DSGVO und Souveränität10. Oktober 2026 · Team von Profiles Flow

Warum ein souveränes Hosting für Ihre Daten wählen?

In Frankreich gehostete Daten sind nicht zwangsläufig vor ausländischen Gesetzen geschützt. Alles hängt davon ab, wer die Server betreibt, und von der gesamten Kette der Dienstleister. Hier, was ein souveränes Hosting umfasst und wie Sie es ohne leere Worte bewerten.

Foto: Taylor Vick auf Unsplash

„Ihre Daten werden in Frankreich gehostet.“ Der Satz beruhigt, und er steht heute auf vielen Websites von Online-Software. Er erzählt jedoch nur einen Teil der Geschichte. Entscheidend ist nicht nur, wo die Server stehen, sondern auch, welchem Recht derjenige unterliegt, der sie betreibt, und jeder seiner Dienstleister.

Genau darum geht es bei einem souveränen Hosting. Für ein KMU, das einer Software die Daten seiner Mitarbeiter oder Kunden anvertraut, ist die Frage ein paar Minuten wert.

Standort und Rechtshoheit: zwei verschiedene Dinge

Zwei Begriffe werden oft verwechselt:

Der Standort: das Land, in dem sich die Server und die Sicherungen physisch befinden.
Die Rechtshoheit: das Recht, dem das Unternehmen unterliegt, das diese Server betreibt oder darauf Zugriff hat.

Ein amerikanisches Unternehmen kann ein Rechenzentrum in Paris betreiben. Die Daten befinden sich dann in Frankreich, doch das Unternehmen bleibt amerikanischem Recht unterworfen, auch für Daten, die außerhalb der Vereinigten Staaten gespeichert sind. Ein souveränes Hosting, wie man es allgemein versteht, verbindet beides: Daten in Europa, bei Dienstleistern, die keinem ausländischen Gesetz mit extraterritorialer Reichweite unterliegen.

Was die amerikanischen Gesetze sagen

Oft wird der Patriot Act genannt. Die Texte, die man heute kennen sollte, sind vor allem zwei andere.

Der CLOUD Act (2018)

Der im März 2018 verabschiedete Clarifying Lawful Overseas Use of Data Act hat klargestellt, dass Anbieter von Kommunikations- oder Speicherdiensten, die der amerikanischen Rechtshoheit unterliegen, auf rechtmäßige Anfrage der amerikanischen Behörden die Daten herausgeben müssen, die sich in ihrem „Besitz, Gewahrsam oder ihrer Kontrolle“ befinden, unabhängig davon, wo diese Daten liegen. Das Kriterium ist also nicht der Standort des Servers, sondern die Kontrolle, die der Dienstleister über die Daten ausübt.

Section 702 des FISA

Section 702 des 2008 eingeführten Foreign Intelligence Surveillance Act erlaubt es den amerikanischen Nachrichtendiensten, die Kommunikation von Nicht-US-Personen außerhalb der Vereinigten Staaten ins Visier zu nehmen, gestützt auf amerikanische Diensteanbieter, ohne richterliche Einzelfallentscheidung. Sie wurde vom Kongress mehrfach verlängert, und ihre Erneuerung ist 2026 noch umstritten.

Die Folgen in Europa

Insbesondere wegen dieser Überwachungsprogramme hat der Gerichtshof der Europäischen Union mit dem Urteil Schrems II vom 16. Juli 2020 den Privacy Shield für ungültig erklärt, das Abkommen, das Datenübermittlungen in die Vereinigten Staaten regelte. Ein neuer Rahmen, das Data Privacy Framework, wurde von der Europäischen Kommission am 10. Juli 2023 angenommen. Er bleibt umstritten, und viele Unternehmen ziehen es vor, ihre Daten nicht von einem rechtlichen Gleichgewicht abhängig zu machen, das schon zweimal in Frage gestellt wurde.

Warum ein souveränes Hosting für ein KMU zählt

Man könnte meinen, diese Fragen beträfen nur große Konzerne oder sensible Daten. Dennoch:

die DSGVO macht Sie verantwortlich für die Daten, die Sie Ihren Dienstleistern anvertrauen, einschließlich etwaiger Übermittlungen außerhalb der Europäischen Union;
Ihre Kunden und Auftraggeber stellen die Frage immer öfter, insbesondere bei öffentlichen Ausschreibungen;
die Daten Ihrer Mitarbeiter und Interessenten (Kontaktdaten, Organisation, Geschäftskontakte) haben einen echten Wettbewerbswert;
Stimmigkeit zählt: Es ist schwer, die eigene Sorgfalt im Umgang mit Daten zu betonen und gleichzeitig die Daten der eigenen Teams Tools anzuvertrauen, deren Hosting man nicht kennt.

