Infrastruktur & Souveränität

Ihre CRM-Infrastruktur bleibt unter
europäischer Rechtsprechung.
Jede Übertragung an Dritte ist explizit.

Sie wissen, welche Anbieter Ihre Daten verarbeiten, unter welcher Gerichtsbarkeit, und zu welchem Zeitpunkt.

Der Kontext

Warum « in Europa gehostet » nicht ausreicht

Mehrere US-Rechtsinstrumente, insbesondere der Cloud Act und Section 702 des FISA, können es amerikanischen Behörden erlauben, bestimmte dem US-Recht unterliegende Anbieter zur Herausgabe von Daten zu verpflichten, auch wenn diese in Europa gehostet werden.

Cloud Act (2018)

Erlaubt es amerikanischen Behörden, von einem dem US-Recht unterliegenden Anbieter die Herausgabe von Daten zu verlangen, die sich in seinem Besitz, seiner Verwahrung oder unter seiner Kontrolle befinden, auch wenn diese außerhalb der USA gespeichert sind. Der genaue Umfang hängt von der Vertragsstruktur und den beteiligten Einheiten ab.

FISA 702

Erlaubt zu Zwecken der Auslandsaufklärung die gezielte Erfassung von Kommunikation nicht-amerikanischer Personen außerhalb der USA, mit Unterstützung bestimmter amerikanischer Anbieter elektronischer Dienste. Für ein europäisches Unternehmen ist dies ein Risikofaktor, sobald ein der US-Gerichtsbarkeit unterliegender Anbieter Teil der Kette ist.

AWS Paris, Azure Amsterdam, Google Frankfurt: Diese Rechenzentren werden von Unternehmen nach US-Recht betrieben. Der Standort der Server in Europa allein reicht daher nicht aus, um die mögliche Anwendung von US-Recht auszuschließen, solange der Anbieter der US-Gerichtsbarkeit unterliegt. Dieser Punkt wird in DPO-, Sicherheits- und Einkaufsaudits üblicherweise geprüft.

Die ausschließliche Wahl europäischer Anbieter macht eine Sicherheits- und Compliance-Prüfung nicht überflüssig. Sie verringert jedoch die Exposition gegenüber extraterritorialen US-Gesetzen und vereinfacht die Kontrolle der Subunternehmerkette.

Risikoanalyse

Die zu prüfenden Vektoren

Das Hosting ist nur einer der Expositionsvektoren. Eine gründliche Prüfung deckt die gesamte Kette ab.

Anwendungsinfrastruktur und Datenbank

Wer betreibt die Server? Unter welcher Gerichtsbarkeit?

Dies ist der Kern der Exposition. Ein von einer US-Einheit betriebener Server bleibt auch in Europa dem Cloud Act unterworfen.

Struktureller Vektor

Dateispeicher (Object Storage)

Wo werden Anhänge, Exporte und Dokumente gespeichert?

Oft übersehen, enthält Object Storage sensible Geschäftsdaten: Verträge, Kundendokumente, CRM-Exporte.

Struktureller Vektor

Künstliche Intelligenz

Verarbeitet das KI-Modell Ihre Daten? Unter welcher Gerichtsbarkeit?

Die führenden Anbieter und Modelle (OpenAI, Google, Anthropic) unterliegen der US-Gerichtsbarkeit. Im Kontext gesendete Daten können exponiert sein – allerdings nur, wenn die KI aktiviert ist.

Optionaler Vektor

Drittanbieter-Integrationen

Leiten Konnektoren Daten außerhalb der EU weiter?

Gmail, Outlook, WhatsApp und andere gängige Dienste werden von US-Einheiten betrieben. Jede aktive Integration ist ein potenzieller Vektor.

Optionaler Vektor

HOPs Antwort

Vektor für Vektor

So geht HOP genau auf jeden der vier identifizierten Expositionspunkte ein.

