Daten-Residenz — Vercel EU-Region vs. deutsches Hosting

Würdigung — „Wo liegen meine Daten?" ist eine faire Frage#

Datenschutzbewusste Mandanten fragen das zu Recht, und viele Kanzleien können es für ihre eigene Website nicht beantworten. Dabei ist es eine der Grundfragen: Der Ort der Datenverarbeitung bestimmt, welche Drittland-Regeln greifen und was in die Datenschutzerklärung gehört. Die Antwort hat zwei Ebenen, die oft vermischt werden — die Verarbeitungs-Region (wo stehen die Server, die die Anfragen beantworten?) und der Sitz des Anbieters (welchem Rechtsraum unterliegt das Unternehmen?).

Beide Ebenen zählen, und sie können auseinanderfallen: Ein US-Unternehmen kann Daten in Frankfurt verarbeiten. Genau diese Konstellation ist der Kern der Diskussion.

Was Daten-Residenz bedeutet#

Daten-Residenz meint den geografischen Ort, an dem Daten gespeichert und verarbeitet werden. Bei einer modernen Website ist das zunehmend differenziert: Eine statisch gebaute Seite wird oft vom CDN-Edge ausgeliefert — also aus dem Rechenzentrum, das dem Besucher am nächsten ist. Dynamische Teile (Formular-Verarbeitung, Server-Funktionen) laufen in einer konfigurierten Region.

Für eine Kanzlei ist die relevante Größe weniger der Auslieferungs-Edge (dort liegt nur die öffentliche, ohnehin sichtbare Seite) als die Verarbeitungs-Region für personenbezogene Daten — also dort, wo eine Kontakt-Anfrage entgegengenommen und gespeichert wird. Diese Region sollte in der EU liegen.

Vercel EU-Region gegen deutsches Hosting#

Zwei typische Wege für eine moderne Kanzlei-Website:

Vercel mit EU-Region. Vercel ist die Plattform, auf der sich Next.js-Seiten besonders komfortabel betreiben lassen — automatische Builds, globales CDNCDN · zum GlossarContent Delivery Network — globales Netzwerk an Edge-Servern, das statische Inhalte ortsnah ausliefert., einfache Deployments. Die Server-Verarbeitung lässt sich auf eine EU-Region (etwa Frankfurt) konfigurieren. Der Komfort und die Performance sind hoch.

Deutsches Hosting (z. B. Hetzner). Ein deutscher Hoster wie Hetzner (Rechenzentren in Deutschland/Finnland) ist ein EU-Unternehmen ohne US-Mutter. Datenschutzrechtlich ist das die einfachste Konstellation — kein Drittland-Thema. Der Preis ist mehr Eigenleistung: Build, Deployment und CDN muss man selbst einrichten oder kombinieren, statt es frei Haus zu bekommen.

Die Abwägung ist also Komfort und Entwickler-Ergonomie (Vercel) gegen die sauberste rechtliche Konstellation (deutscher Hoster). Beides ist vertretbar — die Wahl hängt von den Prioritäten und der Bereitschaft zur Eigenleistung ab.

Der US-Mutterkonzern-Punkt#

Hier liegt der ehrliche Knackpunkt. Vercel und Cloudflare sind US-Unternehmen — auch wenn sie in der EU verarbeiten. Das bedeutet nicht „unzulässig", aber es verlangt zwei Dinge: einen Auftragsverarbeitungs-Vertrag nach Art. 28 DSGVODSGVO · zum GlossarEU-Datenschutz-Grundverordnung — regelt seit 2018 jede Verarbeitung personenbezogener Daten in der EU. und einen Blick auf den möglichen Drittland-Transfer (Data Privacy Framework, Standardvertragsklauseln). Ein deutscher Hoster ohne US-Bezug spart diese Prüfung.

Wichtig ist die Ehrlichkeit in der Datenschutzerklärung: Wer Vercel oder CloudflareCloudflare · zum GlossarUS-Anbieter für CDN, WAF, DDoS-Schutz und Turnstile — Privacy-by-Design-Ausrichtung. einsetzt, muss das offenlegen — Anbieter, Verarbeitungs-Region, Rechtsgrundlage des Transfers. Eine Datenschutzerklärung, die „alles in Deutschland" behauptet, während ein US-Dienstleister im Spiel ist, ist falsch und damit selbst ein Risiko.

Wie wir hosten#

Auf fahoch2.de setzen wir auf eine EU-zentrierte Infrastruktur: Auslieferung und Verarbeitung in EU-Regionen, mit Cloudflare als vorgelagerter Schicht. Wir gehen den Weg bewusst mit US-Anbietern in EU-Region plus den notwendigen Auftragsverarbeitungs-Verträgen — und legen das in der Datenschutzerklärung offen, statt es zu verschweigen. Für eine Kanzlei mit höchstem Anspruch an die sauberste Konstellation ist ein deutscher Hoster die Alternative, die wir ebenso einrichten. Es gibt hier kein pauschales Richtig — es gibt die bewusste, dokumentierte Entscheidung. Wie der konkrete Deploy-Vorgang bei Vercel abläuft (Preview-URLs, Rollback, Edge-CDN), beschreibt der Vercel-Deploy-Insight.

Für eine vollständige Bewertung von Hosting, Daten-Residenz und Datenschutz-Dokumentation empfehlen wir den Hebel-Audit (890 €, bei Mandanten-Boost-Beauftragung innerhalb von 60 Tagen voll anrechenbar).

Zusammenfassung#

„Wo liegen meine Daten?" hat zwei Ebenen: die Verarbeitungs-Region (sollte in der EU liegen) und den Sitz des Anbieters (entscheidet über den Drittland-Aspekt). Vercel mit EU-Region bietet Komfort und Performance, ist aber ein US-Unternehmen und braucht daher AVV und Drittland-Blick; ein deutscher Hoster wie Hetzner ist rechtlich die einfachste Konstellation, verlangt aber mehr Eigenleistung. Beides ist vertretbar — entscheidend ist die bewusste, in der Datenschutzerklärung offengelegte Wahl. Wir hosten EU-zentriert mit dokumentierten Auftragsverarbeitungs-Verträgen. Falsch ist nur eines: zu behaupten, alles liege in Deutschland, während ein US-Dienstleister verarbeitet.

Quellen#

• DSGVO Art. 28, 44 ff. — Auftragsverarbeitung und Drittland-Übermittlung (VO EU 2016/679) — abgerufen 2026-05-29
• EU-US Data Privacy Framework — Adäquanzbeschluss (EU 2023/1795) — abgerufen 2026-05-29
• Vercel — Plattform und Regionen — abgerufen 2026-05-29
• Hetzner — Hosting (Rechenzentren in Deutschland) — abgerufen 2026-05-29

Disclaimer: Allgemeine fachliche Information zum Zeitpunkt der Veröffentlichung — keine Rechtsberatung im Einzelfall. Die datenschutzrechtliche Zulässigkeit eines konkreten Hosting-Setups gehört in die anwaltlich geprüfte Datenschutzerklärung.