Data Residency im Vergleich: Dienste zur Dateiübertragung

Data Residency variiert stark zwischen Diensten zur Dateiübertragung. WeTransfer speichert Dateien in Irland und den USA, Smash hostet in Frankreich, SwissTransfer hält alles in der Schweiz, und Dropbox Transfer verteilt Daten auf US- und EU-Regionen. Für die Einhaltung von DSGVO-Artikel 44 (Übermittlungen außerhalb des EWR) sollten Sie bei der Verarbeitung personenbezogener Daten ausschließlich EU-Dienste wählen. HexaTransfer hostet ausschließlich auf französischen Servern — Ihre Dateien überqueren nie den Atlantik. Das ist entscheidend für Gesundheits-, Rechts- und Finanzteams, die nach dem Schrems-II-Urteil strengen Souveränitätsregeln unterliegen.

Warum Data Residency nach Schrems II wirklich wichtig ist

Das Schrems-II-Urteil vom Juli 2020 erklärte das EU-US-Privacy-Shield für ungültig und ließ die meisten transatlantischen Datenübermittlungen auf wackeligem rechtlichen Fundament stehen. Standardvertragsklauseln funktionieren noch, aber nur in Kombination mit ergänzenden Maßnahmen, die nachweisen, dass US-Überwachungsgesetze (FISA 702, Executive Order 12333) die Daten nicht gefährden. Ein CNIL-Urteil gegen Google Analytics im Februar 2022 machte dies konkret: EU-Unternehmen wurden dafür geahndet, Besucherdaten über US-Server zu leiten — selbst bei vorliegenden Standardvertragsklauseln.

Für Dateiübertragungen sind die Konsequenzen direkt spürbar. Senden Sie einen Kundenvertrag über einen US-basierten Dienst, haben Sie möglicherweise eine grenzüberschreitende Übermittlung ausgelöst, die eine Transfer Impact Assessment erfordert. Verwenden Sie stattdessen einen französischen oder schweizer Dienst, bleiben Sie in Rechtsräumen mit Angemessenheitsbeschlüssen oder stärkerem Datenschutzrahmen.

WeTransfer: Irland plus US-Edge-Server

WeTransfers Primärspeicher liegt in Irland (AWS eu-west-1), was die Daten innerhalb der EU-Rechtsgrenzen hält. Ihr CDN-Netzwerk erstreckt sich jedoch global, und Metadaten-Routing läuft über die Infrastruktur des Mutterkonzerns. Seit 2023 gehört WeTransfer dem italienischen Unternehmen Bending Spoons, das Teile des Betriebs nach Mailand verlagert hat. Für EU-Nutzer verbleiben Dateien technisch in Irland, aber Logs, Authentifizierungstoken und Vorschaubilder können US-Knoten berühren.

Für eine deutsche Anwaltskanzlei, die Schriftsätze sendet, entsteht Unklarheit. Die Dateien sind technisch EU-resident, die operationellen Metadaten jedoch nicht. Das Verarbeitungsverzeichnis nach DSGVO-Artikel 30 müsste diese Nuance dokumentieren.

Smash: 100 % französisches Hosting bei OVH

Smash, der Pariser Konkurrent, hostet ausschließlich bei OVH in Roubaix und Gravelines. Kein AWS, kein Azure, kein Google Cloud. Das bietet eine klarere Geschichte für Auftraggeber aus dem öffentlichen Sektor, die Frankreichs SecNumCloud-Anforderungen unterliegen — diese schließen jeden Anbieter aus, der dem US-CLOUD-Act unterliegt. Smash veröffentlichte 2024 eine detaillierte Infrastrukturseite, die null US-Beteiligung im Datenpfad bestätigt.

Der Kompromiss ist Performance. Nutzer in Singapur oder Sydney erleben höhere Latenz als bei einem geographisch verteilten Dienst. Für europäische Nutzer ist das eher ein Vorteil als ein Nachteil.

SwissTransfer: Infomaniaks grüne Schweizer Rechenzentren

SwissTransfer läuft auf Infomaniak-Infrastruktur in Genf und im Schweizer Jura. Die Schweiz ist kein EU-Mitglied, hat aber einen Angemessenheitsbeschluss nach DSGVO — EU-Schweiz-Übermittlungen werden wie intra-EWR behandelt. Das Schweizer Datenschutzgesetz (DSG), im September 2023 an die DSGVO angeglichen, schafft eine weitere rechtliche Symmetrie.

Infomaniak veröffentlicht seinen CO₂-Fußabdruck und betreibt den Dienst vollständig mit erneuerbarer Wasserkraft. Für nachhaltigkeitsorientierte Organisationen ist das ein Bonus jenseits der Data-Residency-Geschichte. Dateien laufen nach 30 Tagen ab, mit AES-256 im Ruhezustand.

