Website in Europa hosten: Performance und Compliance

„Unsere Website muss in Europa gehostet werden.“ Diese Anforderung hören wir oft, und sie ist berechtigt. Sie vermischt jedoch zwei Fragen, die sich nicht auf dieselbe Weise lösen lassen: wo die personenbezogenen Daten der Besucher gespeichert werden, eine Frage der Compliance, und von wo die Seiten ausgeliefert werden, eine Frage der Geschwindigkeit. Eine statische Website hat den Vorteil, beides klar zu trennen. Dieser Artikel geht sie nacheinander durch. Wenn Ihre aktuelle Website bei jedem Besuch noch Code ausführt, erklärt unser Leitfaden zur Migration auf eine statische Website mit Astro, was dieser Wechsel vereinfacht.

Kurz gesagt

• Die DSGVO schreibt kein Hosting in Europa vor: Sie regelt die Übermittlung personenbezogener Daten aus der Union heraus.
• Der Rahmen, der Übermittlungen in die USA heute erlaubt, wurde 2025 bestätigt, ist aber Gegenstand eines Rechtsmittels, und seine beiden Vorgänger wurden für nichtig erklärt.
• Bei einer statischen Website enthalten die Seiten keine personenbezogenen Daten: Alles entscheidet sich beim Formular, bei der Reichweitenmessung und bei Ressourcen von Drittanbietern.
• Die Geschwindigkeit hängt von der Entfernung zwischen Besucher und Server ab: Ein Content Delivery Network löst das, in Europa wie anderswo.
• Einen Hoster wählen heißt fragen, wo die Daten liegen, unter welchem Recht er tätig ist und wie man wieder wechselt.

Zwei Fragen, nicht eine

Eine Website, die ihre Seiten bei jedem Besuch erzeugt, vermischt beides: Die Datenbank mit den Seiten enthält auch die Konten, die Kommentare und oft die Anfragen. Eine statische Website trennt: Die Seiten sind Dateien ohne jegliche personenbezogene Daten, die von überall ausgeliefert werden können, und Daten gibt es nur an den wenigen Stellen, an denen ein Besucher etwas tut.

Was das Recht sagt

Die DSGVO enthält keine Pflicht, in Europa zu hosten. Ihr Kapitel V regelt Übermittlungen personenbezogener Daten aus dem Europäischen Wirtschaftsraum heraus: Sie sind erlaubt in ein Land, dem ein angemessenes Schutzniveau bescheinigt wurde, oder mit geeigneten Garantien wie den Standardvertragsklauseln. Für die USA hat sich dieser Rahmen dreimal geändert, wie die Pressemitteilung des Gerichtshofs der Union vom 3. September 2025 in Erinnerung ruft:

1. Oktober 2015

   Der Gerichtshof erklärt den ersten Rahmen für Übermittlungen in die USA für ungültig (Urteil Schrems I).

2. 16. Juli 2020

   Er erklärt den zweiten, den „Privacy Shield“, für ungültig (Urteil Schrems II), bestätigt aber die Standardvertragsklauseln.

3. 10. Juli 2023

   Die Kommission erlässt einen neuen Angemessenheitsbeschluss, das „Data Privacy Framework“.

4. 3. September 2025

   Das Gericht der Union weist die Klage eines französischen Abgeordneten gegen diesen Beschluss ab.

5. 31. Oktober 2025

   Der Abgeordnete legt ein Rechtsmittel beim Gerichtshof ein.

Zum Zeitpunkt dieses Artikels ist eine Übermittlung an ein in diesem Rahmen zertifiziertes US-Unternehmen also rechtmäßig. Die Quellen der Chronologie: das Urteil Schrems II, der Beschluss der Kommission und das am 31. Oktober 2025 eingelegte Rechtsmittel. Für ein Unternehmen, das nicht vom Ausgang des Rechtsmittels abhängen will, bleibt es die am einfachsten zu erklärende Antwort, personenbezogene Daten in Europa bei einem europäischen Anbieter zu halten.

