EU-Hosting-Anforderungen für Dateiübertragungsdienste 2026

EU-Hosting-Anforderungen für Dateiübertragungsdienste 2026 schichten mehrere Regelwerke übereinander. DSGVO-Kapitel IV und V setzen den Grundrahmen für Auftragsverarbeiter-Pflichten und internationale Übertragungen. Der Data Act (Verordnung 2023/2854), anwendbar ab dem 12. September 2025, fügt Wechsel- und Interoperabilitätsrechte hinzu. Das EUCS-Schema unter dem Cybersecurity Act drängt Souveränität in Cloud-Zertifizierungsstufen. NIS2 legt Cybersicherheitspflichten obendrauf. Nationale Regeln wie SecNumCloud in Frankreich und C5 in Deutschland kommen noch dazu. Das praktische Ergebnis: Ein Dateiübertragungsanbieter für EU-Kunden benötigt EU-lokalisierte Infrastruktur, EU-Rechts-Verarbeitungsverträge und dokumentierten Schutz vor nicht-EU-Zwang.

Serverstandort ist nicht die ganze Geschichte

Viele Anbieter werben mit „EU-Hosting", verlassen sich dabei aber auf eine US-Mutter-Cloud-Region in Frankfurt oder Dublin. Diese Platzierung erfüllt die DSGVO-Datenspeicheranforderungen nur teilweise. Das Schrems-II-Urteil des EuGH (C-311/18) machte deutlich, dass die rechtliche Exponierung des Anbieters zählt – nicht nur die Geographie der Bytes. Ein US-Mutterkonzern mit Frankfurter Region kann dennoch unter dem US CLOUD Act zur Herausgabe gezwungen werden. Für viele EU-Kunden – besonders in regulierten Sektoren – ist das ein Problem für die Datentransferfolgenabschätzung. Der Europäische Datenschutzausschuss (EDSA) hält in seinen Empfehlungen 01/2020 und Folgeupdates fest: Bewerten Sie das Recht des Landes, in dem der Anbieter rechtlich gezwungen werden kann – nicht nur das Land des Servers.

DSGVO Artikel 28 und der Auftragsverarbeitungsvertrag

Jeder Dateiübertragungsanbieter, der personenbezogene Daten für einen EU-Verantwortlichen verarbeitet, muss einen Auftragsverarbeitungsvertrag (AVV) abschließen, der Artikel 28 Absatz 3 entspricht. Der AVV muss Gegenstand und Dauer, Art und Zweck, Kategorien personenbezogener Daten und betroffene Personen sowie Rechte und Pflichten des Verantwortlichen festlegen. Er muss den Auftragsverarbeiter auf folgende Bedingungen verpflichten: nur auf Weisung handeln, Vertraulichkeit des Personals sicherstellen, Artikel-32-Sicherheitsmaßnahmen umsetzen, Audits unterstützen, Daten bei Vertragsende zurückgeben oder löschen und Unterauftragsverarbeiter mit vorheriger Genehmigung einsetzen. Fehlende oder schwache AVVs sind der häufigste Befund bei CNIL- und anderen Aufsichtsbehörden-Audits in 2024–2025.

Grenzüberschreitende Übertragungen nach Schrems II

Seit Juli 2023 bietet das EU-US-Datenschutzrahmenwerk einen gültigen Adequacy-Weg für US-Datenimporteure, die sich selbst zertifizieren. Das Rahmenwerk steht jedoch vor rechtlichen Herausforderungen, und die Geschichte legt nahe, dass ein weiteres Schrems-Urteil möglich ist. Für Dateiübertragungsanbieter, die Daten außerhalb des EWR leiten, ist der sicherste Weg mehrschichtig: auf das Rahmenwerk zurückgreifen, wo anwendbar, mit den Standardvertragsklauseln von 2021 absichern und eine Datentransferfolgenabschätzung durchführen, die das Rechtssystem im Zielland und die ergänzenden Maßnahmen (Ende-zu-Ende-Verschlüsselung, Pseudonymisierung, Split-Key-Escrow) dokumentiert. Viele Dateiübertragungs-Käufer 2026 fordern schlicht EU-only-Datenpfade, um diese Analyse zu vermeiden.

Die Wechselrechte des Data Acts

Der Data Act, anwendbar ab dem 12. September 2025, gibt EU-Kunden durchsetzbare Rechte zum Anbieterwechsel und zur Datenportabilität. Artikel 23–31 betreffen speziell Datenverarbeitungsdienste: Anbieter müssen Wechselhindernisse beseitigen, Gebühren deckeln (mit Absenkung auf null ab dem 12. Januar 2027) und Datenportabilität in strukturierten, gängigen, maschinenlesbaren Formaten unterstützen. Für Dateiübertragungsdienste, die Kundenarchive oder Mandantendaten vorhalten, bedeutet das: Export von Konto-Metadaten, hochgeladenen Dateien und Konfiguration in Formaten wie ZIP, JSON und CSV. Anbieter ohne funktionierende Export-Tools riskieren Durchsetzungsmaßnahmen.

