EU-Region ist nicht EU-Anbieter — Vercel, Supabase und die Drittland-Frage der DSGVO

„Wir hosten in Frankfurt, also sind wir DSGVO-konform.“ Der Satz fällt in fast jedem Gespräch über Vercel und Supabase, und er ist die halbe Antwort auf eine Frage, die aus zwei Hälften besteht. Die Region beantwortet, wo die Daten liegen. Sie beantwortet nicht, wessen Recht für die Firmen gilt, die diese Daten verarbeiten.

Dieser Artikel nimmt die zweite Hälfte auseinander. Er erklärt, was eine EU-Region rechtlich leistet und was nicht, warum die EU-Kommission die Übermittlung in die USA schon zweimal per Beschluss für zulässig erklärt hat und der Europäische Gerichtshof beide Beschlüsse kassiert hat, während der dritte gerade geprüft wird, und was der CLOUD Act, ein US-Gesetz von 2018, mit einem Rechenzentrum in Frankfurt zu tun hat. Am Ende steht eine Prüfliste für die Drittland-Frage, mit der sich der eigene Einsatz von Vercel oder Supabase prüfen und dokumentieren lässt, und eine Entscheidungshilfe für die Alternative. Der Anlass ist ein konkreter: Im DI²-Projekt wurde diese Frage vor dem ersten Deploy gestellt, und die Antwort hat die Infrastruktur bestimmt.

Das Wichtigste vorab:

• Nicht von selbst konform: Vercel und Supabase bieten EU-Regionen und einen Auftragsverarbeitungs-Vertrag an, also den Vertrag, der festlegt, was der Anbieter mit den Daten seiner Kunden tun darf. Die Voraussetzungen für einen konformen Einsatz muss der Nutzer trotzdem selbst herstellen und belegen. Die Standard-Einstellung ist nicht die konforme, bei Vercel laufen Funktionen ohne eigene Wahl in den USA.
• Die Kette zählt, nicht der Sitz: Vercel ist eine US-Gesellschaft. Supabases Vertragspartner sitzt in Singapur, die US-Gesellschaft Supabase, Inc. steht als Subunternehmer für den Support in der eigenen Liste, und das Hosting läuft über Amazon Web Services (AWS). Wessen Recht gilt, sagt nicht das Impressum des Anbieters, sondern seine Liste der Subunternehmer, die an die Daten kommen. Die DSGVO nennt sie weitere Auftragsverarbeiter, die Anbieter führen sie als „Subprocessor List“.
• Drei Anläufe für eine Übermittlungs-Grundlage: Die EU-Kommission hat den USA dreimal per Beschluss ein angemessenes Schutzniveau bescheinigt, jedes Mal auf Basis einer Vereinbarung mit der US-Regierung. Die ersten beiden, Safe Harbor von 2000 und Privacy Shield von 2016, hat der Europäische Gerichtshof 2015 und 2020 kassiert, beide Male mit derselben Begründung. Gegen den dritten, das Data Privacy Framework von 2023, hat das Gericht der Europäischen Union die erste Klage im September 2025 abgewiesen, das Rechtsmittel dagegen ist beim Europäischen Gerichtshof anhängig. Stand 9. September 2026 gilt er.
• Der CLOUD Act fragt nicht nach dem Speicherort: Ein Anbieter unter US-Gerichtsbarkeit muss grundsätzlich Daten herausgeben, die in seinem Besitz oder unter seiner Kontrolle stehen, gleichgültig, in welchem Land sie liegen. Mit der EU gibt es kein Abkommen, das das besondere Widerspruchsverfahren des Gesetzes eröffnen würde. Microsoft Frankreich hat das im Juni 2025 vor dem französischen Senat so bestätigt.
• Ein Vertrag heilt das nicht: Der Auftragsverarbeitungs-Vertrag regelt das Verhältnis zwischen Nutzer und Anbieter. Er setzt kein US-Gesetz außer Kraft. Beide Risiken treffen am Ende den Nutzer, weil er seinen Verarbeitungsvorgang verantwortet, auch wenn der Anbieter eigene Pflichten hat. Die Prüfliste am Ende macht sie sichtbar, statt sie zu beseitigen.
• Die Alternative ist eine Anbieter-Frage: Wer die beiden Risiken nicht tragen, sondern ausschließen will, hat nur einen Weg, keinen Anbieter unter US-Gerichtsbarkeit in der Kette. Das heißt EU-Anbieter oder eigener Server in der EU, und beides hat einen Preis, den der Schwester-Artikel zur Infrastruktur beziffert.

