DSGVO und Serverstandort
bei Unternehmenssoftware prüfen
Kurzantwort: Bei Unternehmenssoftware zählen Sitz des Anbieters, Serverstandort, Auftragsverarbeitung und Zugriffsrechte Dritter. Ein Rechenzentrum in Deutschland genügt allein nicht. Die Seite zeigt Prüfpunkte, die für ERP, CRM, HR und WMS gleichermaßen gelten, und Fragen, die Anbieter schriftlich beantworten sollten.
Unternehmenssoftware wie ERP, CRM, HR, WMS und BI verarbeitet personenbezogene Daten von Kunden, Beschäftigten und Lieferanten. Diese Seite richtet sich an Unternehmen im DACH Mittelstand, die einen Anbieter auswählen und Datenschutz und Serverstandort in die Anforderungsliste aufnehmen wollen. Sie ist keine Rechtsberatung. Rechtsstand: 09.10.2026.
Zuletzt geprüft am 09.10.2026
Warum der Serverstandort
allein nicht reicht
Die DSGVO knüpft nicht an den Ort eines Servers an, sondern an die Verarbeitung personenbezogener Daten und an die Rollen der Beteiligten. Verantwortlich ist, wer allein oder gemeinsam über Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO). Der Anbieter einer Cloud Software ist Auftragsverarbeiter, wenn er Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO). Quelle: Verordnung (EU) 2016/679 auf EUR-Lex, Stand 09.10.2026.
Ein Rechenzentrum in Deutschland beantwortet nur die Frage, wo Daten liegen. Offen bleibt, wer sie lesen darf: Support aus einem Drittland, Unterauftragnehmer oder ein Anbieter mit Sitz außerhalb der EU. Die Datenschutzkonferenz rechnet Fernwartung mit möglichem Datenzugriff zur Auftragsverarbeitung nach Art. 28 DSGVO. Eine Verarbeitung außerhalb von EU und EWR ist nur möglich, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (Quelle: DSK Kurzpapier Nr. 13, Stand 17.12.2018, abgerufen am 09.10.2026).
Ein deutscher Standort vereinfacht die Prüfung, ersetzt sie aber nicht. Eine Einordnung zur Souveränität von Cloud Diensten bietet die Seite IT Architektur auf Souveränität bewerten.
Die fünf Prüfpunkte
bei jedem Anbieter
Sitz, Standort, Auftragsverarbeitung, Unterauftragnehmer und Zugriffsrechte: Diese fünf Punkte gelten für ERP, CRM, HR, WMS und BI gleichermaßen.
1. Sitz des Anbieters
Fragen Sie, in welchem Land der Vertragspartner und seine Muttergesellschaft ihren Sitz haben. Das bestimmt, welchem Recht der Anbieter unterliegt. Erfahrungswert von Find-Your-Software: Bei Konzernstrukturen sitzt der Vertragspartner oft in der EU, die Muttergesellschaft aber nicht. Beide Angaben gehören in die schriftliche Auskunft.
2. Serverstandort
Klären Sie den Standort von Produktivdaten, Backups sowie Test- und Supportumgebungen und halten Sie ihn im Vertrag fest. Das BSI hat am 27.04.2026 mit C3A einen Handlungsrahmen für Souveränitätseigenschaften veröffentlicht. Danach können Kunden unter anderem Rechenzentrumsstandort und Herkunft des Betriebspersonals (Deutschland oder EU) fordern. C3A ist nicht verbindlich und setzt die Erfüllung von C5 voraus (Quelle: BSI Pressemitteilung vom 27.04.2026, Stand 09.10.2026).
3. Auftragsverarbeitung
Der Vertrag zur Auftragsverarbeitung muss nach Art. 28 Abs. 3 DSGVO unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie Datenarten und Betroffenenkategorien festlegen. Er muss die Verarbeitung auf dokumentierte Weisung beschränken, Maßnahmen nach Art. 32 vorsehen, Löschung oder Rückgabe regeln und Nachweise und Überprüfungen ermöglichen. Verstöße gegen Art. 28 und 32 können mit Bußgeldern bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, was höher ist (Art. 83 Abs. 4 lit. a DSGVO; Quelle: EUR-Lex, Stand 09.10.2026).