Vektor	HOP-Lösung	Kontrollmaßnahmen
Anwendungsinfrastruktur und Datenbank	Hetzner Cloud Nürnberg + Helsinki	Deutsches Unternehmen ohne US-Muttergesellschaft. HOP-Ressourcen ausschließlich in den Regionen Nürnberg und Helsinki bereitgestellt. Aktiv/Passiv-Architektur zwischen diesen zwei europäischen Rechenzentren. Europäischer Anbieter, EU-Region
Dateispeicher	Scaleway Object Storage Paris	Französisches Unternehmen (Iliad-Gruppe) ohne US-Muttergesellschaft. Daten werden in der Region Paris gespeichert. Objektverschlüsselung auf unseren Buckets aktiviert, Mechanismus im Architektur-Datenblatt beschrieben. Europäischer Anbieter, EU-Region
Künstliche Intelligenz	Wahl des Kunden	HOP kann sich mit den führenden Anbietern und Modellen des Marktes verbinden: OpenAI, Anthropic, Google Gemini und anderen. Wenn Sie außerhalb der US-Gerichtsbarkeit bleiben möchten, können Sie Mistral AI (Frankreich) oder ein selbst gehostetes Modell in Ihrer eigenen Infrastruktur nutzen. HOP schreibt nichts vor. Kundenkontrolle
Drittanbieter-Integrationen	Explizite Aktivierung	Keine Integration ist standardmäßig aktiv. Für jede Verbindung mit Datentransfer außerhalb der EU (Gmail, Outlook, WhatsApp…) wird vor der Aktivierung eine explizite Warnung angezeigt. Sie entscheiden in Kenntnis der Sachlage. Kundenkontrolle

Infrastruktur

Für Kontinuität konzipiert

HOP betreibt seine Anwendungsschicht und Produktionsinfrastruktur direkt, ohne Abhängigkeit von einem US-Hyperscaler.

99,9 %

Vertragliche Verfügbarkeitszusage.
Aktiv/Passiv-Architektur zwischen zwei separaten Hetzner-Rechenzentren. Verfahren zur Umschaltung auf die Ausweichinfrastruktur im Falle eines Vorfalls.

Backups

Datenbanksicherung alle 4 Stunden (stündliche Sicherung optional verfügbar)
Gespeichert auf Scaleway Object Storage (Paris)
24h Feinkornsicherung
Eine tägliche Sicherung, 30 Tage aufbewahrt
Individuelle Wiederherstellung pro Kunde

Verschlüsselung

TLS 1.3 für Client-Webverbindungen
Volume-Verschlüsselung aktiviert (Hetzner-Infrastruktur)
Objektverschlüsselung aktiviert auf Scaleway Object Storage

Monitoring

Infrastrukturüberwachung: Hetzner Monitoring
Externe Überwachung: Hyperping (Frankreich)
Anwendungsfehler: GlitchTip, selbst gehostet auf unserer Infrastruktur
Öffentliche Statusseite in Echtzeit
Alerting bei kritischen Schwellenwerten

Datenisolierung

Ihre Daten teilen sich nicht dieselbe logische Datenbank wie die anderer Kunden.

Eine Datenbank pro Kunde: eine Isolierung, die das Risiko einer kundenübergreifenden Kontamination stark reduziert, auch bei einem Anwendungsfehler
Dedizierter MySQL-Benutzer, Berechtigungen strikt auf die betreffende Datenbank beschränkt
Individualisierte Zugriffsprotokolle pro Instanz

Von HOP betrieben

Infrastruktur und Anwendungsdaten werden ausschließlich vom HOP-Team betrieben
Externe Überwachung durch einen französischen Anbieter, ausschließlich auf technischen Daten
HOP-Technikteam verantwortlich für die Aufrechterhaltung des Betriebs
Failover- und Wiederherstellungstests, monatlich nach dokumentierten Verfahren durchgeführt

Bewerten Sie HOP mit Ihrer IT-Leitung oder Ihrem Datenschutzbeauftragten

Wir beantworten Ihre Fragen zu Architektur, Sicherheit, Unterauftragsvergabe und Datenstandort direkt.

Über Ihre Zielarchitektur sprechen

Architektur-Datenblatt

Ein prägnantes Dokument mit Architektur, Datenstandort, Sicherheitsmaßnahmen und Verfügbarkeitszusagen.

Sind Sie Integrator? Zur Partner-Dokumentation

Ihre CRM-Infrastruktur bleibt untereuropäischer Rechtsprechung.Jede Übertragung an Dritte ist explizit.