Mit drei getrennten Fragen beginnen
Ein Hosting-Standort sagt Ihnen, wo eine Maschine betrieben werden soll. Er beschreibt nicht jede Partei, die ein Konto, ein Backup oder eine Support-Anfrage bearbeitet. Betreiber, Infrastrukturlieferanten und Kunden können unterschiedliche rechtliche Verantwortlichkeiten haben. Eine sinnvolle Bewertung folgt dem gesamten Service, statt ein Länderlabel als Antwort auf jede rechtliche Frage zu behandeln.
- Betreiber: Wer erbringt die Dienstleistung und schließt den Vertrag?
- Platzierung: Wo befinden sich das Primärsystem, gespeicherte Kopien und Betriebsaufzeichnungen?
- Zugriff: Welche Parteien können den Dienst administrieren oder Daten erhalten?
Der Dienstbetreiber ist KoalaVPS
KoalaVPS ist der für diesen Dienst benannte Betreiber. Die Bedingungen erläutern die Dienstbeziehung; die Datenschutzrichtlinie erläutert den Umgang mit Konto- und Betriebsinformationen. Die Auswahl einer Region betrifft die Platzierung der Infrastruktur. Sie legt für sich genommen weder den eingetragenen Sitz eines Unternehmens fest noch entscheidet sie über alle Pflichten, die für den Betreiber, den Kunden oder die Arbeitslast gelten können.
Vier Regionen, jeweils mit eigenem nationalen Kontext
Der Katalog enthält Stockholm, Helsinki, Oslo und Reykjavík. Schweden und Finnland sind EU-Mitgliedstaaten. Norwegen und Island nehmen über die EFTA am Europäischen Wirtschaftsraum teil. Die DSGVO wurde in das EWR-Abkommen aufgenommen, sodass die Wahl eines EWR-EFTA-Standorts den europäischen Datenschutzrahmen nicht aufhebt. Nationales Recht und nationale Verfahren erfordern in jedem Land weiterhin Beachtung.
- STO / Stockholm / Schweden / EU
- HEL / Helsinki / Finnland / EU
- OSL / Oslo / Norwegen / EWR EFTA
- RKV / Reykjavík / Island / EWR-EFTA
Offizielle Dokumentation: EFTA: der Europäische Wirtschaftsraum · EFTA: DSGVO-Übernahme und Rechtsstatus
Stockholm: die schwedische Region
Stockholm bezeichnet die schwedische Standortoption. Schweden ist EU-Mitglied, und seine nationale Datenschutzbehörde ist Integritetsskyddsmyndigheten, meist IMY genannt. Bewerten Sie für eine Bestellung mit dieser Region den gewählten Dienst, seine gespeicherten Kopien und die zugriffsberechtigten Parteien im Zusammenhang mit dem schwedischen und dem anwendbaren europäischen Rahmenwerk. Die Stadt allein legt nicht fest, wo jeder Kontodatensatz oder jede externe Anwendungsabhängigkeit liegt.
- Regionscode: STO
- Land: Schweden
- Europäischer Rahmen: EU-Mitgliedstaat
- Nationale Datenschutzbehörde: IMY
Offizielle Dokumentation: Europäische Union: Schweden · EDSB: nationale Aufsichtsbehörden
Helsinki: die finnische Region
Helsinki bezeichnet die finnische Standortoption. Finnland ist EU-Mitglied, und seine nationale Aufsichtsbehörde ist das Büro des Datenschutzbeauftragten. Beziehen Sie Datenbankreplikate, Backup-Ziele und administrativen Zugriff in eine finnische Standortentscheidung ein. Wenn eine Anwendung Informationen an einen separaten Dienst sendet, muss diese zusätzliche Verarbeitung eigenständig betrachtet werden.
