# Nur europäische Anbieter: die Regel und ihre Gründe

> Welche Regel für die Anbieter des Maildienstes von privymail.eu gilt, welche Dienste sie ausschließt, was sie kostet und wo sie endet.

## „Europäisch“ kann fünf Dinge heißen

Ein Maildienst nennt sich europäisch. Gemeint sein kann: Die Daten liegen in Europa. Oder: Die Server gehören einem europäischen Unternehmen. Oder: Die Menschen mit Zugriff arbeiten in Europa. Oder: Die Software läuft auf eigenen Servern statt bei einem zugekauften Dienst. Oder: Auch Zahlung, Support und Überwachung kommen von europäischen Anbietern. Das sind fünf verschiedene Aussagen, und ein Dienst kann die erste erfüllen und die übrigen nicht.

Für den Maildienst von privymail.eu gilt eine Regel, die alle fünf verlangt. Dieser Beitrag erklärt, was sie ausschließt, was sie kostet und wo sie endet.

## Die Regel verlangt alle fünf

1. **Daten.** Kundendaten liegen ausschließlich in der EU.
2. **Infrastruktur.** Server, Speicher, Backups und DNS stehen bei überprüften Anbietern aus der EU.
3. **Betrieb.** Die Gesellschaft und die Menschen mit Zugriff auf Produktionssysteme sitzen in der EU.
4. **Software.** Im Datenpfad läuft Open-Source-Software, die privymail.eu selbst betreibt, und eigener Code.
5. **Lieferkette.** Dienste für Betrieb, Support und Zahlung kommen aus Europa. Ausnahmen werden offengelegt.

Dahinter stehen zwei Überlegungen. Wer die Herausgabe von Daten verlangen kann, hängt nicht nur am Standort eines Servers, sondern auch daran, welchem Recht das Unternehmen untersteht, das ihn betreibt oder besitzt. Und jeder zugekaufte Dienst ist ein weiteres Unternehmen, das Daten sieht. Was ein Unternehmen nicht hat, kann es weder verlieren noch herausgeben.

Die Regel ist kein Urteil über ein Land und keines über die Qualität der ausgeschlossenen Dienste. Viele davon sind ausgereift und bequemer als das, was an ihrer Stelle selbst betrieben werden muss. Software fremder Herkunft schließt die Regel nicht aus: Entscheidend ist, wer ein Programm betreibt und wohin es Daten schickt, nicht, wo es geschrieben wurde.

## Welche Dienste wegfallen, und was an ihrer Stelle steht

| Art des Dienstes | Stattdessen |
|---|---|
| Rechenzentren von Anbietern außerhalb der EU | Server bei überprüften Anbietern aus der EU |
| Versanddienste für E-Mail | eigene Mailserver |
| CAPTCHA-Dienste | eine selbst betriebene Rechenaufgabe, die Ihr Browser löst |
| SMS-Dienste für die Anmeldung | Passkeys und Einmalcodes, keine SMS |
| Überwachung als Cloud-Dienst | selbst betriebene Überwachung |
| Zahlungsdienste außerhalb Europas | SEPA-Lastschrift und Überweisung über europäische Zahlungsdienstleister |
| Verteilnetze, Analyse- und Schriftendienste für die Website | ein einziger Server liefert die Website aus, ohne Analyse und mit eigenen Schriften |

## Acht Fragen an jeden Anbieter

„Überprüft“ hat hier eine feste Bedeutung. Ein Anbieter für Server, Speicher, Backups oder DNS wird an acht Fragen gemessen:

1. Wo hat die Gesellschaft ihren Sitz?
2. Wem gehört sie, und wird ihre Muttergesellschaft aus der EU kontrolliert?
3. Hat sie Tochtergesellschaften in Drittstaaten?
4. Welche Datenstandorte sichert der Vertrag zu?
5. Welche Unterauftragnehmer setzt sie ein?
6. Welche Zertifizierungen belegt sie mit einem Testat und nicht nur mit einer Werbeaussage?
7. Hat sie technischen Zugriff auf die gespeicherten Daten?
8. Lässt sie sich wieder verlassen, weil nichts an einem Dienst hängt, den nur sie anbietet?