EUCS und die Souveränitätsstufen

Das Europäische Zertifizierungsschema für Cloud-Dienste (EUCS) wird seit 2020 unter ENISA-Koordination ausgearbeitet und soll 2026 nach Beilegung der Geltungsbereichsdebatten verabschiedet werden. Es definiert vier Vertrauensstufen: Basic, Substantial, High und möglicherweise High+ mit Souveränitätskriterien, die SecNumClouds Immunitätsanforderungen spiegeln. Für Dateiübertragungsanbieter, die auf öffentliche oder regulierte Käufer abzielen, wird eine frühzeitige Ausrichtung an EUCS High ein Wettbewerbserfordernis. Einige Mitgliedstaaten – darunter Frankreich, Italien und Spanien – haben explizite Immunitätskriterien in der obersten Stufe gefordert; andere wie Deutschland und Irland bevorzugen rein technische Kontrollen. Der endgültige Text entscheidet, wie viel „Cloud-Souveränität" in der Praxis bedeutet.

Datenlokalisierung für spezifische Sektoren

Über horizontale Regeln hinaus schreiben mehrere Sektoren Lokalisierung vor. Frankreichs HDS für Gesundheitsdaten verlangt zertifizierte Hosts. Deutschlands BSI-Standards für Gesundheitsdaten und bestimmte Bundes-Workloads erfordern C5-zertifizierte Infrastruktur. Italiens AgID-Rahmenwerk für die öffentliche Verwaltung schreibt für klassifizierte und sensible Daten eine italienische oder EU-Lokalisierung vor. Spaniens ENS auf hohem Niveau setzt vergleichbare Maßstäbe. Wenn ein Dateiübertragungsanbieter Kunden aus mehreren Ländern bedient, ist die Architektur oft am günstigsten so ausgelegt, dass alles in Frankreich oder Deutschland unter strengen EU-Verträgen gehostet wird, statt die Geographie je Kunde aufzuteilen.

NIS2-Pflichten für Hosting-Anbieter

NIS2 klassifiziert Cloud-Computing-Dienste und Rechenzentren als kritische digitale Infrastruktur. Dateiübertragungsanbieter, die in diese Kategorien fallen, müssen Artikel-21-Cybersicherheitsmaßnahmen umsetzen, Vorfälle innerhalb von 24 Stunden dem nationalen CSIRT melden und Lieferkettenpflichten erfüllen. Die Schnittstelle zum Hosting: Anbieter können NIS2-Bereitschaft nicht beanspruchen, wenn ihre Unterauftragnehmer selbst nicht compliant sind. Ein Übertragungsdienst, der auf einem nicht-konformen Hosting-Backend betrieben wird, erbt die Lücke. Lieferketten-Risikoprüfungen sind jetzt Standard in der EU-Beschaffung – mit Fragen zu jedem Glied vom Load-Balancer über den Backup-Speicher bis zum CDN.

Protokollierung, Audit und Incident-Benachrichtigung

EU-Hosting-Erwartungen 2026 umfassen detaillierte Audit-Logs, die lange genug aufbewahrt werden, um DSGVO-Artikel-33-Benachrichtigungen innerhalb von 72 Stunden zu unterstützen. Für Dateiübertragungen decken die Mindestlogs Uploads, Downloads, Link-Erstellungen, Link-Ablauf und Admin-Aktionen ab. Logs müssen vom Verantwortlichen abfragbar sein, um mutmaßliche Verstöße zu untersuchen. Eine Aufbewahrung von sechs Monaten ist üblich; längere Zeiträume können für Finanz- oder Gesundheitskunden erforderlich sein. Logs selbst enthalten personenbezogene Daten (IPs, Nutzer-IDs), sodass deren Aufbewahrung und Zugriffskontrolle dem DSGVO-Verhältnismäßigkeitsgrundsatz unterliegen. Überlange Protokollaufbewahrung „auf Vorrat" verstößt gegen den Grundsatz der Speicherbegrenzung.

HexaTransfer betreibt seine Infrastruktur in der EU und wendet AES-256-GCM-Verschlüsselung im Browser vor dem Upload an, sodass der auf den Servern liegende Chiffretext ohne den Link-Fragment nicht zugänglich ist. Testen Sie es auf hexatransfer.com – kostenlos, kein Konto erforderlich, maximal 10 GB.

EU-Hosting 2026 ist nicht eine Regel, sondern ein Geflecht davon. Serverstandort zählt. Anbieter-Jurisdiktion zählt. Vertragsbedingungen zählen. Zertifizierungen zählen. Anbieter, die voraus sind, ordnen jede Regel konkreten technischen und vertraglichen Maßnahmen zu und veröffentlichen eine Trust-Page, die Käufer an ihre Datenschutz- und Sicherheitsteams weiterleiten können. Käufer sollten statt „wir sind EU-gehostet" als vollständige Antwort zu akzeptieren gezielte Fragen stellen.