Eine zweite Frage stellt sich: ein US-Hoster, der Ihre Daten in einem europäischen Rechenzentrum speichert. Das US-Justizministerium erklärt in seinem Papier zum CLOUD Act, dass ein dem US-Recht unterliegender Anbieter die Daten, die er kontrolliert, auf ein gültiges Verfahren hin herausgeben muss, unabhängig davon, wo er sie speichert. Dasselbe Papier erinnert daran, dass viele Staaten vergleichbare Regeln für Unternehmen in ihrem Zuständigkeitsbereich haben. Der Speicherort der Daten und die Nationalität des Hosters sind also zwei verschiedene Kriterien, und die Wahl zwischen ihnen hängt von Ihren Kunden und Ihrer Branche ab. Unser Artikel über die Abhängigkeit Europas von der US-Cloud weitet die Frage auf Ihre übrigen Werkzeuge aus.

Wo die personenbezogenen Daten einer Website wirklich liegen

Bei einer statischen Website laufen personenbezogene Daten über wenige, immer dieselben Punkte:

1. 01Das Formular.

   Jede Anfrage enthält einen Namen, eine E-Mail-Adresse, oft eine Telefonnummer. Das sind die sensibelsten Daten der Website und die einzigen, die aufbewahrt werden.

2. 02Die Reichweitenmessung.

   Je nach Werkzeug liest sie die IP-Adresse aus, setzt Cookies und sendet die Daten an ihren Anbieter.

3. 03Die Ressourcen von Drittanbietern.

   Eine Schrift, ein Video oder eine Karte, die von einer anderen Domain geladen werden, übermitteln die IP-Adresse des Besuchers an diese Domain.

4. 04Die Protokolle.

   Hoster und Content Delivery Network zeichnen die Anfragen auf, IP-Adressen eingeschlossen, für eine Dauer, die sie selbst festlegen.

Punkt 3 wird am häufigsten vergessen, und ein Gericht hat ihn bereits geahndet: Im Januar 2022 verurteilte das Landgericht München I einen Websitebetreiber, einem Besucher 100 Euro Schadensersatz zu zahlen, weil die von den Servern von Google geladenen Schriften seine IP-Adresse ohne seine Einwilligung übermittelten. Wer seine Schriften von der eigenen Website ausliefert, beseitigt das Problem, ohne dass sich die Darstellung ändert.

Was wir auf dieser Website tun

Diese Website wird von Cloudflare, einem US-Unternehmen, über dessen weltweites Netz ausgeliefert. Diese Wahl ist tragfähig, weil die Seiten keine personenbezogenen Daten enthalten. Das Netz von Cloudflare sieht, wie jeder Hoster, die IP-Adressen der Besucher in seinen Protokollen; was die Website selbst aufbewahrt, bleibt in Europa:

• die Formularanfragen werden in einem Speicherbereich mit europäischer Gerichtsstandsbeschränkung abgelegt, den die Dokumentation von Cloudflare als Garantie beschreibt, dass die Objekte in der Union gespeichert werden, und der nach seiner Erstellung nicht mehr geändert werden kann;
• die Schriften werden von der Website selbst ausgeliefert, ohne Aufruf eines Drittdienstes;
• die Reichweitenmessung läuft noch über Google Analytics: Ihr Ersatz durch ein Werkzeug ohne Cookies steht auf unserer Liste technischer Schulden.

Der Mechanismus zur Speicherung der Anfragen wird in unserem Artikel über Formulare und Suche auf einer statischen Website erläutert.

Was die Entfernung an der Geschwindigkeit ändert

Die Ladegeschwindigkeit hängt teilweise von der Entfernung ab: Eine Anfrage, die einen Kontinent durchquert, braucht länger als eine, die in derselben Stadt bleibt. Für ein europäisches Publikum ist ein Server in Europa also gut platziert. Für ein weltweites Publikum bremst ein einzelner Server, wo auch immer er steht, einen Teil der Besucher.

Hier hilft eine statische Website: Ihre Seiten sind für alle identische Dateien, die ein Content Delivery Network auf Dutzende Punkte kopiert und vom Punkt ausliefert, der dem Besucher am nächsten liegt. Die Geschwindigkeit wird dann Seite für Seite gemessen, mit den von Google veröffentlichten Schwellenwerten, die in unserem Artikel über die Core Web Vitals für Geschäftsführer erläutert werden.