Voraussetzung: Der Artikel richtet sich an Entwickler und kleine Teams in der EU, die eine Web-Anwendung mit Login auf Vercel, Supabase oder vergleichbaren Diensten betreiben oder das planen. Juristisches Vorwissen ist nicht nötig, Begriffe wie Angemessenheitsbeschluss, Standardvertragsklauseln und Auftragsverarbeitung werden beim ersten Auftreten erklärt. Alle Anbieter-Aussagen sind aus deren eigener Dokumentation belegt, Zitate wörtlich, Abrufdatum 9. September 2026. Eine Rechtsberatung ist der Artikel nicht, und er ersetzt keine Prüfung des eigenen Falls.

Inhalt

• Die kurze Antwort: nicht von selbst
• Was eine EU-Region leistet — und wer in der Kette steht
• Die Übermittlungs-Grundlage: drei Anläufe
• Der CLOUD Act: Besitz oder Kontrolle, nicht Speicherort
• Die Prüfliste
• Die Alternative: EU-Anbieter oder selbst hosten
• Zusammenfassung
• FAQ
• Verwandte Artikel

Die kurze Antwort: nicht von selbst

Kann man Vercel und Supabase DSGVO-konform nutzen? Ja, aber nicht, indem man ein Konto anlegt und Frankfurt als Region wählt. Beide Anbieter sagen das selbst, nur nicht auf der Startseite. Vercel schreibt in seiner Compliance-Dokumentation, dass es die DSGVO-Konformität seiner Kunden unterstützt, und listet dazu fünf Zusagen auf, vom Sicherheitsniveau bis zu den Standardvertragsklauseln. Supabase schreibt, dass es DSGVO-konforme Deployments unterstützt. In beiden Fällen ist das Subjekt des Satzes der Kunde. Der Anbieter stellt Werkzeuge bereit, der Nutzer muss sie einsetzen, dokumentieren und verantworten.

Was dazu gehört, lässt sich in einem Absatz sagen. Der Nutzer schließt den Auftragsverarbeitungs-Vertrag ab, in der DSGVO heißt er Vertrag nach Artikel 28 und in der Praxis meist DPA. Er wählt die Region, statt die Voreinstellung zu übernehmen. Er dokumentiert, auf welcher Grundlage Daten das Gebiet der EU verlassen dürfen, denn das können sie bei beiden Anbietern auch mit EU-Region, bei Vercel laut eigenem Vorbehalt, bei Supabase über Support und Subunternehmer. Er erweitert die Datenschutzerklärung um den Empfänger, das Drittland und die Grundlage. Und er entscheidet bewusst, ob er zwei Risiken trägt, die kein Vertrag abnimmt. Die beiden Risiken sind der Kern dieses Artikels. Der Rest ist die Vorarbeit, um sie zu verstehen.

Was eine EU-Region leistet — und wer in der Kette steht

Eine EU-Region ist eine Zusage über den Speicherort. Bei Supabase heißt das: Wer ein Projekt in einer AWS-Region anlegt, bekommt Datenbank, Auth-Dienst und Storage in dieser Region gehostet, so steht es auf der Security-Seite. Bei Vercel ist die Region eine Wahl für den Teil der Anwendung, der auf dem Server rechnet, die sogenannten Serverless-Funktionen, und die Voreinstellung ist nicht Europa. Die Compliance-Dokumentation sagt es in einem Satz: „The default location for Vercel functions is the U.S.“ Vor diesen Funktionen liegt bei Vercel ein weltweites Auslieferungs-Netz, ein CDN (Content Delivery Network), das Anfragen der Besucher am jeweils nächsten von zwanzig Standorten entgegennimmt und die Seiten von dort ausliefert. Die gewählte Region gilt für die Funktionen, nicht für dieses Netz.

Die Frage, ob sich ein Dienst DSGVO-konform nutzen lässt, hat zwei Teile. Der erste lautet: Wo liegen die Daten? Ihn beantwortet die Region, und für Supabase wie für Vercel ist er damit beantwortet. Der zweite lautet: Welche Firmen verarbeiten die Daten, und welchem Recht unterliegen diese Firmen? Ihn beantwortet keine Region, sondern die Liste der Subunternehmer, die der Anbieter für den Betrieb einschaltet und die dabei an die Daten kommen. Beide Anbieter veröffentlichen sie, und sie liest sich bei beiden anders, als das Werbeversprechen vermuten lässt.

