Wo werden deine Dokumente eigentlich gespeichert? Bei den meisten Diensten ist die ehrliche Antwort: „Keine Ahnung — irgendein Rechenzentrum, irgendwo auf der Welt." Und bei US-Apps mit deutscher Oberfläche kann „irgendwo" sehr weit weg sein: Daten landen dann gern in Virginia, Oregon oder Singapur, gesteuert von Firmen, die anderen Rechtsräumen unterliegen.
Für Einkaufslisten ist das egal. Für Rechnungen, Lohnabrechnungen, Mietverträge und Versicherungsunterlagen lohnt der Blick auf zwei Dinge: wo deine Daten liegen und welches Recht dort gilt. Dieser Artikel erklärt beides — und ist am Ende ehrlicher, als manche Marketing-Seite es wäre.
Die kurze Antwort vorweg
DocNados Server stehen in Frankfurt am Main, Deutschland. Nicht Frankfurt in Kentucky (ja, das existiert — Grund genug, bei „Frankfurt" im Zweifel das „Germany" dazuzuschreiben), sondern im wichtigsten Internet-Knoten Deutschlands, betrieben nach europäischem Datenschutzrecht.
Warum der Standort überhaupt zählt
Vielleicht denkst du: Hauptsache verschlüsselt — was schert mich der Standort? Das ist halb richtig. Verschlüsselung ist die stärkste Einzelschicht, aber der Standort bestimmt den Rahmen drumherum:
- Welches Recht gilt? EU-Rechenzentren fallen unter die DSGVO mit ihren enforcement-fähigen Rechten. US-Rechenzentren unterliegen zusätzlich US-Gesetzen wie dem CLOUD-Act (dazu gleich mehr).
- Wer darf drankommen? In der EU braucht eine Behörde für gewöhnlich einen rechtlichen Auftrag und ein festgelegtes Verfahren. In anderen Rechtsräumen gelten andere Spielregeln.
- Wie streng ist der Datenschutz-Level des Rechenzentrums selbst? EU-Anbieter sind zu technischen und organisatorischen Maßnahmen verpflichtet, die über viele andere Rechtsräume hinausgehen.
Standort allein macht keinen Dienst sicher — aber er entscheidet, welche Regeln für deine Daten gelten, wenn es hart auf hart kommt.
DSGVO: mehr als ein Cookie-Banner
Die DSGVO hat einen schlechten Ruf, weil wir sie meist als Cookie-Banner-Nerv erleben. Für die Frage „Wo liegen meine Dokumente?" ist sie aber eines der stärksten Instrumente, das Privatnutzer haben:
- Recht auf Auskunft: Du darfst erfahren, welche Daten ein Anbieter über dich speichert.
- Recht auf Löschung: Ein Klick, und deine Daten müssen weg sein — bei DocNado inklusive aller Dokumente.
- Datenportabilität: Du darfst deine Daten in einem gängigen Format mitnehmen, wann immer du willst. Genau deshalb hat DocNado den ZIP-Export eingebaut.
- Datenminimierung: Anbieter dürfen nur erheben, was sie für den Betrieb wirklich brauchen — nicht „alles, was geht".
- Auftragsverarbeitung (AVV): Wenn ein Dienstleister beteiligt ist, muss vertraglich geregelt sein, was er mit den Daten darf (nämlich: nur, was der Auftraggeber ihm sagt).
Das sind keine Selbstverpflichtungen, sondern einklagbare Rechte mit enormen Bußgeldern im Rücken.
Warum ausgerechnet Frankfurt?
Frankfurt am Main ist kein Zufallsstandort, sondern einer der wichtigsten Internet-Knoten Europas. Am DE-CIX, dem Frankfurter Internet-Knoten, treffen sich Datenströme aus ganz Europa; die Region hat eine der dichtesten Rechenzentren-Landschaften der Welt, energietechnisch und netztechnisch auf modernem Stand. Für dich als Nutzer heißt das konkret: geringe Latenz innerhalb Europas, erfahrene Betreiber und ein rechtlicher Rahmen, der seit Jahrzehnten Datenschutz groß schreibt — Deutschland hatte Datenschutzgesetze, bevor die DSGVO existierte.
Dazu kommt der praktische Aspekt: Wer in der EU gespeicherte Daten anfassen will, bewegt sich in einem Rechtsraum, dessen Regeln für dich als EU-Bürger greifbar sind — eigene Datenschutzbehörde, eigene Klagewege, bekannte Bußgeldpraxis. Bei Servern in Übersee ist der Weg zu deinen Rechten deutlich länger.