- Regionscode: HEL
- Land: Finnland
- Europäischer Rahmen: EU-Mitgliedstaat
- Nationale Datenschutzbehörde: Büro des Datenschutzbeauftragten
Offizielle Dokumentation: Europäische Union: Finnland · EDSB: nationale Aufsichtsbehörden
Oslo: die norwegische Region
Oslo ist die norwegische Katalogregion. Norwegen ist ein EWR-EFTA-Staat außerhalb der EU, und Datatilsynet ist seine nationale Datenschutzbehörde. Die EWR-Teilnahme und die Einbeziehung der DSGVO sind relevante Teile der Bewertung. Sie bedeuten nicht, dass jedes EU-Instrument oder jedes nationale Rechtsverfahren in allen vier Regionen identisch ist.
- Regionscode: OSL
- Land: Norwegen
- Europäischer Rahmen: EWR EFTA
- Nationale Datenschutzbehörde: Datatilsynet
Offizielle Dokumentation: EFTA: EWR-Teilnahme und Umfang · EDSB: nationale Aufsichtsbehörden
Reykjavík: die isländische Region
Reykjavík bezeichnet die isländische Standortoption. Island ist über die EFTA am EWR beteiligt, und Persónuvernd ist seine nationale Datenschutzbehörde. Die physische Trennung vom europäischen Festland ist eine geografische Tatsache; rechtliche Reichweite, Zugangsvereinbarungen und die Platzierung von Wiederherstellungskopien erfordern eine eigene Bewertung. Der gewählte Dienst und die tatsächlichen Datenflüsse bleiben der sinnvolle Ausgangspunkt.
- Regionscode: RKV
- Land: Island
- Europäischer Rahmen: EWR EFTA
- Nationale Datenschutzbehörde: Persónuvernd
Offizielle Dokumentation: EFTA: DSGVO im EWR · EDSB: nationale Aufsichtsbehörden
Eine gewählte Region sollte eine sichtbare Entscheidung bleiben
Das Platzierungsprinzip besteht darin, die gewählte Region während des gesamten Service-Lebenszyklus ausdrücklich beizubehalten. Ein geplanter Umzug in ein anderes Land sollte vor seiner Durchführung beschrieben und mit dem Kunden vereinbart werden. Replikation, Wiederherstellungen und Notfallwiederherstellung benötigen eine ebenso klare Behandlung in den Servicebedingungen. Die primäre Region, das Ziel einer etwaigen Wiederherstellungskopie und das Land einer späteren Migration sollten niemals stillschweigend als austauschbar behandelt werden.
- Die ausgewählte Region mit der Bestellung erfassen
- Bestimmen Sie das Ziel vor einer geplanten grenzüberschreitenden Migration
- Beschreiben Sie jede Wiederherstellungsausnahme und ihren Benachrichtigungsprozess
- Halten Sie den Platzierungsdatensatz des Kunden im Einklang mit dem tatsächlichen Service
Rechtliche Reichweite kann mehr als das Speicherland umfassen
Anwendbare Regeln können von der Niederlassung einer Organisation, der Verarbeitungstätigkeit, den betroffenen Personen und dem verwendeten Rechtsinstrument abhängen. Der territoriale Geltungsbereich der DSGVO erfordert daher mehr als eine Markierung auf einer Karte. Es gibt auch grenzüberschreitende Mechanismen für elektronische Beweismittel; der EU-Rahmen ist ein Beispiel für Anbieter und Anfragen in seinem Geltungsbereich. Jede Anfrage erfordert eine Bewertung der Fakten und des relevanten Verfahrens.
Offizielle Dokumentation: EDSB: räumlicher Geltungsbereich der DSGVO · Europäische Kommission: grenzüberschreitende elektronische Beweismittel
Prüfen Sie die Befugnis, grenzen Sie den Umfang ein, dokumentieren Sie die Antwort
Das Handlungsprinzip besteht darin, zu verifizieren, wer Informationen anfragt, auf welche Rechtsgrundlage sich die Anfrage stützt und welche Daten oder Dienste betroffen sind. Eine Anfrage sollte eine qualifizierte Prüfung erhalten, wobei nicht belegte oder übermäßige Forderungen über das verfügbare Verfahren hinterfragt werden. Eine Offenlegung sollte auf das gesetzlich erforderliche oder anderweitig rechtmäßig gerechtfertigte Maß beschränkt bleiben. Die Benachrichtigung von Kunden muss geltende Beschränkungen beachten.
