SaaS-Hosting in Deutschland: Wann Daten im Inland und EU-Cloud-Anbieter Deals gewinnen
Du steckst im dritten Meeting eines vielversprechenden Enterprise-Deals in Deutschland. Die Beschaffungscheckliste kommt. Weit unten, zwischen "SOC 2 Type II" und "SLA-Verfügbarkeitsgarantien", steht eine Zeile, die deinen Vertriebszyklus abrupt stoppt: "Daten müssen auf Servern in Deutschland oder der EU gespeichert werden."
Wenn deine SaaS vollständig auf US-basierter AWS- oder Google-Cloud-Infrastruktur läuft, hast du jetzt ein Problem. Und es ist längst kein Nischenproblem mehr. Anforderungen an Hosting in Deutschland haben sich von einer juristischen Feinheit zu einem Standardfilter in der Beschaffung entwickelt, quer durch Gesundheitswesen, Finanzsektor, öffentliche Verwaltung und zunehmend auch mittelständische Unternehmen mit ernsthafter IT-Governance. Zu verstehen, wann diese Anforderung wirklich zählt und wie du dafür baust, ohne dein Infrastrukturbudget zu verbrennen, ist heute eine Wettbewerbsfähigkeit.
Warum deutsche Käufer nach Datenresidenz fragen
Die rechtliche Grundlage ist die DSGVO, konkret die Beschränkungen für die Übermittlung personenbezogener Daten in Länder außerhalb der EU ohne Angemessenheitsbeschluss. Der praktische Treiber ist aber etwas Älteres und Kulturelleres: Deutsche Unternehmen, besonders in regulierten Branchen, haben ein tief verankertes institutionelles Misstrauen dagegen, dass Daten für ausländische Regierungen zugänglich sein könnten.
Der US CLOUD Act, der US-Behörden erlaubt, US-Cloud-Anbieter zur Herausgabe weltweit gespeicherter Daten zu zwingen, ist deutschen Rechts- und Einkaufsabteilungen gut bekannt. Nach Schrems II hat die Ungültigkeitserklärung des EU-US Privacy Shield Enterprise-Käufer auf eine Weise verunsichert, die US-Gründer regelmäßig unterschätzen. Auch wenn 2023 das EU-US Data Privacy Framework nachgefolgt ist, verlangen viele deutsche Rechtsabteilungen weiterhin Hosting im Inland als zusätzliche Absicherung zu den vertraglichen Garantien.
Das Ergebnis: "Wo liegen eure Daten?" ist in der deutschen B2B-Enterprise-Beschaffung eine Frage der ersten Runde. Besonders in Branchen wie Gesundheitswesen und Medizinsoftware, wo über die DSGVO hinaus strenge Regeln für Gesundheitsdaten gelten. In Finanzdienstleistung und Fintech, wo BaFin-regulierte Häuser explizite Vorgaben zu Auslagerung und Cloud-Nutzung haben. Im öffentlichen Sektor und in regierungsnahen Verträgen, wo Bund und Länder zunehmend EU- oder Deutschland-only-Hosting vorschreiben. In Rechts- und Beratungsdienstleistungen, wo das Mandatsgeheimnis ausländisches Hosting zu einem echten Haftungsrisiko macht. Und im industriellen Mittelstand, der proprietäre Produktionsdaten wie Betriebsgeheimnisse behandelt.
Wenn deine Zielkunden in eine dieser Kategorien fallen, ist Hosting in Deutschland kein Feature. Es ist Grundvoraussetzung.
EU-Cloud-Anbieter, die tatsächlich Deals gewinnen
Die gute Nachricht: Du musst kein eigenes Rechenzentrum in Frankfurt bauen und betreiben. Ein ausgereiftes Ökosystem europäischer Cloud-Anbieter liefert die nötige Infrastruktur zu vernünftigen Kostenprofilen.
Hetzner ist die kosteneffizienteste Option für Startups und Scale-ups. Die Rechenzentren in Falkenstein und Nürnberg stehen in Deutschland, die juristische Person ist deutsch, und der CLOUD Act greift nicht. Für rechenintensive Workloads, bei denen AWS das Zehnfache kosten würde, machen Hetzners dedizierte Server und Hetzner Cloud die Wirtschaftlichkeit wirklich attraktiv. Der Kompromiss ist ein kleineres Ökosystem an Managed Services. Du kümmerst dich stärker selbst um Kubernetes, Datenbankbetrieb und Networking.