Zwei Fragen entscheiden allein, die zweite und die siebte: Wird ein Anbieter nicht aus der EU kontrolliert oder könnte er gespeicherte Daten lesen, scheidet er aus. Die Prüfung ist jedes Jahr neu fällig, die der Eigentümer jedes Vierteljahr, denn ein Unternehmen kann verkauft werden.

## Was sich nachprüfen lässt

Nachprüfen lässt sich, was veröffentlicht ist, und das ist der Stand dieser Website. Betreiberin ist die patchletter UG (haftungsbeschränkt) in Gelsenkirchen, Deutschland. Die Website lädt Schriften, Bilder und Styles vom eigenen Server, enthält kein JavaScript und bindet keine Drittressourcen ein. Ein signiertes Manifest beschreibt ihren Server und die eingesetzte Software mit Erfassungszeitpunkt. Es beschreibt ausschließlich die Website und ihren Server.

## Was die Regel kostet

Was für den Maildienst nicht eingekauft wird, muss privymail.eu selbst betreiben. Ohne Versanddienst gehört die Zustellung zur eigenen Arbeit: dass Mails ankommen und nicht im Spamordner landen. Ohne gemietete Überwachung gilt dasselbe für den Betrieb der Überwachung. Das bindet Zeit, die ein eingekaufter Dienst sparen würde.

Auch die Auswahl dauert länger. Kein Anbieter wird ausgewählt, bevor Standorte, Eigentümerstruktur, Unterauftragnehmer und Vertragsbedingungen geprüft sind. Und die Regel bindet auf Dauer: Wechselt ein Anbieter den Eigentümer, muss ein Umzug möglich sein. Deshalb steht die achte Frage auf der Liste.

## Wo die Regel endet

- **Hardware.** Die Regel gilt für Dienste und ihre Betreiber. Wo ein Prozessor oder eine Festplatte gebaut wurde, regelt sie nicht.
- **Zertifikate.** Welchen Zertifizierungsstellen Ihr Browser vertraut, legen sein Hersteller und Ihr Betriebssystem fest, nicht der Betreiber einer Website.
- **Entwicklung.** Die Regel gilt für alles, was Kundendaten berührt. Bibliotheken und Werkzeuge der Entwicklung kommen auch aus Paketverzeichnissen und von Code-Plattformen außerhalb der EU. Dorthin fließen Code und Angaben über Abhängigkeiten, keine Kundendaten.
- **Die andere Seite.** Schreiben Sie an eine Adresse bei einem Anbieter außerhalb der EU, liegt Ihre Mail danach auch dort.
- **Europäisches Recht.** Die Regel schützt nicht vor Anfragen europäischer Behörden. Für sie gilt ein eigener Grundsatz: Jede Anfrage wird rechtlich geprüft, und Betroffene werden informiert, soweit das zulässig ist.

## Weiterlesen

Die fünf Ebenen zeigt [Europa](https://privymail.eu/europe.md), das signierte Manifest der Website [Transparenz](https://privymail.eu/transparency.md), die Ziele dahinter [Über uns](https://privymail.eu/about.md). Die Bausteine des Dienstes und ihre Reihenfolge nennt die [Roadmap](https://privymail.eu/roadmap.md). Wie das Manifest entsteht und was es nicht beweist, steht in [Diese Website lässt sich nachprüfen](https://privymail.eu/blog/verifiable-website.md). Zu zwei Zeilen der Tabelle gibt es eigene Beiträge: [warum es keine Codes per SMS gibt](https://privymail.eu/blog/no-sms.md) und [wie die Rechenaufgabe ohne fremden Dienst auskommt](https://privymail.eu/blog/captcha-without-tracking.md).

---

- Diese Seite als HTML: https://privymail.eu/blog/european-suppliers-only/
- English version: https://privymail.eu/en/blog/european-suppliers-only.md