DSGVO-konformer Tool-Stack 2026: Hosting in EU/EWR
Wenn dein Geschäft Mandanten-, Kunden- oder Mitarbeiter-Daten verarbeitet und du keinen US-Drittlandtransfer jedes Jahr verteidigen willst: hier ist der EU-Native-Stack 2026. 8 Tools von EU-Anbietern mit Hosting in EU/EWR, alle AVV-fähig, alle in unseren Einzel-Reviews eingeordnet. Drei Einschränkungen gehören dazu, und sie stehen unten bei den jeweiligen Tools: Brevos Unterauftragsliste führt Cloudflare und Zendesk mit EU/USA, bei Hetzner sind neben den EU-Standorten auch Server in Oregon, Virginia und Singapur wählbar, und Mistral lässt Websuche und Bildgenerierung laut Unterauftragsliste über US-Dienstleister laufen.
Veröffentlicht 2026-05-11 · Re-test 2026-10-24 · DSGVO-Modus: maximum – Drittlandtransfer so weit reduziert, wie es mit diesen Tools geht
TL;DR: DSGVO-Native EU-Stack
Wer maximalen DSGVO-Komfort will (Hosting in EU/EWR, so wenig Drittlandtransfer wie möglich – die verbleibenden US-Berührungspunkte stehen bei den Tools), kombiniert:
- Sevdesk oder Lexware Office – Buchhaltung in DE
- CentralStationCRM – DE-only CRM aus Köln
- Brevo – Email-Marketing aus Frankreich
- Hetzner – Hosting in Nürnberg/Falkenstein
- n8n self-hosted – eigene Automation-Plattform
- Mistral AI (Hosting in EU/EWR; Websuche und Bildgenerierung über US-Dienstleister) oder Ollama lokal (Daten bleiben auf deinem Rechner)
- Plausible – Cookie-freie Analytics
Total: 50–100 EUR/Monat für Solo, 200–400 EUR für 5-Personen-Team. Marginal teurer als US-Stack, aber rechtlich entspannt + bei B2B- Kunden ein echtes Differenzierungs-Argument.
Der vollständige EU-Native-Stack
Jedes Tool: DSGVO-Status verifiziert (Server-Standort, AVV-Verfügbarkeit, Subprozessoren-Liste). Klick öffnet den Detail-Review.
Buchhaltung (DE-Server)
Sevdesk
100% in Deutschland gehostet, GoBD-konform gestaltet, AVV Self-Service. Für Solos + Solo-GmbHs der DSGVO-saubere Standard.
DSGVO-konform · Deutschland
Detail-Review öffnen →
Buchhaltung (DE) + Lohn
Lexware Office
Haufe-Lexware (DE-Konzern), Server in Deutschland, GoBD-Testat durch Ernst & Young und TÜV-SÜD-Zertifikat für die Anwendungssoftware. Ein ISO 27001 ist für Lexware Office nicht belegt. Wer Lohnbuchhaltung im gleichen Tool will: alternativlos.
DSGVO-konform · Deutschland
Detail-Review öffnen →
CRM (DE-only)
CentralStationCRM
Anbieter aus Köln, ausschließlich deutsche Server, Plan-Pricing (nicht User-Pricing). DSGVO-Maximum-CRM für DACH-Verhältnisse.
DSGVO-konform · Deutschland
Detail-Review öffnen →
Email-Marketing (EU)
Brevo
Französisches Unternehmen, Hosting bei OVH (FR) und Google Cloud (Belgien). AVV nativ, Unterauftragsliste öffentlich – dort stehen Cloudflare und Zendesk mit EU/USA.
DSGVO-konform · FR + DE + BE
Detail-Review öffnen →
Hosting (DE)
Hetzner
Größter deutscher Hoster, AVV Self-Service, Datacenter-Parks in Deutschland und Finnland nach ISO/IEC 27001 zertifiziert. Achtung bei der Regionswahl: Hetzner betreibt neben Falkenstein, Nürnberg und Helsinki auch Standorte in Hillsboro (Oregon), Ashburn (Virginia) und Singapur.