4. Unterauftragnehmer
Ein weiterer Auftragsverarbeiter darf nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung eingesetzt werden. Bei allgemeiner Genehmigung muss der Anbieter jede Änderung anzeigen, und Sie können Einspruch erheben (Art. 28 Abs. 2 DSGVO). Unterauftragnehmer erhalten per Vertrag dieselben Datenschutzpflichten, der erste Auftragsverarbeiter haftet Ihnen gegenüber für deren Erfüllung (Art. 28 Abs. 4 DSGVO; Quelle: EUR-Lex, Stand 09.10.2026). Verlangen Sie eine Liste mit Name, Sitz, Leistung und Verarbeitungsort.
5. Zugriffsrechte Dritter
Prüfen Sie, wer auf Daten zugreifen kann: Support, Fernwartung, Entwicklung, Einführungspartner. Art. 32 Abs. 1 DSGVO nennt Verschlüsselung als eine mögliche Maßnahme (Quelle: EUR-Lex, Stand 09.10.2026). Fragen Sie daher, wer die Schlüssel verwaltet und unter welchen Bedingungen Mitarbeiter des Anbieters Daten sehen dürfen. Zugriffe sollten protokolliert werden.
Prüfmatrix nach
Kategorie
Die Prüfpunkte gelten überall, die Gewichtung unterscheidet sich, weil jede Kategorie andere Daten verarbeitet. Die Tabelle zeigt, worauf Sie je Kategorie besonders achten.
| Prüfpunkt | ERP | CRM | HR | WMS | BI |
|---|---|---|---|---|---|
| Sitz des Anbieters | Kunden, Lieferanten, oft auch Beschäftigtendaten: Sitz von Anbieter und Betriebspartner klären | Kontakt- und Interessentendaten: Sitz von Anbieter und Zusatzdiensten wie E-Mail Tracking klären | Beschäftigtendaten: Sitz besonders streng prüfen | Überwiegend Geschäftsdaten, personenbezogen vor allem Mitarbeiter- und Fahrerdaten: Sitz des Betreibers klären | Sitz des Anbieters und der Datenplattform dahinter prüfen |
| Serverstandort | Produktivsystem, Backups und Testsysteme | Datenbank, Dateiablage und E-Mail Server | Personalakte, Lohn, Bewerberdaten und Backups | Bei lokalem Betrieb entfällt die Frage, bei Fernzugriff nicht | Datenlager und Rechenumgebung, nicht nur die Oberfläche |
| Auftragsverarbeitung | Vertrag nach Art. 28, auch für Einführungspartner mit Zugriff | Vertrag auch für Marketing- und KI Funktionen | Vertrag, Lohnabrechnung gegebenenfalls über eigenen Dienstleister | Vertrag, auch für Dienstleister im Support | Vertrag für alle angebundenen Datenquellen |
| Unterauftragnehmer | Hosting, Support, Zahlungs- und Schnittstellendienste | E-Mail Versand, Telefonie, Analyse und KI Dienste | Lohn, Zeiterfassung, Bewerberportale, Signaturdienste | Hosting, Scanner- und Telematikdienste, Support | Datenplattform, Visualisierung, Konnektoren |
| Zugriffsrechte Dritter | Support- und Partnerzugriff, Rollen und Protokolle | Vertriebspartner, Agenturen und Support | Besondere Kategorien nach Art. 9 DSGVO, etwa Gesundheitsdaten: Zugriff nur nach Rolle | Fernwartung von Anlagensteuerung und Schnittstellen | Berechtigungen auf Datenebene, Export und Freigaben |
Erfahrungswerte von Find-Your-Software, keine Aussage über einzelne Produkte. Zu Art. 9 DSGVO siehe EUR-Lex, Stand 09.10.2026.
Mehr zu den Kategorien: ERP Software Vergleich, CRM Software Deutschland, HR Software Vergleich, WMS Vergleich. Zu HR und CRM gibt es zusätzlich Seiten der Schwesterportale: DSGVO konforme HR Software und CRM DSGVO konform betreiben.
Fragen an den Anbieter,
die schriftlich beantwortet werden sollten
Lassen Sie sich die Antworten schriftlich geben und nehmen Sie sie in den Vertrag oder in die Anlagen auf.
- In welchem Land haben Vertragspartner und Muttergesellschaft ihren Sitz?
- An welchen Standorten werden Produktivdaten, Backups sowie Test- und Supportumgebungen betrieben?
- Liegt ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO vor, und enthält er die Inhalte aus Art. 28 Abs. 3?
- Welche Unterauftragnehmer sind beteiligt (Name, Sitz, Leistung, Verarbeitungsort), und wie werden Sie über Änderungen informiert?
- Haben Sie ein Einspruchsrecht bei neuen Unterauftragnehmern?
- Wer kann aus welchem Land auf Daten zugreifen (Support, Fernwartung, Entwicklung), und wie wird das protokolliert?
- Werden Daten in Länder außerhalb von EU und EWR übermittelt, und auf welcher Grundlage (Angemessenheitsbeschluss, Standarddatenschutzklauseln)?
- Steht ein Anbieter oder Unterauftragnehmer aus den USA auf der Liste des Data Privacy Framework, und gilt der Eintrag auch für Ihre Datenart, zum Beispiel Beschäftigtendaten?
- Wer verwaltet die Schlüssel der Verschlüsselung, und können Sie diese selbst halten?
- Welche Nachweise liegen vor (zum Beispiel ISO/IEC 27001 oder ein BSI C5 Testat), für welche Dienste und für welchen Zeitraum gelten sie?
- Wie und in welcher Frist werden Daten bei Vertragsende zurückgegeben und gelöscht?
- Wie informiert der Anbieter Sie über Datenschutzvorfälle und über Anfragen von Behörden?
Anbieter nach diesen
Kriterien vergleichen
Nachweise: was Zertifikate
belegen und was nicht
Zertifikate und Testate sind ein Baustein der Prüfung, kein Ersatz dafür. Die Aussagen stammen aus den FAQ des BSI zum Kriterienkatalog C5 (Quelle: BSI, Stand 09.10.2026).
| Nachweis | Was er belegt | Was er nicht belegt |
|---|---|---|
| ISO/IEC 27001 Zertifikat | Ein Informationssicherheits-Managementsystem wird betrieben und wurde von einer unabhängigen Stelle als normkonform befunden | Dass das Sicherheitsniveau zu Ihrem Schutzbedarf passt |
| BSI C5 Testat Typ 1 | Angemessenheit des Designs zu einem Zeitpunkt | Wirksamkeit im Betrieb |
| BSI C5 Testat Typ 2 | Zusätzlich die Wirksamkeit im Berichtszeitraum | Datenschutzkonformität; Dienste, die der Bericht nicht erfasst; Zeiten außerhalb des Berichtszeitraums |
| Vertrag zur Auftragsverarbeitung | Die Pflichten nach Art. 28 Abs. 3 DSGVO sind vertraglich geregelt | Dass der Anbieter sie einhält; dafür dienen Nachweise und Überprüfungen |
Nach Aussage des BSI ist ein Testat ohne Einschränkung nicht gleichbedeutend mit fehlenden Abweichungen. Der Bericht ist selbst zu prüfen, auch ob der eingesetzte Dienst vom Testat erfasst ist. C5 fokussiert Informationssicherheit, nicht Datenschutz, ein Dienst mit C5 Testat ist daher nicht automatisch datenschutzkonform. Wirtschaftsprüfer testieren, der Anbieter beauftragt den Prüfer (Quelle: BSI, Stand 09.10.2026).
Die neue Fassung C5:2026 wurde am 07.04.2026 veröffentlicht und ist ab dem 1. Juni 2027 anzuwenden (Quelle: BSI Pressemitteilung, Stand 09.10.2026). Bis dahin sind Testate nach C5:2020 üblich. Eine verständliche Einordnung liefert die Seite BSI C5, C3A und ES3 erklärt.
Cloud Act und
Drittlandzugriff
Der US CLOUD Act (18 U.S.C. § 2713) verpflichtet Anbieter elektronischer Kommunikations- oder Remote Computing Dienste, Inhalte und Kundendaten in ihrem Besitz, Gewahrsam oder ihrer Kontrolle zu sichern oder offenzulegen, unabhängig davon, ob sie innerhalb oder außerhalb der USA liegen (Quelle: GovInfo, US Code, Stand 09.10.2026). Für Ihre Prüfung heißt das: Fragen Sie nach Sitz und Muttergesellschaft und nach Zugriffen. Ob ein Zugriff im Einzelfall durchsetzbar ist, ist eine Rechtsfrage, die Sie bei Bedarf rechtlich klären lassen.
Nicht zu verwechseln: Der als EU Cloud Act diskutierte Cloud and AI Development Act ist ein Vorschlag der EU Kommission (COM(2026) 502, veröffentlicht am 03.06.2026) und kein geltendes Recht (Quelle: EU Kommission, Stand 09.10.2026). Die Seite Der EU Cloud Act für den Mittelstand ordnet das Thema ein.
