Die besten europäischen Dienste zur Dateiübertragung mit Datenschutz

Die besten europäischen Dateiübertragungsdienste für Datenschutz 2026 sind HexaTransfer (Frankreich, EU-gehostet, E2EE AES-256-GCM, 50 GB kostenlos), SwissTransfer (Genf, 50 GB kostenlos, TLS + AES-256 im Ruhezustand), Tresorit Send (Schweiz/Ungarn, E2EE XChaCha20-Poly1305), Proton Drive (Genf, OpenPGP E2EE) und Internxt Send (Valencia, libsodium auf Storj). Europäisches Hosting zählt aus drei Gründen: DSGVO-Durchsetzbarkeit, EU-Datensouveränitätsverpflichtungen und Abschirmung gegenüber dem US-CLOUD-Act. Nicht alle „europäischen" Tools sind gleich; manche nutzen US-gehostete Infrastruktur hinter einer .eu-Domain, was den Zweck verfehlt.

Warum europäisches Hosting wirklich zählt

Die DSGVO (Verordnung 2016/679) gibt EU-Bürgern durchsetzbare Rechte auf Zugang, Löschung, Portabilität und Einschränkung der Verarbeitung. Die Artikel 44–50 beschränken die Übermittlung personenbezogener Daten außerhalb der EU/des EWR, sofern das Empfängerland kein „angemessenes" Schutzniveau bietet. Der US-CLOUD-Act (Clarifying Lawful Overseas Use of Data, 2018) verpflichtet US-amerikanische Unternehmen, weltweit gehaltene Daten herauszugeben — ein Widerspruch zur DSGVO. Ein wirklich europäischer Dienst bedeutet: EU- oder Schweizer Unternehmenssitz, EU- oder Schweizer Hosting und Verträge, die EU-Rechtsstandort für Streitigkeiten benennen. Die .eu-Domain allein bedeutet nichts.

HexaTransfer: Frankreich-Hauptsitz, EU-gehostet

HexaTransfer erzeugt mit Web Crypto einen zufälligen AES-256-GCM-Schlüssel, unabhängig vom optionalen Passwort. Das Fragment hinter # wird vor der HTTP-Anfrage abgetrennt, wie RFC 3986 beschreibt. Das Passwort ist eine separate Zugriffskontrolle; der Server speichert seinen Hash. AES-GCM liefert Authentifizierung, ohne dass dieses Dateiformat ein zusätzliches HMAC verwendet.

SwissTransfer: Genf-Hosting mit Schweizer Recht

Infomaniak betreibt SwissTransfer aus Genfer Rechenzentren. Das überarbeitete Schweizer Bundesgesetz über den Datenschutz (DSG, in Kraft seit September 2023) hat sich der DSGVO angepasst und fügt die Nicht-Mitgliedschaft der Schweiz in EU-Geheimdienstrahmen hinzu. Verschlüsselung: TLS 1.3 im Transit plus AES-256 im Ruhezustand — serverseitig, nicht Ende-zu-Ende. Für unkritische große Dateien ist das 50-GB-Limit mit 30 Tagen Aufbewahrung und ohne Konto das stärkste in der Kategorie. Für sensibles Material: vorab mit VeraCrypt oder 7-Zip AES-256 verschlüsseln.

Tresorit: Schweizer Muttergesellschaft, ungarische Wurzeln

Tresorit wurde 2011 in Budapest gegründet und 2021 von der Schweizerischen Post übernommen. Es betreibt seinen Dienst aus der Schweiz und Deutschland mit intakter Zero-Knowledge-Architektur. XChaCha20-Poly1305-Stream-Verschlüsselung, HKDF-SHA-256-Schlüsselableitung, regelmäßige Drittanbieter-Audits (Cure53, NCC Group). Der Business-Tarif fügt SAML SSO (Okta, Microsoft Entra, Google Workspace), SCIM-Provisioning und DSGVO-spezifische Admin-Kontrollen einschließlich Datenstandort-Garantien hinzu. Für regulierte Branchen, die sowohl E2EE als auch Compliance-Dokumentation benötigen, ist es den Preis wert.

Proton Drive: Genfer PGP-Stack

Proton AG operiert aus Genf mit Servern in der Schweiz, Deutschland und Norwegen. Proton Drive nutzt OpenPGP (Curve25519-ECC-Schlüssel + AES-256-CFB-Sitzungsschlüssel) Ende-zu-Ende. Das Unternehmen veröffentlicht regelmäßige Transparenzberichte, die null herausgegebene Dateien an Behörden ausweisen — weil Zero-Knowledge bedeutet, dass sie es nicht könnten. Open-Source-Clients, geprüft von SEC Consult. Das Paket mit Mail, Calendar und Pass macht es zu einer starken EU-zentrischen Produktivitätsalternative zu Google Workspace.