DSGVO-konform · Falkenstein, Nürnberg, Helsinki – daneben US- und Singapur-Standorte wählbar
Detail-Review öffnen →
Workflow-Automation
n8n self-hosted
Quellcode offen (Fair-Code-Lizenz), auf eigenem Hetzner-Server installiert. Daten verlassen nie deinen Server. Ersatz für Zapier/Make in DSGVO-strikten Setups.
DSGVO-konform · deine Wahl (EU)
Detail-Review öffnen →
KI-Modelle
Mistral AI (oder Ollama)
Mistral (Sitz Paris) hostet laut Unterauftragsliste in EU/EWR (u. a. Frankreich, Schweden, Norwegen); Websuche und Bildgenerierung laufen über US-Dienstleister. Ollama bietet lokale Modelle (Llama 3, Qwen, Mistral) – radikal DSGVO, weil offline.
DSGVO-konform · EU/EWR / lokal
Detail-Review öffnen →Web-Analytics (Cookie-frei)
Plausible Analytics
Cookie-frei, kein Banner nötig. Plausible wirbt wörtlich mit „Built and hosted in the EU. Your data never leaves European-owned infrastructure“ (geprüft 26.09.2026). Google-Analytics-Ersatz, der DSGVO null Aufwand macht.
DSGVO-konform · EU (Anbieterangabe, kein Standort genannt)
Was DSGVO-konform nicht bedeutet
Häufige Missverständnisse, die in Sales-Pitches auftauchen:
- "Wir nutzen die EU-Region von HubSpot" ≠ DSGVO-konform. HubSpot EU-Hosting deckt die primären Daten ab, aber Subprozessoren (Email-Versand, Analytics, Logs) hosten weiterhin teilweise in den USA. Diese Transfers bleiben zu dokumentieren (DPF/SCC).
- "Tool hat AVV" ≠ automatisch unbedenklich. Der AVV ist Voraussetzung, nicht Lösung. Drittlandtransfer braucht zusätzlich eine Grundlage (DPF oder SCC) und bei SCC eine Transfer-Folgenabschätzung.
- "Cookie-Banner" ≠ DSGVO-Lösung. Ein Banner ist Symptom, nicht Lösung. Tools wie Plausible (cookie-frei) oder Server-Side-Analytics beseitigen den Anlass für den Banner überhaupt.
- "Daten verschlüsselt" ≠ kein Drittlandtransfer. Verschlüsselung schützt die Daten, ändert aber nicht den Rechtssitz des Anbieters oder Server-Standort.
Drei DSGVO-Stack-Profile
Profil A: Anwaltskanzlei / Steuerberatung (Solo)
Stack: Sevdesk + CentralStationCRM + Brevo (Newsletter opt-in) + Hetzner Webhosting + Ollama lokal (KI für Schriftsatz-Drafts ohne Mandanten-Daten verlassen den Rechner) + Plausible. Kosten: ~60 EUR/Monat. Mandantendaten gehören hier nur in Buchhaltung, CRM und die lokale KI. Ganz ohne US-Berührung ist auch dieser Stack nicht: Brevos Unterauftragsliste führt u. a. Cloudflare und Zendesk mit Firmensitz USA – in den Newsletter gehören deshalb nur Opt-in-Adressen, keine Mandanteninformationen.
Profil B: B2B-Beratung mit regulierten Kunden (5 Personen)
Stack: Lexware Office + Lohn + CentralStationCRM + Brevo Standard + Hetzner Cloud + n8n self-hosted (unser n8n-Test) + Mistral API für KI-Workflows. Kosten: ~250 EUR/Monat. DSGVO ist Pitch-Argument beim Akquise-Gespräch – zertifizierbar über AVV-Sammlung + Datenschutz- Audit-Doku.
Profil C: Hybrid-Stack (Solo, pragmatisch)
Stack: Sevdesk (DE-Buchhaltung, kompromisslos) + Notion (für unkritische Inhalte) + ChatGPT Plus (für Brainstorming) + Brevo (Newsletter, EU-Default) + Hetzner. Kosten: ~55 EUR/Monat. Für reale Solo-Selbstständige der praktikable Weg – Transfer-Dokumentation für 2-3 Tools, alles andere EU-Native.