Vercel: Vercel, Inc. ist eine US-Gesellschaft. Sie ist unter dem EU-US Data Privacy Framework zertifiziert, und sie stützt Übermittlungen zusätzlich auf Standardvertragsklauseln. Beides steht in der Compliance-Dokumentation. Direkt darunter steht auch der Vorbehalt, der die Region relativiert: „Vercel may transfer data to and in the United States and anywhere else in the world where Vercel or its service providers maintain data processing operations.“ Vercel darf Daten also in die USA und an jeden weiteren Standort übertragen, an dem es selbst oder seine Dienstleister Daten verarbeiten. Die Backups sind laut derselben Seite global repliziert und für Kunden nicht zugänglich.

Supabase: Hier hat die Recherche für diesen Artikel ein anderes Bild ergeben als erwartet. Vertragspartner ist laut Nutzungsbedingungen und Auftragsverarbeitungs-Vertrag nicht eine US-Gesellschaft, sondern Supabase Pte. Ltd. mit Sitz in Singapur. Die Nutzungsbedingungen unterstellen den Vertrag kalifornischem Recht, der Auftragsverarbeitungs-Vertrag stützt Übermittlungen auf Standardvertragsklauseln, einen von der EU-Kommission vorgegebenen Vertragstext, mit dem sich der Empfänger zu europäischen Datenschutz-Regeln verpflichtet, und erwähnt das Data Privacy Framework nicht. Die eigene Subunternehmer-Liste in der Fassung vom 1. Juni 2026, abgerufen am 9. September 2026, führt dann die Firmen auf, die tatsächlich an die Daten kommen: Amazon Web Services für das Hosting, Cloudflare, Google und Fly.io für weitere Hosting-Dienste, Vercel für das Hosting, und an erster Stelle Supabase, Inc. für den Support. Die Datenschutzerklärung von Supabase nennt als Übermittlungsziele die USA und Singapur, jeweils auf Grundlage von Standardvertragsklauseln, und beschreibt die eigenen Dienste als „primarily hosted in and provided from the United States“. Der Vertragspartner sitzt in Singapur, die Daten liegen bei einem US-Hoster, und die US-Gesellschaft hat als Subunternehmer Zugriff.

Für die DSGVO ändert der Sitz in Singapur nichts an der Einstufung. Ein Angemessenheitsbeschluss ist die Feststellung der EU-Kommission, dass ein Land außerhalb der EU personenbezogene Daten so gut schützt wie die EU selbst. Liegt er vor, dürfen Daten dorthin, als blieben sie in der EU. Für Singapur bestand zum Redaktionsstand dieses Artikels kein solcher Beschluss, für die USA gilt er nur für Firmen mit aktiver Zertifizierung unter dem Data Privacy Framework, und nur für die Datenarten, die diese Zertifizierung abdeckt. Jede Übermittlung nach Singapur ist damit eine Drittland-Übermittlung, die eine eigene Grundlage braucht, in Supabases Fall die Standardvertragsklauseln. Was der Fall zeigt, ist etwas anderes: Das Impressum des Anbieters ist die falsche Stelle, um die Anbieter-Frage zu beantworten. Die richtige Stelle ist die Liste der Subunternehmer. Sobald dort ein Dienstleister unter US-Gerichtsbarkeit steht, der personenbezogene Daten verarbeitet oder Zugriff darauf haben kann, und bei Diensten auf AWS, Google Cloud oder Azure steht dort regelmäßig einer, sind für diese Daten zwei Dinge getrennt zu prüfen. Erstens, ob eine Drittland-Übermittlung vorliegt und auf welcher Grundlage sie steht, das ist die nächste Sektion. Zweitens, welches staatliche Zugriffsrisiko dieses Glied mitbringt, das ist die Sektion danach. Wie groß das zweite Risiko konkret ist, hängt davon ab, welche Daten das Glied tatsächlich in Besitz oder unter Kontrolle hat. Die EU-Region hat den Speicherort festgelegt. Die Kette hat festgelegt, welche Rechtsordnungen mitreden.

Drei Dinge kommen bei jeder Region hinzu, weil sie nicht am Speicherort hängen. Der Support-Zugriff, den der Anbieter für den Betrieb braucht, findet von dort statt, wo die Mitarbeiter sitzen. Die Metadaten, also Kontodaten, Rechnungen, Zugriffsprotokolle, laufen in den Systemen des Anbieters und nicht in der gewählten Region. Und die Backups liegen dort, wo der Anbieter sie repliziert, bei Vercel ausdrücklich global.

