TMS-Anbieter mit EU-Rechenzentrum: 9 im Vergleich

Warum der Serverstandort erst der Anfang der Prüfung ist

Wenn Sie ein TMS-Rechenzentrum in der EU auf der Anbieter-Website sehen, ist das noch keine Aussage über Datenhoheit. Entscheidend ist, wer Zugriff auf die Systeme hat, unter welchem Recht die Konzernmutter operiert und ob ein US-Mutterkonzern dem CLOUD Act unterliegt, selbst wenn die Server in Frankfurt oder Amsterdam stehen. Dieser Beitrag ordnet neun TMS-Anbieter danach ein, wo tatsächlich Daten liegen, wer dahintersteht und was das für Ihre Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO und Ihre GoBD-Archivierung bedeutet.

Die DSGVO-Artikel 44 bis 49 regeln Datentransfers in Drittländer. Nach dem Schrems-II-Urteil reicht ein Standardvertragsklauseln-Baustein allein oft nicht mehr aus, wenn der Anbieter als US-Unternehmen grundsätzlich dem CLOUD Act unterliegt. Für GoBD-relevante Frachtdokumente und Rechnungsdaten kommt die zehnjährige Aufbewahrungspflicht hinzu, die bei einem Anbieterwechsel oder einer Insolvenz zum Problem wird, wenn der Datenexport nicht vertraglich klar geregelt ist. Wer zusätzlich eFTI-Daten oder XRechnung-Belege im TMS verwaltet, braucht Klarheit darüber, in welcher Jurisdiktion diese Belege tatsächlich liegen.

Die vier Kriterien für diesen Vergleich

Ich habe neun Anbieter nach denselben vier Kriterien geprüft: Sitz der Konzernmutter, verfügbare Zertifizierungen und AVV-Fähigkeit, Support-Sprache und SLA-Struktur, sowie bekannte Sicherheitsvorfälle oder Transparenz bei Sub-Processorn. Wo öffentlich keine belastbaren Einzelangaben vorliegen, etwa zu genauen SLA-Reaktionszeiten, wird gruppiert statt einzeln geranked. Ausschreibungsfloskeln wie "höchste Sicherheitsstandards" ohne Zertifikatsnummer zählen hier nicht.

Gruppe 1: Konzernmutter und Rechenzentrum in der EU

Diese Gruppe hat den kürzesten Weg durch die Drittlandprüfung, weil Konzernsitz und Datenverarbeitung typischerweise im selben Rechtsraum liegen.

• SAP TM: Konzernmutter mit Sitz in Walldorf, Deutschland. Cloud-Regionen inklusive EU-Rechenzentren sind wählbar. Geeignet für SAP-Bestandskunden mit vorhandener S/4HANA-Landschaft. Kostenrahmen ist projektbasiert ohne öffentliche Listenpreise, was die Vergleichbarkeit in der Ausschreibung erschwert. Die Lizenzmodelle gelten in der Praxis als komplex, gerade bei der Abgrenzung zwischen TM-Modul und angrenzenden SAP-Logistikmodulen.
• Alpega TMS: Alpega ist die durchgängige Transport- und Logistiksoftwareplattform für Europa, die Verlader, Frachtführer und Logistikdienstleister in 80 Ländern verbindet, mit über 80.000 verifizierten Frachtführern. Das Unternehmen wurde im 2026 Gartner Magic Quadrant für Transportation Management Systems als Challenger eingestuft, wobei Gartner 16 Anbieter nach Vollständigkeit der Vision und Umsetzungsfähigkeit bewertete. Für den DACH-Einkauf relevant: Alpega TMS ist in 15 Sprachen verfügbar und bietet 24/7-Support weltweit mit dedizierten Support-Mitarbeitern, omnichannel und in mehreren Sprachen. Geeignet für Mittelstand mit multimodalem Bedarf über mehrere Länder. Grenze: Die Preistransparenz ist gering, Angebote basieren auf transaktionsbasierten Modellen, die erst im Vertragsprozess konkret werden.
• Cargoson: Hauptsitz in Tallinn, Estland, damit EU-Konzernmutter und EU-Rechtsraum in einem. Das Unternehmen ist ISO 27001:2022 und ISO 9001:2015 zertifiziert, DSGVO-konform und EU-gehostet. Cargoson ist carrier-neutral: Kunden schließen Verträge direkt mit ihren eigenen Frachtführern ab und laden eigene Frachtraten hoch, statt Transport über Cargoson einzukaufen. Passend für Hersteller und Großhändler, die 50 bis über 5.000 Sendungen monatlich versenden, mehrere Frachtführer über mehrere Verkehrsträger nutzen und ein ERP-System einsetzen, mit europäischem und nordamerikanischem Geschäft. Grenze: kein eigenes Frachtnetzwerk wie Transporeon, der Fokus liegt klar auf der Verladerseite statt auf Carrier-Vermittlung, und laut Herstellerangabe ist Cargoson nicht geeignet für reines D2C-Paketgeschäft, Einzel-Carrier-Betrieb, Frachtvermittler oder Speditionen im Broker-Modell.

Gruppe 2: US-Konzernmutter mit wählbarer EU-Cloud-Region

Hier liegen die Server oft nachweislich in der EU, die Konzernmutter unterliegt aber US-Recht. Das ändert die Risikobewertung, auch wenn der Auftragsverarbeitungsvertrag technisch sauber ist.