Der CLOUD-Act: warum „nur die Server" nicht immer reicht
2018 verabschiedete die USA den CLOUD Act (Clarifying Lawful Overseas Use of Data). Kern: US-Behörden können Unternehmen mit Sitz in den USA zur Herausgabe von Daten verpflichten — auch wenn diese Daten auf Servern außerhalb der USA liegen. Es zählt der Firmensitz, nicht der Standort des Rechners.
Die praktische Konsequenz: Ein US-Unternehmen, das ein EU-Rechenzentrum nutzt, kann trotzdem zur Herausgabe verpflichtet werden. „Server in Europa" auf der Website eines US-Anbieters ist eine wahre, aber unvollständige Aussage — der rechtliche Zugriff läuft über die Muttergesellschaft mit.
EU-Anbieter
Firmensitz und Server in der EU — ein Rechtsraum, ein Regelwerk.
US-Anbieter mit EU-Servern
Der Server-Standort ändert nichts am Zugriffsweg: Die Mutter kann zur Herausgabe aller Daten verpflichtet werden — auch der in Europa gelagerten.
Und jetzt die Ehrlichkeit, die wir dir schulden: Auch DocNado arbeitet mit Dienstleistern zusammen, die international tätig sind — das ist bei einer modernen Web-App praktisch unvermeidbar, und alle Verarbeitungsaufträge sind durch AVV/DPAs geregelt. Wer dir „100% pur europäisch, keine internationalen Anbieter" verspricht, soll das gerne im Detail belegen.
Warum wir trotzdem ruhig schlafen können — und du auch: weil der Standort bei uns nicht die einzige Schicht ist.
Die Layer, die wirklich schützen
Stell dir deinen Dokumentenschutz als Zwiebel vor:
- Standort & Recht: Frankfurt, Deutschland, DSGVO. Regelt, wer legal drankommen dürfte.
- Transport: Alles, was zwischen deinem Gerät und den Servern unterwegs ist, läuft über TLS-verschlüsselte Verbindungen.
- Ende-zu-Ende-Verschlüsselung: Deine Dokumente werden auf deinem Gerät mit AES-256 verschlüsselt, bevor sie den Weg zum Server antreten. Der Schlüssel wird aus deinem Passwort abgeleitet und verlässt dein Gerät nie. Was auf den Servern liegt, ist unlesbarer Datenbrei — für Admins, für Angreifer, und für den Fall, dass jemand über einen Dienstleister rechtlich an Speicherabzüge käme.
Frankfurt · DSGVO — regelt, wer legal drankommen dürfte
TLS — schützt den Weg zwischen deinem Gerät und den Servern
AES-256 auf deinem Gerät — nur du hast den Schlüssel
Das ist der entscheidende Unterschied zum CLOUD-Act-Szenario: Selbst eine Herausgabe von Serverdaten würde nur Chiffre zutage fördern, ohne deinen Schlüssel nicht zu entschlüsseln ist. Wie genau diese Ende-zu-Ende-Verschlüsselung funktioniert — und welche ehrliche Konsequenz sie hat (Stichwort: Passwort & Recovery-Phrase) —, erklären wir im Artikel Was ist ein Cloud-Tresor?.
Standort und Verschlüsselung sind keine Alternativen, sie sind Ebenen. Wer beides hat, muss bei keiner der beiden auf die Marketing-Versprechen des anderen vertrauen.
Drei Missverständnisse, die man kennen sollte
„DSGVO-konform" heißt nicht „sicher". Die DSGVO ist ein Rechtsrahmen, kein Sicherheitszertifikat. Ein Dienst kann jede Datenschutz-Zeile erfüllen und trotzdem serverseitig verschlüsseln — mit Schlüsseln beim Anbieter. Konformität regelt den Umgang mit Daten; ob sie technisch wirklich vor dem Anbieter geschützt sind, entscheidet das Verschlüsselungsmodell. Beide Fragen gehören zusammen.
„Server in der EU" heißt nicht „kein US-Zugriff". Wie oben beim CLOUD-Act beschrieben: Sitzt die Muttergesellschaft in den USA, kann der Standort der Server sekundär werden. Auf die Firmenzentrale achten, nicht nur auf die Server-Flagge im Datenblatt.
„Verschlüsselt" heißt nicht „Ende-zu-Ende verschlüsselt". Jede seriöse Übertragung ist heute TLS-verschlüsselt — das schützt den Transport, nicht die Speicherung. Ausschlaggebend ist, ob die Verschlüsselung auf deinem Gerät beginnt und der Schlüssel bei dir bleibt. Nur dann liest der Betreiber selbst nicht mit.
Wer diese drei Unterscheidungen verinnerlicht hat, liest Datenschutz-Seiten von Anbietern mit ganz anderen Augen — und stellt die richtigen Fragen.
