Zum Inhalt springen
Unabhängig verifiziert · Quartalsweises Re-Audit
EU VETTED
Kuratierte Sammlung

Software ohne US-Unterauftragsverarbeiter

EU- und datenschutzorientierte SaaS-Lösungen, bei denen keine US-Unterauftragsverarbeiter im Datenpfad sind, verglichen nach Eigentümerschaft, Hosting-Region, CLOUD-Act-Risiko und Unterauftragsverarbeiter-Kette.

Kurzfassung

Die hier gelistete Software ist darauf geprüft, ohne US-Unterauftragsverarbeiter im Datenpfad zu betreiben: ein EU/EWR/Schweiz-Betreiber, kein US-Mutterkonzern und kein in den USA eingetragener Verarbeiter in der Kette. Diese Kombination (nicht der Serverstandort allein) hält Daten außerhalb der Reichweite des US CLOUD Act, weil die Jurisdiktion der Eigentümerschaft und der Eintragsort der Verarbeiter folgt, nicht dem Standort der Server.

EU Vetted Editorial
Geprüft Juni 2026 Wie wir prüfen

Einige Links auf dieser Website sind Affiliate-Links. Wir erhalten ggf. eine Provision ohne Mehrkosten für Sie. Redaktionelle Signale und Rankings werden nicht durch Affiliate-Beziehungen beeinflusst.

Software ohne US-Unterauftragsverarbeiter bedeutet auf dieser Seite: Die betreibende Gesellschaft ist in der EU, im EWR oder in der Schweiz eingetragen, hat keinen US-Mutterkonzern in ihrer Eigentümerstruktur und leitet keine Daten an irgendeiner Stelle des Stacks durch einen in den USA eingetragenen Verarbeiter. Das ist eine Kette aus drei Fakten (Eintragsort des Betreibers, letztliche Eigentümerschaft und die vollständige Unterauftragsverarbeiter-Liste), und alle drei müssen zutreffen. Ein Produkt, das EU-gehostet, aber im Eigentum eines US-Mutterkonzerns ist, oder ein EU-eigenes Produkt, das auf einen in den USA eingetragenen CDN- oder Managed-Datenbank-Dienst zurückgreift, erfüllt die Anforderung nicht.

Dieser Hub umfasst alle Kategorien des Verzeichnisses und wird nach denselben Kriterien bewertet, die für alle Einträge gelten: Hosting-Region, Eigentümer-Signal, CLOUD-Act-Risiko und die Unterauftragsverarbeiter-Kette. Jeder Eintrag ist mit der öffentlichen Unterauftragsverarbeiter-Dokumentation des Anbieters belegt und wird vierteljährlich neu verifiziert, sodass die Liste aktuelle Ketten widerspiegelt und keine einmalige Bestandsaufnahme ist.

Warum es darauf ankommt

Der CLOUD Act weitet die Reichweite der US-Behörden auf Daten aus, die von jedem Unternehmen unter US-Jurisdiktion gehalten werden, unabhängig davon, wo die Server physisch stehen. Das ist der Mechanismus, der die 'EU-Region' eines US-Hyperscalers zu einer unvollständigen Antwort auf die Souveränitätsfrage macht: Die Jurisdiktion des Betreibers ändert sich nicht, wenn Daten in ein Frankfurter Rechenzentrum verlagert werden. Dieselbe Logik gilt eine Ebene tiefer. Ein Anbieter, der selbst EU-eingetragen ist, kann das Risiko dennoch über seine Unterauftragsverarbeiter zurückbringen: einen in den USA eingetragenen transaktionalen E-Mail-Dienst, eine Analyse-Schicht auf einer US-Cloud oder eine Managed-Datenbank, die von einer US-Tochtergesellschaft betrieben wird. Jeder dieser Verarbeiter ist separat unter dem CLOUD Act erreichbar.

Deshalb erfasst das Verzeichnis Eigentümerschaft und Unterauftragsverarbeiter als getrennte, belegte Signale, anstatt eines aus dem anderen abzuleiten. Eine saubere Eigentümer-Kette mit einem einzigen übersehenen US-Verarbeiter ist dennoch eine Exposition. Beide müssen sauber sein, damit das Flag 'keine US-Unterauftragsverarbeiter' gilt, und genau diese Kombination macht dieser Hub kategorieübergreifend sichtbar.

So treffen Sie die Wahl

Grenzen Sie zunächst mit den Filtern oben auf Ihre Kategorie ein. Die Messlatte 'keine US-Unterauftragsverarbeiter' gilt gleichermaßen für Passwort-Manager, Cloud-Speicher, E-Mail und Analytics, aber das Unterauftragsverarbeiter-Risiko variiert je nach Produkttyp. Öffnen Sie für jedes in der engeren Wahl stehende Produkt das Profil und prüfen Sie die Unterauftragsverarbeiter-Kette anhand Ihrer eigenen Transfer-Folgenabschätzung. Die Schichten, bei denen US-Verarbeiter am häufigsten in einen sonst sauberen Stack zurückkehren, sind transaktionale E-Mail, CDN und DNS, Produkt-Analytics sowie Managed-Datenbanken.