- Prüfen Sie den Anfragenden und die Rechtsgrundlage
- Betroffenes Konto, Dienst, Zeitraum und Datenkategorien identifizieren
- Prüfen Sie Gerichtsbarkeit, Verfahren und etwaige widersprüchliche Pflichten
- Klären Sie Unklarheiten oder stellen Sie eine übermäßig weitreichende Forderung gegebenenfalls infrage
- Führen Sie eine angemessene Aufzeichnung und legen Sie nur den gerechtfertigten Umfang offen
Ausländische Anfragen erfordern eine eigene Übertragungsanalyse
Die Anforderung einer Behörde eines Drittlandes ist keine automatische Erlaubnis, personenbezogene Daten aus der EU offenzulegen. Die Leitlinien des EDPB zu Artikel 48 unterscheiden zwischen der Anerkennung einer ausländischen Entscheidung und der Rechtsgrundlage für die Verarbeitung sowie dem Grund für eine internationale Übermittlung. Eine anwendbare Vereinbarung oder ein anderer zulässiger Weg muss im Kontext bewertet werden; weder automatische Akzeptanz noch ein pauschales Ablehnungsversprechen ist eine solide Politik.
Offizielle Dokumentation: EDPB: Artikel 48 und Anfragen von Behörden aus Drittländern
Folgen Sie den Daten über die primäre Festplatte hinaus
Primärspeicher, Snapshots, Backups, Protokolle, Kontodaten und Support-Anhänge können unterschiedlichen Pfaden folgen. Eine regionale Wahl ist nur sinnvoll, wenn diese Pfade verstanden sind. Der Leistungsnachweis und die Datenschutzinformationen sollten jede Kategorie unterscheiden und die zugriffsberechtigten Parteien erläutern. Auch Fernverwaltung und externe Auftragsverarbeiter gehören in dieses Verzeichnis.
- Primäre System- und Anwendungsdaten
- Snapshots, unabhängige Backups und Wiederherstellungsreplikate
- Konto-, Abrechnungs-, Sicherheits- und Support-Datensätze
- Administrativer Zugriff und externe Dienstleister
Schützen Sie regionale Übertragungen ebenso wie die regionale Platzierung
Replikation und Migration sollten authentifizierte Verschlüsselung, eingeschränkte Anmeldedaten und definierte Endpunkte verwenden. Halten Sie Schlüssel und Zugriffsberechtigungen nach Möglichkeit getrennt vom Übertragungsjob. Aufbewahrung und Löschung der vorherigen Kopie müssen Teil des Umzugs sein. Routing über eine private Verbindung und Verschlüsselung der Daten sind getrennte Kontrollen; weder Geografie noch ein Netzwerk-Label allein belegen Vertraulichkeit.
Erfassung minimieren, ohne rechtliche Immunität zu versprechen
Das Kontomodell vermeidet die routinemäßige Erfassung von Identitätsdokumenten. Das begrenzt unnötige Informationen, die bei der Anmeldung gesammelt werden; es löscht jedoch keine Zahlungs-, Sicherheits-, Infrastruktur- oder Supportdaten, die ein Dienst benötigen kann. Aufbewahrungs- und Erhaltungspflichten müssen nach den geltenden Regeln bewertet werden. Die Seiten zu Datenschutz und Transparenz beschreiben diese Grundsätze, während die Richtlinie zur zulässigen Nutzung in jeder Region gilt.
Machen Sie aus einer Standortpräferenz eine operative Checkliste
Bevor Sie eine sensible Arbeitslast platzieren, dokumentieren Sie die Dienstparteien, den primären Standort, die Wiederherstellungsziele, das Zugriffsmodell und die vertraglichen Anforderungen. Halten Sie die Aufzeichnung aktuell, wenn Sie Anbieter oder Anwendungsabhängigkeiten ändern. Diese Seite erläutert den allgemeinen Rahmen; eine konkrete regulierte Tätigkeit oder ein Streitfall erfordert eine eigene Sachverhaltsprüfung.
