Ein Serverstandort in Deutschland oder der EU macht einen Cloud-Speicher noch nicht DSGVO-konform. Mindestens so wichtig sind der Sitz des Unternehmens, denn US-Unternehmen unterliegen dem CLOUD Act, und die Frage, wer die Schlüssel zu Ihren Dateien verwaltet. Für Nutzer in Deutschland sind pCloud (Schweizer Unternehmen, Speicherort Luxemburg wählbar) und Proton Drive (Schweizer Unternehmen, standardmäßig Ende-zu-Ende verschlüsselt) die stärksten Kandidaten.

Dieser Artikel ist keine Rechtsberatung. Die Angaben zu pCloud und Proton haben wir am 17. September 2026 auf deren Seiten geprüft.

Was die DSGVO von Cloud-Diensten verlangt

Für Unternehmen, Selbstständige und Vereine, die personenbezogene Daten von Kunden oder Mitgliedern in der Cloud speichern, kommt es auf vier Dinge an. Die Daten werden im EWR verarbeitet oder in einem Land mit Angemessenheitsbeschluss. Es gibt einen Auftragsverarbeitungsvertrag (AVV), wenn der Anbieter die Daten in Ihrem Auftrag verarbeitet. Die technischen und organisatorischen Maßnahmen entsprechen dem Stand der Technik. Und die Datenschutzerklärung ist transparent.

Wer nur private Fotos speichert, handelt nicht als Unternehmen und hat diese Pflichten nicht.

Der US CLOUD Act

Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) erlaubt US-Behörden, US-Unternehmen zur Herausgabe von Daten zu verpflichten, unabhängig davon, wo die Daten gespeichert sind. Das betrifft Microsoft (OneDrive), Google (Google Drive), Apple (iCloud), Dropbox und alle anderen US-Anbieter.

Auch wenn Microsoft Ihre Daten in einem Rechenzentrum in Frankfurt speichert, kann die Herausgabe verlangt werden. Europäisches Datenschutzrecht und US-Recht geraten hier direkt aneinander. Für Unternehmen mit Sitz in der Schweiz oder der EU ohne US-Muttergesellschaft gilt der CLOUD Act nicht in gleicher Weise.

Serverstandort EU: nötig, aber nicht ausreichend

Viele Anbieter werben mit „Server in Deutschland“ oder „EU-Rechenzentrum“. Das hilft, sagt aber nicht alles. Ein US-Unternehmen mit deutschen Servern bietet weniger Rechtsschutz als ein europäisches oder Schweizer Unternehmen ohne US-Bezug. Prüfen Sie deshalb:

  • Wo sitzt das Unternehmen, und gibt es eine US-Mutter?
  • Gibt es einen AVV, oder erklärt der Anbieter nachvollziehbar, warum keiner nötig ist?
  • Wer verwaltet die Schlüssel, der Anbieter oder Sie?
  • Werden Subunternehmer in den USA eingesetzt?

Serverseitige und Ende-zu-Ende-Verschlüsselung

Die meisten Cloud-Dienste verschlüsseln bei der Übertragung (TLS) und auf dem Server (AES-256). Das schützt gegen Angriffe von außen. Weil der Anbieter die Schlüssel verwaltet, kann er Ihre Daten aber lesen und im Zweifel herausgeben.

Bei Ende-zu-Ende-Verschlüsselung haben nur Sie den Schlüssel. Der Anbieter speichert Dateien, die er selbst nicht lesen kann, und hat bei einer Behördenanfrage nichts Lesbares herauszugeben. Für sensible Daten ist das der Maßstab. Diese Möglichkeiten gibt es:

  • Proton Drive verschlüsselt alle Dateien standardmäßig Ende-zu-Ende.
  • pCloud bietet die kostenpflichtige Erweiterung pCloud Crypto für einen verschlüsselten Ordner.
  • Tresorit verschlüsselt standardmäßig Ende-zu-Ende und richtet sich an Unternehmen.
  • Cryptomator ist ein Open-Source-Werkzeug, das Dateien verschlüsselt, bevor sie in eine beliebige Cloud gehen.

Anbieter für Nutzer in der EU

pCloud

pCloud ist ein Schweizer Unternehmen. Beim Anlegen des Kontos wählen Sie, ob Ihre Dateien in der EU (Luxemburg) oder in den USA (Dallas) liegen. Mit pCloud Crypto verschlüsseln Sie Dateien zusätzlich so, dass nur Sie sie lesen können. 2 TB Lifetime kostete am 17. September 2026 einmalig 499 €.

Zum AVV vertritt pCloud eine klare Position: pCloud sieht sich als Anbieter von Speicherinfrastruktur, der die Inhalte Ihrer Dateien nicht indexiert, einsieht oder nutzt, und schreibt deshalb, dass Sie mit pCloud for Business keinen AVV mit der pCloud AG benötigen. Ob diese Einschätzung für Ihre Organisation trägt, klären Sie am besten mit Ihrem Datenschutzbeauftragten. Ausführlich: pCloud Test.

Proton Drive

Proton sitzt in der Schweiz, verschlüsselt alle Dateien in Proton Drive standardmäßig Ende-zu-Ende und gehört zu einem Paket mit Proton Mail, Proton VPN und Proton Pass. Für Organisationen veröffentlicht Proton einen AVV und einen Transparenzbericht über Behördenanfragen. Passt, wenn Datenschutz absolute Priorität hat. Ausführlich: Proton Drive Test.

Tresorit

Tresorit (schweizerisch-ungarisch) verschlüsselt Ende-zu-Ende und richtet sich an Teams und Unternehmen. Teurer, aber für den geschäftlichen Einsatz ausgereift.

Google Drive, OneDrive, iCloud und Dropbox sind für private Fotos pragmatisch nutzbar. Für sensible Geschäftsdaten sollten Sie sie mit Vorsicht einsetzen.

Betroffenenrechte

Die DSGVO gibt Ihnen und den Personen, deren Daten Sie speichern, Rechte auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit. Ein Cloud-Anbieter muss diese technisch unterstützen. Prüfen Sie, ob es einen klaren Weg für Datenschutzanfragen gibt. Ein Transparenzbericht, wie ihn Proton veröffentlicht, zeigt zusätzlich, wie oft Behörden anfragen und wie der Anbieter reagiert.

Fazit

Für einen DSGVO-tauglichen Cloud-Speicher reicht ein deutscher Serverstandort nicht. Entscheidend sind der Unternehmenssitz außerhalb des CLOUD Act, eine geklärte Auftragsverarbeitung und am besten Ende-zu-Ende-Verschlüsselung. pCloud und Proton Drive bieten hier die stärksten Lösungen für Privat- und Geschäftsnutzer in Deutschland. Unser Diagnose-Tool hilft bei der Auswahl.

Quellen

Geprüft am 17. September 2026: