Hosting in Deutschland: warum der Speicherort für Kanzleien zählt

Der Satz „die Cloud ist die Cloud“ reicht für Mandatsdaten nicht. Für Kanzleien in Deutschland, Österreich und der Schweiz ist der Speicherort Teil der Risikoabschätzung - neben Verschlüsselung, Zugriffsmodell und Vertrag. Hosting in Deutschland schafft keine automatische Rechtmäßigkeit, erleichtert aber nachvollziehbare Entscheidungen.

Was der Standort tatsächlich beeinflusst

Maßgeblich sind anwendbares Recht am Betriebsort der Systeme, mögliche behördliche Zugriffspfade, Unterauftragsketten und die Frage, ob Daten die EU/den EWR verlassen. Ein deutsches Rechenzentrum kann dennoch Unterauftragsverarbeiter in Drittländern einbinden - der Standort allein ist also nie die ganze Antwort. Er ist ein Prüfstein: Wer dort hostet, muss die Kette erklären können.

Für berufliche Verschwiegenheit zählt zusätzlich, wer praktisch auf Klartext zugreifen kann (Support, Admin, Subunternehmer). Technische Maßnahmen (Verschlüsselung, Rollen) und organisatorische (Support nur mit Freigabe) gehören zusammen.

Fragen an Anbieter

• Wo liegen Produktionsdaten und Backups physisch?
• Welche Unterauftragsverarbeiter haben Zugriff - wofür?
• Gibt es Transfers in Drittländer, und auf welcher Grundlage?
• Wie kurz ist die Verweildauer bei reiner Verarbeitung?
• Welche Supportzugriffe sind möglich, wie werden sie protokolliert?
• Liegt ein belastbarer AV-Vertrag mit TOMs vor?

Praxis in der Kanzlei

Partner und IT bzw. Büroleitung sollten Standort und AV-Inhalte nicht nur bei der Erstauswahl prüfen, sondern bei wesentlichen Änderungen (neuer Subprozessor, Regionwechsel). Mandantenfragen nach „wo liegen unsere Daten?“ verdienen eine kurze, ehrliche Standardantwort - nicht Marketinglyrik.

LexLogik hostet die Verarbeitung in Deutschland und ist auf Kanzlei-Workflows mit kurzen Verweildauern ausgelegt. Unabhängig vom Produkt gilt: Die Kanzlei bleibt Verantwortliche für die Wahl angemessener Werkzeuge.

Backups und Spiegelungen nicht vergessen

Fragen Sie nicht nur nach dem Produktivstandort, sondern auch nach Backup-Regionen und Failover. Manche Anbieter hosten produktiv in Deutschland und spiegeln anderswo - das muss in die Bewertung.

Für CH- und AT-Mandate lohnt eine Standardformulierung, warum ein DE/EU-Standort zur Kanzleipolitik passt. Standortentscheidungen alle zwei Jahre kurz revisieren, besonders nach Anbieterübernahmen.

Supportzugriffe praktisch prüfen

Wer kann Klartext sehen - Support, Admin, Subunternehmer? Technische und organisatorische Maßnahmen gehören zusammen. Protokollierte Supportzugriffe mit Freigabe sind greifbarer als abstrakte Zusagen.

Verhältnis zu AT und CH

Österreichische Kanzleien bewegen sich im DSGVO-Rahmen ähnlich; schweizerische Mandate bringen zusätzlich das CH-DSG und oft grenzüberschreitende Akten. Ein klarer EU-Standort mit dokumentierter Kette vereinfacht auch hier die Argumentation - ersetzt aber lokale Berufsregeln nicht.

Standortfragen der Mandanten vorbereiten

Formulieren Sie eine kurze, ehrliche Standardantwort: wo Produktionsdaten und Backups liegen, welche Unterauftragsverarbeiter relevant sind, was Verschlüsselung leistet. Improvisierte Antworten in der Mandatsanbahnung wirken unsicherer als eine knappe, geprüfte Formulierung.

Backup-Regionen explizit abfragen

Fragen Sie Anbieter nicht nur nach dem Produktionsstandort, sondern nach Backup- und Failover-Regionen. Mandantendaten können dort physisch liegen, ohne dass die Marketingseite es betont. Halten Sie die Antwort im Anbieterdossier fest und prüfen Sie sie jährlich. So bleibt die Standortstory gegenüber Mandanten und Aufsicht belastbar - auch wenn sich die Infrastruktur verschiebt.

Hosting in Deutschland ist kein Freibrief, aber ein erklärbares Kontrollpunkt in der Risikobewertung. Wer Standort, Unterauftragskette und Supportzugriff zusammen denkt, kann Mandanten und Aufsicht gegenüber klar bleiben. Speicherort ersetzt weder AV-Vertrag noch technische Maßnahmen - er macht sie aber greifbarer.