Manuel Bach, MSc · Stand: Oktober 2026
Datenstandort Österreich bedeutet, dass Ihre Unternehmensdaten physisch auf Servern in Österreich gespeichert und verarbeitet werden und nachvollziehbar ist, wer darauf zugreifen kann. s-team betreibt dafür eigene Server-Hardware in einem ISO-27001-zertifizierten Rechenzentrum in Wien. Die Systeme werden vollständig von unserem eigenen Team administriert, ohne Subunternehmer für Betrieb, Wartung oder Support. Der Datenstandort beschreibt damit nicht nur einen Ort, sondern das Zusammenspiel aus Technik, vertraglichen Regelungen und klaren Verantwortlichkeiten.
„Wo liegen unsere Daten eigentlich?“ Diese Frage stellt sich früher oder später in jeder IT-Abteilung, spätestens wenn Datenschutzbeauftragte, Wirtschaftsprüfer oder große Kunden danach fragen. Bei manchen Anbietern lautet die Antwort lediglich: irgendwo in Europa oder je nach Auslastung an unterschiedlichen Standorten. Für Unternehmen, die mit personenbezogenen Daten, Produktionsdaten oder Gesundheitsdaten arbeiten, ist eine solche Auskunft oft nicht ausreichend.
Was ein Datenstandort in Österreich konkret bedeutet, warum der tatsächliche Speicherort Ihrer Unternehmensdaten relevant ist und wer darauf zugreifen kann, erfahren Sie hier. Ebenso zeigen wir, wie s-team seine Infrastruktur in Wien betreibt, wie Daten gesichert werden und welche Rolle Datenschutz, Ausfallsicherheit und NIS2 dabei spielen.
Warum ist der Datenstandort für Unternehmen so wichtig?
Der Standort der Daten ist besonders relevant für Datenschutz, Informationssicherheit und die Frage, welche zusätzlichen rechtlichen Anforderungen bei einer Verarbeitung außerhalb der EU entstehen. Werden personenbezogene Daten in Drittländer übertragen, können beispielsweise zusätzliche datenschutzrechtliche Prüfungen und Schutzmaßnahmen notwendig werden. Ein klar definierter Standort innerhalb Österreichs macht die Datenverarbeitung für Unternehmen leichter nachvollziehbar und reduziert die Zahl der beteiligten Stellen.
Auch praktisch ist das relevant. Je mehr Dienstleister und Zwischenstufen zwischen einem Unternehmen und der tatsächlichen Infrastruktur liegen, desto schwieriger kann es werden nachzuvollziehen, wer administrativen oder physischen Zugriff besitzt. Ein eindeutig benannter Serverstandort in Österreich mit klar geregelten Verantwortlichkeiten erleichtert Audits, Verträge zur Auftragsverarbeitung und die Kommunikation mit den eigenen Kunden.
Für manche Branchen und Auftraggeber ist der Datenstandort darüber hinaus ein wichtiges Auswahlkriterium. Öffentliche Auftraggeber, Gesundheitseinrichtungen und Industrieunternehmen mit hohen Anforderungen an Vertraulichkeit und Informationssicherheit fragen bei Ausschreibungen häufig nach dem Land, in dem Daten gespeichert und verarbeitet werden. Eine konkrete Antwort wie „Österreich, Wien, in einem definierten Rechenzentrum“ schafft hier Transparenz.
Was bedeutet „eigene Infrastruktur“ bei s-team?
Wir kaufen keine Rechenleistung bei einem großen Cloud-Anbieter ein, um sie weiterzuverkaufen. Server, Cluster-Software und Betriebsumgebung gehören zu unserer eigenen Infrastruktur, die wir seit vielen Jahren in Wien betreiben. Auf genau diesen Systemen laufen die Anwendungen unserer Kunden.
Für Sie als Kunde funktioniert das ähnlich komfortabel wie ein moderner Onlinedienst. Gleichzeitig wissen Sie, wo Ihre Daten gespeichert werden und wer für den Betrieb verantwortlich ist. Der einzige externe Partner für die Infrastruktur ist das Rechenzentrum selbst, das die notwendige Housing-Umgebung (Serverrack, redundante Stromversorgung, Klimatisierung) für die Server von s-team zur Verfügung stellt. Der Rechenzentrumsbetreiber übernimmt keine Administration der Server oder Kundenanwendungen und hat keinen Zugriff auf die Daten von s-team. Betrieb, Wartung und Support dieser Systeme erfolgen durch unser eigenes Team, ohne Subunternehmer.
Auch Entwicklung, Hosting und Betrieb kommen bei uns aus einer Hand. Das Team, das die Anwendung entwickelt, kennt auch deren technische Umgebung und Betriebsanforderungen. Dadurch bleiben die Wege bei Wartung oder Störungen kurz und die Zuständigkeiten klar. Für die von uns eingesetzten Open-Source-Komponenten fallen zumeist keine laufenden Lizenzgebühren pro Nutzer oder Modul an. Mehr zu unserem Betriebsmodell lesen Sie im Ratgeber Softwarewartung und Betrieb.
Wer hat Zugriff auf Ihre Daten?
Zugriff auf Ihre Daten erhalten nur jene Mitarbeitenden von s-team, die für Betrieb und Wartung der jeweiligen Anwendung zuständig sind, sowie die von Ihnen berechtigten Personen in Ihrem Unternehmen. Welche Nutzer welche Daten sehen, bearbeiten, exportieren oder löschen dürfen, wird über ein Berechtigungskonzept geregelt, das wir gemeinsam mit Ihnen im Projekt festlegen.
Wie detailliert solche Anforderungen sein können, zeigt eine Praktikumsdatenbank im Gesundheitswesen, die wir betreiben. Sie verwaltet die Praktika von rund 12.000 Auszubildenden an 303 Praktikumsstätten und 31 Ausbildungsstätten. Vor der Umsetzung wurde jedes Datenbankfeld mit einem österreichischen Datenschutzanwalt abgestimmt. Dabei wurde unter anderem festgelegt, warum bestimmte Informationen erhoben werden, wer darauf zugreifen darf und wann sie gelöscht werden müssen. Die entsprechenden Löschregeln werden damit nicht nur dokumentiert, sondern soweit vorgesehen direkt in der Anwendung umgesetzt.
Ähnlich hohe Anforderungen gelten bei einer Anwendung für ein Beschwerdemanagement, die wir entwickelt haben und betreiben. Auch dort werden besonders schutzbedürftige Daten verarbeitet, entsprechend genau sind Zugriffe und Berechtigungen geregelt.
Wie sichert s-team Ihre Daten?
Eine Datensicherung erfüllt ihren Zweck nur dann, wenn sich die gesicherten Daten bei Bedarf tatsächlich wiederherstellen lassen. Deshalb kombiniert s-team regelmäßige Datensicherungen mit einer zusätzlichen, räumlich getrennten Sicherung. Ergänzend unterstützen Monitoring und geplante Wartungsmaßnahmen den stabilen Betrieb der Anwendungen.
| Ebene | Was passiert | Wie oft |
|---|---|---|
| Laufende Sicherung | Sicherung der Datenbanken und Dateien im Rechenzentrum | mindestens alle 24 Stunden, bei sensiblen Anwendungen öfter |
| Offline-Sicherung | verschlüsselte Kopie an einem zweiten Standort, physisch getrennt vom Rechenzentrum | Regelmäßig; täglich bzw. nach vereinbartem Rhythmus |
| Monitoring | automatische Überwachung von Servern, Diensten und Anwendungen | laufend |
| Wartungsfenster | geplante Updates und Sicherheitsaktualisierungen, vorab angekündigt | regelmäßig |
Die zusätzliche Offline-Sicherung schafft eine räumlich getrennte Kopie der Daten und bietet damit eine weitere Absicherung bei schwerwiegenden Störungen am primären Standort. Durch laufendes Monitoring können technische Probleme frühzeitig erkannt und entsprechende Maßnahmen eingeleitet werden.
Was wir bewusst nicht versprechen: eine Rund-um-die-Uhr-Bereitschaft mit garantierten Fehlerbehebungszeiten. Stattdessen vereinbaren wir realistische Service- und Reaktionszeiten, die zu den Anforderungen der jeweiligen Anwendung passen. Bei Störungen sorgen Service-Desk und Monitoring dafür, dass Probleme möglichst rasch beim zuständigen Team ankommen.
Was passiert, wenn es s-team als Unternehmen nicht mehr gibt?
Bei langfristig eingesetzter Individualsoftware stellt sich auch die Frage, wie der Betrieb fortgeführt werden kann, wenn der bisherige Entwicklungspartner als Unternehmen unerwartet nicht mehr zur Verfügung steht, etwa nach einer Insolvenz oder Geschäftsaufgabe.