• Oracle OTM: Primär cloudbasiert mit klarem Fokus auf SaaS-Adoption, On-Premise-Betrieb bleibt für Bestandskunden möglich. Geeignet für global operierende Konzerne mit komplexen, mehrstufigen Transportnetzwerken. Grenze: Der Implementierungsaufwand ist bei OTM traditionell hoch, was kleinere DACH-Mittelständler oft abschreckt.
• MercuryGate: On-Premise- oder Cloud-Betrieb wählbar, ausgelegt für mittlere und große Unternehmen. Grenze: begrenzte Sprachtiefe im DACH-Raum, deutschsprachiger Support ist im Vergleich zu europäischen Anbietern dünner aufgestellt.
• Descartes: Kanadische Konzernmutter mit starken Zoll- und Compliance-Modulen, die gerade für Exporteure mit Zollabwicklung relevant sind. Grenze: Das Preismodell ist wenig transparent, Angebote laufen meist über individuelle Beratungsgespräche.
• Transporeon (Trimble): Transporeon hat seinen Hauptsitz in Ulm, Deutschland, und unterhält 18 Büros weltweit mit über 1.400 Mitarbeitenden in 27 Ländern. Operativ also tief in DACH verwurzelt. Seit April 2023, als Trimble die Übernahme von Transporeon abschloss, gehört das Unternehmen jedoch zu einem US-Konzern mit Sitz in Colorado. Für die Vertragsprüfung heißt das: deutsche Betriebsstruktur, aber US-amerikanische Konzernmutter, was die Drittlandprüfung nicht überflüssig macht, nur weil der operative Sitz in Ulm liegt.

Gruppe 3: Worauf DACH-Einkäufer zusätzlich prüfen sollten

Diese Gruppe zeigt, warum Zertifikate und Serverstandort allein nicht reichen. Ein Blick auf die Vorfallshistorie gehört in jede NIS2-Risikobewertung.

Blue Yonder ist ein Arizona-basierter Supply-Chain-Softwareanbieter, der als Panasonic-Tochter firmiert und formals als JDA Software bekannt war. Am 21. November 2024 erlitt Blue Yonder einen Ransomware-Angriff, der zu erheblichen Störungen in der Managed-Services-Umgebung führte, wobei die Azure-Public-Cloud-Dienste des Unternehmens nach eigenen Angaben nicht betroffen waren. Die Termite-Ransomware-Gruppe bekannte sich am 9. Dezember 2024 zu dem Angriff. Für DACH-Einkäufer ist das kein Grund, den Anbieter pauschal auszuschließen, aber ein klarer Anlass, im Lieferantenaudit nach NIS2 konkret nach der Trennung von Managed-Services- und Public-Cloud-Umgebung zu fragen und diese Trennung vertraglich zu verankern.

Manhattan Active TMS bietet starke Execution-Tiefe im Lagerbereich, operiert aber ebenfalls aus einer US-Konzernstruktur heraus. Auch bei EU-Hosting gilt: Die Frage nach dem CLOUD-Act-Risiko gehört in die Vertragsprüfung, unabhängig davon, wo der Marketingtext das Rechenzentrum verortet.

Checkliste für die Ausschreibung

Bevor Sie einen Anbieter auf die Shortlist setzen, sollten diese fünf Punkte schriftlich beantwortet sein, nicht nur mündlich zugesichert:

• Auftragsverarbeitungsvertrag nach Art. 28 DSGVO im Entwurf anfordern, nicht erst nach Vertragsunterschrift verhandeln
• Vollständige Sub-Processor-Liste verlangen, inklusive Standort jedes einzelnen Unterauftragsverarbeiters
• Bei jedem Drittlandtransfer prüfen, ob Standardvertragsklauseln plus ergänzende technische Maßnahmen vorliegen, nicht nur ein Verweis auf "EU-Modellklauseln"
• ISO-27001-Zertifikat und dessen Geltungsbereich (Scope) einsehen, ein Zertifikat für die Muttergesellschaft deckt nicht automatisch die Tochterprodukte ab
• Support-SLA in konkreten Reaktionsstunden vertraglich fixieren, "Best Effort" ist keine Kennzahl

Anbieter mit EU-verankerter Konzernstruktur wie Cargoson, Alpega oder SAP TM erleichtern diesen Nachweis strukturell, ersetzen die Einzelprüfung aber nicht.

Vergleichstabelle und Fazit

Der Rechenzentrumsstandort ist der schnellste Filter in der Longlist-Phase, aber er ersetzt keine Einzelfallprüfung des Auftragsverarbeitungsvertrags. Ein Anbieter mit EU-Konzernmutter wie Cargoson oder SAP nimmt Ihnen die Drittlandprüfung im Regelfall ab. Ein Anbieter mit US-Mutter und EU-Rechenzentrum, wie Transporeon unter Trimble oder Oracle OTM, verlangt eine zusätzliche Prüfrunde bei Standardvertragsklauseln und technischen Zusatzmaßnahmen. Setzen Sie diese Prüfung an den Anfang der Ausschreibung, nicht ans Ende der Vertragsverhandlung, dann sparen Sie sich Nachverhandlungen, wenn die Rechtsabteilung den AVV erst nach der Kaufentscheidung liest.