US-VPS: Latenz, DSGVO und CLOUD Act | Hostcomplex

Wann sich ein US-VPS für Ihre Zielgruppe lohnt

Ein Server in den USA ist vor allem dann sinnvoll, wenn der Großteil Ihrer Nutzer dort sitzt oder Ihr Dienst gezielt für Nordamerika ausgelegt ist. Bei einer kleinen Unternehmenswebsite mit vorwiegend US-Besuchern kann die kürzere Netzstrecke die Ladezeit und die Reaktionszeit dynamischer Funktionen verbessern. Auch ein SaaS-Backend für US-Kunden oder ein Spieleserver für Spieler in Nordamerika profitiert häufig von einem passenden Standort.

Anders sieht es bei einem Angebot aus, dessen Nutzer hauptsächlich in Europa sitzen. Ein US-Server verlängert für sie typischerweise den Weg zu jeder Anfrage. Bei einer API, die viele kleine Folgeaufrufe ausführt, summiert sich die zusätzliche Verzögerung spürbar. Ein europäischer Standort oder eine CDN-Auslieferung für statische Inhalte ist dann oft die bessere Ausgangslage. Ein CDN kann Dateien näher an Besucher bringen, ersetzt aber nicht automatisch einen passenden Standort für Datenbankzugriffe und andere dynamische Vorgänge.

Unsere Tabelle auf dieser Seite ist nach VPS-Angeboten mit einem Rechenzentrum in den Vereinigten Staaten gefiltert. Sie vergleicht also nicht alle Tarife einer Kategorie, sondern zeigt die passenden US-Standortoptionen. In unserem vollständigen VPS-Vergleich finden Sie 116 Tarife von 17 Anbietern; dort beginnen die Preise bei 1,87 € pro Monat. Die Preise wurden zuletzt am 31 Oktober 2026 abgeglichen. Diese Kennzahlen beziehen sich auf den vollständigen Vergleich, nicht ausschließlich auf die hier gefilterten US-Tarife.

Latenz messen, statt sich auf einen Ortsnamen zu verlassen

Die Entfernung zwischen Server und Nutzer ist ein wichtiger Faktor, aber kein vollständiger Leistungstest. Routing, Netzlast, Peering und der konkrete Zugang des Nutzers beeinflussen die tatsächliche Round-Trip-Time (RTT). RTT misst die Zeit für den Hin- und Rückweg eines Datenpakets. Sie ist weder eine feste Zusage für einen Tarif noch mit einer einfachen Einweg-Laufzeit gleichzusetzen.

Als grobe Orientierung zeigen Messungen des Drittanbieters Hats Network, Netzwerkbetreiber AS203314, je nach Messrunde etwa 74 ms zwischen New York und Frankfurt, 68 ms zwischen Amsterdam und New York, 59 ms zwischen Los Angeles und New York sowie 137 ms zwischen Los Angeles und Frankfurt. Das sind Vergleichswerte für bestimmte Strecken, keine Messung eines einzelnen VPS-Angebots. Die Werte können sich mit Route und Zeitpunkt ändern. Sie belegen vor allem, warum ein US-Standort für US-Nutzer und ein europäischer Standort für europäische Nutzer meist unterschiedliche Vorteile hat.

Prüfen Sie die Städte und Netze, aus denen Ihre echten Nutzer zugreifen. Für einen Spieleserver zählen beispielsweise die Regionen Ihrer Spieler, für eine API die Standorte der wichtigsten Clients. WonderNetwork veröffentlicht Ping-Statistiken auf Basis von durchschnittlich 30 Pings pro Städte-Paar. Nutzen Sie aktuelle Messwerte als Orientierung und testen Sie zusätzlich Ihre eigene Anwendung. Fragen Sie beim Anbieter nach dem konkreten Rechenzentrumsstandort; die US-Filterseite ordnet einzelnen Tarifen keine Stadt zu.

