Die Debatte über Infrastruktur wird meistens als Glaubensfrage geführt. Die eine Seite verkauft Migration in die Cloud als Fortschritt, die andere eigene Server als Souveränität. Beide Seiten verkaufen etwas.
Nüchtern betrachtet ist der Unterschied kleiner, als beide behaupten, und liegt an einer anderen Stelle: Es geht nicht um Technik, sondern darum, welche Entscheidungen Sie abgeben und welche Sie behalten.
Was Sie tatsächlich mieten
Wer Infrastruktur mietet, mietet drei verschiedene Dinge, die oft in einen Topf geworfen werden.
Das erste ist Rechenleistung: ein Server, den jemand anderer einschaltet, kühlt und ersetzt, wenn ein Netzteil stirbt. Das ist unstrittig sinnvoll. Ob eigene Hardware sinnvoll ist, hängt unter anderem von vorhandener Infrastruktur, Verfügbarkeit, Datenflüssen und Betreuung ab.
Das zweite ist Betriebsarbeit: Sicherungen, Aktualisierungen, Überwachung. Die kann man einkaufen, aber sie verschwindet nicht dadurch, dass ein Anbieter sie anbietet. Jemand muss sie einrichten und prüfen.
Das dritte ist Plattformbindung: verwaltete Datenbanken, proprietäre Funktionsdienste, anbieterspezifische Warteschlangen. Hier entsteht die eigentliche Abhängigkeit. Ein Umzug braucht einen überprüften Plan für Daten, Schnittstellen, Ausfallzeiten und Wiederherstellung. Anbieterspezifische Dienste können ihn aufwendiger machen.
Die Unterscheidung ist entscheidend, weil die meisten Kostenversprechen sich auf das erste beziehen und die meisten Probleme aus dem dritten kommen.
Was das Recht vorgibt — und was nicht
Hier lohnt Genauigkeit, weil in beide Richtungen übertrieben wird.
Personenbezogene Daten dürfen die EU verlassen. Die Datenschutz-Grundverordnung regelt das in Art. 44 ff. DSGVO und knüpft es an Bedingungen: einen Angemessenheitsbeschluss, Standardvertragsklauseln oder eine andere geeignete Garantie. Für die USA existiert seit 2023 das EU-US Data Privacy Framework, unter dem zertifizierte Anbieter Daten empfangen dürfen. Ein Anbieter mit Sitz außerhalb der EU ist also nicht automatisch unzulässig.
Umgekehrt gilt: Solche Rechtsgrundlagen sind politisch. Zwei Vorgängerregelungen wurden vom Europäischen Gerichtshof aufgehoben. Wer eine Architektur baut, deren Zulässigkeit an einem Beschluss hängt, baut ein Risiko ein, das er nicht steuert.
In Österreich kommt § 1 DSG dazu, das Grundrecht auf Datenschutz im Verfassungsrang. Für öffentliche Auftraggeber ist das kein Formalismus, sondern der Grund, warum in Ausschreibungen nach dem Speicherort gefragt wird.
Wann gemietet die richtige Antwort ist
- Die Last schwankt stark. Ein Onlineshop vor Weihnachten braucht Kapazität, die elf Monate im Jahr leer stünde. Dafür ist Mieten gebaut.
- Sie probieren etwas aus. Für einen Versuch eigene Infrastruktur aufzusetzen, ist verschwendete Zeit. Dasselbe Argument steht in Lokale KI oder Cloud: Datenflüsse prüfen — es gilt für Infrastruktur genauso.
- Die Daten sind unkritisch. Nicht jede Anwendung verarbeitet Personendaten. Ein Produktkatalog ist kein Personalakt.
- Niemand im Haus betreut Server. Der ehrlichste Punkt. Ein selbst betriebener Server ohne zuständige Person ist kein Souveränitätsgewinn, sondern eine ungeprüfte Sicherung.
Wann eigene Infrastruktur die richtige Antwort ist
- Die Anforderungen sprechen dafür. Bei Schüler-, Gesundheits- und Personaldaten sind Zweck, Rechtsgrundlage, Zugriffsrechte, Auftragsverarbeitung und mögliche Drittlandübermittlungen zu prüfen. Die Datenkategorie allein schreibt keinen eigenen Server vor; auch lokaler Betrieb ist nicht automatisch zulässig.
- Das System soll lange laufen. Preise, Bedingungen und Produktlebenszyklen eines Anbieters ändern sich. Ein Docker-Container auf einem Server, den Sie gemietet haben, ändert sich nicht von selbst.
- Die Last ist gleichmäßig. Wer rund um die Uhr dieselbe Grundlast fährt, zahlt bei nutzungsabhängiger Abrechnung für Flexibilität, die er nie abruft.
- Sie müssen die Frage beantworten können, wo etwas liegt. Nicht mit einer Vertragsklausel, sondern mit einer Adresse.
Wie wir es selbst halten
Wir mieten Server — in Deutschland und Österreich, über Anbieter wie Hetzner, betrieben mit Docker und unserem eigenen Deployment-Werkzeug. Das ist gemietete Infrastruktur, und wir würden nie behaupten, etwas anderes zu tun.
Wir bevorzugen dokumentierte, übertragbare Anwendungen auf üblichen Bausteinen. Je Projekt kommen trotzdem externe Dienste zum Einsatz; diese Website nutzt beispielsweise GitHub Pages. Verwendete Anbieter, Datenstandorte und Ausstiegswege müssen deshalb konkret benannt werden. Unsere technischen Schwerpunkte stehen auf Technologien.
Der Maßstab ist nicht, wem der Server gehört. Er ist, ob Sie umziehen können, ohne neu zu bauen, und ob es eine Person gibt, die zuständig ist, wenn etwas klemmt.
Wer Ihnen eine dieser beiden Antworten gibt, ohne vorher nach Ihren Daten und Ihrer Last gefragt zu haben, verkauft eine Meinung. Wie wir zu solchen Fragen stehen, steht auf Haltung.
Rechtsgrundlage zum Nachlesen: DSGVO, insbesondere Art. 9, 28, 32 und 44 ff.. Anforderungen müssen für den tatsächlichen Einsatz geprüft werden.