Warum ein Server in Frankfurt gar nichts schützt

Wenn man einen deutschen Datenschützer beruhigen will, sagt man gern einen Satz: „Die Daten liegen in einem Rechenzentrum in Frankfurt." Er klingt nach Sicherheit, nach europäischem Boden, nach Zuständigkeit deutscher Gerichte. Und er ist, für sich genommen, weitgehend wertlos.

Denn wo Daten physisch liegen, ist nicht dasselbe wie: wer rechtlich auf sie zugreifen kann. Und das ist die Frage, die über einer Cloud-Entscheidung wirklich steht. Sie führt mitten in einen transatlantischen Rechtskonflikt, der seit Jahren tobt und der ausgerechnet die Organisationen am härtesten trifft, die mit den verletzlichsten Daten arbeiten. Dieser Teil erklärt, warum – und er muss zugleich zwei Übertreibungen ausräumen, eine der Tech-Konzerne und eine der eigenen Seite.

Und er hat am Ende eine gute Nachricht, die in der Datenschutzdebatte selten laut gesagt wird: dass der Ausweg existiert, dass er kein Verzicht ist, und dass er sogar eine politische Perspektive hat, die über die einzelne NGO hinausreicht.

Ein Gesetz, das durch Wände reicht

Der Kern des Problems heißt CLOUD Act, ein US-Gesetz aus dem Jahr 2018. Es verpflichtet Unternehmen, die amerikanischem Recht unterliegen, auf Anordnung US-amerikanischer Behörden Daten herauszugeben – und zwar unabhängig vom Speicherort. Entscheidend ist nicht, wo der Server steht, sondern wessen Recht das Unternehmen unterliegt. Eine US-Muttergesellschaft mit einer deutschen Tochter und einem Rechenzentrum in Frankfurt fällt darunter. Die geografische Beruhigung – „liegt ja in der EU" – läuft damit ins Leere: Der Zugriff erfolgt nicht über den Boden, sondern über den Konzern.

Für eine NGO, deren Klient:innen womöglich vor genau dem Staat geflohen sind, mit dessen Behörden ein Geheimdienst Informationen teilt, ist das keine akademische Feinheit. Es ist die Frage, ob die Fluchtgeschichte, die jemand im Vertrauen erzählt hat, über einen technischen Umweg wieder in die Reichweite mächtiger Stellen gerät. Datenschutz ist hier kein bürokratisches Ritual. Er ist im Wortsinn Schutz von Menschen.

Schrems II: warum ein Vertrag den Zugriff nicht wegzaubert

Der Europäische Gerichtshof hat diese Spannung 2020 in dem Urteil verhandelt, das nach dem österreichischen Juristen Max Schrems „Schrems II" heißt. Das Gericht kippte den damaligen „Privacy Shield", das Abkommen, das Datenübermittlungen in die USA pauschal für unbedenklich erklärte. Die Begründung ist bis heute maßgeblich: Solange US-Geheimdienste weitreichend und ohne gleichwertigen Rechtsschutz auf Daten zugreifen können, schützt auch ein sauberer Vertrag zwischen zwei Unternehmen die Betroffenen nicht. Wer trotzdem übermittelt, muss vorab prüfen, ob im Zielland ein angemessenes Schutzniveau herrscht, und gegebenenfalls zusätzliche Maßnahmen ergreifen – vor allem wirksame Verschlüsselung.

Und hier steckt eine technische Falle, die für KI-Systeme besonders bitter ist. Verschlüsselung schützt Daten, solange sie gespeichert oder übertragen werden. Ein Sprachmodell muss den Text aber im Klartext verarbeiten – es kann eine verschlüsselte Frage nicht beantworten. Genau in dem Moment, in dem das System nützlich wird, liegt der sensible Inhalt lesbar vor. Die klassische Schrems-II-Antwort „dann verschlüsselt es eben" greift bei der KI-Verarbeitung also nur halb. Das ist kein Detail, sondern der Grund, warum bei sensiblen Daten so viel für lokale oder europäische Verarbeitung spricht. Es gibt technische Gegenmittel – Stichwort „Confidential Computing", bei dem selbst der Betreiber nicht in die laufende Verarbeitung schauen kann –, aber ob das aufsichtsrechtlich als ausreichende Zusatzmaßnahme durchgeht, ist noch nicht ausgestanden. Ich führe es als offene Frage, nicht als Lösung.