- Stimmen Sie die ausgewählte Region mit der Bestellung und der Dienstbeschreibung ab
- Platzierung von Backups und Logs prüfen, statt Übereinstimmung anzunehmen
- Prüfen Sie Datenschutz-, Nutzungs- und Servicebedingungen gemeinsam
- Identifizieren Sie jede Verarbeitung außerhalb der gewählten Region oder des EWR
- Nutzen Sie die verlinkten Primärquellen für den rechtlichen Rahmen und seinen aktuellen Geltungsbereich
Etwas mehr Klarheit.
Wählt die Wahl einer Serverregion das Registrierungsland des Betreibers aus?
Nein. Der Betreiber und der Standort der Infrastruktur sind getrennte Fragen. Eine ausgewählte Region bezeichnet den vorgesehenen Serverstandort; sie legt für sich genommen weder einen eingetragenen Firmensitz fest noch klärt sie jede anwendbare Verpflichtung.
Sind alle vier Länder in der Europäischen Union?
Schweden und Finnland sind EU-Mitglieder. Norwegen und Island sind EWR-EFTA-Staaten außerhalb der EU. Die Einbeziehung der DSGVO in das EWR-Abkommen ist für alle vier Standorte relevant, während sich nationale Verfahren und andere Rechtsinstrumente unterscheiden können.
Liegt eine norwegische oder isländische Region außerhalb des DSGVO-Rahmens?
Nein. Die DSGVO wurde in das EWR-Abkommen übernommen. Die Anwendbarkeit hängt weiterhin von der Verarbeitung und den beteiligten Parteien ab; ein EWR-EFTA-Label ist keine allgemeine Befreiung von Datenschutzpflichten.
Kann eine ausländische Behörde jemals auf Daten in einem anderen Land zugreifen?
Grenzüberschreitende rechtliche Mechanismen existieren. Ob eine Anfrage Wirkung hat, hängt vom einschlägigen Recht, Verfahren, den Parteien und den Fakten ab. Das Speicherland allein kann nicht belegen, dass jede ausländische Anfrage unwirksam ist.
Wird ein geplanter Umzug in ein anderes Land für mich sichtbar sein?
Das Platzierungsprinzip verlangt, dass Ziel und Wirkung einer geplanten grenzüberschreitenden Verlagerung vor der Verlagerung offengelegt und vereinbart werden. Ausnahmen bei der Wiederherstellung und Benachrichtigungsverfahren gehören in die Leistungsbedingungen.
Bleiben Sicherungen automatisch im selben Land wie der Server?
Der primäre Standort bestimmt nicht allein die Backup-Platzierung. Prüfen Sie die Snapshot-, Backup- und Wiederherstellungsziele des Dienstes separat, einschließlich Aufbewahrung und Zugriff.
Bedeutet eine private Verbindung zwischen Regionen, dass die Daten verschlüsselt sind?
Routing und Verschlüsselung sind getrennte Kontrollen. Eine Übertragung sollte authentifizierte Verschlüsselung und eine explizite Zugriffsrichtlinie verwenden; eine Beschreibung als privates Netzwerk allein ist kein Nachweis für beides.
Verhindert No-KYC, dass ein Anbieter eine rechtliche Anfrage erhält?
Nein. Es beschreibt das Modell der Identitätsprüfung. Ein Anbieter kann dennoch operative Aufzeichnungen und rechtliche Pflichten haben. Erfassungsgrenzen, Aufbewahrung und der Umfang einer Anfrage müssen genau bewertet werden.
Ändert sich die Nutzungsrichtlinie je nach ausgewähltem Land?
Die KoalaVPS-Richtlinie zur zulässigen Nutzung gilt für den gesamten Katalog. Eine Regionsauswahl hebt die eigenen Pflichten des Kunden nach geltendem Recht nicht auf.