Eigener Server, Private Cloud oder US-Cloud: Wo Ihre IT laufen sollte und was das wirklich kostet

Vier Orte, an denen Ihre IT laufen kann

Meist ist von drei Varianten die Rede. Genau genommen sind es vier, denn öffentliche Cloud ist nicht gleich öffentliche Cloud.

Was „Rechenzentrum in Europa“ bei einem US-Anbieter bedeutet

Viele US-Anbieter speichern die Daten europäischer Kunden in Europa. Damit ist der Ort geklärt, nicht der Zugriff. Nach US-Recht müssen US-Unternehmen Daten, die sie kontrollieren, auf behördliche Anordnung herausgeben, auch wenn die Daten in Europa liegen. Vor dem französischen Senat wurde der Leiter für Recht und öffentliche Angelegenheiten von Microsoft Frankreich im Juni 2025 gefragt, ob er garantieren könne, dass Daten französischer Bürger nie ohne Zustimmung an US-Behörden gehen. Seine Antwort: „Nein, das kann ich nicht garantieren.“ (Sitzungsprotokoll des Senats, auf Französisch)

Datenschutzrechtlich ist die Übermittlung in die USA heute über das Datenschutzabkommen zwischen EU und USA möglich, wenn der Anbieter danach zertifiziert ist. Das Abkommen hat 2025 eine erste gerichtliche Prüfung überstanden; über das Rechtsmittel entscheidet der Gerichtshof der EU. Die beiden Vorgänger des Abkommens hat der Gerichtshof 2015 und 2020 für ungültig erklärt.

Dabei geht es nicht nur ums Speichern. Auch wenn eine KI oder ein anderes Programm des Anbieters die Daten nur verarbeitet, etwa um einen Bericht zu entwerfen, liegen sie in seiner Reichweite. Und Daten leben lange: Eine Akte aus der Jugendhilfe betrifft einen Menschen noch Jahrzehnte später. Was mit Daten geschieht, die heute herausgegeben werden, und wofür sie in zehn oder zwanzig Jahren genutzt werden, kann heute niemand sagen.

Für die Praxis heißt das: Ein US-Anbieter ist nicht verboten, aber er ist eine Entscheidung mit Bedingung. Wer Sozial-, Gesundheits- oder Personaldaten dort ablegt oder verarbeiten lässt, sollte das bewusst entscheiden und vorher wissen, wie er wieder herauskommt.

Was jede Variante wirklich kostet

Ein Server ist in der Anschaffung teuer und danach vergleichsweise günstig. Die Cloud ist im ersten Monat günstig und kostet dann jeden Monat. Ein fairer Vergleich rechnet deshalb über fünf Jahre und nimmt sieben Posten auf:

1. Anschaffung oder Abonnement. Server, Speicher und Netz; in der Cloud der Preis je Nutzer oder je Leistung.
2. Lizenzen. Betriebssysteme, Datenbanken, Fachsoftware. Manche Lizenzen kosten in der Cloud anders als im eigenen Haus.
3. Raum, Strom und Kühlung. Im eigenen Haus Ihre Kosten, in der Cloud im Preis enthalten.
4. Personal und Vertretung. Wer pflegt die Technik, wer springt bei Urlaub oder Krankheit ein, wer ist nachts erreichbar? Dieser Posten fehlt in Vergleichen am häufigsten.
5. Datensicherung. Eine Kopie außer Haus und eine Probe, ob die Wiederherstellung klappt. Das gilt für jede Variante, auch für die Cloud.
6. Sicherheit und Updates. Im eigenen Haus Ihre Aufgabe, in der Private Cloud Vertragssache, in der öffentlichen Cloud teils beim Anbieter, teils bei Ihnen.
7. Ausstieg. Datenexport, Umzug, eine Zeit mit doppeltem Betrieb und Schulung. Er kommt bei jeder Variante irgendwann, spätestens wenn die Technik alt ist oder der Vertrag endet. Der Wechsel zwischen Cloud-Anbietern ist durch die europäische Datenverordnung leichter geworden; den Aufwand für Ihre Abläufe nimmt sie Ihnen nicht ab.

