DSGVO-Checkliste: US-Tools und ihre europäischen Alternativen

Diese DSGVO-Checkliste für US-Tools hilft dir, den Werkzeugkasten deines Unternehmens systematisch durchzugehen: Welche Dienste verarbeiten personenbezogene Daten, welche davon liegen bei US-Anbietern, und was musst du dokumentieren, damit die Nutzung rechtlich trägt? Am Ende bekommst du für jede Kategorie eine europäische Open-Source-Alternative, mit der du das Drittlandthema komplett umgehst statt es zu verwalten.

Die Rechtslage in drei Sätzen

Übermittlungen personenbezogener Daten in Drittländer sind nach Kapitel V der DSGVO nur unter zusätzlichen Bedingungen zulässig (Art. 44 ff. DSGVO). Für die USA gilt seit dem 10. Juli 2023 der Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795): Datenübermittlungen an Unternehmen, die sich unter diesem Rahmen zertifiziert haben, sind ohne weitere Genehmigung möglich. Das Gericht der Europäischen Union hat eine Nichtigkeitsklage gegen diesen Beschluss am 3. September 2025 abgewiesen (Rechtssache T-553/23, Latombe/Kommission) — der Beschluss ist also derzeit gültig.

Warum trotzdem Vorsicht? Weil derselbe Mechanismus schon zweimal gekippt ist. Der EuGH hat mit Urteil vom 16. Juli 2020 den Vorgänger-Beschluss zum EU-US-Datenschutzschild für ungültig erklärt (Rechtssache C-311/18, „Schrems II"). Wer heute seine gesamte Toolchain auf einen politisch angreifbaren Angemessenheitsbeschluss stützt, baut auf einer Grundlage, die sich innerhalb weniger Monate ändern kann. Das ist kein juristisches Detail, sondern ein Betriebsrisiko: Fällt der Beschluss, brauchst du von einem Tag auf den anderen für jedes betroffene Tool eine eigene Rechtsgrundlage — oder einen Ersatz.

Die Checkliste: sieben Prüfschritte pro Tool

Geh jedes Werkzeug einzeln durch. Für die meisten KMU sind das zwischen 15 und 40 Dienste, inklusive der Tools, die einzelne Abteilungen ohne IT-Freigabe eingeführt haben.

• 1. Verarbeitet das Tool personenbezogene Daten? Auch Kundennamen in einem Ticket, IP-Adressen im Analytics-Log oder Bewerberunterlagen im Cloud-Speicher zählen. Wenn nein, ist die Prüfung hier zu Ende.
• 2. Steht es im Verarbeitungsverzeichnis? Art. 30 DSGVO verlangt ein Verzeichnis der Verarbeitungstätigkeiten. Fehlende Einträge sind der häufigste Befund bei Prüfungen — und billig zu beheben.
• 3. Liegt ein Auftragsverarbeitungsvertrag vor? Art. 28 DSGVO verlangt einen Vertrag mit dem konkreten Inhalt aus Abs. 3. Ein Häkchen in den AGB reicht nur, wenn dort tatsächlich ein AVV verlinkt und akzeptiert wurde. Leg dir die PDF ins Archiv, nicht nur den Link.
• 4. Wo liegen die Daten wirklich? „EU-Rechenzentrum" heißt nicht „kein Drittlandtransfer". Entscheidend ist auch, ob Support, Administration oder Backup aus dem Drittland zugreifen können. Das steht in der Unterauftragsverarbeiter-Liste, die dir der Anbieter nach Art. 28 Abs. 2 DSGVO offenlegen muss.
• 5. Welche Unterauftragsverarbeiter sind eingebunden? Diese Liste ändert sich. Prüf, ob der Anbieter Änderungen ankündigt und ob du ein Widerspruchsrecht hast.
• 6. Gibt es eine dokumentierte Rechtsgrundlage für den Transfer? Angemessenheitsbeschluss, Standardvertragsklauseln plus Transfer-Impact-Assessment oder eine Ausnahme nach Art. 49 DSGVO. Eine dieser drei Optionen musst du benennen können.
• 7. Sind die technischen Maßnahmen dokumentiert? Art. 32 DSGVO verlangt angemessene technisch-organisatorische Maßnahmen. Frag konkret nach Verschlüsselung im Transit und at rest, Zugriffsprotokollierung und Löschkonzept.

Wenn du bei Schritt 4 bis 6 ins Stocken gerätst, ist das das Signal, über einen Wechsel nachzudenken. Nicht weil das Tool illegal wäre, sondern weil der Dauer-Aufwand für Dokumentation, Nachverhandlung und Neubewertung nach jedem Urteil real ist.

Kategorie für Kategorie: was du stattdessen einsetzen kannst

Die gute Nachricht: Für praktisch jede Kategorie gibt es ausgereifte Open-Source-Software, die du in Europa betreiben kannst. Damit verschwindet die Drittland-Frage nicht nur formal, sondern faktisch.