OVHcloud ist die europäische Hyperscaler-Alternative. Mit Rechenzentren in Frankreich, Deutschland und Polen bietet OVH ein breiteres Managed-Services-Portfolio als Hetzner, darunter Managed Kubernetes, Object Storage und private Netzwerke. Die Rechtsstruktur hält Daten unter französischer und EU-Jurisdiktion. Für SaaS-Produkte, die mehr Managed Infrastructure brauchen, ohne AWS-Preise zu zahlen, liegt OVH in einer sinnvollen Mitte.
Die Open Telekom Cloud der Deutschen Telekom ist gezielt für regulierte deutsche Unternehmen positioniert. Sie läuft auf OpenStack und ist nach BSI C5 zertifiziert, dem Cloud-Anforderungskatalog des Bundesamts für Sicherheit in der Informationstechnik. Wenn dein Käufer ein großes deutsches Unternehmen mit IT-Compliance-Abteilung ist, hat die BSI-C5-Zertifizierung ein Gewicht, das AWS GovCloud bei deutschen Käufern nicht erreicht.
Scaleway (Frankreich) und Exoscale (Schweiz/Deutschland) runden das Ökosystem für Teams ab, die EU-Jurisdiktion brauchen, ohne alles selbst zu bauen.
Für die meisten SaaS-Unternehmen läuft die Wahl auf Hetzner für kostenoptimierte Deployments hinaus und auf OVH oder Open Telekom Cloud, wenn Compliance-Zertifizierungen harte Anforderung sind.
Für Datensouveränität bauen, ohne zu viel zu zahlen
Der häufige Fehler ist, Datenresidenz als Entweder-oder zu behandeln: entweder die gesamte Plattform in der US-Cloud oder alles auf EU-Infrastruktur neu bauen. Das ist selten die richtige Entscheidung, und es ist teuer.
Eine praktischere Architektur trennt Workloads nach Datenklassifikation. Tier 1 umfasst personenbezogene und regulierte Kundendaten. Diese müssen in Deutschland oder der EU liegen. Deine primäre Datenbank, Dateispeicher mit Kundendokumenten und Logs mit personenbezogenen Kennzeichen gehören auf EU-Infrastruktur. Bei den meisten SaaS-Produkten ist das nur ein Teil der Gesamtinfrastruktur. Tier 2 ist deine Anwendungsschicht und Compute. Applikationsserver, API-Schicht und Background-Worker lassen sich oft ohne größere architektonische Änderungen auf EU-Infrastruktur betreiben. Wenn du bereits containerisiert bist und Kubernetes nutzt, ist der Weg zu Hetzner Cloud oder OVH Managed Kubernetes unkompliziert. Tier 3 deckt CDN, Analytics und Hilfswerkzeuge ab, wo du Spielraum hast. Öffentliche statische Assets, anonymisierte Analytics und interne Tools fallen üblicherweise nicht unter Datenresidenzanforderungen.
Das entscheidende Architekturprinzip ist die Isolation der Datenflüsse. Deine EU-gehostete Schicht sollte personenbezogene Daten Ende zu Ende verarbeiten und speichern, ohne sie über US-Infrastruktur zu leiten. Das heißt, beim Logging- und Monitoring-Stack genau hinzusehen. Wenn du Anwendungslogs mit Nutzer-IDs oder E-Mail-Adressen an einen US-basierten Log-Management-Dienst schickst, ist das ein potenzieller Verstoß gegen die Datenresidenz.
Bei der Datenbankarchitektur lohnt die Frage, ob du wirklich vollständige Multi-Region-Replikation brauchst oder ob ein Primary in Frankfurt mit einem Read Replica in Amsterdam sowohl deine Verfügbarkeitsanforderungen als auch deine Residenzpflichten erfüllt. Oft reicht das.
