DSGVO-konforme Tools für Unternehmen: worauf es 2026 ankommt

Viele Unternehmen setzen aus Gewohnheit auf die großen US-Plattformen. Rechtlich ist das 2026 wieder heikler geworden. Wer Cloud, Videokonferenz, Video-Hosting, Newsletter und Formulare datenschutzkonform betreiben will, kommt an zwei Fragen nicht vorbei: Wo stehen die Server, und auf welcher Rechtsgrundlage werden die Daten verarbeitet? Europäische und deutsche Alternativen nehmen diesen Fragen einen Großteil ihrer Brisanz.

Warum die Rechtslage 2026 wieder in Bewegung ist

Nach dem Schrems-II-Urteil des Europäischen Gerichtshofs von 2020 war der Datentransfer in die USA lange ein Dauerproblem, weil das Privacy-Shield-Abkommen gekippt wurde. Seit Juli 2023 gilt mit dem EU-US Data Privacy Framework wieder ein Angemessenheitsbeschluss: An US-Anbieter, die darunter zertifiziert sind, dürfen personenbezogene Daten grundsätzlich ohne zusätzliche Instrumente übermittelt werden.

Für alle Übermittlungen außerhalb dieses Rahmens bleiben allerdings die Anforderungen aus dem Schrems-II-Urteil maßgeblich, also Standardvertragsklauseln plus zusätzliche Schutzmaßnahmen. Der Datentransfer ist damit kein erledigtes Thema, sondern eine laufende Prüfaufgabe.

2026 gerät der Rahmen erneut ins Wanken: Die für US-Nachrichtendienste zentrale Rechtsgrundlage FISA 702 ist im Juni ausgelaufen, der US Supreme Court hat die Unabhängigkeit der Aufsichtsbehörde FTC infrage gestellt, und der Europäische Datenschutzausschuss hat die EU-Kommission aufgefordert, den Angemessenheitsbeschluss zu überprüfen.

Das Bewusstsein für digitale Souveränität wächst entsprechend, wie auch der Überblick zu aktuellen IT-Sicherheitsanforderungen für Unternehmen zeigt. Für Unternehmen heißt das: Wer auf US-Tools setzt, muss deren Zertifizierung laufend im Blick behalten und trägt ein Restrisiko, falls der Beschluss fällt. Anbieter mit Servern in Deutschland oder der EU stellen sich diese Frage gar nicht erst.

Serverstandort allein genügt nicht

Ein häufiges Missverständnis: Ein Server in Frankfurt macht einen Dienst nicht automatisch datenschutzsicher. Entscheidend ist auch, wer den Anbieter kontrolliert. Über den CLOUD Act können US-Behörden auf Daten von US-Unternehmen zugreifen, selbst wenn diese in europäischen Rechenzentren liegen, und das gilt ebenso für europäische Tochtergesellschaften US-amerikanischer Konzerne.

Wirklich außerhalb dieser Reichweite steht ein Dienst erst, wenn sowohl der Serverstandort als auch das Unternehmen selbst europäischem Recht unterliegen. Wer auf Nummer sicher gehen will, prüft deshalb nicht nur den Ort der Server, sondern auch die Eigentümerstruktur des Anbieters.

Cloud-Speicher

Dokumentenaustausch und gemeinsames Arbeiten laufen heute über Cloud-Speicher, oft mit den sensibelsten Daten eines Unternehmens. Bei US-Diensten wie Google Drive, OneDrive oder Dropbox liegt die Kontrolle über die Schlüssel in der Regel beim Anbieter, ein Zugriff ist damit technisch nicht ausgeschlossen.

Wer datenschutzkonform arbeiten will, achtet auf einen Serverstandort in der EU, idealerweise in Deutschland, und auf einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO, der den Anbieter strikt weisungsgebunden hält. Ein Teil der europäischen Anbieter setzt zusätzlich auf Ende-zu-Ende-Verschlüsselung, bei der allein das Unternehmen die kryptografischen Schlüssel hält. Dann bleiben selbst bei einem Angriff auf die Serverinfrastruktur keine lesbaren Daten zugänglich.

Videokonferenzen

Seit der breiten Einführung von Home-Office sind Videokonferenzen zur zentralen Säule der Kommunikation geworden. Zoom, Microsoft Teams oder Cisco Webex stehen wegen Telemetriedaten und der Übertragung über Server in Drittländern regelmäßig in der Kritik. Wichtig zur Einordnung: Bild und Ton einer normalen Videokonferenz sind personenbezogene Daten, aber nicht automatisch biometrische Daten im Sinne von Artikel 9 DSGVO. Diese besondere Kategorie greift erst, wenn Aufnahmen gezielt zur eindeutigen Identifizierung verarbeitet werden, etwa per Gesichtserkennung.

Als Rechtsgrundlage für Videokonferenzen mit Beschäftigten dient in der Regel nicht das berechtigte Interesse, sondern der Beschäftigtenkontext nach § 26 BDSG beziehungsweise die Vertragserfüllung; bei Kunden richtet sie sich nach dem jeweiligen Zweck. Europäische Tools verarbeiten die Datenströme innerhalb der EU oder lassen sich als On-Premises-Lösung auf eigenen Servern betreiben, wodurch die Drittlandfrage entfällt.