Für diesen Fall können mit s-team entsprechende Vorsorgemaßnahmen vereinbart werden. Dazu gehört beispielsweise ein Verfahren, bei dem regelmäßig aktuelle Daten, der Quellcode und weitere für die Inbetriebnahme notwendige technische Komponenten auf einer vom Kunden kontrollierten Serverumgebung bereitgestellt werden.
Damit erhält der Auftraggeber eine Grundlage, um die Anwendung im Bedarfsfall durch einen anderen geeigneten Dienstleister übernehmen und betreiben zu lassen. Ob eine unmittelbare Wiederinbetriebnahme möglich ist, hängt unter anderem von der technischen Dokumentation, den verfügbaren Komponenten und der vorbereiteten Zielumgebung ab.
Die erforderlichen Nutzungsrechte, Zugriffsregelungen und technischen Übergabeverfahren werden im jeweiligen Vertrag festgelegt. So lässt sich bereits während der Zusammenarbeit klären, wie die langfristige Nutzbarkeit der Anwendung abgesichert werden kann.
Weitere Informationen zu den Unterschieden zwischen Individualsoftware und Standardsoftware finden Sie in unserem Ratgeber Individualsoftware oder Standardsoftware.
Was bedeutet DSGVO-konformes Hosting in Österreich?
Die Datenschutz-Grundverordnung schreibt nicht vor, dass personenbezogene Daten in Österreich gespeichert werden müssen. Sie verlangt vielmehr eine rechtmäßige und zweckgebundene Verarbeitung sowie angemessene technische und organisatorische Maßnahmen zum Schutz der Daten. Werden Daten im Auftrag verarbeitet, müssen außerdem die Verantwortlichkeiten zwischen dem Unternehmen und dem Auftragsverarbeiter vertraglich geregelt sein.
Ein Serverstandort in Österreich schafft klare Verhältnisse. Er erleichtert die datenschutzrechtliche Bewertung und macht transparent, welche Dienstleister beteiligt sind. Werden personenbezogene Daten weder in Drittländer übermittelt noch von dort aus zugänglich gemacht, entfallen insoweit die zusätzlichen Anforderungen der DSGVO an Drittlandübermittlungen. Die allgemeinen datenschutzrechtlichen Pflichten bleiben unabhängig vom Speicherort bestehen. Bei s-team wird der Vertrag zur Auftragsverarbeitung direkt mit uns als klar benanntem Dienstleister geschlossen. Da wir Betrieb, Wartung und Support in Eigenleistung erbringen, ist die Lieferkette auf ein Minimum reduziert.
Berechtigungen, Protokollierung und Löschfristen können bereits bei der Entwicklung der Anwendung berücksichtigt werden. Hinzu kommen technische und organisatorische Maßnahmen wie Verschlüsselung, Datensicherungen, Zutrittskontrollen im Rechenzentrum und individuell definierte Berechtigungskonzepte. Beim Projektstart klären wir gerne auch unter Einbeziehung der Datenschutzverantwortlichen Ihres Unternehmens sämtliche datenschutzrechtlichen Fragestellungen (z.B. Datenkategorien, Rollen, Löschkonzepte), um diese bei der Umsetzung vollumfänglich und korrekt zu berücksichtigen. Wie sich solche Anforderungen auf Aufwand und Kosten auswirken, lesen Sie im Ratgeber Ablauf, Dauer und Kosten von Individualsoftware.
Was hat NIS2 mit dem Datenstandort zu tun?
NIS2 ist die europäische Richtlinie für ein hohes gemeinsames Cybersicherheitsniveau. In Österreich wird sie durch das Netz- und Informationssystemsicherheitsgesetz 2026, kurz NISG 2026, umgesetzt. Das Gesetz ist am 1. Oktober 2026 vollständig in Kraft getreten. Betroffene Einrichtungen müssen unter anderem Maßnahmen zum Cybersicherheits-Risikomanagement umsetzen, Verantwortlichkeiten festlegen und bestimmte Sicherheitsvorfälle innerhalb gesetzlich vorgegebener Fristen melden.
Welche Pflichten gelten für betroffene Unternehmen?
