Hosting in Deutschland oder zumindest in der EU ist für viele DACH-Teams kein nettes Extra, sondern ein hartes Ausschlusskriterium. Procurement-Teams in Banken, Versicherungen, Healthcare und beim öffentlichen Sektor streichen US-gehostete Tools direkt von der Shortlist. Mid-market SaaS-Teams stoßen spätestens beim ersten Enterprise-Kundengespräch auf die Frage, in welchem Rechenzentrum die Hilfeartikel und Nutzer-Daten liegen.
Dieser Artikel listet, welche Wissensdatenbank-Anbieter Hosting in Deutschland oder anderen EU-Regionen anbieten, welche US-only sind, und was EU-Hosting wirklich bedeutet (Datenort, Sub-Prozessoren, US-Tochterfirmen). Plus eine Praxis-Sicht: wann reicht eine US-Lösung mit EU-US Data Privacy Framework, und wann brauchst du echte EU-Datenresidenz.
Hinweis: Hosting-Angaben sind per 2026-05-23 von den Vendor-Security-Seiten verifiziert. Anbieter ändern Hosting-Regionen, daher vor Vertragsabschluss eigenständig prüfen.
Was EU-Hosting wirklich bedeutet
EU-Hosting ist nicht ein Begriff, sondern eine Schichtung. Auf der obersten Ebene steht der Datenort: in welchem physischen Rechenzentrum liegen die Server. Darunter steht die Frage nach Sub-Prozessoren: nutzt der Anbieter Drittanbieter wie AWS, Google Cloud, OpenAI oder CDN-Provider, die selbst US-amerikanisch sind. Und ganz unten steht die Rechtsfrage: ist der Vertragspartner eine deutsche, EU-, oder US-Entität, und welcher Jurisdiktion unterliegt er.
Ein häufiges Missverständnis: ein Vendor sagt "EU-Hosting verfügbar" und meint damit eine AWS-Region in Frankfurt. Wenn der Vendor selbst US-Unternehmen ist, unterliegt er trotzdem dem US CLOUD Act, was im Zweifelsfall einen US-Behördenzugriff auf in der EU gespeicherte Daten ermöglicht. Das ist der Kern der Schrems-II-Entscheidung des EuGH von 2020. Echte EU-Datenresidenz braucht alle drei Schichten: Datenort, EU-Sub-Prozessoren, EU-Rechtsträger.
Anbieter mit echtem EU-Hosting in Deutschland
| Anbieter | Hosting-Region | Rechtsträger | Bemerkung |
|---|---|---|---|
| HappySupport | Frankfurt (AWS) und Deutschland (Netcup) | HappySupport UG (DE) | Hosting in DE, AVV auf Anfrage, KI-Verarbeitung in der EU (Azure OpenAI Schweden, Amazon Bedrock) |
| Zammad Cloud | Deutschland | Zammad GmbH (DE) | ISO 27001, AVV inklusive |
| Confluence Cloud (Atlassian) | Frankfurt (AWS EU) | Atlassian (US, AU-HQ) | EU-Datenresidenz ab Standard-Plan |
| Document360 | EU-Region wählbar (AWS) | Kovai.co (IN) | Datenort EU, Sub-Prozessoren teilweise US |
| Zendesk Suite | Frankfurt (Data Center Add-on) | Zendesk Inc (US) | EU-Hosting kostet extra, US CLOUD Act gilt |
| Help Scout | US, DPF-zertifiziert | Help Scout PBC (US) | Kein EU-Hosting, EU-US DPF gilt |
| Intercom | EU-Region (Premium) | Intercom Inc (US) | EU-Daten möglich, US-Konzern |
| HubSpot | EU-Datenresidenz (Frankfurt) | HubSpot Inc (US) | Ab bestimmten Tiers, US-Konzern |
| Notion | US (Standard) | Notion Labs Inc (US) | Enterprise-EU-Region in Aussicht, derzeit US |
Drei Linien sind klar erkennbar. Erstens: echte deutsche Rechtsträger sind selten. HappySupport und Zammad sind die zwei dedizierten KB-Tools auf dieser Liste, die in Deutschland sitzen und in Deutschland hosten. Alles andere ist EU-Hosting bei einem US-Konzern oder bei einem nicht-DE-EU-Unternehmen.
Zweitens: EU-Hosting bei US-Anbietern ist möglich, aber kommt mit Vorbehalten. Atlassian, Zendesk, HubSpot und Intercom können in Frankfurt hosten, aber als US-Konzerne unterliegen sie weiterhin US-Rechtsdurchgriffen. Das EU-US Data Privacy Framework (Adequacy Decision der EU-Kommission vom 10. Juli 2023) entspannt die Lage, ersetzt aber nicht das Schrems-Folgerisiko.
Drittens: Notion, Help Scout und einige andere haben gar kein EU-Hosting. Sie operieren unter dem DPF und liefern AVV plus Standardvertragsklauseln. Für DACH-Teams mit harten Compliance-Anforderungen reicht das oft nicht.
