Startseite›Ratgeber›Souveränität
Souveränität
„In Europa gehostete Daten“ bedeutet, dass der Dienstleister angibt, bestimmte Daten in Rechenzentren in Europa zu speichern. Der Satz ist wahr oder falsch, je nachdem, welche Daten er abdeckt. Er sagt nicht, welches Recht für die Gesellschaft gilt, die sie besitzt.
Die Angabe findet sich auf fast allen Angeboten für E-Mail-Dienste und Speicher. Sie beruhigt, und das ist ihre kommerzielle Aufgabe. Für eine Geschäftsführung, einen IT-Leiter oder einen Datenschutzbeauftragten ist sie nur ein Ausgangspunkt: Das Verzeichnis von Verarbeitungstätigkeiten, ein Kundenfragebogen oder eine Ausschreibung werden fragen, wo die Daten liegen, aber auch, wer darauf zugreift und von wo aus.
Ein zu weit gefasster Satz birgt zwei Risiken. Das erste besteht darin, fälschlicherweise zu erklären, dass keine Daten Europa verlassen. Das zweite besteht darin, eine Frage für geklärt zu halten, die es nicht ist: die nach dem Betreiber und dem für ihn geltenden Recht. Die Seite ein Unternehmen vor dem CLOUD Act schützen behandelt diesen zweiten Punkt.
Die Prospekte vermischen vier Geltungsbereiche.
Diese Unterscheidungen sind keine juristischen Spitzfindigkeiten. Eine Ausschreibung, die ein Hosting „in der Europäischen Union“ verlangt, wird nicht unbedingt durch ein Angebot erfüllt, das „Europa“ angibt und die Schweiz oder ein anderes EFTA-Land einschließt. Umgekehrt kann ein Schweizer Hosting für ein Unternehmen geeignet sein, das den anwendbaren Rahmen geprüft hat. Der häufige Fehler besteht darin, das Wort „Europa“ als Antwort zu behandeln, obwohl es eine Liste erfordert.
Wenn Sie „Europa“ lesen, fragen Sie nach der Liste der Länder.
Ein E-Mail-Dienst erzeugt mindestens sechs Datenfamilien.
Viele „in Europa gehostete“ Angebote sprechen von Familie 1, manchmal von Familie 2. Die Familien 3 bis 5 sind diejenigen, die am häufigsten anderswohin gehen: Follow-the-Sun-Support (Ihre Anfragen gehen je nach Zeitzone von einem Team zum anderen rund um die Welt), amerikanisches Ticketsystem, Sicherung bei einem Unterauftragnehmer, Virenschutz, dessen Signaturen oder Proben die Zone verlassen.
Diese Familien sind nicht nebensächlich. Die Protokolle zeigen, wer mit wem und zu welcher Uhrzeit arbeitet. Eine Kopie eines Postfachs, die dem Support für eine Diagnose übermittelt wird, enthält ebenso viel wie das Postfach selbst. Eine Sicherung ist eine zweite vollständige Kopie.
Microsoft dokumentiert für die in der EU Data Boundary enthaltenen Dienste eine Speicherung und Verarbeitung von Kundendaten und pseudonymisierten personenbezogenen Daten in der EU und der EFTA sowie eine Speicherung der Daten professioneller Dienstleistungen im Ruhezustand, wobei Übermittlungen fortbestehen: Fernzugriff von Personal außerhalb der Zone bei bestimmten Vorfällen, Speicherung bestimmter Elemente eskalierter Tickets außerhalb der Zone, vom Administrator aktivierte optionale Funktionen, Multi-Geo-Kunden außerhalb des Geltungsbereichs. Google dokumentiert Datenregionen für abgedeckte Inhalte (E-Mail, Kalender, Dateien, Dokumente, je nach Edition). Die Dokumentation von Google stellt klar, dass nicht aufgeführte Daten, wie bestimmte Protokolle, nicht unter diese Regionsrichtlinie fallen.
Diese beiden Softwarehersteller haben einen Vorzug: Sie veröffentlichen, was abgedeckt ist und was nicht. Ein Dienstleister gleich welcher Nationalität, der nichts über seine Sicherungen, seine Protokolle und seinen Support schreibt, bietet nicht mehr Garantien; er bietet lediglich weniger zu überprüfen.
Das Lesen der Liste der abgedeckten Daten dauert eine Stunde. Diese Stunde gibt dem Satz seinen Sinn.
Ein Dienstleistungs-KMU mit 40 Mitarbeitenden und zwei Niederlassungen vergleicht zwei Angebote für E-Mail-Dienste. Beide geben „in Europa gehostete Daten“ an. Beim Lesen der Dokumentation stellt der IT-Leiter fest, dass das erste die Postfächer und Dateien abdeckt, das Ticketsystem des Supports jedoch außerhalb Europas gehostet wird und sich die Techniker von mehreren Kontinenten aus verbinden können. Das zweite gibt das Land der Postfächer, der Sicherungen und der Protokolle an und erklärt, dass der Support aus demselben Geltungsbereich heraus tätig wird, mit einer Protokollierung jedes Zugriffs.
Beide Sätze waren wahr. Nur der zweite ermöglicht es, das Verzeichnis ohne Näherungswerte auszufüllen. Die endgültige Wahl kann noch nach anderen Kriterien wie Funktionen oder Preis getroffen werden, aber sie erfolgt in Kenntnis der Sachlage.
Er beweist nicht, dass der Betreiber europäisch ist. Ein amerikanischer Softwarehersteller kann in Irland hosten.