Dazu kommt das Preisrisiko. Im eigenen Haus wissen Sie für die Laufzeit der Technik, was sie kostet. In der Cloud kann der Anbieter Preise und Pakete ändern. Wie Sie damit umgehen, steht auf unserer Seite zur Abhängigkeit von Cloud-Anbietern.

Aus der Praxis: Die Cloud wird oft teurer als geplant, weil Speicher und Lizenzen weiterlaufen, die niemand mehr nutzt. Das eigene Haus wird oft teurer als gedacht, weil die Arbeitszeit für die Betreuung nirgends gezählt wird.

Baukasten oder Komplettpaket. Wie hoch die Kosten am Ende sind, hängt stark davon ab, wie Sie Ihre IT zusammensetzen. Ein Baukasten aus bewährten, oft offenen Bausteinen, den Sie mit einem Dienstleister und zum Teil selbst betreuen, ist meist günstiger und lässt sich leichter umbauen. Das Komplettpaket eines großen Herstellers ist bequem, kostet aber auf Dauer mehr und bindet stärker. Beides kann richtig sein. Entscheiden sollten Sie es bewusst und nicht, weil es im Angebot so stand.

So entscheiden Sie Anwendung für Anwendung

„Cloud oder nicht?“ ist als Frage zu groß. Lösbar wird sie, wenn Sie sie für jede Anwendung einzeln stellen:

1. Anwendungen auflisten. E-Mail und Kalender, Dateiablage, Fachsoftware und Dokumentation, Dienstplan, Lohn und Buchhaltung, Telefonie, KI-Werkzeuge.
2. Daten einordnen. Normale Daten, Personaldaten, Sozial- oder Gesundheitsdaten.
3. Ausfall bewerten. Wie lange kann das Haus ohne diese Anwendung arbeiten: eine Stunde, einen Tag, eine Woche?
4. Betrieb klären. Wer kann die Anwendung im eigenen Haus betreuen, mit Vertretung? Gibt es sie überhaupt noch zum Selbstbetrieb? Viele Hersteller von Fachsoftware bieten neue Versionen nur noch als Cloud-Dienst an.
5. Vollkosten rechnen. Über fünf Jahre, mit allen sieben Posten.
6. Ausstieg festhalten. Für jede wichtige Anwendung eine Zeile: Wie kommen die Daten wieder heraus, und wohin?

Ein häufiges Ergebnis: Standardwerkzeuge ohne sensible Daten laufen in einer öffentlichen Cloud, gern einer europäischen. Akten mit Sozial- und Gesundheitsdaten liegen in einer Private Cloud in Europa oder im eigenen Haus. Fachsoftware läuft dort, wo der Hersteller sie anbietet, mit einem Exportweg im Vertrag. Und wo vor Ort das Internet nicht reicht, bleibt ein kleiner Teil im Haus, bis der Anschluss besser ist.

Ein Beispiel aus der Jugendhilfe

Ein Träger der Kinder- und Jugendhilfe mit rund 180 Beschäftigten an elf Standorten betreibt seinen Server im Keller der Geschäftsstelle. Der Server ist sieben Jahre alt, die Garantie ist ausgelaufen. Ein Dienstleister bietet einen neuen Server an, ein anderer den Umzug des ganzen Hauses in die Cloud eines US-Anbieters.