Die Übermittlungs-Grundlage: drei Anläufe

Das erste der beiden Risiken betrifft die Grundlage, auf der Daten die EU überhaupt verlassen dürfen. Die DSGVO erlaubt Übermittlungen in ein Land außerhalb der EU nur unter den Voraussetzungen ihres Kapitels V. Der Maßstab dahinter ist, dass die Daten auch dort ein Schutzniveau behalten, das dem europäischen der Sache nach gleichwertig ist, und dafür gibt es drei Wege. Der erste ist ein Angemessenheitsbeschluss der EU-Kommission nach Artikel 45, mit dem die Kommission für ein Land pauschal feststellt, dass es dieses Niveau bietet. Der zweite sind geeignete Garantien nach Artikel 46, in der Praxis fast immer die Standardvertragsklauseln der Kommission, mit denen sich der Empfänger vertraglich zu europäischen Regeln verpflichtet, seltener verbindliche Konzern-Regeln, die Binding Corporate Rules. Der dritte sind eng gefasste Ausnahmen nach Artikel 49, etwa eine ausdrückliche Einwilligung für eine einzelne Übermittlung, die für einen laufenden Dienst nicht taugen.

Für die USA hat die Kommission den ersten Weg dreimal beschritten, und zweimal hat der Europäische Gerichtshof den Beschluss kassiert.

Safe Harbor, Beschluss von 2000: US-Firmen konnten sich selbst zertifizieren, dass sie bestimmte Grundsätze einhalten. Nach den Enthüllungen über die US-Überwachungsprogramme im Jahr 2013 legte Max Schrems, damals Jurastudent in Wien, bei der irischen Datenschutzbehörde Beschwerde gegen Facebook ein, weil seine Daten in die USA gingen. Die Beschwerde landete über den irischen High Court beim Europäischen Gerichtshof, und der erklärte den Beschluss am 6. Oktober 2015 für ungültig. Die Begründung lautete, dass die US-Behörden generellen Zugriff auf Kommunikationsinhalte hatten und EU-Bürger dagegen keinen Rechtsweg.

Privacy Shield, Beschluss von 2016: Der Nachfolger kam mit einer Ombudsperson im US-Außenministerium und weiteren Zusagen. Wieder war es eine Beschwerde von Schrems, der inzwischen mit der Organisation noyb hauptberuflich Datenschutz-Verfahren führt, und beide Urteile tragen deshalb seinen Namen, Schrems I und Schrems II. Der Europäische Gerichtshof kassierte den Beschluss am 16. Juli 2020, mit derselben Begründung in aktualisierter Form. Die Überwachungsbefugnisse nach Section 702 des Foreign Intelligence Surveillance Act (FISA), des US-Gesetzes für die Auslandsaufklärung, und der Executive Order 12333, einer Anordnung des US-Präsidenten, die ohne den Kongress ergeht, waren nicht auf das Notwendige beschränkt, EU-Bürger konnten sie vor keinem US-Gericht angreifen, und die Ombudsperson war weder unabhängig noch konnte sie die Geheimdienste binden. Im selben Urteil stellte der Gerichtshof klar, dass die Standardvertragsklauseln gültig bleiben, dass aber derjenige, der Daten exportiert, für den konkreten Transfer bewerten muss, ob Recht und Praxis des Empfängerlands das Schutzniveau gewährleisten, und bei Bedarf zusätzliche Maßnahmen vorsehen muss. Diese Bewertung heißt meist Transfer Impact Assessment, und sie gilt damals wie heute. Zwischen 2020 und 2023 betraf das fast jede Übermittlung in die USA, seit dem dritten Anlauf nur noch die, die sich nicht auf ihn stützen, wie im Fall Supabase.

Data Privacy Framework, Beschluss von 2023: Der dritte Anlauf beruht auf einer Executive Order des US-Präsidenten vom Oktober 2022, die Verhältnismäßigkeits-Grundsätze für die Nachrichtendienste festschreibt und ein Prüfgericht einrichtet, den Data Protection Review Court, bei dem EU-Bürger Beschwerden gegen Überwachungsmaßnahmen vorbringen können. Auf dieser Grundlage hat die Kommission am 10. Juli 2023 den Angemessenheitsbeschluss erlassen. US-Firmen zertifizieren sich wieder selbst, die Liste führt das US-Handelsministerium. Vercel steht nach eigener Angabe darauf. Supabase nennt das Framework in Vertrag, Security-Seite und Datenschutzerklärung nicht und stützt sich auf Standardvertragsklauseln.

