Es ging um DSGVO-Konformität, und die ist definitiv gegeben, wenn ein DPA vorliegt und die Daten in der EU gehostet werden. Das Risiko eines Zugriffs durch US-Ermittlungsbehörden muss man separat bewerten und anderen Anforderungen (wie z.B. der Verfügbarkeit) gegenüberstellen.