Ihre Auswirkungsanalyse weist auf „OVH France Hosting“ hin. Der Listener öffnet HTTP-Header: Cloudflare US. Die Protokolle gehen an Datadog US. Das Support-Ticket wird über ein in Ohio gehostetes Tool bearbeitet. Im Register stand „EU“ – die Realität ist eine transatlantische Grafik, die niemand gezeichnet hat.
Bei der Zuordnung von Abhängigkeiten geht es nicht darum, ein rechtliches Kästchen anzukreuzen. Es verfolgt jeden Subunternehmer, der personenbezogene Daten berührt – nicht nur die PIN auf der Karte des Rechenzentrums.
Warum der Serverstandort nicht ausreicht
Ein französischer Hoster kann Ihren Ursprung in Roubaix hosten und gleichzeitig Dienste von Drittanbietern aktivieren: CDN, Anti-DDoS, Überwachung, E-Mail, Support-Chat, Objektsicherung. Jede Integration kann zu einer Übertragung außerhalb der Europäischen Union führen, wenn die Verarbeitung oder der Verwaltungszugriff an einem anderen Ort erfolgt. Der Endkunde sieht nur Ihre Domain; Der Datenschutzbeauftragte muss die vollständige Kette sehen.
Viele Teams entdecken einen US-Transfer an dem Tag, an dem der Prüfer die CDN-DPA anfordert – und nicht an dem Tag, an dem die Hosting-Entscheidung getroffen wird.
Zu prüfende Ebenen hinter dem Hosting
| Schicht | Beispiele | Übertragungsrisiko |
|---|---|---|
| Edge / CDN | Cloudflare, Fastly | Häufiges US-Unternehmen |
| Herkunft | VPS Frankreich | OK, wenn nur Link |
| Sicherung | S3 us-east-1 | Übermittlung personenbezogener Daten |
| Überwachung | Datadog, neues Relikt | US-Standard |
| Unterstützung | Zendesk, Gegensprechanlage | Wenn Tickets personenbezogene Daten enthalten |
| SendGrid, Mailgun | Metadaten und Inhalte |
Fünf-Schritte-Methode
Beginnen Sie mit der Auflistung aller personenbezogenen Datenströme: Besucher, Kunden, Administratoren. Identifizieren Sie dann Verarbeiter und Subunternehmer nach Fluss, mit Hauptsitzland und Verarbeitungsbereich. Prüfen Sie den Mechanismus des Artikels 44 DSGVO: Angemessenheitsbeschluss, Standardvertragsklauseln oder verbindliche Unternehmensregeln.
Schreiben Sie eine TIA für Länder ohne Übereinstimmung – die Vereinigten Staaten bleiben der häufigste Fall. Aktualisieren Sie schließlich die Registrierungs-, DPA- und Datenschutzrichtlinie, um das tatsächliche Schema und nicht die ursprüngliche Absicht widerzuspiegeln.
Schrems II und zusätzliche Maßnahmen
Unterzeichnete SCCs schließen die Akte nicht, wenn der Zugriff der Regierung weiterhin plausibel bleibt. Die TIA muss Verschlüsselung, Pseudonymisierung, Minimierung und gegebenenfalls Verschlüsselungsschlüssel außerhalb des betreffenden Landes dokumentieren. Kreuzen Sie mit Schrems II und Hosting und Cloud Act und Vertrag, um Vertrag, Architektur und Registrierung aufeinander abzustimmen.
Der Scheitelpunkt: Der ausgewählte Bereich ist nicht die Datengrenze
Entscheide dich und gehe ohne blinden Fleck voran
Zeichnen Sie das Produktions-, Staging- und Backup-Diagramm mit Schauspieler, Land und Rechtsgrundlage auf jedem Pfeil. Ersetzen Sie US-Dienste nach Möglichkeit durch europäische Äquivalente, ohne das Geschäft zu beeinträchtigen. Dokumentieren Sie eine TIA für jeden verbleibenden US-Fluss und aktualisieren Sie das DSGVO-Register entsprechend. Validieren Sie das Diagramm mit dem technischen Team, bevor Sie es von der Rechtsabteilung erneut lesen lassen – ein Register ohne Architektur bleibt fragil. Konsultieren Sie unsere Compliance-Leitfäden und das Verzeichnis, um Gastgeber zu vergleichen, die Subunternehmer und Regionen klar dokumentieren.
Häufig gestellte Fragen
Frankreich = null Transfers?
Nein. CDN-, Support-, Backup-, US-Muttergesellschafts- oder SaaS-Tools können Daten auch mit Ursprung in Frankreich übertragen. Das Rechenzentrum ist nur eine Verbindung.
Wie wird eine Karte erstellt?
Zeichnen Sie auf jedem Pfeil die komplette Route mit Akteur, Land und Rechtsgrundlage ein. Beginnen Sie mit der Produktion, dann mit Backups, Protokollen und Support-Tools.
Reichen SCCs aus?
Nach Schrems II: SCC plus zusätzliche Maßnahmen plus TIA, wenn das Land gefährdet ist. Unterschreiben ohne Analyse reicht nicht aus.
Unverzichtbarer US-Dienst?
Minimieren, verschlüsseln, dokumentieren Sie eine TIA, bewerten Sie eine EU-Alternative und informieren Sie die Menschen bei Bedarf. Die Wahl muss datiert und akzeptiert werden.
Das französische Rechenzentrum ist ein Knotenpunkt – nicht die Grenze. Verfolgen Sie die Pfeile bis zum Ende.