Der Beschluss ist angegriffen. Der französische Abgeordnete Philippe Latombe hat ihn direkt vor dem Gericht der Europäischen Union angefochten, und das Gericht hat die Klage am 3. September 2025 abgewiesen. Es hat festgestellt, dass die USA zum Zeitpunkt des Beschlusses ein angemessenes Schutzniveau gewährleisteten, und dabei ausdrücklich auf den Zeitpunkt abgestellt. Latombe hat am 31. Oktober 2025 Rechtsmittel beim Europäischen Gerichtshof eingelegt, Aktenzeichen C-703/25 P, mit vier Rechtsmittelgründen. Am 4. Juni 2026 hat der Gerichtshof Microsoft als Streithelfer auf Seiten der Kommission zugelassen. Stand 9. September 2026 ist kein Verhandlungstermin bekannt, und der Beschluss gilt.

Zwei Dinge sollte man dabei im Blick behalten. Erstens beruht das Framework auf einer Executive Order, nicht auf einem Gesetz, und eine Executive Order kann der nächste Präsident ändern. Zweitens ist das US-Aufsichtsgremium, das die Einhaltung der Zusagen überwachen soll, das Privacy and Civil Liberties Oversight Board, seit der Entlassung von drei Mitgliedern im Januar 2025 nicht beschlussfähig. Die eigene Mitglieder-Seite führt am 9. September 2026 ein einziges amtierendes Mitglied. Die Entlassungen sind selbst Gegenstand eines Rechtsstreits: Ein Bundesgericht in Washington hat sie im Mai 2025 für rechtswidrig erklärt, das Berufungsgericht hat diese Entscheidung im Juli 2025 bis zum Ende des Verfahrens ausgesetzt. Ob und wie das in die gerichtliche Prüfung des Frameworks eingeht, ist offen. Für den Nutzer heißt beides, dass die Grundlage seiner Übermittlung von politischen Entscheidungen in einem anderen Land abhängt.

Wird auch dieser Beschluss kassiert, passiert das, was 2020 passiert ist. Wer sich allein auf das Framework gestützt hat, steht ohne Grundlage da und muss auf Standardvertragsklauseln umstellen, inklusive der eigenen Prüfung des US-Rechts. Wer von Anfang an beides dokumentiert hat, den Listeneintrag des Anbieters und die Standardvertragsklauseln im Auftragsverarbeitungs-Vertrag samt der Prüfung des US-Rechts, hat an dem Tag weniger zu tun. Genau deshalb steht das in der Prüfliste unten als zwei getrennte Punkte.

Der CLOUD Act: Besitz oder Kontrolle, nicht Speicherort

Das zweite Risiko, der CLOUD Act, ist unabhängig vom ersten, und es überlebt jeden Angemessenheitsbeschluss. Sein Ursprung ist ein Streit um E-Mails. 2013 verlangten US-Ermittler von Microsoft per Durchsuchungsbeschluss die Herausgabe eines Postfachs, das in einem Rechenzentrum in Dublin lag. Microsoft weigerte sich mit dem Argument, ein US-Beschluss reiche nicht bis Irland. Ein Berufungsgericht gab Microsoft 2016 recht, der Supreme Court nahm den Fall an, und bevor er entscheiden konnte, verabschiedete der Kongress ein Gesetz, das die Frage beantwortete. Der Clarifying Lawful Overseas Use of Data Act, kurz CLOUD Act, wurde am 23. März 2018 unterzeichnet.

Die Kernregel steht in 18 U.S.C. § 2713. Ein Anbieter muss grundsätzlich Inhalte und Bestandsdaten herausgeben, die sich „within such provider’s possession, custody, or control“ befinden, und zwar „regardless of whether such communication, record, or other information is located within or outside of the United States“. In einem Satz: Es zählt, ob der Anbieter die Daten besitzt oder kontrolliert, nicht, wo sie gespeichert sind. Ein Rechenzentrum in Frankfurt ist für diese Regel kein Argument.

Das Gesetz sieht ein besonderes Widerspruchsverfahren für den Fall vor, dass die Herausgabe gegen das Recht eines anderen Staates verstieße, aber nur unter zwei Bedingungen zugleich. Der betroffene Nutzer darf keine US-Person sein, also weder US-Staatsbürger noch in den USA ansässig, und die USA müssen mit dem Land, in dem die Daten liegen, ein Abkommen unter diesem Gesetz geschlossen haben. Solche Abkommen gibt es bisher mit dem Vereinigten Königreich, in Kraft seit Oktober 2022, und mit Australien, in Kraft seit Januar 2024. Mit der EU oder einem ihrer Mitgliedstaaten gibt es keines. Für Daten in Frankfurt fehlt also die zweite Bedingung, und damit fehlt dieser Weg. Was bleibt, ist die allgemeine Möglichkeit, ein Herausgabeverlangen als unrechtmäßig anzufechten, so wie Microsoft es im Irland-Fall getan hat. Sie setzt einen Anbieter voraus, der das tut.

