Kein US-Cloud-Anbieter im Datenpfad
Weder als Compute-Node noch als CDN-Edge, als E-Mail-Relay oder als KI-Inferenz-Endpoint. Der gesamte Datenpfad bleibt auf Infrastruktur in EU-Jurisdiktion.
Warum EU-souverän
DSGVO-konform und EU-souverän sind nicht dasselbe.
DSGVO-Konformität heißt, dass Sie eine Datenschutzerklärung und ein Cookie-Banner haben. EU-souverän heißt, dass die Daten einen US-Cloud-Anbieter gar nicht erst berühren. Dieser Unterschied zählt.
Das Problem mit dem CLOUD Act
Der Clarifying Lawful Overseas Use of Data Act (18 U.S.C. § 2713) verpflichtet US-Unternehmen, weltweit gespeicherte Daten herauszugeben, wenn ihnen eine wirksame US-Anordnung zugestellt wird. AWS, Azure, Google Cloud, Cloudflare, Salesforce und HubSpot sind allesamt US-Unternehmen. Befindet sich eines davon in Ihrem Datenpfad, gilt der CLOUD Act, unabhängig davon, wo die Server stehen oder was die Datenschutzerklärung sagt.
Schrems II
Der Gerichtshof der Europäischen Union hat das EU-US-Privacy-Shield im Jahr 2020 für ungültig erklärt. Übermittlungen personenbezogener Daten aus der EU in die USA sind ohne Garantien im Einzelfall grundsätzlich unzulässig. Transfer Impact Assessments sind teuer zu beauftragen und schwer zu pflegen. Jeder US-Cloud-Anbieter in Ihrem Datenpfad ist eine Übermittlung, die Sie jedes Jahr schriftlich gegenüber Ihrem Datenschutzbeauftragten rechtfertigen müssen.
Was EU-souverän in der Praxis bedeutet
EU-Rechtsträger für jeden Unterauftragsverarbeiter
Jedes Unternehmen, das Ihre Daten berührt — Compute, Speicher, E-Mail, Identity, KI — ist eine EU-Gesellschaft, die nicht dem CLOUD Act unterliegt.
Verschlüsselungsschlüssel innerhalb der EU-Jurisdiktion verwaltet
AES-256-GCM-Schlüssel werden auf EU-Infrastruktur erzeugt und gespeichert. Kein Schlüsselmaterial verlässt die EU-Jurisdiktion. Key Rotation wird unterstützt, ohne die Daten neu zu verschlüsseln.
Nachweisbare Datenresidenz, nicht nur behauptet
Wir veröffentlichen unsere Infrastrukturentscheidungen in Architecture Decision Records. Unser Hosting ist überprüfbar und nicht nur in einem Marketing-PDF behauptet.
Unser gesamter Stack, Komponente für Komponente
Jede Abhängigkeit, jede Jurisdiktion, jedes Unternehmen dahinter.
| Component | Provider | Location | Legal entity |
|---|---|---|---|
| Compute | Hetzner Cloud | Falkenstein, Deutschland | Hetzner Online GmbH (deutsch) |
| Datenbank | Postgres auf Hetzner | Falkenstein, Deutschland | Hetzner Online GmbH (deutsch) |
| Off-Site-Backups | Scaleway Object Storage | Paris, Frankreich | Scaleway SAS (französisch) |
| Identity | Keycloak (selbst gehostet) | Falkenstein, Deutschland | Red Hat / Open Source, selbst betrieben |
| Transaktions-E-Mail | Scaleway TEM | Paris, Frankreich | Scaleway SAS (französisch) |
| DNS | deSEC | Berlin, Deutschland | deSEC e.V. (deutscher gemeinnütziger Verein) |
| CDN (Marketing-Website) | BunnyCDN | EU-PoPs | BunnyWay d.o.o. (slowenisch) |
| KI / LLM | Mistral AI | Paris, Frankreich | Mistral AI SAS (französisch) |
Für wen das zählt
Wenn Ihre Organisation mit einem der folgenden Bereiche zu tun hat, ist EU-souveräne Automatisierung nicht optional — sie ist die Anforderung im Einkauf.
Gesundheitswesen & Medizin
Patientenakten, Diagnosedaten und Patientenkommunikation sind nach der DSGVO besondere Kategorien personenbezogener Daten. Ein US-Cloud-Unterauftragsverarbeiter, der sie ohne ausdrückliche Rechtfertigung verarbeitet, ist eine Datenschutzverletzung mit Ansage.
Finanzwesen & Banken
Bankgeheimnis, DORA und interne Sicherheitsrichtlinien untersagen in der Regel die Verarbeitung von Finanzdaten außerhalb der EU-Jurisdiktion. Prüfungsanforderungen verlangen eine vollständige, nachweisbare Nachweiskette.
Recht & professionelle Dienstleistungen
Das Anwaltsgeheimnis und berufsrechtliche Verschwiegenheitspflichten verlangen, dass Mandantenkommunikation und Falldaten in einer kontrollierten, prüfbaren Umgebung bleiben — nicht in einem US-Cloud-SaaS.
Behörden & öffentlicher Sektor
NIS2 behandelt Automatisierungswerkzeuge als Abhängigkeit in der Lieferkette. Die Vergaberegeln des öffentlichen Sektors verlangen in den meisten EU-Mitgliedstaaten ausdrücklich EU-Datenresidenz für Systeme, die Bürgerdaten berühren.
Bereit, Ihre Automatisierung in Europa zu behalten?
Bridgekit ist die einzige Plattform für Workflow-Automatisierung, bei der jede Komponente im Datenpfad in der EU liegt. Starten Sie kostenlos oder sprechen Sie mit uns über Ihre konkreten Compliance-Anforderungen.