• Was der Vergleich zeigt: Beim neuen Server hatte niemand die Arbeitszeit eingerechnet, die ein Mitarbeiter der Verwaltung neben seiner eigentlichen Aufgabe in die Betreuung steckt; eine Vertretung gab es nicht. Beim vollständigen Umzug hätten die Fallakten von Kindern und Jugendlichen bei einem Anbieter unter US-Recht gelegen, und auch die geplante KI-Hilfe für Entwicklungsberichte hätte dort gearbeitet. Diese Akten begleiten die jungen Menschen ein Leben lang. Außerdem hatten zwei Wohngruppen kein Internet, das für die Arbeit in der Cloud reicht.
• Was der Träger entscheidet: E-Mail, Kalender und Videokonferenz laufen in einer europäischen Cloud. Fallakten und Dateiablage ziehen in eine Private Cloud bei einem Rechenzentrum in Deutschland. Die Fachsoftware bleibt beim Hersteller, der Exportweg steht jetzt im Vertrag. Die beiden Wohngruppen bekommen zuerst einen besseren Anschluss, dann neue Geräte.
• Was nach einem Jahr da ist: kein Serverraum mehr, eine Übersicht, welche Anwendung wo läuft und wie sie wieder herauskommt, ein Vollkostenvergleich, den der Vorstand nachvollziehen kann, und eine IT, die nicht mehr an einer einzelnen Person hängt. Was das Ganze kostet, hat der Träger selbst in der Hand: Er setzt auf Standardbausteine statt auf ein Komplettpaket und betreut die Dateiablage gemeinsam mit seinem Dienstleister.

In großen und regulierten Organisationen

• Sozialdaten im Auftrag. Lassen Sie Sozialdaten von einem Dienstleister verarbeiten, ist das nach dem Sozialgesetzbuch im Inland, in der EU und gleichgestellten Staaten erlaubt, in anderen Staaten nur mit einem Angemessenheitsbeschluss der EU. Speichert ein US-Anbieter in Europa, ist der Ort erfüllt. Greift er aus den USA zu, etwa für Wartung, hängt es am Datenschutzabkommen.
• Kinder- und Jugendhilfe. Was Fachkräften in der persönlichen und erzieherischen Hilfe anvertraut wird, steht unter besonderem Vertrauensschutz. Jugendämter müssen sicherstellen, dass freie Träger diese Daten ebenso schützen. Wo solche Akten liegen und wer sie verarbeitet, ist deshalb keine Formsache, auch nicht bei einer KI-Hilfe für Berichte.
• Gesundheitsdaten. Arztpraxen, medizinische Versorgungszentren, Krankenhäuser und andere Leistungserbringer der gesetzlichen Krankenversicherung dürfen Gesundheitsdaten nur in Cloud-Diensten verarbeiten, die ein aktuelles Testat nach dem Cloud-Kriterienkatalog des BSI (C5) haben. Fragen Sie danach, bevor Sie unterschreiben.
• Kirchliche Träger. Für sie gelten eigene Datenschutzgesetze mit eigenen Regeln für die Übermittlung in Drittstaaten und eigenen Aufsichten. Messen Sie einen US-Anbieter auch daran.
• NIS2. Wer unter NIS2 fällt, muss die Sicherheit seiner Lieferkette berücksichtigen. Der Anbieter, bei dem zentrale Systeme laufen, gehört dazu.
• Verbund mit mehreren Gesellschaften. Eine gemeinsame Private Cloud spart Betrieb, braucht aber eine saubere Verrechnung zwischen den Gesellschaften und getrennte Zugriffsrechte.
• Ausschreibung. Wer ausschreiben muss, schreibt Anforderungen an Speicherort, Rechtsraum, Exportweg und Ausstieg in die Leistungsbeschreibung. Nachträglich lassen sie sich kaum noch verhandeln.

Wie Sie mit uns starten

Die Standortbestimmung unserer Linie Digitale Souveränität (Audit Souveränität) zeigt, welche Software und welche Cloud-Dienste bei Ihnen laufen, wo bekannte Sicherheitslücken liegen und von welchen Herstellern Sie abhängig sind. Festpreis nach Größe: 3.900 €, 4.800 € oder 5.700 €. In der Vertiefung (9.900 €) entsteht daraus das Zielbild: welche Anwendung wohin gehört, der Vollkostenvergleich und die Reihenfolge des Umzugs.

→ Mehr zu Digitale Souveränität

Häufige Fragen

Vom Team der addonware GmbH, Bereich Digitale Souveränität. Stand: Oktober 2026.