Auf der europäischen Seite steht Artikel 48 der DSGVO. Er erkennt Entscheidungen von Behörden eines Drittlands nur an, wenn sie auf einem internationalen Abkommen beruhen, etwa einem Rechtshilfeabkommen, in dem sich Staaten gegenseitige Unterstützung bei Ermittlungen zusagen. Ein US-Anbieter mit EU-Kunden steht damit zwischen zwei Rechtsordnungen, die Gegenteiliges verlangen. Der Auftragsverarbeitungs-Vertrag mit dem Kunden löst diesen Konflikt nicht, weil ein Vertrag zwischen zwei Firmen kein US-Gesetz außer Kraft setzt. Was der Vertrag leisten kann, ist eine Zusage, den Kunden zu informieren und Herausgabeverlangen anzufechten, soweit das rechtlich möglich ist.

Wie das in der Praxis klingt, hat Microsoft Frankreich im Juni 2025 vor einer Untersuchungskommission des französischen Senats gezeigt. Anton Carniaux, dort für Recht und öffentliche Angelegenheiten zuständig, wurde gefragt, ob er garantieren könne, dass Daten französischer Bürger nie ohne Zustimmung Frankreichs an US-Behörden übermittelt werden. Seine Antwort steht im Protokoll der Sitzung vom 10. Juni 2025: „Non, je ne peux pas le garantir, mais, encore une fois, cela ne s’est encore jamais produit.“ Nein, garantieren könne er das nicht, aber es sei bisher auch noch nie vorgekommen. Und auf die Frage nach der Verpflichtung: „Lorsque nous sommes obligés de les donner, nous les donnons.“ Wenn Microsoft zur Herausgabe verpflichtet sei, gebe es die Daten heraus. Beide Sätze gehören zusammen. Der erste benennt das Risiko und seine bisherige Häufigkeit, der zweite die Regel dahinter: Herausgabe nach eigener Prüfung, ob das Verlangen rechtmäßig ist, und nicht davor. Eine Aussage über andere Anbieter ist das nicht, aber eine über die Grenze dessen, was ein Anbieter zusagen kann.

Das führt zur Verhältnismäßigkeit. Die Wahrscheinlichkeit, dass sich US-Behörden für die Benutzertabelle eines ETL-Werkzeugs mit einer Handvoll Nutzern interessieren, ist gering. Das Risiko ist strukturell, nicht praktisch. Es besteht darin, dass der Nutzer eine Zusage in seine Datenschutzerklärung schreibt, die er nicht halten kann, weil sein Anbieter sie nicht halten kann. Wer das versteht und bewusst in Kauf nimmt, handelt anders als jemand, der es nicht weiß. Der Unterschied steht am Ende der Prüfliste.

Eine Frage, die dabei regelmäßig kommt, betrifft die europäischen Tochtergesellschaften von US-Konzernen. Wenn der Vertragspartner AWS Europe in Luxemburg oder Microsoft Ireland heißt, hilft das? Der Sitz der Vertragspartei allein beantwortet die Frage nicht. Die Regel knüpft an Besitz, Verwahrung oder Kontrolle an, und ob eine Gesellschaft im Konzern die Daten in diesem Sinne kontrolliert, ist eine Frage des konkreten Zugriffs, nicht des Organigramms. Der Microsoft-Irland-Fall war der Anlass des Gesetzes, weil es dort um Daten bei einer europäischen Tochter ging, aber eine pauschale Regel, wonach jede EU-Tochter automatisch Daten unter der Kontrolle ihrer US-Mutter hält, folgt daraus nicht. Was folgt, ist die Prüfpflicht: welche Gesellschaft tatsächlich an die Daten kommt. Genau das macht den Supabase-Fall oben so lehrreich. Dort ist es umgekehrt: Der Vertragspartner sitzt außerhalb der USA, und die US-Gesellschaft steht trotzdem mit Support-Zugriff in der Kette.

