Datenschutz, die EU und warum du über Gmail & Co. nachdenken solltest

Kurz gesagt

EU vs. USA: In der EU gilt die DSGVO – US-Anbieter unterliegen zusätzlich dem Cloud Act.
Data Privacy Framework: erlaubt US-Transfers aktuell, ist aber rechtlich umstritten.
EU-Serverstandort allein reicht nicht – es zählt, wem der Anbieter gehört und welchem Recht er unterliegt.
Alternativen aus Österreich: SyxMail, Sx Authenticator & Co. – ohne Tracking.

Hinweis: Dieser Artikel ist ein praktischer Überblick, keine Rechtsberatung. Für die rechtssichere Bewertung deiner konkreten Datenverarbeitung sind ein Datenschutz-Experte oder die WKO die richtige Adresse. Und fairerweise vorweg: Wir selbst bieten Alternativen an – die Fakten unten gelten aber unabhängig davon.

Der Unterschied: DSGVO gegen US-Recht

In der EU regelt die Datenschutz-Grundverordnung (DSGVO) streng, wie personenbezogene Daten verarbeitet werden dürfen. US-Anbieter unterliegen daneben aber auch dem amerikanischen Recht – allen voran dem Cloud Act von 2018. Der verpflichtet US-Unternehmen, Daten auf gültige US-Anordnung herauszugeben, egal wo auf der Welt die Server stehen. Zwei Rechtsordnungen, die sich widersprechen können – und dein Dienstleister sitzt mittendrin.

Das „Data Privacy Framework" – und warum es wackelt

Damit Daten überhaupt legal in die USA fließen dürfen, gibt es den EU-US Data Privacy Framework, einen Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023. Es ist bereits der dritte Anlauf: Die Vorgänger „Safe Harbor" und „Privacy Shield" wurden beide vom Europäischen Gerichtshof gekippt. Auch das aktuelle Framework steht auf dem Prüfstand – eine Klage wurde im September 2025 vom EU-Gericht zwar abgewiesen, die Berufung liegt aber seit Ende Oktober 2025 beim EuGH, und Datenschutzorganisationen prüfen weitere Schritte. Kurz: Es gilt heute, aber niemand kann garantieren, dass das morgen noch so ist.

Ein EU-Rechenzentrum allein reicht nicht

„Unsere Server stehen in Frankfurt" – das klingt beruhigend, löst das Problem aber nicht. Denn der Cloud Act knüpft nicht am Serverstandort an, sondern am Unternehmen: Gehört der Anbieter zu einem US-Konzern, kann er zur Herausgabe verpflichtet werden, auch wenn die Festplatte in der EU steht. Entscheidend ist also weniger, wo die Daten liegen, sondern wem der Anbieter gehört und welchem Recht er unterliegt.

Worauf du bei einem Dienst achten solltest

Du musst kein Jurist sein, um das Wichtigste zu prüfen. Eine kleine Checkliste:

Firmensitz: Sitzt der Anbieter in der EU bzw. Österreich – und steht kein US-Konzern dahinter?
Serverstandort: Liegen die Daten in der EU? (Notwendig, aber allein nicht ausreichend – siehe oben.)
Verschlüsselung: Sind die Daten verschlüsselt – und wer hält die Schlüssel? Nur wenn nicht der Anbieter allein darüber verfügt, hilft es wirklich.
Geschäftsmodell: Finanziert sich der Dienst über Werbung und Daten – oder über ein ehrliches Produkt?
Transparenz: Gibt es eine klare Datenschutzerklärung und, bei Dienstleistern, einen Auftragsverarbeitungsvertrag (AVV)?

