Zum Inhalt springen
Unabhängig verifiziert · Quartalsweises Re-Audit
EU VETTED
Kuratierte Sammlung

Cloud-Speicher ohne US-Unterauftragsverarbeiter

Europäische Cloud-Speicher-Dienste, geprüft ohne US-Unterauftragsverarbeiter — verglichen nach Eigentümerschaft, Hosting-Region, CLOUD-Act-Risiko und Unterauftragsverarbeiter-Kette.

Kurzfassung

Die hier gelisteten Cloud-Speicher-Dienste betreiben ihren Datenpfad ohne US-Unterauftragsverarbeiter — ein EU/EWR/Schweiz-Betreiber ohne US-Mutterkonzern und ohne in den USA eingetragenen Verarbeiter im Umgang mit Dateidaten. kDrive von Infomaniak (Schweiz, Genf — eigene Schweizer Rechenzentren, ISO 27001) und luckycloud (Deutschland, Berlin — Zero-Knowledge-Verschlüsselung auf eigener deutscher Hardware) sind die stärksten vollständig verwalteten Optionen; Nextcloud (Deutschland, Stuttgart) ist der Open-Source-Standard, sauber als verwalteter EU-Dienst oder selbst gehostet. Beim Cloud-Speicher kehrt das Risiko meist über ein US-CDN vor dem Dienst, eine S3-kompatible Objektspeicher-Schicht oder den US-Mutterkonzern zurück — weshalb jeder Eintrag die vollständige Kette erfasst, nicht nur den Serverstandort.

Zuletzt geprüft Juni 2026 DISCLOSURE Einige Links auf dieser Website sind Affiliate-Links. Wir erhalten ggf. eine Provision ohne Mehrkosten für Sie. Redaktionelle Signale und Rankings werden nicht durch Affiliate-Beziehungen beeinflusst.

Cloud-Speicher ohne US-Unterauftragsverarbeiter bedeutet auf dieser Seite: Die betreibende Gesellschaft ist in der EU, im EWR oder in der Schweiz eingetragen, hat keinen US-Mutterkonzern in ihrer Eigentümerkette und leitet an keiner Stelle des Stacks Dateidaten über einen in den USA eingetragenen Verarbeiter. Das ist eine Kette aus drei Fakten — Inkorporation des Betreibers, letztliche Eigentümerschaft und die vollständige Unterauftragsverarbeiter-Liste — und alle drei müssen halten. Ein Speicherdienst, der Dateien auf deutschen Servern hält, aber ein US-CDN davorschaltet, oder eine EU-Marke im Besitz einer US-Gruppe, besteht den Test nicht.

Diese Seite listet die Cloud-Speicher-Dienste aus unserem Verzeichnis, die diesen Test bestehen, bewertet nach den Kriterien, die ein Käufer tatsächlich prüft: Hosting-Region, Eigentümer-Signal, CLOUD-Act-Risiko und die Unterauftragsverarbeiter-Kette. Cloud-Speicher gehört zu den Kategorien, in denen wirklich saubere europäische Optionen in der Breite existieren — Betreiber mit eigenen Rechenzentren in Deutschland, der Schweiz, Norwegen und Slowenien —, sodass auch die strenge Messlatte echte Auswahl lässt, von verbraucherfreundlichen verwalteten Drives bis zu selbst gehosteten Open-Source-Plattformen. Jeder Eintrag ist mit der öffentlichen Unterauftragsverarbeiter-Dokumentation des Anbieters belegt und wird vierteljährlich neu verifiziert.

Warum es darauf ankommt

Der CLOUD Act erstreckt den Zugriff der US-Regierung auf Daten jedes Unternehmens unter US-Jurisdiktion — unabhängig davon, wo die Server physisch stehen. Beim Cloud-Speicher sind die Kern-Applikation und die physischen Platten oft tatsächlich europäisch, was ein falsches Gefühl von Vollständigkeit erzeugen kann. Das Risiko kehrt typischerweise eine Ebene darüber oder darunter zurück: ein US-Content-Delivery-Network, das TLS vor dem Dienst terminiert, eine S3-kompatible Objektschicht eines in den USA eingetragenen Anbieters unter dem gebrandeten Frontend, ein US-Relay für Freigabe-E-Mails oder Analytics-SDKs, die Nutzungsdaten an einen US-Mutterkonzern melden.

Dateispeicher konzentriert zudem mehr rohen, unverarbeiteten Geschäftsinhalt als fast jede andere SaaS-Kategorie — Verträge, Finanzunterlagen, HR-Dokumente, Quellmaterial —, sodass ein einziger erreichbarer Verarbeiter in der Kette einen breiteren Querschnitt der Unternehmensdaten exponiert als etwa ein Terminplanungs-Tool. Deshalb erfasst das Verzeichnis Eigentümerschaft und Unterauftragsverarbeiter als getrennte, belegte Signale, statt das eine aus dem anderen abzuleiten — und deshalb bieten mehrere Dienste hier zusätzlich Zero-Knowledge-Verschlüsselung auf Client-Seite: Sie verengt, was ein Verarbeiter überhaupt herausgeben könnte, ändert aber nichts an der Jurisdiktionsanalyse selbst.