Migration: schrittweise von US zu EU
Wenn du bereits einen US-lastigen Stack hast, ist die Migration machbar – aber besser priorisiert als komplett-Big-Bang:
- Phase 1 (Woche 1–2): Buchhaltung migrieren – QuickBooks → Sevdesk (unser Sevdesk-Test). DATEV-Export läuft sofort, alte Daten als CSV importieren.
- Phase 2 (Monat 1–2): Email-Marketing – Mailchimp → Brevo (unser Brevo-Test). Listen-Export + neuer Double-Opt-In-Lauf nötig (gute Hygiene).
- Phase 3 (Monat 2–3): CRM – HubSpot → CentralStationCRM (unser CentralStationCRM-Test). Kontakte als CSV exportieren, Custom-Properties manuell mappen.
- Phase 4 (Monat 3–4): Hosting – von Cloudflare/AWS auf Hetzner. Backups verifizieren bevor du DNS umstellst.
- Phase 5 (laufend): KI-Tools – Mistral / Ollama für sensible Use-Cases, ChatGPT/Claude weiter für unkritische Recherche.
Compliance-Realität 2026: Schrems-II, NIS-2 und DORA im Zusammenspiel
Ein DSGVO-konformer EU-Stack ist 2026 nicht nur Datenschutz-Hygiene – er ist die Schnittmenge aus drei sich überlagernden Regulierungs-Schichten, die gleichzeitig wirken und dieselbe Frage stellen: Wo liegen deine Daten, wer kann darauf zugreifen, und kannst du das auditierbar belegen?
Schrems-II + EU-US Data Privacy Framework (Stand 2026)
Das EU-US Data Privacy Framework (in Kraft seit 2023, Nachfolger des Privacy Shield) deckt zertifizierte US-Anbieter ab – aber die Re-Bewertung läuft periodisch und kann jederzeit neu in Frage gestellt werden (wie bei Privacy Shield 2020). Für regulierte Branchen (Healthcare, Banking, Anwalt, Therapie) ist es 2026 weiterhin Best-Practice, US-Tools nur dann zu nutzen, wenn EU-Alternativen kategorisch nicht verfügbar sind. Für alle anderen Fälle: EU-Native-Stack ist der rechtssicherere Pfad.
NIS-2 Cyber-Security-Anforderungen
NIS-2 (seit Umsetzung in deutsches Recht 2024 verbindlich) verlangt für KMU ab 50 Mitarbeitenden / 10 Mio € Umsatz dokumentierte technische Schutzmaßnahmen, Incident-Response-Plan, Subprozessoren-Kette. Ein EU-Native-Stack reduziert den Subprozessoren-Audit-Aufwand drastisch – bei US-Tools musst du pro Anbieter die Transfergrundlage dokumentieren (DPF, oder SCC samt Drittland-Risk-Assessment) und die DSFA-Frage prüfen, bei EU-Tools entfällt der Drittland-Audit komplett.
DORA (für Finanz + IT-Dienstleister, seit Januar 2025)
DORA (Digital Operational Resilience Act) verlangt für Finanzdienstleister und deren IT-Dienstleister: dokumentierte ICT-Third-Party-Risiko-Bewertung, Exit-Plan pro kritischem Anbieter, Konzentrations-Risk-Analyse. Bei EU-Tools sind diese Bewertungen typisch in 30-60 Min pro Tool dokumentiert; bei US-Tools mit komplexer Holding-Struktur (Microsoft, Google, Salesforce) oft 4-8 Stunden Aufwand pro Tool – und das jährlich.
Praktische Schlussfolgerung: ein EU-Native-Stack ist 2026 nicht nur ideologisch sauber – er ist operations-effizient. Die Stunden, die du in Compliance-Dokumentation für US-Tools versenken würdest, wandern stattdessen in produktive Arbeit. Bei 30+ Tools im Stack kann das einen Vollzeit-Compliance-Tag pro Quartal sparen – und gleichzeitig die Transfer-Dokumentation für jeden neuen US-Tool-Onboarding-Workflow komplett eliminieren. Das ist 2026 der konkrete operative Mehrwert hinter dem Compliance-Argument.