Die Prüfliste

Was der Nutzer für die Drittland-Frage bei Vercel, Supabase oder einem vergleichbaren Dienst prüfen und festhalten muss, lässt sich in sieben Punkten abarbeiten. Die Liste stellt keine Konformität her und ersetzt keine Prüfung des gesamten Verarbeitungsvorgangs. Sie beseitigt die beiden Risiken nicht, sie macht sie sichtbar und dokumentiert die Entscheidung, sie zu tragen. Für einen Betreiber, der gefragt wird, ist das der Unterschied zwischen einer Antwort und einem Achselzucken.

1. Subunternehmer-Liste lesen: Jede Gesellschaft markieren, die der US-Gerichtsbarkeit unterliegt (Hoster, Mutterkonzern, Support), und je Glied festhalten, welche Daten es verarbeitet oder einsehen kann. Nur für diese Daten stellt sich die CLOUD-Act-Frage.
2. Auftragsverarbeitungs-Vertrag abschließen: Den Vertrag nach Art. 28 DSGVO (DPA) abschließen und ablegen. Prüfen, ob er Standardvertragsklauseln enthält.
3. Region wählen: Nicht die Voreinstellung übernehmen. Bei Vercel die Funktions-Region setzen, bei Supabase die Projekt-Region. Festhalten, was die Region abdeckt und was nicht (CDN, Backups, Support, Metadaten).
4. Übermittlungs-Grundlage dokumentieren, beide getrennt: Den aktiven Listeneintrag des Anbieters unter dem Data Privacy Framework (auf dataprivacyframework.gov selbst nachsehen, samt Geltungsbereich) und die Standardvertragsklauseln aus dem Vertrag mit eigener Prüfung des US-Rechts (Transfer Impact Assessment). Wird das Framework kassiert, trägt die zweite Grundlage weiter, aber nur mit dieser Prüfung.
5. Datenschutzerklärung erweitern: Empfänger mit Firmierung und Sitz, Drittland, Übermittlungs-Grundlage, Hinweis auf mögliche Behördenzugriffe nach dem Recht des Drittlands.
6. Änderungen der Subunternehmer-Liste abonnieren: Beide Anbieter kündigen Änderungen an, die Liste ändert sich mehrmals im Jahr.
7. Restrisiko bewusst entscheiden und mit Datum festhalten: Welche Daten liegen beim Anbieter, wie schwer wiegt ein Zugriff, und warum ist der Betreiber bereit, das zu tragen.

Stand der Anbieter-Angaben in diesem Artikel ist der 9. September 2026. Die Listen ändern sich, maßgeblich ist immer die aktuelle Fassung beim Anbieter. Punkt 1 steht vorn, weil er die anderen bestimmt. Wer die Liste liest, weiß, für wen er Punkt 4 dokumentieren muss und was er in Punkt 5 schreiben wird. Punkt 7 ist der, den die meisten weglassen. Er ist der einzige, der eine Entscheidung verlangt statt eines Dokuments, und er hält die eigentliche Risiko-Entscheidung fest, die hinter den anderen sechs Punkten steht.

Die Alternative: EU-Anbieter oder selbst hosten

Wer die beiden Risiken nicht tragen, sondern ausschließen will, hat nur einen Weg, keinen Anbieter unter US-Gerichtsbarkeit in der Kette. Wer sie tragen kann, hat die Prüfliste. In der Praxis heißt der eine Weg entweder ein EU-Anbieter, der sein eigenes Rechenzentrum betreibt, oder ein eigener Server bei einem solchen Anbieter.

Was ein EU-Anbieter löst: Bei einem Anbieter mit Sitz in der EU, eigener Infrastruktur und ohne Drittland-Subunternehmer in der Kette, Beispiele für die ersten beiden Bedingungen sind Hetzner in Deutschland, IONOS in Deutschland und OVHcloud in Frankreich, ohne Wertung der Produkte, kann die Drittland-Übermittlung für die Infrastruktur-Schicht entfallen, vorausgesetzt, auch Support-Zugriffe und die übrigen Datenflüsse bleiben in der EU. Dann gibt es keinen Angemessenheitsbeschluss zu prüfen, keine Standardvertragsklauseln für den Hoster und keinen CLOUD Act für das Rechenzentrum. Der Auftragsverarbeitungs-Vertrag bleibt Pflicht, und der Blick in die Subunternehmer-Liste bleibt es auch, denn ein EU-Anbieter kann US-Dienstleister einsetzen. Die Liste zu lesen ist auch hier Punkt 1.