DSGVO: Bei EU-Personendaten zählt die Übermittlungsgrundlage

Ein US-VPS ist nicht automatisch DSGVO-konform oder automatisch unzulässig. Entscheidend ist unter anderem, welche personenbezogenen Daten Sie verarbeiten, wer darauf zugreifen kann und auf welcher Grundlage Sie Daten in ein Drittland übermitteln. Artikel 44 der DSGVO verlangt, dass die Bedingungen aus Kapitel V für eine Übermittlung außerhalb der EU erfüllt sind. Das gilt auch für anschließende Weiterübermittlungen. Prüfen Sie daher nicht nur den ersten Speicherort, sondern auch Unterauftragnehmer und weitere Datenflüsse.

Kapitel V nennt mehrere Wege: einen Angemessenheitsbeschluss nach Artikel 45, geeignete Garantien nach Artikel 46 und Ausnahmen für bestimmte Situationen nach Artikel 49. Zu den Garantien können Standardvertragsklauseln gehören. Welche Grundlage im konkreten Fall trägt, hängt jedoch von Verarbeitung, Anbieter und Vertragsgestaltung ab. Wenn Ihr US-VPS personenbezogene Daten von EU-Kunden speichert oder verarbeitet, sollten Sie die Übermittlung vor dem Start mit Datenschutzverantwortlichen und gegebenenfalls anwaltlichem Rat prüfen.

Eine sinnvolle Vorprüfung umfasst mindestens diese Punkte:

• Welche personenbezogenen Daten liegen auf dem VPS, und sind sie für den Betrieb tatsächlich nötig?
• Welche Unternehmen können auf die Daten zugreifen, einschließlich Unterauftragnehmern und Support?
• Welche Übermittlungsgrundlage gilt, und deckt sie auch mögliche Weiterübermittlungen ab?
• Welche Sicherheitsmaßnahmen, Löschfristen und vertraglichen Regelungen sind dokumentiert?

Data Privacy Framework: in Kraft, aber Gegenstand eines Rechtsmittels

Die EU-Kommission nahm am 10. Juli 2023 den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (DPF) an. Er ermöglicht den freien Fluss personenbezogener Daten an US-Unternehmen, die am Framework teilnehmen. Die Teilnahme des konkreten Unternehmens ist daher entscheidend: Prüfen Sie den Zertifizierungsstatus des Anbieters im offiziellen DPF-Verzeichnis. Der Serverstandort allein sagt nicht, ob ein Unternehmen unter den Beschluss fällt.

Der Beschluss wurde nicht aufgehoben. Das Gericht der Europäischen Union wies am 3. September 2025 die Klage von Philippe Latombe ab. Anschließend legte Latombe am 31. Oktober 2025 ein Rechtsmittel beim Gerichtshof der Europäischen Union ein; das Verfahren wird unter C-703/25 P geführt. Im Juni 2026 trat Microsoft zur Unterstützung der Kommission bei. Das Rechtsmittel ist anhängig. Eine Verhandlung oder Entscheidung sollten Sie nicht als bereits erfolgt voraussetzen.

Für Ihre Auswahl heißt das: Der DPF kann eine relevante Grundlage sein, wenn Ihr Anbieter tatsächlich zertifiziert ist und die konkrete Verarbeitung in den Geltungsbereich fällt. Er ersetzt nicht die Prüfung von Vertrag, Sicherheitsmaßnahmen und Datenflüssen. Lassen Sie die passende Übermittlungsgrundlage für Ihren Anwendungsfall rechtlich bestätigen, statt allein aus „US-Rechenzentrum“ oder „DPF“ eine pauschale Aussage zur DSGVO abzuleiten.

CLOUD Act: Der Anbieter kann wichtiger sein als der Serverstandort

Der CLOUD Act von 2018 ergänzte den Stored Communications Act um 18 U.S.C. 2713. US-basierte Anbieter können verpflichtet werden, Daten herauszugeben, die sich in ihrem Besitz, ihrer Verwahrung oder unter ihrer Kontrolle befinden, unabhängig davon, in welchem Land sie gespeichert sind. Deshalb beantwortet die Angabe „Rechenzentrum in den USA“ nicht allein die Frage nach möglicher US-Reichweite. Auch ein europäisches Rechenzentrum eines US-basierten Anbieters kann betroffen sein.