• Dateiablage und Zusammenarbeit (statt Dropbox, Google Drive, OneDrive): Nextcloud deckt Dateien, Kalender, Kontakte und Zusammenarbeit ab.
• Web-Analytics (statt Google Analytics): Matomo für vollständige Analytics unter eigener Kontrolle, Umami für schlanke Zahlen ohne Cookies — und damit ohne Consent-Banner für diesen Zweck.
• Passwortverwaltung (statt LastPass, 1Password): Vaultwarden ist mit allen Bitwarden-Clients kompatibel, der Tresor liegt aber auf deinem Server.
• Team-Chat (statt Slack, Teams): Synapse als eigener Matrix-Server, verschlüsselt und föderiert.
• Helpdesk (statt Zendesk, Freshdesk): Zammad für Support über E-Mail, Web und Telefon.
• Newsletter (statt Mailchimp): listmonk — Mailinglisten ohne Abrechnung pro Empfänger.
• Code-Hosting (statt GitHub): Gitea mit Pull Requests, Issues und CI.
• Fotoarchiv (statt Google Photos, iCloud): Immich inklusive automatischem Handy-Backup.
• KI-Chat (statt ChatGPT im Arbeitsalltag): Open WebUI als Oberfläche für Sprachmodelle im eigenen Haus.
• Dokumentenarchiv (statt papierbasierter Ablage oder US-DMS): Paperless-ngx macht gescannte Post per Volltextsuche auffindbar.

Wichtig: Ein Wechsel löst nicht automatisch alle Pflichten. Verarbeitungsverzeichnis, AVV mit dem Hoster, TOM-Dokumentation und Löschkonzept bleiben. Was wegfällt, ist der komplette Block „Drittlandtransfer" — also Transfer-Impact-Assessment, Standardvertragsklauseln und die Neubewertung nach jedem Urteil.

Der Haken beim Selbsthosten — und wie AllAppsCloud ihn löst

Open Source in Europa zu betreiben klingt einfach, bis der erste Sicherheitspatch ansteht. Wer selbst hostet, übernimmt Updates, Backups, Monitoring, Verfügbarkeit und die Wiederherstellung im Ernstfall. Für viele KMU ist genau das der Punkt, an dem das Projekt einschläft und man doch wieder beim US-Anbieter landet.

AllAppsCloud von der Wodanio GmbH setzt hier an: Managed Open Source Hosting im eigenen deutschen Rechenzentrum, kein Hyperscaler dahinter. Betrieb, Backups, Updates und Monitoring übernimmt der Anbieter, innerhalb der Software bleibst du Administrator. Die Software selbst ist unverändertes Open Source ohne proprietäre Aufsätze — du bekommst jederzeit vollständige Exporte und kannst die Instanz anderswo weiterbetreiben. Zu jedem Vertrag gehört ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO samt Unterauftragsverarbeiter-Liste und TOM-Übersicht; da Betrieb, Speicherung und Backups vollständig in Deutschland stattfinden, entfallen Standardvertragsklauseln für Drittstaaten. Das Rechenzentrum befindet sich derzeit in der Zertifizierung nach ISO 27001.

Der App-Katalog umfasst aktuell 33 Anwendungen. AllAppsCloud befindet sich im Aufbau und startet mit einer begrenzten Zahl an Early-Access-Kunden — wer auf der Warteliste steht, wird zuerst eingeladen und bekommt die Preisliste vorab. Veröffentlichte Tarife gibt es zum jetzigen Zeitpunkt noch nicht.

Häufige Fragen

Sind US-Tools nach der DSGVO derzeit verboten?

Nein. Seit dem Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023 sind Übermittlungen an Unternehmen, die unter dem EU-U.S. Data Privacy Framework zertifiziert sind, ohne zusätzliche Genehmigung zulässig; das Gericht der EU hat den Beschluss am 3. September 2025 in der Rechtssache T-553/23 bestätigt. Du musst aber prüfen und dokumentieren, ob der jeweilige Anbieter tatsächlich zertifiziert ist — und einkalkulieren, dass frühere Angemessenheitsbeschlüsse für die USA bereits gerichtlich gekippt wurden.

Reicht es, wenn der US-Anbieter ein EU-Rechenzentrum anbietet?

Nicht automatisch. Entscheidend ist, ob im laufenden Betrieb jemand aus einem Drittland auf die Daten zugreifen kann — etwa über Support, Administration oder Backup-Systeme. Verlang die Liste der Unterauftragsverarbeiter und lass dir schriftlich bestätigen, wo Zugriff, Speicherung und Sicherungen liegen.

Was ändert sich für mein Verarbeitungsverzeichnis nach dem Umstieg?

Der Eintrag bleibt, ändert aber Inhalt: Statt des US-Anbieters steht dort dein europäischer Hoster als Auftragsverarbeiter, die Angaben zum Drittlandtransfer entfallen, und du hinterlegst den neuen AVV samt technisch-organisatorischen Maßnahmen. Plane außerdem eine dokumentierte Löschung der Altdaten beim bisherigen Anbieter ein.