Die Fragen an einen Softwareanbieter

Bevor Sie ein Online-Tool wählen, stellen Sie diese Fragen und erwarten Sie präzise Antworten:

Wo werden die Anwendung, die Datenbank, die Dateien und die Sicherungen gehostet? Die Sicherungen werden oft vergessen.
Wer ist der Hoster, und welchem Recht unterliegt er? Ein Name, ein Land, eine Region.
Welche weiteren Unterauftragsverarbeiter gibt es? E-Mail-Versand, Zahlung, Support, Analysetools: Jeder ist ein Glied der Kette.
Ist die Liste der Unterauftragsverarbeiter veröffentlicht und datiert? Ein seriöser Anbieter hält sie aktuell und kündigt Änderungen an.
Gibt es Übermittlungen außerhalb der Europäischen Union? Wenn ja, auf welcher Rechtsgrundlage?
Welchem Recht unterliegt der Vertrag, und was geschieht mit Ihren Daten am Ende des Abonnements?

Die ehrlichen Grenzen der Souveränität

Vollständige Souveränität ist selten, und Vorsicht ist geboten, wenn sie ohne Einschränkung versprochen wird. Einige konkrete Beispiele:

Karten in Apple Wallet und Google Wallet beziehen zwangsläufig Apple und Google ein, da die Karte in deren App lebt.
Die Zahlung per Kreditkarte läuft oft über internationale Dienstleister.
Der Versand von Transaktions-E-Mails (Anmeldecodes, Benachrichtigungen) stützt sich oft auf spezialisierte Dienste, nicht immer europäische.

Wichtig ist, dass diese Abhängigkeiten bekannt, auf das unbedingt Notwendige beschränkt und schwarz auf weiß festgehalten sind.

Und bei Profiles Flow?

Profiles Flow wird von einem französischen Unternehmen herausgegeben, und seine Verträge unterliegen französischem Recht. Hier die Lage, wie sie ist, Glied für Glied:

Hosting der Anwendung, der Datenbank, der Dateien und der Sicherungen: Scaleway, französischer Hoster, in Rechenzentren in Frankreich.
Transaktions-E-Mails (Anmeldecodes, Lead-Benachrichtigungen): Scaleway, in Frankreich.
Zahlung: Stripe, per Kreditkarte oder SEPA-Lastschrift. Profiles Flow sieht nie die Kartennummern oder Bankdaten.
Rechnungsstellung: Sellsy, französischer Softwareanbieter.
Wallet-Karten: Apple und Google, zwangsläufig, für die Karte selbst.

Bei den Daten begrenzen mehrere Entscheidungen, was zirkuliert: Statistiken ohne Cookie und ohne gespeicherte IP-Adresse, Anmeldung ohne Passwort, verschlüsseltes und nie wieder angezeigtes Passwort des Active-Directory-Verzeichnisses, Google-Workspace-Delegierung ohne jeden Zugriff auf die Nachrichten. Die Liste der Unterauftragsverarbeiter ist auf der entsprechenden rechtlichen Seite veröffentlicht und datiert. Die Details finden Sie auf der Seite souveräne Cloud, die vertraglichen Zusagen in den AGB.

Häufige Fragen

Sind in Frankreich gehostete Daten vor dem CLOUD Act geschützt?

Nicht zwangsläufig. Der CLOUD Act zielt auf Dienstleister, die der amerikanischen Rechtshoheit unterliegen, unabhängig davon, wo die Daten gespeichert sind. Entscheidend ist also auch die Nationalität und die Kontrolle des Hosters und der Unterauftragsverarbeiter.

Was ist der Unterschied zwischen dem CLOUD Act und Section 702 des FISA?

Der CLOUD Act betrifft Anfragen der Behörden im Rahmen strafrechtlicher Ermittlungen. Section 702 des FISA gehört zum Bereich der Nachrichtendienste: Sie erlaubt es, die Kommunikation von Nicht-US-Personen im Ausland über amerikanische Anbieter ins Visier zu nehmen.

Löst das Data Privacy Framework die Frage?

Es ermöglicht heute Übermittlungen an amerikanische Unternehmen, die ihm beigetreten sind. Es bleibt jedoch umstritten, und die beiden vorherigen Abkommen wurden vom Gerichtshof der Europäischen Union für ungültig erklärt. Viele Unternehmen ziehen es vor, ihre Abhängigkeit von diesem Rahmen zu begrenzen.

Wie prüft man die Unterauftragsverarbeiter einer Software?

Fragen Sie den Anbieter nach der Liste oder sehen Sie sie auf seiner Website ein: Sie muss jeden Dienstleister, seine Rolle und den Ort der Verarbeitung angeben. Als Verantwortlicher haben Sie das Recht, sie zu kennen.

Möchten Sie sehen, wie Ihre Daten verarbeitet werden? Profiles Flow gibt es als kostenlose Testphase über 30 Tage, ohne Kreditkarte.