Datenort vs Sub-Prozessoren: der häufig übersehene Punkt
Ein KB-Anbieter, der seine Datenbank in Frankfurt hostet, kann trotzdem US-Sub-Prozessoren einsetzen: einen US-CDN-Provider für Bildauslieferung, einen US-Analytics-Dienst, einen US-AI-Provider wie OpenAI oder Anthropic für generative Features. Diese Sub-Prozessoren stellen den Datenfluss aus der EU heraus her, auch wenn der primäre Datenbankserver in der EU steht.
Sub-Prozessoren-Transparenz ist die Schlüsselfrage. Seriöse Anbieter veröffentlichen eine vollständige Liste auf ihrer Security-Seite und aktualisieren sie, wenn Drittanbieter dazukommen. Wer nur "Hosting in Frankfurt" wirbt, aber keine Sub-Prozessoren-Liste hat, hat das Problem nicht gelöst, sondern nur verschoben.
Konkretes Beispiel: ein KB-Anbieter, der für AI-Features OpenAI nutzt, schickt Artikel-Inhalte und Nutzeranfragen über OpenAI-Server in den USA. Selbst wenn der Datenbank-Server in Frankfurt steht, läuft ein Teil des Datenstroms durch die USA. Das ist nicht per se rechtlich unzulässig, muss aber im AVV mit Standardvertragsklauseln plus Transfer Impact Assessment abgedeckt sein. Mehr Hintergrund zu diesem Punkt findest du in unserem Artikel zur DSGVO-konformen Wissensdatenbank.
Sitz, Speicherort, KI-Verarbeitung, Sub-Prozessoren: vier getrennte Nachweise
"EU-Hosting" auf einer Produktseite beantwortet höchstens eine von vier Fragen. Lass dir jede einzeln belegen, bevor das Tool auf die Shortlist kommt:
| Frage | Was sie klärt | Nachweis, den du anfordern solltest |
|---|---|---|
| Wo sitzt der Vertragspartner? | Welches Recht gilt, ob der US CLOUD Act greift | Impressum, Handelsregister, Vertragspartei im AVV |
| Wo werden Inhalte gespeichert? | Region für Datenbank, Dateien, Backups und Logs | Region je Datenkategorie, inklusive Backup-Region |
| Wo verarbeitet die KI Anfragen? | Ob Artikel und Kundenfragen die EU verlassen | Modellanbieter, Region, Aufbewahrung, Ausschluss von Training |
| Welche Sub-Prozessoren sind beteiligt? | Wer außer dem Anbieter Daten verarbeitet | Liste mit Zweck, Ort und Transfergrundlage (DPF, Standardvertragsklauseln) |
Eine fünfte Frage fehlt in vielen Reviews: Wie lange bleiben Daten nach Vertragsende gespeichert, und wie läuft Export und Löschung ab. Ein allgemeines "DSGVO-konform" beantwortet keine dieser Fragen.
Beispiel: die Angaben von HappySupport
Damit die Tabelle nicht abstrakt bleibt, hier dieselben Fragen für uns selbst, belegt aus der Datenschutzerklärung und dem Impressum (Stand September 2026):
| Ebene | Angabe | Quelle |
|---|---|---|
| Vertragspartner | HappySupport UG (haftungsbeschränkt), Heilbronn, Amtsgericht Stuttgart HRB 800795 | Impressum |
| Speicherort | AWS in Frankfurt und Netcup in Deutschland, jeweils mit AVV | Datenschutzerklärung, Sub-Prozessoren |
| KI-Verarbeitung | Microsoft Azure OpenAI in Schweden und Amazon Bedrock in der EU für KI-Suche, KI-Antworten, Texterstellung und Übersetzungen; nur die optionale Sprachtranskription nutzt OpenAI in den USA; kein Training auf Kundendaten | Datenschutzerklärung, Sub-Prozessoren |
| Weitere Sub-Prozessoren | Stripe (USA) für Zahlungen und Rechnungen (DPF, PCI DSS); GitHub nur, wenn du ein Repository verbindest, unter deinem eigenen GitHub-Vertrag | Datenschutzerklärung |
| Aufbewahrung | Kundeninhalte für die Vertragsdauer plus 30 Tage zum Export, Server-Logs 90 Tage | Datenschutzerklärung, Aufbewahrung |
Konkret heißt das: Artikel, Aufnahmen und Kontodaten liegen in Deutschland, und auch KI-Suche, KI-Antworten und Übersetzungen werden in der EU verarbeitet. Datenflüsse außerhalb der EU gibt es nur bei der optionalen Sprachtranskription beim Aufnehmen (OpenAI, USA), bei Transaktions-E-Mails und bei Zahlungen, jeweils über DPF oder Standardvertragsklauseln und AVV abgesichert. Genau diese Unterscheidung solltest du bei jedem Anbieter einfordern, der mit KI wirbt. Den AVV bekommst du auf Anfrage über contact@happysupport.ai.
