Hosting in Deutschland oder zumindest in der EU ist für viele DACH-Teams kein nettes Extra, sondern ein hartes Ausschlusskriterium. Procurement-Teams in Banken, Versicherungen, Healthcare und beim öffentlichen Sektor streichen US-gehostete Tools direkt von der Shortlist. Mid-market SaaS-Teams stossen spätestens beim ersten Enterprise-Kundengespräch auf die Frage, in welchem Rechenzentrum die Hilfeartikel und Nutzer-Daten liegen.
Dieser Artikel listet, welche Wissensdatenbank-Anbieter Hosting in Deutschland oder anderen EU-Regionen anbieten, welche US-only sind, und was EU-Hosting wirklich bedeutet (Datenort, Sub-Prozessoren, US-Tochterfirmen). Plus eine Praxis-Sicht: wann reicht eine US-Lösung mit EU-US Data Privacy Framework, und wann brauchst du echte EU-Datenresidenz.
Hinweis: Hosting-Angaben sind per 2026-05-23 von den Vendor-Security-Seiten verifiziert. Anbieter ändern Hosting-Regionen, daher vor Vertragsabschluss eigenständig prüfen.
Was EU-Hosting wirklich bedeutet
EU-Hosting ist nicht ein Begriff, sondern eine Schichtung. Auf der obersten Ebene steht der Datenort: in welchem physischen Rechenzentrum liegen die Server. Darunter steht die Frage nach Sub-Prozessoren: nutzt der Anbieter Drittanbieter wie AWS, Google Cloud, OpenAI oder CDN-Provider, die selbst US-amerikanisch sind. Und ganz unten steht die Rechtsfrage: ist der Vertragspartner eine deutsche, EU-, oder US-Entität, und welcher Jurisdiktion unterliegt er.
Ein häufiges Missverständnis: ein Vendor sagt "EU-Hosting verfügbar" und meint damit eine AWS-Region in Frankfurt. Wenn der Vendor selbst US-Unternehmen ist, unterliegt er trotzdem dem US CLOUD Act, was im Zweifelsfall einen US-Behördenzugriff auf in der EU gespeicherte Daten ermöglicht. Das ist der Kern der Schrems-II-Entscheidung des EuGH von 2020. Echte EU-Datenresidenz braucht alle drei Schichten: Datenort, EU-Sub-Prozessoren, EU-Rechtsträger.
Anbieter mit echtem EU-Hosting in Deutschland
Drei Linien sind klar erkennbar. Erstens: echte deutsche Rechtsträger sind selten. HappySupport und Zammad sind die zwei dedizierten KB-Tools auf dieser Liste, die in Deutschland sitzen und in Deutschland hosten. Alles andere ist EU-Hosting bei einem US-Konzern oder bei einem nicht-DE-EU-Unternehmen.
Zweitens: EU-Hosting bei US-Anbietern ist möglich, aber kommt mit Vorbehalten. Atlassian, Zendesk, HubSpot und Intercom können in Frankfurt hosten, aber als US-Konzerne unterliegen sie weiterhin US-Rechtsdurchgriffen. Das EU-US Data Privacy Framework (Adequacy Decision der EU-Kommission vom 10. Juli 2023) entspannt die Lage, ersetzt aber nicht das Schrems-Folgerisiko.
Drittens: Notion, Help Scout und einige andere haben gar kein EU-Hosting. Sie operieren unter dem DPF und liefern AVV plus Standardvertragsklauseln. Für DACH-Teams mit harten Compliance-Anforderungen reicht das oft nicht.
Datenort vs Sub-Prozessoren: der häufig übersehene Punkt
Ein KB-Anbieter, der seine Datenbank in Frankfurt hostet, kann trotzdem US-Sub-Prozessoren einsetzen: einen US-CDN-Provider für Bildauslieferung, einen US-Analytics-Dienst, einen US-AI-Provider wie OpenAI oder Anthropic für generative Features. Diese Sub-Prozessoren stellen den Datenfluss aus der EU heraus her, auch wenn der primäre Datenbankserver in der EU steht.
Sub-Prozessoren-Transparenz ist die Schlüsselfrage. Seriöse Anbieter veröffentlichen eine vollständige Liste auf ihrer Security-Seite und aktualisieren sie, wenn Drittanbieter dazukommen. Wer nur "Hosting in Frankfurt" wirbt, aber keine Sub-Prozessoren-Liste hat, hat das Problem nicht gelöst, sondern nur verschoben.