Und nein: Das Data Privacy Framework ist nicht gekippt

Diesmal trifft die Korrektur die eigene Seite. In datenschutzbewegten und netzpolitisch wachen Kreisen hört man oft, die USA seien „datenschutzrechtlich rechtloses Gebiet" und jede Übermittlung sei automatisch illegal. So einfach ist es nicht, und die Ungenauigkeit schadet am Ende nur der eigenen Glaubwürdigkeit.

2023 hat die EU-Kommission ein Nachfolgeabkommen beschlossen, das EU-US Data Privacy Framework. Es erlaubt Übermittlungen an zertifizierte US-Unternehmen ohne weitere Einzelprüfung. Der französische Abgeordnete Philippe Latombe klagte dagegen – und das Europäische Gericht wies die Klage im September 2025 ab. Das Abkommen ist also, Stand heute, gültig. Wer behauptet, es sei bereits gefallen, hat schlicht unrecht.

Aber – und das ist die andere Hälfte der Ehrlichkeit – Latombe hat Rechtsmittel zum Europäischen Gerichtshof eingelegt; das Verfahren ist anhängig (Stand Juli 2026). Und derselbe Gerichtshof hat schon zweimal ein solches Abkommen kassiert: erst „Safe Harbor", dann „Privacy Shield". Die nüchterne Einordnung lautet deshalb: Das Framework ist derzeit gültig, aber fragil. Eine NGO, die ihre sensibelste Infrastruktur darauf baut, baut auf einen Rechtsstand, der in einem Jahr Makulatur sein kann – zum dritten Mal. Wer das mit „ist doch legal" abtut, verwechselt eine Momentaufnahme mit einem Fundament. Man kennt das Muster übrigens aus anderen Großprojekten: Etwas wird feierlich eröffnet, alle atmen auf, und dann steht doch wieder jemand mit einer Klage vor der Tür. Berliner:innen wissen, wovon ich rede.

Souveränität: Machtfrage und Verkaufsargument zugleich

Damit sind wir bei der eigentlichen Machtfrage hinter dem Datenschutz. Die Debatte wird gern als individualrechtliche Frage geführt – Einwilligung, Betroffenenrechte, Vertragsklauseln. Das ist wichtig, verdeckt aber die eigentliche Machtfrage: Die Rechenleistung, die Basismodelle und die großen Clouds liegen überwiegend in der Hand einiger weniger US-Konzerne. Nach Zahlen der europäischen Souveränitäts-Initiative EuroStack werden über 80 Prozent der digitalen Technologien und Infrastrukturen Europas importiert, und rund 70 Prozent der weltweit genutzten Basismodelle stammen aus den USA. Das sind Zahlen einer Initiative, kein amtliches Statistikamt – aber die Größenordnung deckt sich mit allem, was man über den Markt weiß. Eine europäische NGO, die KI nutzen will, ist strukturell abhängig von einer Infrastruktur, über die sie nichts zu sagen hat. Datenschutz ist hier nicht nur Individualrecht, sondern Kontrolle über kritische Infrastruktur – und die fehlt.

Die Industrie hat auf diese Sehnsucht eine Antwort parat, und sie heißt „souveräne Cloud". Microsoft, Google und Amazon bieten inzwischen europäische Varianten an, teils betrieben von EU-Partnern, mit EU-Personal und EU-Schlüsseln. Das ist nicht wertlos: Wo ein europäischer Partner die Schlüssel und den Betrieb kontrolliert, sinkt das Zugriffsrisiko real. Aber solange US-Technologie und US-Konzernbindung im Spiel sind, bleibt ein Restrisiko, und die Bezeichnung „souverän" ist zuerst eine Behauptung, kein Nachweis. Man erinnere sich an Gaia-X, das große europäische Souveränitäts-Projekt, das nach viel Ankündigung an Governance und Durchsetzung weitgehend zerfaserte. „Europäisch" auf dem Etikett ist kein Gütesiegel. Es ist, im schlechten Fall, dasselbe Produkt in einer Jacke mit EU-Flagge.

Ein Wort zu den Alternativen: Es ist nicht „US-Cloud oder nichts"

An dieser Stelle der Einschub, der den ganzen Ton dieses Teils dreht. Die Wahl heißt nicht „amerikanische Cloud oder Steinzeit". Es gibt mindestens drei andere Richtungen – von denen zwei ernst zu nehmen sind und eine als Warnung dazugehört.

