Die vollständige Liste der Unternehmen, die Ihre Daten berühren

"In Europa gehostet" steht inzwischen auf der Startseite fast jeder europäischen Alternative. Ebenso "nur europäisch", "DSGVO-konform" und "Ihre Daten verlassen Europa nie". Das Problem ist, dass diese Sätze leicht zu schreiben und schwer zu prüfen sind, und dass einige Produkte, die sie verwenden, in der Region Frankfurt einer US-Cloud laufen, was die Bytes in Deutschland hält und das Unternehmen unter US-Recht, CLOUD Act inbegriffen. Wo Ihre Daten physisch liegen und wer zur Herausgabe gezwungen werden kann, sind zwei verschiedene Fragen.

Der einzige Weg, einen souveränen Dienst von einem umetikettierten zu unterscheiden, ist, sich die Liste zeigen zu lassen: welche Unternehmen genau Ihre Daten berühren können. Hier ist unsere. Die ganze.

Die Unternehmen, die Ihre Daten verarbeiten

Drei. Das ist die vollständige Liste.

Unternehmen	Rolle	Wo
OVHcloud (OVH SAS)	Infrastruktur: Rechenleistung, Speicher, Backups, Netz	Frankreich
Mollie B.V.	Zahlungsabwicklung	Niederlande
Moneybird B.V.	Rechnungsstellung und Buchhaltung	Niederlande

• OVHcloud ist, wo alles läuft: Rechenleistung, Speicher, Backups, Netz. Ein französisches Unternehmen auf französischem Boden, der Grund, auf dem der Rest steht.
• Mollie wickelt Zahlungen ab. Geben Sie Kartendaten ein, gehen sie zu Mollie und nicht zu uns; wir sehen oder speichern nie eine Kartennummer. Mollie sieht, was ein Zahlungsabwickler sehen muss: die Belastung sowie den Rechnungsnamen und die E-Mail-Adresse dazu.
• Moneybird ist unser System für Rechnungen und Buchhaltung. Dort liegt die Rechnungsseite Ihres Kontos: Firmenname, Rechnungsadresse, Rechnungspositionen. Es berührt nie Ihr Postfach, Ihre Dateien oder Ihren Kalender.

Alle drei sind europäische Unternehmen, in der EU, unter europäischem Recht. Das ist dieselbe Liste wie in unserem Auftragsverarbeitungsvertrag, und sollte sie sich je ändern, informieren wir 30 Tage vorher, bevor die Änderung wirksam wird, damit Sie zuerst widersprechen können.

Alles andere betreiben wir selbst

Die Liste ist drei Unternehmen lang statt dreißig, weil das eigentliche Produkt, die Teile, die Ihre E-Mail, Ihre Dateien und Ihre Identität enthalten, bei niemandem eingekauft ist. Wir betreiben es selbst, auf der OVH-Infrastruktur oben, mit europäischer quelloffener Software:

• Mail: Stalwart, unsere eigenen Mailserver
• Drive und Dokumente: La Suite Drive und ONLYOFFICE
• Kalender, Kontakte und Webmail: Bulwark
• Identität und einmalige Anmeldung: Authentik
• Chat: Zulip
• Videokonferenzen: La Suite Meet, die eigene Videoschicht der französischen Verwaltung
• Abrechnung: Lago
• Newsletter: Listmonk
• Analytics: Umami, selbst gehostet und ohne Cookies. Kein Google Analytics, kein Tracker Dritter; die Zahlen bleiben auf unserem eigenen Cluster.
• Bot-Schutz: Altcha, eine Rechenaufgabe, die Ihr Browser lokal löst. Kein reCAPTCHA, kein hCaptcha, nichts, das einen US-Prüfdienst anruft.

Keines dieser Dinge ist ein Dienst, an den wir Ihre Daten schicken. Es sind Programme, die wir betreiben. Verschicken Sie eine E-Mail, geht sie von unserem Server zum Empfänger; sie macht unterwegs keinen Umweg über irgendeine API.

Die ehrlichen Randfälle

Ein Transparenzbeitrag, der nur die vorteilhaften Teile aufzählt, ist nicht transparent. Hier sind die Dinge, nach denen eine aufmerksame Leserin zu Recht fragt, mit den geraden Antworten:

• Transaktionale E-Mail, Ihr Anmeldecode, Passwort-Zurücksetzungen, dieser Newsletter, wird von Remails verschickt, und das sind wir: email.eu ist eine Handelsmarke der Remails B.V., und das Relay läuft auf unserer eigenen europäischen Infrastruktur. Erste Partei, kein Dritter, an den wir Sie übergeben.
• DNS liegt bei TransIP, einem niederländischen Registrar. Sie lösen die Domaineinträge von email.eu auf; sie sehen nie Ihre Post oder Ihre Dateien.
• Quellcode und Build-Pipeline liegen auf GitHub (US). Dort schreiben und kompilieren wir die Software; sie enthält nie Kundendaten.
• Schriften werden einmal beim Bauen der Seite geladen und von unseren eigenen Servern ausgeliefert. Ihr Browser stellt nie eine Anfrage an Google Fonts.
• Bezahlen schickt Sie kurz zur eigenen Kasse von Mollie, um Kartendaten einzugeben. Mollie ist niederländisch; diese Weiterleitung ist genau das, was Kartendaten von unseren Systemen fernhält, und das ist erwünscht.
• Migration von Gmail oder Microsoft 365 verbindet sich mit Ihrem alten Anbieter, um Ihre Post herüberzukopieren. Das sind Sie, die in Ihr eigenes bestehendes Konto zurückgreifen, um Ihre Daten herauszuholen, auf Ihre Anweisung, mit einem App-Passwort, das Sie danach widerrufen können, und nicht wir, die Ihre Daten irgendwohin Neues schicken.

Das ist alles. Keine US-Cloud, keine US-E-Mail-API, kein US-Analytics, kein US-Bot-Schutz, und nirgends im Produkt Werbetracker.

Warum das die Prüfung ist

Sie sollten "nur europäisch" nicht auf Vertrauen hinnehmen, von niemandem, und auch nicht von uns. Die Liste oben ist dieselbe wie in unserem Auftragsverarbeitungsvertrag. Sie können sie lesen, nachsehen, wer jedes Unternehmen ist und wo es sitzt, und uns daran halten. Eine Souveränitätsaussage, die Sie in zehn Minuten prüfen können, ist mehr wert als eine, die Sie nicht prüfen können.

Wenn Sie meinen, wir hätten etwas übersehen, sagen Sie es uns. Diese Liste richtig zu halten, und kurz zu halten, ist der größte Teil der Arbeit.