Für regulierte Käufer (Finanzdienstleistungen, Gesundheitswesen, öffentlicher Sektor) ist jeder in den USA eingetragene Verarbeiter typischerweise ein Ausschlusskriterium, unabhängig von vertraglichen Schutzmaßnahmen, da der CLOUD Act unabhängig von vertraglichen Bedingungen wirkt. Für Solo-Gründer und kleine Teams entscheiden meist Preis und Developer-Experience mehr als die Unterauftragsverarbeiter-Frage; suchen Sie nach EU-eigenen Produkten mit einer kurzen, nachprüfbaren Unterauftragsverarbeiter-Liste, anstatt unverhältnismäßig viel Aufwand in formale Transfer-Folgenabschätzungen zu stecken. Für Enterprise-Beschaffung kombinieren Sie diesen Hub mit den Zertifizierungsfiltern (BSI C5, SecNumCloud, EUCS), um eine Auswahlliste zu erstellen, die sowohl die jurisdiktionellen als auch die Sicherheits-Audit-Anforderungen erfüllt. Die Filter oben grenzen nach Kategorie, Hosting-Land oder Compliance-Score ein.

FAQ

Häufig gestellte Fragen

Was bedeutet 'ohne US-Unterauftragsverarbeiter' hier?
Es bedeutet, dass die betreibende Gesellschaft EU/EWR/schweizerisch ist, keinen US-Mutterkonzern hat und keinen in den USA eingetragenen Unterauftragsverarbeiter im Datenpfad einsetzt und damit die Messlatte 'CLOUD-Act-Risiko: keines' des Verzeichnisses erfüllt. Wir erfassen die Eigentümerschaft und die Unterauftragsverarbeiter-Kette zu jedem Eintrag, sodass das Flag belegbasiert und kein selbst vergebenes Label ist.
Warum sind US-Unterauftragsverarbeiter auch bei EU-Hosting relevant?
Nach dem US CLOUD Act können Daten, die ein der US-Gerichtsbarkeit unterliegendes Unternehmen hält, unabhängig vom Serverstandort herausgegeben werden. Ein in den USA eingetragenes CDN, ein E-Mail-Relay oder eine Managed-Datenbank-Schicht bringt dieses Risiko zurück, selbst wenn der primäre Host in der EU liegt. Der Serverstandort ändert, wo Daten ruhen; die Eigentümerschaft und der Eintragsort der Verarbeiter bestimmen die rechtliche Reichweite.
Wie unterscheidet sich das von einer Kategorieseite?
Eine Kategorieseite listet jedes Produkt in dieser Kategorie. Dieser Hub umspannt alle Kategorien, behält aber nur die Produkte, die die Messlatte 'keine US-Unterauftragsverarbeiter' erreichen, mit dem redaktionellen und CLOUD-Act-Kontext, den ein souveränitätsorientierter Käufer benötigt. Nutzen Sie die Filter, um nach Kategorie, Land oder Zertifizierung einzugrenzen.
Garantiert 'keine US-Unterauftragsverarbeiter' DSGVO-Konformität?
Nein. Es beseitigt ein großes Übertragungsrisiko, aber DSGVO-Konformität hängt weiterhin vom AV-Vertrag, der Rechtsgrundlage, den Sicherheitsmaßnahmen und Ihrer eigenen Verarbeitung ab. Behandeln Sie das Flag als starkes jurisdiktionelles Signal und bestätigen Sie dann den AV-Vertrag sowie die aktuelle Unterauftragsverarbeiter-Liste direkt beim Anbieter vor Vertragsabschluss.
Wie oft wird das neu verifiziert?
Vierteljährlich. Unterauftragsverarbeiter-Ketten ändern sich, wenn Anbieter neue Tools einbinden, sodass ein Produkt zwischen Audits in diese Liste aufgenommen oder aus ihr entfernt werden kann. Jeder Eintrag trägt sein zuletzt verifiziertes Datum.
Methodik

Wie wir jeden Eintrag hier geprüft haben.

Für jedes Produkt prüfen wir die öffentliche DPA, das Unterauftragsverarbeiter-Dokument, die Hosting-Region, Zertifizierungen und die Eigentümerstruktur. Jede Prüfung wird mit Zeitstempel versehen. Die Signale sind redaktionell und werden vierteljährlich neu verifiziert. Selbstauskünfte akzeptieren wir nicht.

Methodik lesen →