Zu den wesentlichen Vorgaben zählen:
- eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis eines erheblichen Cybersicherheitsvorfalls,
- eine weitere Meldung innerhalb von 72 Stunden,
- ein Abschlussbericht spätestens einen Monat nach der Vorfallsmeldung, sofern die Bearbeitung des Vorfalls nicht noch andauert,
- die Registrierung bei der zuständigen Behörde bis zum 31. Dezember 2026.
Ob ein Unternehmen unter das NISG 2026 fällt, hängt unter anderem von seiner Größe, seinem Tätigkeitsbereich und weiteren gesetzlichen Kriterien ab. Erfasst werden Unternehmen und Einrichtungen aus zahlreichen Bereichen, darunter Energie, Verkehr, Gesundheit, digitale Infrastruktur, Abfallwirtschaft, Chemie, Lebensmittel sowie Teile des verarbeitenden Gewerbes. Das Gesetz unterscheidet zwischen wesentlichen und wichtigen Einrichtungen.
Ob Ihr Unternehmen konkret betroffen ist, sollten Sie mit einer spezialisierten Rechts- oder Sicherheitsberatung klären. Informationen zur Selbsteinschätzung und zu den gesetzlichen Anforderungen stellen außerdem die zuständigen österreichischen Behörden und die Wirtschaftskammer bereit.
Warum ist NIS2 für IT-Dienstleister relevant?
Für Unternehmen, die dem NISG 2026 unterliegen, ist auch die Informationssicherheit ihrer IT-Dienstleister relevant. Insbesondere müssen Risiken innerhalb der Lieferkette berücksichtigt und geeignete Sicherheitsmaßnahmen bewertet werden.
s-team unterstützt seine Kunden durch klar geregelte Betriebsverantwortlichkeiten, definierte Zugriffsberechtigungen sowie technische und organisatorische Sicherheitsmaßnahmen. Informationen zu den vereinbarten Betriebsprozessen und vorhandenen Sicherheitsmaßnahmen können für entsprechende Prüfungen und Nachweise bereitgestellt werden.
Welche Fragen sollten Sie jedem Anbieter stellen?
Unabhängig davon, ob Sie mit uns oder einem anderen IT-Dienstleister sprechen, helfen konkrete Fragen dabei, allgemeine Sicherheitsversprechen von nachvollziehbaren Zusagen zu unterscheiden:
- In welchem Rechenzentrum und in welchem Land stehen die Server tatsächlich?
- Gehört die Hardware dem Anbieter oder wird Rechenleistung bei einem Dritten eingekauft?
- Wer hat physischen und administrativen Zugriff auf die Systeme?
- Sind Subunternehmer am Betrieb beteiligt?
- Wie häufig werden Daten gesichert?
- Gibt es zusätzlich eine physisch getrennte Offline-Sicherung?
- Wann wurde die Wiederherstellung zuletzt getestet?
- Was passiert mit Daten und mit der Anwendung, wenn der Anbieter seinen Betrieb einstellt?
- Welche Rechte erhalten Sie am Quellcode und wie ist der Zugriff auf Ihre Daten geregelt?
- Welche Zertifizierungen besitzt das Rechenzentrum und können entsprechende Nachweise vorgelegt werden?
Wie s-team diese Themen in der Praxis handhabt, erläutern wir in den vorangegangenen Abschnitten. Projektspezifische Anforderungen und weitere technische Details besprechen wir gerne im persönlichen Gespräch. Wenn Sie zusätzlich erfahren möchten, wie das im laufenden Betrieb funktioniert, stellen wir auf Wunsch den Kontakt zu ausgewählten Referenzkunden her. Eine Übersicht finden Sie unter Referenzen.
Wie geht es weiter?
Wenn Sie für eine individuelle Anwendung einen klar definierten Datenstandort und nachvollziehbare Betriebsverantwortlichkeiten benötigen, sprechen Sie mit uns über Ihre Anforderungen. Gemeinsam klären wir, welche technischen und organisatorischen Rahmenbedingungen für Ihr Projekt relevant sind.
Weitere Informationen zur Entwicklung neuer Anwendungen finden Sie unter Individuelle Softwareentwicklung. Wie wir bestehende Anwendungen modernisieren, erfahren Sie im Ratgeber Alte Software modernisieren. Für ein unverbindliches Erstgespräch erreichen Sie uns über die Kontaktseite.
Erstgespräch · kostenlos und unverbindlich
Wo sollen Ihre Daten liegen?