Wann reicht ein US-Anbieter mit DPF, wann nicht
Für viele DACH-Teams reicht ein US-Anbieter mit DPF-Zertifizierung. Das EU-US Data Privacy Framework ist seit Juli 2023 die Adequacy-Decision der EU-Kommission, die Datenübertragungen in die USA wieder als angemessen einstuft. US-Anbieter, die unter dem DPF zertifiziert sind, können legal EU-Daten empfangen, ohne Standardvertragsklauseln plus Transfer Impact Assessment.
Die DPF-Zertifizierung ist auf dataprivacyframework.gov öffentlich nachprüfbar. Ein Anbieter, der sich auf DPF beruft, sollte dort gelistet sein. Help Scout, Notion, Intercom, HubSpot sind aktuell zertifiziert. Atlassian, Zendesk und Document360 ebenfalls.
Wo DPF nicht reicht: bei harten Compliance-Anforderungen aus regulierten Branchen. Banken, Versicherungen, Healthcare-SaaS, öffentlicher Sektor und einige B2B-Branchen mit deutscher Kundenbasis verlangen typischerweise echte EU-Datenresidenz, oft sogar deutsche Datenresidenz. Hier kommen Anbieter ohne deutsche Hosting-Option gar nicht erst in die Shortlist.
Praxis-Checkliste für DACH-Buyer
- Ist der Datenort dokumentiert. Frankfurt, Dublin, Amsterdam oder konkrete EU-Region.
- Ist der Rechtsträger eine EU-Entität oder ein US-Konzern.
- Ist die Sub-Prozessoren-Liste öffentlich und aktuell.
- Welcher Tier ist nötig, um EU-Hosting zu aktivieren. Bei vielen Anbietern ist es nur ab Enterprise.
- Wie wird die Datenresidenz vertraglich garantiert. AVV plus Datenschutz-Annex.
- Welche AI-Features laufen auf welchen Modellen und über welche Server.
- Wer hat im Notfall behördlichen Zugriff auf die Daten. Bei US-Konzernen US CLOUD Act.
- Welche Audit-Rechte hast du. Kannst du Audit-Reports einsehen oder eigene Audits durchführen.
- Wer hostet das Backup. Backup-Region kann von Primär-Region abweichen.
- Bleibt die EU-Datenresidenz auch bei zukünftigen Produkt-Updates oder Akquisitionen erhalten.
Häufige Fehler beim Hosting-Review
Erster Fehler: nur den primären Datenbankserver prüfen und Sub-Prozessoren übersehen. Datenfluss durch US-Sub-Prozessoren ist die häufigste Audit-Schwäche.
Zweiter Fehler: die DPF-Zertifizierung mit echter EU-Datenresidenz verwechseln. DPF erlaubt Datenübertragungen, garantiert aber keinen EU-Datenort.
Dritter Fehler: nur auf Hosting achten und den Rechtsträger ignorieren. Ein US-Konzern in Frankfurt hostend bleibt US-Konzern.
Vierter Fehler: EU-Hosting nicht im AVV festschreiben. Verbale Zusagen reichen nicht, der Datenort muss vertraglich fixiert sein.
Fünfter Fehler: AI-Features ohne Region-Prüfung aktivieren. Generative AI-Modelle laufen oft auf US-Servern, auch wenn der Datenbankserver in der EU steht.
HappySupport im Kontext
HappySupport ist eine deutsche UG mit Sitz in Heilbronn und hostet bei AWS in Frankfurt und Netcup in Deutschland. Der AVV ist auf Anfrage erhältlich, die Sub-Prozessoren stehen mit Zweck, Ort und Transfergrundlage öffentlich in der Datenschutzerklärung. EU-Hosting ist das Default-Setup, ohne Enterprise-Tier oder Data-Residency-Add-on. Die KI-Verarbeitung läuft ebenfalls in der EU, bei Microsoft Azure OpenAI in Schweden und Amazon Bedrock, ohne Training auf Kundendaten. Wenn deine Freigabe eine rein europäische Verarbeitung verlangt, lass die optionale Sprachtranskription beim Aufnehmen ausgeschaltet; sie ist der einzige KI-Dienst außerhalb der EU. Mehr zur Architektur findest du in unserem Artikel zur DSGVO-konformen Wissensdatenbank und zur selbst-aktualisierenden Wissensdatenbank. Wer auf Confluence vergleichen will, findet die Aufschlüsselung in HappySupport vs Confluence.
HappySupport deckt Help Center, KI-Chat, Ticket-Inbox und In-App-Hilfe in einem Produkt zu einem Pauschalpreis ohne Preis pro Agent ab (Starter 129 Euro, Professional 399 Euro, Scale 899 Euro pro Monat bei jährlicher Abrechnung (bei monatlicher Abrechnung 155, 479 oder 1.079 Euro), jeweils zzgl. MwSt.; KI-Antworten für Kunden ab Professional), und kann für ein SaaS-Team den Helpdesk komplett ersetzen. Wer Zendesk, Intercom, Help Scout oder einen anderen Helpdesk behalten will, kann das tun (1-Klick-Import, automatische Weiterleitungen für jede alte URL, Artikel-Links in Antworten), muss es aber nicht. In beiden Fällen sorgt HappySupport dafür, dass die Inhalte aktuell bleiben, wenn das Produkt sich ändert.
Demo buchen