Was Self-Hosting kostet: Der Preis ist nicht in erster Linie Geld, sondern Betrieb. Wer eine Anwendung mit Login auf einem eigenen Server betreibt, übernimmt den Reverse Proxy, der Anfragen aus dem Internet an die Anwendung weiterreicht, die Zertifikate, den Identity Provider, der Anmeldung und Benutzer verwaltet, die Datenbank, die Backups und die monatlichen Updates über alle Schichten. Im DI²-Projekt war das die Entscheidung, und der Schwester-Artikel Ein Server, vier Umgebungen, kein Cookie-Banner beschreibt, was sie gekostet hat, vom RAM-Budget über die Secrets in zwei Speicherorten bis zur Monatsrechnung. Auf dem eigenen Server in der EU stellt sich die Drittland-Frage für die Infrastruktur nicht. Das ist der eigentliche Unterschied zwischen den beiden Wegen, nicht der Preis.

Entscheidungshilfe: Drei Fragen reichen für die meisten Fälle. Erstens, welche Daten liegen beim Anbieter, nur Kontodaten oder auch das, was die Nutzer in der Anwendung eingeben? Je näher an Gesundheits-, Finanz- oder Beschäftigtendaten, desto schwerer wiegt Punkt 7 der Prüfliste. Zweitens, wer fragt nach, ein Kunde mit eigener Datenschutzabteilung, eine Aufsichtsbehörde, niemand? Wer Geschäftskunden in der EU hat, wird die Frage gestellt bekommen. Drittens, wer trägt den Betrieb, und was passiert, wenn diese Person zwei Wochen ausfällt? Ein verwalteter Dienst beantwortet die dritte Frage besser als ein eigener Server, und das ist ein legitimer Grund für Vercel oder Supabase. Er sollte nur zusammen mit der Antwort auf die ersten beiden Fragen getroffen und festgehalten werden.

Zusammenfassung

• Eine EU-Region beantwortet, wo die Daten liegen. Sie beantwortet nicht, wessen Recht für die Firmen gilt, die sie verarbeiten. Diese Antwort steht in der Subunternehmer-Liste.
• Vercel ist eine US-Gesellschaft mit Zertifizierung unter dem Data Privacy Framework, US-Voreinstellung für Funktionen und einem ausdrücklichen Vorbehalt, Daten in die USA und an jeden weiteren Verarbeitungs-Standort zu übertragen. Supabases Vertragspartner sitzt in Singapur, die US-Gesellschaft Supabase, Inc. ist Subunternehmer, das Hosting liegt bei AWS. In beiden Ketten stehen Gesellschaften unter US-Gerichtsbarkeit.
• Die Übermittlungs-Grundlage in die USA, ein Beschluss der EU-Kommission, hat der Europäische Gerichtshof zweimal kassiert, und die dritte wird gerade geprüft. Stand 9. September 2026 gilt das Data Privacy Framework, das Rechtsmittel C-703/25 P ist anhängig. Wer Listeneintrag und Standardvertragsklauseln getrennt dokumentiert, hat am Tag eines Urteils weniger zu tun.
• Der CLOUD Act verpflichtet Anbieter unter US-Gerichtsbarkeit grundsätzlich zur Herausgabe von Daten in ihrem Besitz oder unter ihrer Kontrolle, unabhängig vom Speicherort. Das besondere Widerspruchsverfahren des Gesetzes setzt ein Abkommen voraus, das mit der EU nicht existiert. Ein Auftragsverarbeitungs-Vertrag ändert daran nichts.
• Die Prüfliste macht beide Risiken sichtbar und dokumentiert die Entscheidung, sie zu tragen. Sie beseitigt sie nicht. Wer sie nicht tragen will, braucht einen EU-Anbieter oder einen eigenen Server in der EU, und beides kostet Betrieb statt Geld.

FAQ

Verwandte Artikel

Geschwister-Artikel:

• Ein Server, vier Umgebungen, kein Cookie-Banner — die Infrastruktur hinter einem Solo-App-Projekt — der Weg ohne US-Anbieter in der Kette, mit Aufbau, Entscheidungen und Kosten-Seite.

Hub dieses Astes:

• Agentic Coding aus Anwender-Sicht — Erfahrungen: Die Arbeit verschwindet nicht, sie verlagert sich — die Erfahrungs-Ebene, zu der die Infrastruktur-Entscheidungen gehören.

Cluster-Hub:

• KI-gestützte SQL-Entwicklung mit Claude Code — Rules, Skills und Agenten, die Konventionen durchsetzen — das Durchsetzungs-System hinter dem Projekt.