Wie weit „Kontrolle“ bei Daten außerhalb der USA reicht, ist ein rechtlicher Punkt, der in der Fachdebatte weiter behandelt wird. Stellen Sie deshalb Fragen zur Unternehmensstruktur, zu Zugriffsmöglichkeiten und zu den Vertragsbedingungen. Wenn Ihre Organisation Daten zwingend außerhalb der US-Rechtsreichweite halten muss, ist ein US-VPS keine passende Abkürzung; auch bei einem europäischen Standort sollten Sie die Rechtsstellung und Kontrolle des Anbieters prüfen.

Eine clientseitige Verschlüsselung kann das Risiko begrenzen, wenn ausschließlich Sie die Schlüssel besitzen und der Anbieter die Inhalte nicht entschlüsseln kann. Sie ist eine technische Schutzmaßnahme, keine Garantie gegen jede rechtliche Anforderung und kein Ersatz für eine rechtliche Prüfung. Klären Sie mit Fachleuten, welche Daten Sie verschlüsseln können und welche Funktionen Ihrer Anwendung dafür angepasst werden müssen.

Tarifwahl: Ressourcen und Verwaltungsaufwand passend dimensionieren

Der Standort entscheidet über die Netzstrecke, aber nicht darüber, ob die Maschine Ihre Anwendung bewältigt. Für eine kleine API mit wenigen gleichzeitigen Anfragen kann eine moderate RAM-Ausstattung reichen; bei mehreren Diensten, Caches oder einer Datenbank sollten Sie den Speicherbedarf unter realer Last messen. NVMe-Speicher kann bei vielen Lese- und Schreibvorgängen hilfreich sein. Prüfen Sie zusätzlich, ob der Tarif Root-Zugriff bietet, falls Sie Betriebssystem, Laufzeitumgebung oder Firewall selbst konfigurieren müssen.

Achten Sie beim Datenverkehr auf die genaue Tarifbeschreibung. Die Bezeichnung „unbegrenzt“ sollte nicht ohne Prüfung der Nutzungsbedingungen als grenzenlose Übertragung verstanden werden. Kontrollieren Sie außerdem Speicherplatz, enthaltene Verwaltung und verfügbares Panel. Ein verwalteter Tarif kann Pflegeaufwand abnehmen; bei selbstverwalteten Tarifen tragen Sie mehr Verantwortung für Updates, Zugänge und Absicherung. Wenn Sie ein bestimmtes Control Panel benötigen, vergewissern Sie sich, dass es im Angebot enthalten oder installierbar ist.

Vor der Bestellung: Fragen an den Anbieter

Nutzen Sie die Filter für Arbeitsspeicher, Speicherplatz, Datenverkehr, Verwaltung, Panel, Root-Zugriff und NVMe, um die Vorauswahl an Ihren Betrieb anzupassen. Danach lohnt sich eine kurze Prüfung mit dem Anbieter. Fragen Sie nach dem konkreten US-Standort des Rechenzentrums, verfügbaren Netzwerkinformationen und Testmöglichkeiten. Nennen Sie dabei die Herkunft Ihrer Nutzer, denn eine Messung aus einer einzelnen Stadt bildet nicht alle Spielenden, Kunden oder API-Clients ab.

Bei personenbezogenen Daten sollten Sie zusätzlich Zertifizierungsstatus im DPF-Verzeichnis, Unterauftragnehmer, Vertragsunterlagen und Verfahren für behördliche Datenanfragen prüfen. Fragen Sie, welche Zugriffsmöglichkeiten der Anbieter auf gespeicherte Inhalte hat und wie Schlüsselverwaltung gehandhabt wird. Wenn Sie EU-Daten in den USA verarbeiten oder eine Vorgabe zur US-Rechtsreichweite erfüllen müssen, lassen Sie die Rechtsgrundlage und die Anbieterstruktur vorab von Ihrer Datenschutzstelle oder juristischem Beistand bewerten. So vergleichen Sie nicht nur CPU und Speicher, sondern auch die Bedingungen, unter denen Ihr Dienst tatsächlich betrieben wird.