Dropbox Transfer: US-Standard, EU optional

Dropbox Transfer, in kostenpflichtige Dropbox-Pläne integriert, verwendet standardmäßig US-Speicher. Enterprise-Kunden können EU-Residency gegen Aufpreis wählen, um Daten in deutsche AWS-Regionen zu routen. Die Control Plane (Konto-Metadaten, Abrechnung, Audit-Logs) bleibt jedoch US-gehostet. Das ist das Muster, dem die meisten Hyperscaler folgen: regionale Data Planes, zentralisierte Control Planes.

Im Rahmen des EU-US Data Privacy Framework (Juli 2023) ist Dropbox zertifiziert, was eine rechtliche Grundlage für Übermittlungen bietet. Das DPF wird jedoch bereits gerichtlich angefochten, ein Schrems-III-Urteil könnte es innerhalb von zwei Jahren für ungültig erklären. Langfristige Verträge sollten dieses Risiko einkalkulieren.

HexaTransfer: Einfachheit durch einen einzigen Rechtsraum

HexaTransfer speichert alles auf französischen Servern ohne Replikation außerhalb der EU. Dateien werden vor dem Upload clientseitig mit AES-256-GCM verschlüsselt — selbst die französische Infrastruktur hält nur Chiffretext. Die Schlüsselableitung verwendet PBKDF2 mit 600.000 Iterationen, und die Download-URL enthält den Entschlüsselungsschlüssel als URL-Fragment (wird nie an den Server übertragen).

Für DSGVO-Artikel 32 (Sicherheit der Verarbeitung) verbindet diese Architektur Datensparsamkeit, Verschlüsselung und Single-Jurisdiction-Hosting in einem Paket. Eine Transfer Impact Assessment wird trivial: Es gibt keine internationale Übermittlung.

Vergleichstabelle

| Dienst | Primärstandort | Sekundärstandorte | DSGVO-Status | Zero-Knowledge | |---------|----------------|-------------------|-------------|----------------| | WeTransfer | Irland (AWS) | US-CDN-Edges | EU-resident | Nein | | Smash | Frankreich (OVH) | Keine | EU-resident | Nein | | SwissTransfer | Schweiz | Keine | Angemessenheitsbeschluss | Teilweise | | Dropbox Transfer | US-Standard, EU optional | Global | DPF-zertifiziert | Nein | | HexaTransfer | Frankreich | Keine | EU-resident | Ja | | Tresorit | Irland, Schweiz | US (Enterprise opt-out) | EU-resident | Ja |

Branchenspezifische Überlegungen

Gesundheitsorganisationen, die Patientendaten nach DSGVO verarbeiten, müssen beachten: Unter der EHDS (European Health Data Space Regulation, gültig ab 2026) wird EU-Residency zur Voraussetzung. Ein rein französischer Dienst, der nicht auf dem US-Markt aktiv ist, muss möglicherweise keinen US-HIPAA-BAA unterzeichnen — das ist in Europa oft ein Vorteil, kein Nachteil.

Rechtsteams, die PDF- und DOCX-Fallakten an externe Anwälte senden, sollten lokale Berufsregeln prüfen. Unter dem deutschen Berufsrecht gilt US-Hosting als begründungsbedürftige Ausnahme; im Zweifel ist ein DSGVO-konformes EU-Hosting der sicherere Weg.

Finanzdienstleister unter DORA (Digital Operational Resilience Act, anwendbar ab Januar 2025) müssen alle IKT-Drittanbieter und deren Unterauftragnehmer-Ketten dokumentieren. Ein Dienst mit einem Anbieter in einem Land ist einfacher zu dokumentieren als ein Multi-Regionen-Hyperscaler-Setup mit fünf Unterauftragsverarbeitern.

Was Sie Ihren aktuellen Anbieter fragen sollten

Fordern Sie vor der Vertragsverlängerung den Auftragsverarbeitungsvertrag (AVV) an und prüfen Sie drei Dinge: Erstens die Liste der Unterauftragsverarbeiter und deren Länder. Zweitens das Datenflussd diagramm, das zeigt, wohin Inhalte und Metadaten fließen. Drittens die Verschlüsselungsposition — konkret, ob der Anbieter Schlüssel hält, die Ihre Dateien auf behördliche Anordnung hin entschlüsseln könnten.

Ergeben sich dabei Überraschungen, ist der Wechsel bei ephemerer Dateiübertragung unkompliziert (anders als bei der Migration eines Cloud-Speicher-Archivs). Sie müssen keine historischen Daten migrieren — Sie ändern lediglich den Upload-Endpunkt.

Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.