Drei mögliche Konstellationen

• Alles in Europa. Europäischer Hoster, Auslieferung aus Europa, Formular und Reichweitenmessung in Europa gehostet. Am einfachsten einem Kunden oder einem öffentlichen Auftraggeber zu erklären; Anbieter wie OVHcloud, Scaleway, Hetzner oder Infomaniak ermöglichen das, neben anderen.
• Die Seiten in einem weltweiten Netz, die Daten in Europa. Die Konstellation dieser Website: Geschwindigkeit überall und die von der Website aufbewahrten Daten in der Union gespeichert.
• Ein eigener Server in Europa. Für eine Website, die Geschäftsanwendungen begleitet, die bereits auf diesem Server laufen. Weltweite Auslieferung und Wartung werden wieder Ihre Sache, wie unser Vergleich Cloudflare, Netlify oder VPS erklärt.

Die Fragen an einen Hoster

1. Wo werden die Daten gespeichert, und lässt sich das vertraglich garantieren? Nicht nur die Dateien: auch die Protokolle, die Backups, die Formulardaten.
2. Unter welchem Recht ist das Unternehmen tätig? Sitz, Muttergesellschaft und was das für Anfragen von Behörden bedeutet.
3. Welche Unterauftragsverarbeiter sind beteiligt? Artikel 28 der DSGVO schreibt einen Auftragsverarbeitungsvertrag und die vorherige Genehmigung weiterer Unterauftragsverarbeiter vor: Fragen Sie nach der Liste.
4. Wie lange werden die Protokolle aufbewahrt? Mit den IP-Adressen sind sie personenbezogene Daten.
5. Wie kommt man wieder heraus? Eine statische Website zieht um, indem man einen Ordner kopiert; die Formulardaten müssen mitgehen können.

Der Rest der Baustelle

Das Hosting ist nur ein Baustein. Eine mehrsprachige Website bedient mehrere Zielgruppen aus derselben Konstellation (eine Sprache, eine Adresse). Das Formular ist auch der Baustein, der einen Besuch in eine Anfrage verwandelt (die fünf Bausteine einer Unternehmenswebsite). Ein Hosterwechsel gelingt ohne Verluste, wenn die 301-Weiterleitungen und die Adressen gleich bleiben, und der begleitende Relaunch sortiert den Bestand (welche Seiten behalten, zusammenführen, löschen). Die jährlichen Kosten hängen von der Konstellation ab (was eine Unternehmenswebsite kostet), ein WordPress bringt eigene zu schützende Daten mit (warum eine WordPress-Website gehackt wird), und ein Content-Editor speichert ebenfalls irgendwo Daten (Astro und Sanity als Headless oder Markdown im Repository oder CMS). Die Pflicht zur Barrierefreiheit gilt unabhängig vom Hoster (was die Pflicht von 2025 ändert), ebenso die Frage, ob man sagen muss, dass ein Text von einer KI geschrieben wurde.

Unsere beiden Website-Angebote lassen die Wahl der Konstellation offen: die Unternehmenswebsite, um bei null zu beginnen, die Migration auf eine statische Website, um ein Hosting zu verlassen, das bei jedem Besuch Code ausführt, mit unveränderten Adressen.

Häufige Fragen

Quellen

1. Gerichtshof der Europäischen Union, Pressemitteilung Nr. 106/25, 3. September 2025 (neuer Tab)curia.europa.eu
2. Gerichtshof der Europäischen Union, Pressemitteilung Nr. 91/20, 16. Juli 2020 (neuer Tab)curia.europa.eu
3. Europäische Kommission, Pressemitteilung vom 10. Juli 2023 (neuer Tab)ec.europa.eu
4. WilmerHale, Dezember 2025 (neuer Tab)wilmerhale.com
5. US-Justizministerium, The Purpose and Impact of the CLOUD Act, April 2019 (neuer Tab)justice.gov
6. IHK Bergische Region, Urteil des LG München I vom 20. Januar 2022 (neuer Tab)ihk.de
7. Cloudflare R2, Speicherort der Daten (neuer Tab)developers.cloudflare.com