Inhalt (7 Abschnitte)
„Unsere Daten liegen in Europa, also ist alles in Ordnung.“ Diesen Satz hören wir bei jedem Audit, und jedes Mal müssen wir ihn relativieren. Der geografische Standort eines Servers ist nur ein Teil der Gleichung. Was wirklich zählt, ist, wer rechtlich auf Ihre Daten zugreifen darf, unter welcher Rechtshoheit und mit welchen Garantien. Im Folgenden fassen wir ohne unnötigen Fachjargon zusammen, was wir unseren Kunden erklären, wenn es um souveränes Hosting geht.
Warum der Speicherort der Daten zählt #
Ihre Geschäftsdaten (Kundendateien, Personalakten, Gesundheitsdaten, Betriebsgeheimnisse) sind nicht bloß Bytes. Sie unterliegen dem Recht des Landes, in dem sie gespeichert sind, aber auch dem Recht des Landes, dem das hostende Unternehmen untersteht. Diese doppelte Abhängigkeit ist die Ursache der meisten Missverständnisse.
Für ein französisches KMU oder eine französische Kommune geht es um dreierlei: Einhaltung der Vorschriften, das Vertrauen der eigenen Kunden und die Fortführung des Betriebs, falls die Beziehung zu einem ausländischen Anbieter von heute auf morgen schwierig wird. Wer entscheidet, wo seine Daten liegen, entscheidet, wer die Kontrolle über sie behält.
Der Cloud Act: warum „in Europa gehostet“ nicht reicht #
Der Cloud Act (Clarifying Lawful Overseas Use of Data Act), 2018 in den USA verabschiedet, erlaubt den US-Behörden, von einem Unternehmen, das US-Recht unterliegt, die Herausgabe der Daten zu verlangen, die es besitzt, unabhängig davon, in welchem Land diese Daten physisch gespeichert sind.
Konkret: Wenn Sie bei einem großen US-Anbieter hosten (AWS, Azure, Google Cloud), schützt es Sie nicht, dass das Rechenzentrum in Paris oder Frankfurt steht. Die Muttergesellschaft bleibt ein Unternehmen nach US-Recht und kann daher gezwungen werden, Daten herauszugeben, ohne dass Sie davon überhaupt erfahren. „In Europa gehostet“ beantwortet eine geografische Frage; der Cloud Act wirft eine Frage der Rechtshoheit auf. Das ist nicht dasselbe.
Und die „souveränen Clouds“ der großen Anbieter? #
Es gibt sogenannte „vertrauenswürdige“ Angebote, betrieben von europäischen Partnern unter der Lizenz eines US-Anbieters. Sie verringern das Risiko, aber das Bild hängt von vertraglichen und technischen Details ab: Wer hält die Verschlüsselungsschlüssel, wer leistet den Support, wer kann ein Update einspielen? Die eigentliche Frage bleibt einfach: Wer kann rechtlich gezwungen werden, meine Daten herauszugeben, und an wen?
„In Europa gehostet“ beantwortet eine geografische Frage. Souveränität beantwortet eine Frage der Rechtshoheit. Solange die Muttergesellschaft US-Recht unterliegt, gilt das auch für Ihre Daten.
DSGVO und AVV: die vertragliche Grundlage #
Die DSGVO regelt, wie personenbezogene Daten in der Europäischen Union verarbeitet werden. Bei einem Hoster schlägt sich das in einem AVV (Auftragsverarbeitungsvertrag, englisch Data Processing Agreement): einem Vertrag, der die Zwecke der Verarbeitung, die Liste der Unterauftragsverarbeiter, die Sicherheitsmaßnahmen, die Aufbewahrungsfristen und die Meldewege bei einem Vorfall festlegt.
Ein klarer AVV ist keine Verwaltungsformalität: Er beweist, dass Ihr Hoster die gesamte Kette durchdacht hat. Kann ein Dienstleister Ihnen die Liste seiner Unterauftragsverarbeiter und die betroffenen Länder nicht nennen, ist das ein Warnsignal.
Wie wir bei Sanfytech hosten #
Unsere Antwort ist bewusst einfach: Alles, was wir bauen, läuft auf einer in Frankreich gehosteten Infrastruktur, betrieben von Dienstleistern nach französischem (also europäischem) Recht, außerhalb der Reichweite des Cloud Act. Das ist europäische Souveränität beim Wort genommen: kein europäisches Rechenzentrum unter einer US-Muttergesellschaft, sondern durchgehend europäische Rechtshoheit.
- Rechenzentren in Frankreich, mit Replikation über mehrere Standorte für die Ausfallsicherheit.
- Tägliche Backups, verschlüsselt und regelmäßig durch echte Wiederherstellungen getestet: Ein Backup, das nie wiederhergestellt wurde, ist nur eine Hypothese.
- Monitoring Tag und Nacht mit Alarmierung: Wir erkennen den Vorfall, bevor Sie uns anrufen.
- Gemessene und veröffentlichte Verfügbarkeit (datierte Messwerte auf der Seite zu Managed Services) und Rufbereitschaft bei kritischen Vorfällen, mit schriftlich zugesagten Fristen.
- DSGVO von Anfang an: AVV wird bereitgestellt, Unterauftragsverarbeiter werden offengelegt, Verschlüsselung im Ruhezustand und bei der Übertragung.
Bewährte Praktiken, die wir anwenden (und die Sie verlangen können) #
- Die schriftliche Liste der Unterauftragsverarbeiter und der Hosting-Länder verlangen.
- Prüfen, wer die Verschlüsselungsschlüssel hält: idealerweise nicht allein der Anbieter.
- Die Wiederherstellung der Backups testen, nicht nur ihr Vorhandensein.
- Den Notfall-Wiederherstellungsplan und die Zielzeit für die Wiederinbetriebnahme dokumentieren.
- Einen einzigen, durchgehend verantwortlichen Ansprechpartner bevorzugen statt einer Kette, in der jeder die Verantwortung weiterschiebt.
Zusammengefasst #
Datensouveränität ist kein Marketingargument: Sie ist die Antwort auf eine sehr konkrete Rechtsfrage. Wer seine Daten in Frankreich bei einem Hoster nach französischem Recht speichert, mit einem klaren AVV und schriftlichen Zuverlässigkeitszusagen, behält die Kontrolle über das, was für sein Geschäft am wichtigsten ist.
Um das Thema in seinen regulatorischen Kontext einzuordnen (das Rundschreiben vom 5. Februar 2026, das SecNumCloud-Dekret und die Pläne jedes Ministeriums zur Verringerung von Abhängigkeiten), haben wir dem Plan des französischen Staates für technologische Souveränität einen eigenen Artikel gewidmet. Wenn Sie Ihren konkreten Fall vertiefen möchten, lernen Sie unser souveränes Hosting in Frankreich kennen oder sprechen Sie direkt mit uns: Erstgespräch kostenlos, Antwort binnen 24 Stunden an Werktagen.