So treffen Sie die Wahl

Beginnen Sie mit dem Betriebsmodell. Vollständig verwaltete Dienste (kDrive, luckycloud, Jottacloud, Koofr, STRATO HiDrive, LeitzCloud) verhalten sich wie die US-Platzhirsche — Sync-Clients, Freigaben, Web-Oberfläche — und passen zu Teams, die keinerlei Betriebsaufwand wollen; vergleichen Sie Zero-Knowledge-Verschlüsselung, eigene Hardware vs. gemietete Rechenzentren und das Land des Betreibers. Selbst gehostet oder hybrid (Nextcloud) legt die Betreiberrolle in Ihre Hände: Auf EU-eingetragener Infrastruktur betrieben, kollabiert die Unterauftragsverarbeiter-Frage auf Ihre eigene Hosting-Entscheidung — um den Preis des Betriebs.

Für regulierte Käufer ist jeder in den USA eingetragene Verarbeiter in der Kette typischerweise ein Veto, unabhängig von vertraglichen Garantien, denn der CLOUD Act wirkt unabhängig von Vertragsklauseln; öffnen Sie jedes Profil und lesen Sie die vollständige Kette einschließlich CDN- und Objektspeicher-Schicht, bevor Sie eine Shortlist bilden. Für kleine Teams und Prosumer sind Preis pro Terabyte und Client-Qualität die bindenden Kriterien — mehrere Dienste hier sind in den Standard-Tarifen preislich konkurrenzfähig mit den US-Anbietern. Für Enterprise-Beschaffung kombinieren Sie diese Seite mit den Zertifizierungsfiltern (ISO 27001, BSI C5) und prüfen Sie, ob der Anbieter eigene Rechenzentren betreibt oder bei Dritten mietet — denn dieser Dritte ist selbst Teil der Kette. Nutzen Sie die Sortier- und Filterelemente in der Liste oben, um nach Hosting-Land, Eigentümerschaft oder Preis einzugrenzen.

WECHSEL-RATGEBER

Wechsel von einem US-Tool für categories.file_sharing?

Europäische Alternativen im direkten Vergleich — gleiche Prüfungen zu Hosting, Eigentum und CLOUD Act — für die am häufigsten ersetzten categories.file_sharing-Tools.

FAQ

Häufig gestellte Fragen

Wo verbergen sich US-Unterauftragsverarbeiter typischerweise im Cloud-Speicher-Stack?
In den Schichten um den Dateispeicher herum, nicht im Dateispeicher selbst: ein US-CDN, das TLS vor dem Dienst terminiert, eine S3-kompatible Objektspeicher-Schicht eines in den USA eingetragenen Anbieters, das Transaktions-E-Mail-Relay für Freigabe-Benachrichtigungen, mobile Push-Dienste über US-Plattformkanäle und Produkt-Analytics. Ein EU-gehostetes Speicher-Frontend kann Datei- oder Nutzungsdaten dennoch über eine dieser Schichten leiten, weshalb wir jeden Unterauftragsverarbeiter separat erfassen.
Was gilt auf dieser Seite als 'keine US-Unterauftragsverarbeiter'?
Die betreibende Gesellschaft ist EU/EWR/schweizerisch, hat keinen US-Mutterkonzern und setzt keinen in den USA eingetragenen Unterauftragsverarbeiter im Datenpfad ein — die Messlatte 'CLOUD-Act-Risiko: keines' des Verzeichnisses, geprüft anhand der öffentlichen Unterauftragsverarbeiter-Liste und der Eigentümerschaftsnachweise jedes Anbieters.
Reicht EU-Hosting allein aus, um dem CLOUD Act zu entgehen?
Nein. EU-Hosting regelt, wo Daten liegen — nicht, welche Jurisdiktion den Betreiber verpflichten kann. Ein US-Mutterkonzern oder ein in den USA eingetragener Verarbeiter in der Kette hält die Daten unter dem CLOUD Act erreichbar, auch mit Servern in Frankfurt oder Paris. Standort und Jurisdiktion werden auf jedem Eintrag als getrennte Signale erfasst.
Zählen Schweizer und norwegische Anbieter hier als 'europäisch'?
Ja, mit sichtbar gehaltener Unterscheidung. Die Messlatte ist ein EU/EWR/Schweiz-Betreiber außerhalb der US-Jurisdiktion: Norwegen ist EWR-Mitglied und vollständig DSGVO-gebunden; die Schweiz hat einen EU-Angemessenheitsbeschluss und ein eigenes starkes Datenschutzrecht. Jeder Eintrag nennt das tatsächliche Land des Betreibers, sodass Käufer, die explizit eine Inkorporation in einem EU-Mitgliedstaat benötigen, danach filtern können.
Kann ich von Dropbox, Google Drive oder OneDrive migrieren, ohne die Struktur zu verlieren?
In der Regel ja. Die meisten Dienste hier unterstützen WebDAV und Werkzeuge wie rclone, mehrere bieten native Importer, die die Ordnerstruktur erhalten; was selten übertragen wird, sind Freigabe-Links und granulare Berechtigungen — die müssen neu angelegt werden. Jedes Profil vermerkt die vom Anbieter dokumentierten Import-Pfade.
Methodik

Wie wir jeden Eintrag hier geprüft haben.

Für jedes Produkt prüfen wir die öffentliche DPA, das Unterauftragsverarbeiter-Dokument, die Hosting-Region, Zertifizierungen und die Eigentümerstruktur. Jede Prüfung wird mit Zeitstempel versehen. Die Signale sind redaktionell und werden vierteljährlich neu verifiziert. Selbstauskünfte akzeptieren wir nicht.

Methodik lesen →