Konkrete Alternativen – und was wir selbst anbieten

Für fast jeden US-Dienst gibt es inzwischen eine europäische Alternative. Und ja, ein paar davon kommen von uns – darum erwähnen wir sie offen, statt so zu tun, als wären wir neutral:

E-Mail, Kalender & Kontakte statt Gmail/Outlook: SyxMail, eine Outlook-Alternative aus Österreich – ohne Tracking, mit Link-Warnung und optional einer kostenlosen Adresse.
Zwei-Faktor-Codes statt Google Authenticator: der Sx Authenticator, der komplett offline und ohne Datensammlung arbeitet.
Fürs Geschäft (Buchhaltung, Verkauf, Lager, CRM): SyxERP – ein österreichisches ERP unter der DSGVO.

Alle unsere kostenlosen Tools findest du gesammelt auf der Tools-Seite.

Muss ich jetzt sofort alles wechseln?

Nein – niemand muss über Nacht seine gesamte IT umstellen. Sinnvoll ist ein pragmatischer Weg: Schau dir an, wo personenbezogene oder sensible Daten liegen (Kundendaten, Rechnungen, Gesundheits- oder Finanzinfos) – und beginne dort. Unkritisches kann vorerst bleiben, wo es ist. Wichtig ist, die Entscheidung bewusst zu treffen, statt sie dem Zufall und der Bequemlichkeit zu überlassen.

Was heißt das für dich?

Datenschutz ist kein Selbstzweck und keine reine Pflichtübung – es ist eine Frage von Kontrolle und Vertrauen. Deine Kunden geben dir ihre Daten; es liegt an dir, verantwortungsvoll damit umzugehen. Du musst dafür nicht paranoid werden, aber du solltest wissen, wo deine Daten liegen und wer darauf zugreifen kann. Oft ist die europäische Alternative heute genauso gut – und lässt dich ruhiger schlafen.

→

Wir meinen es ernst mit „Daten gehören den Menschen": SyxMail und unsere Apps aus Österreich tracken nichts und beobachten niemanden. Und SyxERP bringt dieselbe Haltung ins Geschäft – für Österreich und Deutschland. Schau dir am besten unsere Tools an oder vereinbare eine kurze Demo.

Häufige Fragen

Ist es verboten, Gmail oder Microsoft 365 zu nutzen?

Nein. Datenübermittlungen in die USA sind derzeit über das EU-US Data Privacy Framework erlaubt, und viele Betriebe nutzen US-Dienste ganz legal. Es geht nicht um ein Verbot, sondern um Rechtssicherheit und Kontrolle: Das Framework ist rechtlich umstritten, und bei personenbezogenen oder sensiblen Daten lohnt es sich, Alternativen zu prüfen.

Schützt ein EU-Serverstandort meine Daten vor US-Zugriff?

Nicht automatisch. Der US-amerikanische Cloud Act verpflichtet US-Anbieter, Daten auf gültige US-Anordnung herauszugeben – unabhängig davon, wo die Server stehen. Ein Rechenzentrum in der EU allein genügt also nicht, wenn das Unternehmen dahinter US-Recht unterliegt. Entscheidend ist, wem der Anbieter gehört und welchem Recht er unterliegt.

Was ist das EU-US Data Privacy Framework?

Es ist der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023, der Datenübermittlungen an zertifizierte US-Unternehmen erlaubt – der dritte Versuch nach Safe Harbor und Privacy Shield, die beide vom EuGH gekippt wurden. Das Framework gilt aktuell, ist aber Gegenstand laufender Gerichtsverfahren und daher mit Unsicherheit behaftet.

Welche datenschutzfreundlichen Alternativen gibt es aus Österreich?

Für E-Mail, Kalender und Kontakte gibt es zum Beispiel SyxMail, eine Outlook-Alternative aus Österreich ohne Tracking. Für Zwei-Faktor-Codes gibt es den Sx Authenticator, der komplett offline arbeitet. Und fürs Geschäft deckt SyxERP Buchhaltung, Verkauf, Lager und CRM ab – alles von einem österreichischen Unternehmen unter der DSGVO.

Weiterlesen: Tools & Apps aus Österreich · Die KI-Verordnung (AI Act) · Barrierefreiheit im Onlineshop