Video-Hosting

Für Produktvideos, Content-Marketing oder interne Schulungen greifen viele Firmen reflexhaft zu YouTube oder Vimeo. Das ist datenschutzrechtlich heikel: Schon beim Aufruf einer Seite mit eingebettetem YouTube-Video wird die IP-Adresse des Besuchers an den US-Konzern übertragen, häufig samt Tracking-Cookies. Sauber wird das nur mit einer Einwilligung über einen Cookie-Banner, den viele Besucher ablehnen.

Wer das vermeiden will, setzt auf Video-Hosting aus deutschen Rechenzentren. Spezialisierte europäische Anbieter wie STEINMANN Video Stream Hosting liefern die Videodateien ohne seitenübergreifendes Marketing-Tracking aus, sodass keine personenbezogenen Daten in unsichere Drittstaaten fließen. Weil kein fremdes Tracking stattfindet, lässt sich die Einbindung je nach Ausgestaltung ohne vorgeschalteten Consent-Banner umsetzen.

Hinzu kommt ein Aspekt, der über den Datenschutz im Sinne der Nutzer hinausgeht: die Vertraulichkeit der Inhalte selbst. Interne Schulungen, Produktvorstellungen vor dem Marktstart oder Ansprachen der Geschäftsführung gehören nicht auf eine öffentliche Plattform, auf der sie gefunden, geteilt und ausgewertet werden können. Ein Hosting mit geschütztem, nicht öffentlich auffindbarem Zugang stellt sicher, dass solche Videos nur die vorgesehene Zielgruppe erreichen.

Auch interaktive Funktionen sprechen für eine spezialisierte Lösung. Bei Livestreams sind ein Chat oder eine Rückfragemöglichkeit oft sinnvoll: Interessenten rufen per Klick weitere Informationen ab oder stellen direkt Fragen. Ein öffentlicher Chat wie bei YouTube ist dafür ungeeignet, denn B2B-Nutzer sind am Arbeitsplatz in der Regel nicht mit einem privaten Konto angemeldet, außerdem ist spontan eingeblendete Fremdwerbung im Businessumfeld ein No-Go. Professionelle Video-Plattformen bieten solche Interaktion in einer kontrollierten, werbefreien Umgebung.

E-Mail-Marketing

Der Newsletter bleibt eines der wirksamsten Instrumente zur Kundenbindung, sein Versand ist aber streng reguliert. E-Mail-Adressen sind personenbezogene Daten. Bei US-Diensten wie Mailchimp stehen die Server primär in den USA, dazu kommt das Tracking von Öffnungs- und Klickraten.

Deutsche und europäische Anbieter verarbeiten innerhalb der EU und sind auf das nötige Double-Opt-In-Verfahren zugeschnitten, das die Einwilligung nachweisbar dokumentiert. Rechtsgrundlage ist immer die ausdrückliche Einwilligung des Empfängers. Gute Anbieter sichern zudem vertraglich zu, dass die Verteiler Eigentum des Unternehmens bleiben und nicht für eigene Zwecke wie Profiling genutzt werden.

Online-Formulare

Kontakt-, Support- und Umfrageformulare sammeln systematisch personenbezogene Daten. Bei Google Forms oder Typeform fließen diese direkt auf Server im Ausland. Europäische Formular-Tools halten die Daten in der EU und unterziehen sich häufig externen Sicherheitsaudits. Die Rechtsgrundlage hängt vom Zweck ab, von der Vertragsanbahnung über die Einwilligung bis zur Erfüllung gesetzlicher Pflichten. Zentral bleibt der Grundsatz der Datenminimierung: Abgefragt wird nur, was wirklich gebraucht wird.

Checkliste für die Tool-Auswahl

Unabhängig von der Kategorie lassen sich Anbieter an denselben Kriterien messen. Diese Punkte helfen, Angebote schnell zu sortieren:

• Serverstandort in Deutschland oder der EU, klar dokumentiert
• Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO
• Verschlüsselung, idealerweise mit Schlüsseln in der Hand des Unternehmens
• keine Weiterverarbeitung der Daten durch den Anbieter für eigene Zwecke
• nachvollziehbare Umsetzung der Betroffenenrechte wie Auskunft und Löschung
• belastbare Nachweise wie externe Audits oder Zertifizierungen

Redaktionstipp: Wer tiefer einsteigen will, lässt sich vom Anbieter den Auftragsverarbeitungsvertrag samt Liste der Unterauftragsverarbeiter zeigen. Taucht dort ein US-Konzern als Subdienstleister auf, ist der schöne EU-Serverstandort schnell wieder relativiert. Ein Blick ins Impressum und in die Eigentümerstruktur verrät zudem, wer am Ende wirklich hinter dem Dienst steht.

Fazit: Echter Datenschutz liegt im Detail

Datenschutz ist Teil der Tool-Strategie, nicht allein Sache der Rechtsabteilung. Solange der Rechtsrahmen für US-Transfers in Bewegung bleibt, ist die Wahl europäischer oder deutscher Lösungen der einfachste Weg, das Restrisiko klein zu halten. Ein Serverstandort in der EU, ein sauberer Auftragsverarbeitungsvertrag und klar umgesetzte Betroffenenrechte machen aus einer Compliance-Pflicht ein belastbares Fundament, dem Kunden und Partner vertrauen. Wie sich einzelne Bausteine im Detail lösen lassen, etwa ein DSGVO-konformes Webtracking, zeigen die weiterführenden Ratgeber auf techfacts.de.