Übermittlung in die USA
Für Organisationen auf der Data Privacy Framework Liste des US Handelsministeriums gilt der Angemessenheitsbeschluss (EU) 2023/1795 vom 10.07.2023, nicht für alle US Empfänger (Quelle: EUR-Lex, Stand 09.10.2026). Das EuG hat die Klage dagegen am 03.09.2025 abgewiesen (T-553/23; Quelle: Curia). Das Rechtsmittel C-703/25 P ist seit dem 31.10.2025 anhängig (Quelle: Amtsblatt C/2025/6610). Ein Urteil des EuGH haben wir bei der Recherche am 09.10.2026 nicht gefunden.
Am 31.07.2026 hat der EDPB die Kommission gebeten zu prüfen, ob das Urteil des US Supreme Court vom 29.06.2026 (Trump v. Slaughter) die Funktionsweise des Beschlusses berührt. Das Schreiben stellt keine Aussetzung fest, der Beschluss gilt weiter (Quelle: EDPB, Stand 09.10.2026). Die Datenschutzkonferenz verlangt, dass der Exporteur prüft, ob der Importeur aktuell auf der Liste steht, und dass Beschäftigtendaten nur bei einem Eintrag der Rubrik HR Data erfasst sind (Quelle: DSK Anwendungshinweise vom 04.09.2023, Stand 09.10.2026).
Ohne Angemessenheitsbeschluss kommen geeignete Garantien nach Art. 46 DSGVO in Betracht, zum Beispiel Standarddatenschutzklauseln (Art. 46 Abs. 2 lit. c). Die Datenschutzkonferenz verlangt dabei weiter eine Prüfung der Rechtslage im Drittland (Quelle: DSK, Stand 09.10.2026). Verstöße gegen die Art. 44 bis 49 DSGVO können mit Bußgeldern bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, was höher ist (Art. 83 Abs. 5 lit. c; Quelle: EUR-Lex, Stand 09.10.2026).
Cloud, lokaler Betrieb
oder EU Hosting
Das Betriebsmodell verschiebt die Prüfpunkte, es löst sie nicht. Erfahrungswert von Find-Your-Software: Beim Betrieb im eigenen Rechenzentrum entfallen Hosting Unterauftragnehmer und der Anbieterzugriff auf Produktivdaten, doch Fernwartung, Updates und Supportzugänge bleiben prüfpflichtig. Bei EU Hosting liegen die Daten in der EU, die Muttergesellschaft des Anbieters kann trotzdem außerhalb sitzen. Dann gelten Sitz und Zugriffsrechte weiter als Prüfpunkte.
Kosten, Betrieb und Risiken der Modelle vergleicht die Seite Cloud oder lokaler Betrieb. Für die Lagerverwaltung zeigt die Seite Cloud WMS oder lokaler Betrieb zusätzlich Kosten und Betrieb.
Wie die Prüfpunkte in die
Anforderungsliste kommen
Übernehmen Sie die Prüfpunkte als Anforderungen mit Priorität. Beispiele von Find-Your-Software, an die eigene Rechtslage anzupassen:
- KO: Der Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO wird vor Vertragsschluss vorgelegt.
- KO: Die Verarbeitungsorte für Produktivdaten, Backups und Support sind im Vertrag benannt.
- Muss: Eine Liste der Unterauftragnehmer mit Sitz und Verarbeitungsort liegt vor, Änderungen werden angezeigt.
- Muss: Zugriffe von Support und Fernwartung werden protokolliert.
- Soll: Ein aktuelles Testat (C5 oder ISO/IEC 27001) liegt vor, sein Geltungsbereich umfasst den Dienst.
- Soll: Schlüssel liegen unter Ihrer Kontrolle oder es gibt ein Löschkonzept für das Vertragsende.
Setzen Sie KO nur dort, wo Ihre Rechtslage es zwingend verlangt, sonst Muss oder Soll. Das Vorgehen beschreibt die Lastenheft Vorlage.
Häufige Fragen
direkt beantwortet.
Was bedeutet DSGVO konform bei Unternehmenssoftware?
Eine Software ist nicht für sich DSGVO konform, denn die DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, nicht Produkte. Konform ist die Verarbeitung, wenn Rechtsgrundlage, Vertrag zur Auftragsverarbeitung (Art. 28), Sicherheitsmaßnahmen (Art. 32) und Regeln zur Übermittlung in Drittländer (Art. 44 bis 49) erfüllt sind. Ein Produkt kann das unterstützen. Ein Siegel ersetzt die Prüfung im eigenen Unternehmen nicht.