Wir besprechen mit Ihnen, wo Ihre Anwendung heute läuft, wer Zugriff hat und wie ein Betrieb auf eigener Server-Hardware in Wien aussehen kann.
- Terminvorschlag innerhalb eines Werktags
- Ehrliche Einschätzung, auch wenn Standardsoftware besser passt
- Entwicklung, Hosting und Betrieb aus einer Hand in Wien
Rufen Sie gerne auch unsere Kunden an, wir stellen den Kontakt her.
Danke, Ihre Anfrage ist bei uns.
Wir melden uns innerhalb eines Werktags mit einem Terminvorschlag. Wenn es eilt, rufen Sie uns an: +43 1 934 35 23.
Häufige Fragen
Wo liegen meine Daten bei s-team?
In Wien, auf eigener Server-Hardware von s-team in einem ISO-27001-zertifizierten Rechenzentrum. Den Betrieb übernimmt unser eigenes Team, der Rechenzentrumsbetreiber hat keinen Zugriff auf unsere Systeme. Eine verschlüsselte Offline-Kopie liegt zusätzlich an einem zweiten Standort.
Was bedeutet DSGVO-konformes Hosting in Österreich?
Die DSGVO schreibt keinen bestimmten Speicherort vor. Entscheidend sind eine rechtmäßige Verarbeitung, klare Verantwortlichkeiten und passende Schutzmaßnahmen wie Verschlüsselung, Berechtigungskonzepte und Datensicherung. Bleiben personenbezogene Daten vollständig in der EU, entfallen die zusätzlichen Anforderungen an Drittlandübermittlungen.
Wann ist ein Unternehmen von NIS2 betroffen?
Das hängt vor allem von Branche und Unternehmensgröße ab. Betroffen sind unter anderem Energie, Verkehr, Gesundheit, digitale Infrastruktur und Teile der Produktion. Ob Ihr Unternehmen darunter fällt, klären Sie am besten mit einer Fachberatung oder anhand der Informationen der zuständigen Behörden.
Was passiert mit meiner Anwendung, wenn s-team insolvent wird?
Dafür lässt sich vorsorgen. Auf Wunsch stellen wir regelmäßig aktuelle Daten, den Quellcode und alle für die Inbetriebnahme nötigen Komponenten auf einer Serverumgebung bereit, die Sie selbst kontrollieren. Ein anderer Dienstleister kann die Anwendung damit übernehmen. Die Details regelt der Vertrag.
Wie oft werden meine Daten gesichert?
Mindestens einmal täglich, bei sensiblen Anwendungen öfter. Dazu kommt eine verschlüsselte Offline-Kopie an einem zweiten Standort, die auch bei einem schweren Ausfall im Rechenzentrum erhalten bleibt.
Warum spricht s-team nicht von Cloud?
Der Begriff „Cloud“ umfasst sehr unterschiedliche Betriebsmodelle und sagt allein noch wenig darüber aus, wo Daten tatsächlich gespeichert werden und wer die Infrastruktur betreibt. s-team setzt deshalb auf eine klar benannte eigene Infrastruktur in einem Wiener Rechenzentrum. Kunden erhalten damit die Vorteile einer zentral betriebenen Online-Anwendung und wissen gleichzeitig, wo ihre Daten liegen und wer die Systeme administriert.
Kann ich das Rechenzentrum besichtigen?
Ein Besuch des Rechenzentrums ist nach Absprache und im Rahmen der Zutrittsbestimmungen des Betreibers möglich. Für Audits können wir außerdem Nachweise zur ISO-27001-Zertifizierung, Informationen zu unseren technischen und organisatorischen Maßnahmen sowie die jeweils vereinbarten vertraglichen Regelungen bereitstellen.
Quellen
- Anlaufstelle NISG, Bundeskanzleramt: Die neue NIS-2-Richtlinie, https://www.nis.gv.at/nis-2-richtlinie.html
- Wirtschaftskammer Österreich: Fragen und Antworten zum NISG 2026, https://www.wko.at/it-sicherheit/nis-faq
- Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Verordnung (EU) 2016/679 (DSGVO), Artikel 28 Auftragsverarbeiter und Artikel 32 Sicherheit der Verarbeitung, https://eur-lex.europa.eu/eli/reg/2016/679/oj
- ISO/IEC 27001 Informationssicherheits-Managementsysteme, https://www.iso.org/standard/27001