Die erste sind europäische Anbieter, vertraglich und rechtlich in der EU verankert – dazu mehr im Schlussteil, wo es um die konkrete Wahl geht. Die zweite, die man der Vollständigkeit halber nennen muss, sind Cloud-Anbieter aus anderen Weltregionen – etwa die chinesischen Anbieter Alibaba Cloud oder Huawei Cloud, die auch in Europa präsent sind. Nur: Wer glaubt, damit dem CLOUD-Act-Problem zu entkommen, tauscht ein Risiko gegen ein größeres. Für China gibt es keine EU-Angemessenheitsentscheidung, und eine ist auf absehbare Zeit nicht in Sicht; das chinesische Nachrichtendienstgesetz von 2017 verpflichtet in Artikel 7 alle Organisationen und Bürger zur „Unterstützung und Zusammenarbeit" mit der Staatssicherheit, und das Datensicherheitsgesetz verbietet die Herausgabe von Daten an ausländische Stellen ohne staatliche Genehmigung. Für eine Organisation, die mit Geflüchteten aus autoritär regierten Ländern arbeitet, ist ein Server unter dieser Rechtsordnung nicht die Lösung, sondern die Verschärfung des Problems. Ich nenne die Option, um sie ausdrücklich nicht zu empfehlen.

Die dritte Richtung ist die eigentlich interessante, und sie verdient mehr als eine Fußnote: der vollständig lokale, agentische Aufbau. Dabei läuft nicht nur das Sprachmodell im eigenen Haus, sondern die gesamte Steuerung. Ein lokaler „Orchestrator" – eine Software, die die Arbeitsschritte koordiniert – ruft ein lokales Sprachmodell auf, durchsucht den lokalen Aktenbestand und setzt die Antwort zusammen, ohne dass an irgendeiner Stelle Daten das Netzwerk verlassen. Das ist kein Bastelkeller-Szenario mehr. Solche Bausteine existieren als ausgereifte Open-Source-Projekte (Haystack, LangGraph, RAGFlow, Onyx), und sie werben ausdrücklich damit, auch „air-gapped", also vollständig vom Internet getrennt, mit lokalen Modellen zu laufen – „prompts and responses never leave the network". Das ist, technisch gesprochen, die sauberste Antwort auf den CLOUD Act: Wo nichts hinausgeht, kann auch nichts herausverlangt werden.

Ich will diese Option nicht schönreden – der Betrieb kostet Können, Zeit und Geld, und Teil 4 rechnet das ehrlich vor. Aber ich will sie auch nicht kleinreden, denn sie ist mehr als eine Notlösung für Paranoide. Sie ist die einzige Variante, bei der die eingangs gestellte Machtfrage tatsächlich beantwortet wird: Die Daten bleiben da, wo die Verantwortung liegt, und niemand außerhalb des eigenen Netzes hat einen Hebel. Für eine Organisation, deren ganze Existenz auf dem Vertrauen der Schutzbedürftigen beruht, ist das ein zutiefst politisches Argument. Und die Behauptung, es führe kein Weg an den großen Cloud-Konzernen vorbei, stimmt schlicht nicht – sie ist bequem, aber falsch.

Was das für die Server-Entscheidung heißt

Für die Praxis lässt sich das zu einer Faustregel verdichten, die einen Konflikt schon anklingen lässt, den Teil 4 zuspitzt – den zwischen Souveränität und Betriebssicherheit. Für nicht-personenbezogene oder robust entschärfte Aufgaben ist eine seriöse Cloud mit Auftragsverarbeitungsvertrag vertretbar, auch eine US-Cloud in EU-Region. Für die besonderen Kategorien aus Teil 1 – die Fluchtgeschichten, die Gutachten – ist der US-Transfer schwer zu rechtfertigen, solange der CLOUD Act gilt und das Framework wackelt. Dort führt der belastbare Weg über echte EU-Anbieter oder eigenen Betrieb.

Das ist noch keine fertige Empfehlung – die kommt in Teil 4, gestaffelt nach Organisationsgröße, und sie wird auch dem widersprechen, was manche jetzt erwarten. Zunächst aber müssen wir eine Frage klären, die selbst dann bleibt, wenn der Server perfekt gewählt ist. Denn angenommen, alles liegt sauber in Europa – was passiert eigentlich, wenn jemand verlangt, dass seine Daten gelöscht werden? Kann so ein System überhaupt vergessen? Das ist der Stoff von Teil 3: Die Maschine, die nicht vergessen kann.

Dieser Text ist Orientierung, kein Rechtsrat – bei der konkreten Umsetzung braucht es datenschutzrechtliche Beratung. Zeitlich instabile Angaben – Stand des Data Privacy Framework, AI-Act-Fristen, Anbieterlage, Stand der offenen Modelle – sind auf dem Stand Juli 2026 und sollten vor Weiterverwendung geprüft werden. Zur vollständigen Quellenbasis: siehe die Übersicht der Reihe.