Konkretes Beispiel: ein KB-Anbieter, der für AI-Features OpenAI nutzt, schickt Artikel-Inhalte und Nutzeranfragen über OpenAI-Server in den USA. Selbst wenn der Datenbank-Server in Frankfurt steht, läuft ein Teil des Datenstroms durch die USA. Das ist nicht per se rechtlich unzulässig, muss aber im AVV mit Standardvertragsklauseln plus Transfer Impact Assessment abgedeckt sein. Mehr Hintergrund zu diesem Punkt findest du in unserem Artikel zur DSGVO-konformen Wissensdatenbank.
Wann reicht ein US-Anbieter mit DPF, wann nicht
Für viele DACH-Teams reicht ein US-Anbieter mit DPF-Zertifizierung. Das EU-US Data Privacy Framework ist seit Juli 2023 die Adequacy-Decision der EU-Kommission, die Datenübertragungen in die USA wieder als angemessen einstuft. US-Anbieter, die unter dem DPF zertifiziert sind, können legal EU-Daten empfangen, ohne Standardvertragsklauseln plus Transfer Impact Assessment.
Die DPF-Zertifizierung ist auf dataprivacyframework.gov öffentlich nachprüfbar. Ein Anbieter, der sich auf DPF beruft, sollte dort gelistet sein. Help Scout, Notion, Intercom, HubSpot sind aktuell zertifiziert. Atlassian, Zendesk und Document360 ebenfalls.
Wo DPF nicht reicht: bei harten Compliance-Anforderungen aus regulierten Branchen. Banken, Versicherungen, Healthcare-SaaS, öffentlicher Sektor und einige B2B-Branchen mit deutscher Kundenbasis verlangen typischerweise echte EU-Datenresidenz, oft sogar deutsche Datenresidenz. Hier kommen Anbieter ohne deutsche Hosting-Option gar nicht erst in die Shortlist.
Praxis-Checkliste für DACH-Buyer
- Ist der Datenort dokumentiert. Frankfurt, Dublin, Amsterdam oder konkrete EU-Region.
- Ist der Rechtsträger eine EU-Entität oder ein US-Konzern.
- Ist die Sub-Prozessoren-Liste öffentlich und aktuell.
- Welcher Tier ist nötig, um EU-Hosting zu aktivieren. Bei vielen Anbietern ist es nur ab Enterprise.
- Wie wird die Datenresidenz vertraglich garantiert. AVV plus Datenschutz-Annex.
- Welche AI-Features laufen auf welchen Modellen und über welche Server.
- Wer hat im Notfall behördlichen Zugriff auf die Daten. Bei US-Konzernen US CLOUD Act.
- Welche Audit-Rechte hast du. Kannst du Audit-Reports einsehen oder eigene Audits durchführen.
- Wer hostet das Backup. Backup-Region kann von Primär-Region abweichen.
- Bleibt die EU-Datenresidenz auch bei zukünftigen Produkt-Updates oder Akquisitionen erhalten.
Häufige Fehler beim Hosting-Review
Erster Fehler: nur den primären Datenbankserver prüfen und Sub-Prozessoren übersehen. Datenfluss durch US-Sub-Prozessoren ist die häufigste Audit-Schwäche.
Zweiter Fehler: die DPF-Zertifizierung mit echter EU-Datenresidenz verwechseln. DPF erlaubt Datenübertragungen, garantiert aber keinen EU-Datenort.
Dritter Fehler: nur auf Hosting achten und den Rechtsträger ignorieren. Ein US-Konzern in Frankfurt hostend bleibt US-Konzern.
Vierter Fehler: EU-Hosting nicht im AVV festschreiben. Verbale Zusagen reichen nicht, der Datenort muss vertraglich fixiert sein.
Fünfter Fehler: AI-Features ohne Region-Prüfung aktivieren. Generative AI-Modelle laufen oft auf US-Servern, auch wenn der Datenbankserver in der EU steht.
HappySupport im Kontext
HappySupport hostet in Frankfurt, ist eine deutsche GmbH und nutzt EU-basierte Sub-Prozessoren. Der AVV regelt die Datenresidenz vertraglich, die Sub-Prozessoren-Liste ist öffentlich. Für DACH-Teams mit harten Compliance-Anforderungen ist das das Default-Setup, ohne ein Enterprise-Tier oder einen Data-Residency-Add-on. Mehr zur Architektur findest du in unserem Artikel zur DSGVO-konformen Wissensdatenbank und zur selbst-aktualisierenden Wissensdatenbank. Wer auf Confluence vergleichen will, findet die Aufschlüsselung in HappySupport vs Confluence.
HappySupport sitzt neben deinem Ticketing-System, nicht statt. Wer Zendesk, Intercom, Help Scout oder einen anderen Helpdesk einsetzt, behält das. HappySupport übernimmt die Artikel-Ebene und sorgt dafür, dass die Inhalte aktuell bleiben, wenn das Produkt sich ändert.