Deine Checkliste für beliebige Dienste
Du musst nicht bei jedem Dienst tief graben — diese fünf Fragen stellen die Weiche:
- Steht der Server-Standort klar im Datenblatt — mit Land, nicht nur „Europa" oder „global"?
- Sitzt der Betreiber in den USA (CLOUD-Act-Reichweite) oder in der EU?
- Wird client-seitig verschlüsselt (Schlüssel bei dir) oder nur server-seitig (Schlüssel beim Anbieter)?
- Gibt es einen kompletten Datenexport als ZIP o. Ä. — ohne Support-Ticket, ohne Wartezeit?
- Kannst du alles mit einem Klick löschen, inklusive Bestätigung?
Je mehr Fragen mit einem klaren „ja" antworten, desto entspannter kannst du den Dienst für sensible Dokumente nutzen.
Wo du die Antworten findest, ist dabei fast so verräterisch wie die Antworten selbst: Steht der Server-Standort groß und ländergenau auf der Produktseite (wie bei DocNado: Frankfurt, Germany), ist das ein gutes Zeichen — Anbieter, die darauf stolz sind, verstecken es nicht in einer FAQ fünf Klicks tief. Fehlt jede Angabe oder bleibt es bei Floskeln wie „sichere Rechenzentren weltweit", darfst du nachfragen. Und die Antwort auf Frage 3 findest du nie in den Feature-Listen, sondern in der Datenschutz-Erklärung: Such dort nach „client-seitig", „Ende-zu-Ende" oder „zero-knowledge" — diese Wörter haben technische Bedeutung und dürfen nicht leichtfertig verwendet werden. Fehlen sie vollständig, speichert der Anbieter im Zweifel mitlesbar.
Häufige Fragen zu Server-Standort und Zugriff
Woher weiß ich, dass die Server wirklich in Frankfurt stehen? Das steht in unserer Datenschutzerklärung — und du kannst uns darauf festhalten. Wer bei einem Anbieter keine klare, ländergenaue Angabe findet, sollte nachfragen; die Antwortgeschwindigkeit und -klarheit sagt oft mehr als die Ursprungsseite.
Bedeutet „Server in Frankfurt", dass meine Daten nie die EU verlassen? Für die Speicherung und Verarbeitung deiner Dokumente: ja. Bei der Nutzung eines europaweit verteilten Dienstes kann es einzelne technische Aufrufe geben, die über Grenzen laufen (etwa bei einem weltweiten CDN für statische Inhalte wie Bilder) — deine Dokumente selbst liegen und bleiben in Frankfurt.
Was ist, wenn ein Dienstleister von DocNado einen Sicherheitsvorfall hat? Genau für diesen Fall gilt die Ebenen-Logik: Selbst vollständiger Zugriff auf Speicherabzüge würde nur verschlüsselten Datenbrei zutage fördern. Deine Dokumente bleiben ohne deinen Schlüssel unlesbar — das ist der Unterschied zwischen „wir haben ein Problem" und „deine Daten sind weg".
Muss ich als US-Nutzer etwas Besonderes beachten? Nein — im Gegenteil. Du profitierst als DocNado-Nutzer vom EU-Rechtsraum unabhängig von deinem Wohnsitz, und „Frankfurt, Germany" ist bewusst eindeutig geschrieben: Es gibt auch ein Frankfurt in Kentucky, und Datenzentren in zwei verschiedenen Kontinenten zu verwechseln wäre ein teurer Irrtum.
Was das für DocNado konkret bedeutet
Zusammengefasst, ohne Marketing-Nebel:
- Server in Frankfurt, Germany — Verarbeitung DSGVO-konform in der EU
- Ende-zu-Ende-Verschlüsselung nach dem Zero-Knowledge-Prinzip: nur du hast den Schlüssel
- Internationale Dienstleister ausschließlich mit Auftragsverarbeitungsvertrag (AVV/DPA)
- Vollständiger ZIP-Export jederzeit, komplette Löschung mit einem Klick
- Zusätzlich bewusst ein lokaler Speicher-Pfad: Scans, die dein Gerät nie verlassen
Wenn du dich gerade erst in das Thema digitale Dokumentenverwaltung einarbeitest: Unser Ratgeber zum papierlosen Haushalt zeigt den Einstieg, und im Scanbot-Vergleich erklären wir, wie DocNado sich von klassischen Scanner-Apps unterscheidet — inklusive des Sicherheitsmodells.
Überzeug dich selbst: DocNado kostenlos ausprobieren — Server-Standort und Verschlüsselungsmodell stehen auf der Produktseite schwarz auf weiß.