Er beweist nicht, dass keine Übermittlung stattfindet. Eine E-Mail an einen Empfänger außerhalb Europas verlässt Europa, weil der Absender es so wollte. Ein in einem Drittwerkzeug geöffneter Anhang verlässt den Geltungsbereich. Wenn der Kunde schließlich eine Sicherungskopie in seinen eigenen Tresor verlangt, hängen Standort und Speicherbedingungen dieser Kopie vom Ort und von den Eigenschaften des vom Kunden gewählten Tresors ab.
Er beweist nicht, wer lesen kann. Die Transportverschlüsselung (TLS) schützt den Übertragungsweg. Die Verschlüsselung ruhender Daten schützt die gestohlene Festplatte. Solange der Betreiber den Schlüssel besitzt, um den Dienst zu erbringen, kann er technisch auf den Inhalt zugreifen. Das ist der übliche Rahmen eines E-Mail-Dienstes, bei einem amerikanischen wie bei einem europäischen Anbieter. Entscheidend sind dann die Zugriffsregel, die Protokollierung und das für den Betreiber geltende Recht.
Der Rahmen ändert sich, wenn der Schlüssel beim Kunden liegt oder in seinem Konto hinter einem Passwort verwahrt wird, das der Betreiber nicht besitzt: Der Betreiber kann den Inhalt dann nicht mehr lesen, ohne einen Eingriff, den der Kunde bemerken würde. Das ist die Entscheidung von Klytic, die weiter unten beschrieben wird.
Er beweist nicht die Reversibilität. In Marseille gehostete Daten, die Sie nicht exportieren können, bleiben schwer zu verlassen.
Diese Fragen werden aus einem einfachen Grund schriftlich gestellt: Die Antwort kann in den Vertrag oder in das Verzeichnis übernommen werden.
Die Seiten DSGVO und Microsoft 365 und DSGVO und Google Workspace wenden diese Fragen auf die beiden am weitesten verbreiteten Suiten an. Für den E-Mail-Dienst allein siehe eine europäische geschäftliche E-Mail wählen.
Geografisch ja. Rechtlich gehört die Schweiz nicht zur Europäischen Union, aber die Kommission hat für sie einen Angemessenheitsbeschluss erlassen. Verlangt Ihr Vertrag oder eine Ausschreibung die Europäische Union, müssen Sie das vor der Unterzeichnung prüfen.
Nicht ohne Prüfung. Sicherungen, Protokolle, Support-Tickets und optionale Funktionen folgen oft anderen Regeln als die Postfächer. Microsoft listet selbst Übermittlungen auf, die trotz seiner europäischen Datengrenze fortbestehen.
Die Frage ist falsch gestellt. Der Speicherort ist nur ein Element; es zählen auch die Rechtsgrundlage der Übermittlungen, die Unterauftragnehmer und der Supportzugriff. Der Ort sagt zudem nichts über das für den Softwarehersteller geltende Recht.
Sie schützt den Übertragungsweg und die Festplatte. Sie macht die Daten für den Betreiber, der den Schlüssel besitzt, nicht unlesbar. Entscheidend ist also, wer den Schlüssel besitzt, was der Vertrag dazu sagt und auf welche Funktionen die Verschlüsselung angewendet wird.
Wird der Dienst von Klytic für einen europäischen Kunden gehostet, liegen die Daten in Europa. Für einen Kunden der Zone Mauritius ist das angegebene Hosting Mauritius oder Europa. Für die übrigen Kunden erfolgt das Hosting in einer geografischen Zone, die der anwendbaren Rechtsordnung entspricht, vorbehaltlich der Verfügbarkeit der benötigten Dienste. Der Kunde kann auch bei sich hosten lassen. Für die Telefonie wird der dedizierte Server je nach Anforderung oder Bedarf des Kunden in einer europäischen Cloud, auf Mauritius oder in einer der anwendbaren Rechtsordnung entsprechenden geografischen Zone gehostet. Die Sicherungen bleiben beim selben Betreiber: stündlich für E-Mail-Dienst, Dokumente und CRM, täglich für die Telefonie, Aufbewahrung 30 Tage.
Bei Klytic liegt der Verschlüsselungsschlüssel beim Kunden oder wird in seinem Konto verwahrt. Klytic hat keinen Zugriff darauf: Um ihn zu erhalten, müsste Klytic das Passwort des Kontos, das es nicht besitzt, zerstören oder ändern, und der Kunde würde es bemerken. Die Schritte, bei denen die Verschlüsselung von Klytic verwaltet wird (Quarantäne der Filterung, Verarbeitung im CRM, E-Mails, wenn der Kunde seinen eigenen Schlüssel nicht aktiviert hat), sind auf der Seite ein Unternehmen vor dem CLOUD Act schützen beschrieben. Der Vertrag muss diese Verwahrung und diese Verschlüsselung beschreiben. Die veröffentlichten Einzelheiten finden Sie auf den Seiten Hosting und Souveränität und häufige Fragen.
Diese Seite beschreibt einen allgemeinen Rahmen. Sie ersetzt nicht die Prüfung Ihres Vertrags.
Rechtsstand: 5. Oktober 2026. Dieser Text ersetzt keine Vertragsprüfung. Der Angemessenheitsbeschluss EU–USA (EU) 2023/1795 ist in Kraft. Er wird angefochten. Für SecNumCloud ist der Katalog der ANSSI maßgeblich.
Abgerufen im Oktober 2026.
E-Mail, Dokumente, Videokonferenz, CRM und Telefonie, gehostet in der Zone, die Ihrer Rechtsordnung entspricht, zum Beispiel in Europa oder auf Mauritius, oder bei Ihnen vor Ort.
Willkommensangebot
Testangebot ohne Verpflichtung. Ein Berater ruft Sie zurück, um Ihre Bedürfnisse zu verstehen und Ihren Klytic-Bereich vorzubereiten.
