Serverstandort
Der Serverstandort ist der Ort, an dem die Daten einer Veranstaltung tatsächlich liegen und verarbeitet werden. Er ist eines der ersten Kriterien, nach denen öffentliche Träger und Hochschulen eine Eventsoftware auswählen. Für sich genommen sagt er allerdings weniger aus, als die meisten Ausschreibungen annehmen.
Warum die Frage überhaupt gestellt wird
Sobald sich Menschen für eine Veranstaltung anmelden, entstehen personenbezogene Daten, und die liegen anschließend auf fremden Rechnern. Für Hochschulen, Kommunen und Behörden ist damit die Frage nach dem Ort dieser Rechner keine technische Neugier, sondern der Einstieg in die datenschutzrechtliche Prüfung. Sie steht deshalb in fast jeder Leistungsbeschreibung, und sie steht dort meistens ganz oben.
Der Hintergrund ist das fünfte Kapitel der Datenschutz-Grundverordnung. Es regelt, unter welchen Bedingungen Daten in Länder außerhalb der EU übermittelt werden dürfen, und legt in Artikel 44 fest, dass das Schutzniveau der Verordnung dabei nicht unterlaufen werden darf. Verarbeitung innerhalb der EU vermeidet diesen Prüfschritt schlicht. Deshalb ist der Standort das schnellste Ausschlusskriterium, das eine Vergabestelle hat.
Deutschland, EU und was die Aufsicht verlangt
Ein verbreiteter Irrtum ist, die Verordnung schreibe Server in Deutschland vor. Das tut sie nicht. Sie unterscheidet zwischen dem Europäischen Wirtschaftsraum und Drittländern, nicht zwischen Mitgliedstaaten. Rechtlich steht ein Rechenzentrum in Irland dem in Frankfurt gleich.
In der Praxis fordern die Datenschutzbeauftragten von Hochschulen und öffentlichen Trägern trotzdem häufig einen deutschen Standort. Das ist eine organisatorische Vorgabe der jeweiligen Stelle, keine Vorgabe der Verordnung, und es lohnt sich, diesen Unterschied zu kennen: Wer ihn kennt, kann in der Ausschreibung bewusst entscheiden, ob er die engere oder die weitere Anforderung setzt.
Der Standort allein beantwortet die Frage nicht
Hier liegt der eigentliche Punkt. Eine Zusage über den Ort des Hauptservers sagt nichts darüber, wo die übrigen Datenflüsse enden. Vier Stellen werden regelmäßig übersehen.
Die Sicherungskopien. Backups liegen oft in einer anderen Region als das Produktivsystem, manchmal auf einem anderen Kontinent. Eine Zusage zum Standort muss deshalb ausdrücklich auch für die Sicherungen gelten.
Der Mailversand. Bestätigungen, Erinnerungen und Tickets laufen fast nie über denselben Server, sondern über einen Versanddienstleister. Damit verlässt der Name jeder angemeldeten Person das System, und der Dienstleister gehört als Unterauftragsverarbeiter in die Liste.
Der Support. Ein Zugriff aus einem Drittland auf ein europäisches System ist datenschutzrechtlich eine Übermittlung, auch wenn kein Byte kopiert wird. Wer nachts Bereitschaft in einer anderen Zeitzone hat, muss das offenlegen.
Eingebundene Dienste. Schriftarten, Karten, Videoeinbettungen und Analysewerkzeuge holen Daten direkt aus dem Browser der Teilnehmenden. Der Serverstandort der Plattform ändert daran nichts.
Was in die Leistungsbeschreibung gehört
Damit die Anforderung prüfbar wird, muss sie über die Formel vom Serverstandort Deutschland hinausgehen. Bewährt hat sich, drei Dinge getrennt abzufragen: den Ort der produktiven Verarbeitung, den Ort der Sicherungskopien einschließlich ihrer Vorhaltezeit, und die vollständige Liste der Unterauftragsverarbeiter mit deren jeweiligem Sitz. Dazu kommt die Frage, ob und aus welchen Ländern administrativ zugegriffen wird.
Alle vier Angaben gehören in den Auftragsverarbeitungsvertrag und lassen sich dort nachlesen. Wo sie fehlen, ist die Zusage zum Standort eine Aussage über einen einzelnen Rechner und nicht über die Verarbeitung. Wie sich das zusammen mit den übrigen Datenschutzanforderungen formulieren lässt, beschreibt der Beitrag zur Leistungsbeschreibung für Eventsoftware.
FairUp verarbeitet auf Servern in Deutschland und legt Auftragsverarbeitungsvertrag, technische und organisatorische Maßnahmen sowie die Liste der Unterauftragsverarbeiter auf Anfrage vor.
Häufige Fragen
Schreibt die DSGVO Server in Deutschland vor?
Nein. Sie unterscheidet zwischen dem Europäischen Wirtschaftsraum und Drittländern, nicht zwischen Mitgliedstaaten. Die Forderung nach einem deutschen Standort ist eine Vorgabe der jeweiligen Stelle, nicht der Verordnung.
Reicht die Zusage Serverstandort Deutschland aus?
Nicht allein. Sicherungskopien, Mailversand, Supportzugriff und eingebundene Dienste können trotzdem in Drittländern liegen. Fragen Sie diese vier Punkte getrennt ab.
Ist ein Supportzugriff aus einem Drittland eine Übermittlung?
Ja, auch ohne Kopie der Daten. Der lesende Zugriff aus einem Drittland wird datenschutzrechtlich wie eine Übermittlung behandelt und gehört deshalb offengelegt.
Wo steht, wo die Daten wirklich liegen?
Im Auftragsverarbeitungsvertrag und in der Liste der Unterauftragsverarbeiter. Beides sollte vor dem Zuschlag vorliegen, nicht danach.