Die Kostenrealität
Compute auf Hetzner statt AWS senkt deine Infrastrukturrechnung bei vergleichbarer Leistung typischerweise um 50 bis 70 Prozent. Der Kompromiss ist operativer Aufwand. Du betreibst mehr selbst, was heißt: Entweder hat dein Team die Fähigkeiten, oder du kalkulierst Managed Services ein, die etwas teurer sind als die reine Compute-Ersparnis.
Für ein SaaS-Produkt mit 100.000 bis 1 Million Euro ARR liegt eine vernünftige EU-gehostete Architektur auf Hetzner mit Managed PostgreSQL (etwa über Aiven oder das EU-Hosting von Supabase), Object Storage und einem Kubernetes-Cluster je nach Last oft bei 800 bis 2.500 Euro pro Monat. Vergleichbare AWS-Infrastruktur in eu-central-1 kostet meist das Zwei- bis Vierfache.
Die Deal-Rechnung ist simpel: Wenn Hosting in Deutschland auch nur einen einzigen Mittelstands-Enterprise-Vertrag über 30.000 bis 100.000 Euro ARR freischaltet, amortisiert sich die architektonische Investition im ersten Jahr.
Was in deine Beschaffungsantworten gehört
Wenn der Fragebogen eines deutschen Käufers nach Datenresidenz fragt, sieht eine glaubwürdige Antwort so aus: Nenne die konkreten Rechenzentren mit Stadt und Land, nicht nur "EU". Nenne die juristische Person deines Cloud-Anbieters und bestätige, dass sie nicht dem CLOUD Act unterliegt. Verweise auf relevante Zertifizierungen wie BSI C5 oder ISO 27001. Beschreibe deinen Datenfluss, also wo personenbezogene Daten gespeichert, verarbeitet und übertragen werden. Bestätige, dass auch deine Unterauftragsverarbeiter mit Zugriff auf personenbezogene Daten in der EU sitzen oder angemessene Garantien bieten.
Vage Antworten wie "wir nutzen AWS, das hat EU-Regionen" reichen Einkaufsabteilungen in regulierten Branchen nicht mehr. Sie wissen, dass AWS-EU-Regionen von einer US-Gesellschaft betrieben werden, die US-Recht unterliegt. Gefragt ist nach der Rechtsordnung, nicht nach dem physischen Standort der Server.
Wann deutsches Hosting nicht der richtige Schritt ist
Nicht jedes SaaS-Produkt braucht EU-spezifisches Hosting. Wenn deine Käufer in den USA oder Großbritannien sitzen oder in Branchen ohne starke Datenregulierung arbeiten, wiegt der operative Aufwand von EU-Infrastruktur den Verzicht auf ausgereifte Managed Services womöglich nicht auf.
Ähnlich gilt: Wenn du früh dran bist, also vor dem Product-Market-Fit und vor dem ersten Enterprise-Kunden, ist es verfrüht, deine Infrastruktur auf deutsche Beschaffung zu optimieren, bevor du deutsche Enterprise-Käufer hast. Bring zuerst das Produkt in Ordnung. Entwirf deine Datenarchitektur von Tag eins so, dass sie regionsflexibel ist, aber nimm den operativen Aufwand erst auf dich, wenn der kommerzielle Fall klar ist.
Die Architektur richtig aufsetzen
Wenn Datenresidenz in echten Deal-Gesprächen auftaucht und du deine aktuelle Architektur gegen die Erwartungen deutscher Enterprise-Käufer prüfen musst, geht die Lückenanalyse meist schneller, als Gründerinnen und Gründer erwarten. Die Kernfragen, also wo personenbezogene Daten liegen, welche Dienste sie berühren und welche davon unter US-Jurisdiktion fallen, lassen sich in der Regel in einem fokussierten technischen Review beantworten.
Wolf-Tech arbeitet mit SaaS-Gründern und technischen Teams genau an dieser Art von Aufgaben, darunter technische Reviews bestehender Architekturen und die praktische Umsetzung der Änderungen, die neue Märkte erfordern. Wenn ein deutscher Enterprise-Deal auf dem Tisch liegt und deine Datenresidenz-Story noch nicht steht, schreib uns an hello@wolf-tech.io. Das ist meist schneller behoben, als du denkst.