen Edge-Knoten.
- Ein Drittland-Treffer ist deshalb ein Hinweis zum genaueren Hinsehen, kein Beweis für einen Verstoß; eine EU-IP beweist keine reine EU-Verarbeitung.
- Belastbar wird es erst über AVV, Sub-Prozessor-Listen, den Konzernsitz und mögliche Zugriffswege — ein EU-Rechenzentrum kann bei US-Mutterkonzern (Stichwort CLOUD Act) trotzdem einen Drittlandbezug haben.
Dieser Beitrag liefert technische Hinweise und mögliche Risiken, keine Rechtsberatung. Für eine verbindliche Einschätzung deiner konkreten Situation wendest du dich an deine Datenschutzbeauftragte oder einen Fachanwalt.
Häufige Fragen
- Beweist eine deutsche Server-IP, dass meine Daten nur in der EU verarbeitet werden?
- Nein. Eine GeoIP-Datenbank lokalisiert nur eine IP-Adresse, nicht die eigentliche Datenverarbeitung. Wo Daten tatsächlich gespeichert, gesichert oder durch wen sie eingesehen werden, sagt der Standort der IP nicht aus. Eine IP in Frankfurt belegt deshalb keine ausschließliche EU-Verarbeitung.
- Ist eine Datenübermittlung in ein Drittland automatisch unzulässig?
- Nein. Eine Übermittlung in ein Land außerhalb von EU/EWR ist nicht pauschal verboten, sondern an Bedingungen geknüpft. Sie braucht eine geeignete Transfergrundlage — in der Praxis vor allem die EU-Standardvertragsklauseln (SCCs) oder, für zertifizierte US-Anbieter, das EU-US Data Privacy Framework — und je nach Fall ergänzende Maßnahmen.
- Warum trifft eine GeoIP-Abfrage bei Cloudflare und anderen CDNs oft daneben?
- Anycast-Netze und CDNs leiten Anfragen an den nächstgelegenen Netzwerkknoten. Eine GeoIP-Abfrage trifft dann häufig nur einen Edge-Standort, der nichts über den eigentlichen Verarbeitungs- oder Speicherort verrät. Derselbe Dienst kann für unterschiedliche Besucher unterschiedliche Knoten bedienen.
- Kann ein Rechenzentrum in der EU trotzdem einen Drittlandbezug haben?
- Das wird diskutiert. Gehört ein Anbieter zu einem US-Mutterkonzern, kann unter Stichworten wie dem US CLOUD Act ein möglicher Zugriff im Raum stehen, auch wenn die Daten physisch in der EU liegen. Wie weit das im Einzelfall reicht, ist eine fachliche und teils umstrittene Frage — „Server in der EU“ allein beantwortet sie nicht abschließend.
- Wie finde ich verlässlich heraus, wo die Daten meiner Website liegen?
- Belastbar wird es über deine Unterlagen, nicht über einen IP-Lookup: der Vertrag zur Auftragsverarbeitung (AVV) mit der zugesagten Region, die Sub-Prozessor-Listen deiner Anbieter sowie der Konzernsitz und mögliche Zugriffswege. Ein GeoIP- oder Whois-Treffer ist nur ein grober erster Eindruck, der das Lesen der Verträge nicht ersetzt.