Reicht ein Serverstandort in Deutschland aus?
Nein, allein reicht er nicht. Auch bei Servern in Deutschland können der Sitz des Anbieters, Unterauftragnehmer und Zugriffe aus Drittländern relevant sein. Ein deutscher Standort vereinfacht die Prüfung, ersetzt sie aber nicht. Prüfen Sie deshalb alle fünf Prüfpunkte: Sitz, Standort, Auftragsverarbeitung, Unterauftragnehmer und Zugriffsrechte.
Welche Fragen sollte ich dem Softwareanbieter zum Datenschutz stellen?
Fragen Sie nach Sitz von Vertragspartner und Muttergesellschaft, nach den Standorten von Produktivdaten, Backups und Support, nach dem Vertrag zur Auftragsverarbeitung, nach der Liste der Unterauftragnehmer und nach Zugriffen aus Drittländern. Verlangen Sie die Antworten schriftlich. Die vollständige Liste mit zwölf Fragen steht im Abschnitt Fragen an den Anbieter.
Was ist eine Auftragsverarbeitung und wann brauche ich sie?
Auftragsverarbeitung bedeutet, dass ein Dienstleister personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO). Sie brauchen einen Vertrag nach Art. 28, wenn ein Anbieter für Sie Daten verarbeitet, etwa bei Cloud Software oder bei Support mit Zugriff auf Daten. Der Vertrag muss die Inhalte aus Art. 28 Abs. 3 regeln. Verstöße können mit Bußgeldern bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, was höher ist (Quelle: EUR-Lex, Stand 09.10.2026).
Was bedeutet der EU Cloud Act für meine Software?
Zu unterscheiden sind zwei Dinge. Der US CLOUD Act (18 U.S.C. § 2713) kann Anbieter aus den USA verpflichten, Daten offenzulegen, die sie besitzen oder kontrollieren, auch wenn diese außerhalb der USA liegen. Der Cloud and AI Development Act der EU ist dagegen ein Vorschlag der Kommission (COM(2026) 502) und kein geltendes Recht. Für Ihre Auswahl zählen Sitz, Muttergesellschaft und Zugriffsrechte des Anbieters. Eine Einordnung bietet Der EU Cloud Act für den Mittelstand.
Welche Software hat deutsche Server?
Wir nennen hier keine Produkte, weil sich Standortangaben ändern und nur der Vertrag sie verbindlich festlegt. Fragen Sie jeden Anbieter schriftlich nach Standorten von Produktivdaten, Backups und Support. Einstiege je Kategorie bieten CRM Software Deutschland, DSGVO konforme HR Software und Cloud WMS.
Wie prüfe ich Unterauftragnehmer eines Cloud Anbieters?
Lassen Sie sich eine Liste mit Name, Sitz, Leistung und Verarbeitungsort geben. Nach Art. 28 Abs. 2 DSGVO darf ein weiterer Auftragsverarbeiter nur mit Genehmigung eingesetzt werden, bei allgemeiner Genehmigung muss der Anbieter Änderungen anzeigen, und Sie können Einspruch erheben. Nach Art. 28 Abs. 4 erhalten Unterauftragnehmer dieselben Datenschutzpflichten per Vertrag, und der Anbieter haftet Ihnen gegenüber dafür. Vereinbaren Sie, wie Sie über Änderungen informiert werden.
Wie nehme ich Datenschutz in die Anforderungsliste auf?
Formulieren Sie die Prüfpunkte als Anforderungen mit Priorität, zum Beispiel den Vertrag zur Auftragsverarbeitung und die Benennung der Verarbeitungsorte als KO, die Liste der Unterauftragnehmer und das Protokoll von Supportzugriffen als Muss und aktuelle Testate als Soll. Setzen Sie KO nur ein, wenn Ihre Rechtslage es zwingend verlangt. Im Selection Portal erfassen Sie diese Anforderungen im Anforderungsmanager.
Anbieter nach Ihren
Kriterien finden
Nehmen Sie Datenschutz und Serverstandort als Anforderungen in die Auswahl auf und erhalten Sie eine begründete Shortlist. Oder sprechen Sie mit uns über Ihr Projekt.
Besondere Anforderungen an Gesundheitsdaten und Cloud: Software im Gesundheitswesen. Berufsgeheimnis und Mandantendaten: Software für Kanzleien.