Internxt: Spanisch, dezentraler Speicher

Internxt sitzt in Valencia, Spanien, unterliegt der DSGVO. Ihr Send-Produkt verschlüsselt Dateien mit libsodium secretbox (XSalsa20-Poly1305) clientseitig, verteilt dann per Erasure-Coding kodierte Chunks über dezentrale Storj-Speicherknoten. Kein einzelner Knoten sieht eine vollständige Datei. Spanischer Rechtsstandort, DSGVO, und das dezentralisierte Modell erhöht die rechtliche Komplexität für jeden, der Offenlegung erzwingen will. 5 GB kostenloser Send-Tarif.

Vergleichsmatrix

Dienst	Hauptsitz	Hosting	Verschlüsselung	Regulierung
HexaTransfer	Frankreich	EU	E2EE AES-256-GCM	DSGVO
SwissTransfer	Genf	Schweiz	TLS + Ruhezustand	Schweizer DSG + DSGVO-angemessen
Tresorit	Schweiz (Gründung Budapest)	CH + DE	E2EE XChaCha20-Poly1305	Schweizer DSG + DSGVO
Proton Drive	Genf	CH + DE + NO	E2EE OpenPGP	Schweizer DSG + DSGVO-angemessen
Internxt	Spanien	Storj (verteilt)	E2EE libsodium	DSGVO

Dienste, die europäisch wirken, es aber nicht sind

WeTransfer wurde in den Niederlanden gegründet — klingt ideal — wurde aber 2024 vom italienischen Unternehmen Bending Spoons übernommen. Seine Infrastruktur läuft auf AWS (US-amerikanisches Unternehmen), was Daten dem CLOUD-Act aussetzt. Dropbox Business EU-Tarif nutzt AWS Irland und Frankfurt, bleibt aber ein US-Unternehmen. Box hat EU-Datenresidenz für Enterprise-Pläne, ebenfalls auf AWS. Ein europäischer Domainname ohne europäische Unternehmensstruktur und EU-kontrolliertes Hosting bedeutet keine Datensouveränität.

DSGVO-Rechte in der Praxis

Artikel 15 gibt Ihnen das Recht auf Zugang zu allen personenbezogenen Daten, die ein Verantwortlicher hält. Artikel 17 gibt Ihnen das Recht auf Löschung (Recht auf Vergessenwerden). Artikel 20 gibt Ihnen Portabilität. Für einen Dateiübertragungsdienst bedeutet das: Sie können per E-Mail an den Datenschutzbeauftragten einen Dump aller mit Ihrer IP oder E-Mail verknüpften Daten anfordern, sofortige Löschung beantragen und eine Antwort innerhalb von 30 Tagen erwarten. Wirklich EU-basierte Dienste kommen dem routinemäßig nach. US-amerikanische Dienste mit EU-Datenresidenz müssen es technisch auch, aber die Durchsetzung ist komplexer.

Schrems II und seine Nachwirkungen

Das Schrems-II-Urteil (EuGH, Juli 2020) annullierte den EU-US Privacy Shield, und der EU-US Data Privacy Framework (2023) steht bereits vor rechtlichen Anfechtungen. Für EU-Verantwortliche, die personenbezogene Daten an US-Auftragsverarbeiter übermitteln, bleibt die Rechtsgrundlage dauerhaft unsicher. Ein rein europäischer Stack umgeht das vollständig. Wenn Ihr Workflow DSGVO-Art.-9-Sonderkategoriedaten umfasst (Gesundheit, Biometrie, politische Ansichten), ist das Meiden von US-Infrastruktur keine Paranoia, sondern gebotene Sorgfalt.

Preise für europäisch-orientierte Stacks

HexaTransfer ist kostenlos. SwissTransfer ist kostenlos mit freiwilliger Infomaniak-Unterstützung. Tresorit Business beginnt bei rund 14 € pro Nutzer pro Monat für 1 TB. Proton for Business kostet 7,99 € pro Nutzer pro Monat für Business (500 GB pro Nutzer) und 12,99 € für Business Plus (unbegrenzt). Internxt Essentials kostet 2,99 € pro Nutzer pro Monat für 1 TB. Für kleine Teams, die einen europäischen Stack ohne US-Abhängigkeiten wollen, ist Proton plus HexaTransfer für externe ephemere Sends schwer zu übertreffen.

Wann die Schweiz die EU schlägt

Die Schweiz ist nicht in der EU, fällt also nicht direkt unter die DSGVO, wurde aber als angemessen anerkannt. Das Schweizer Rechtssystem ergänzt die Nicht-Mitgliedschaft in Five Eyes und einen Bundesbeauftragten für Datenschutz (EDÖB) mit Durchsetzungsbefugnis. Für Kunden, die Bedenken gegenüber einem Mitgliedsstaaten-Backdoor haben (Frankreichs Geheimdienstgesetze, BND-Befugnisse), bietet Schweizer Hosting einen zusätzlichen Puffer. Für rein EU-nationales Beschaffungswesen (öffentliche Ausschreibungen, die ausschließlich EU-Daten erfordern), passt ein EU-gehosteter Dienst wie HexaTransfer besser.

Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 50 GB.