Die EU-Datenregion von Fastmail liegt seit dem 3. August in Amsterdam, auf eigener Hardware und ohne Aufpreis. CEO Bron Gondwana hält im selben Beitrag fest: Sein Unternehmen unterliegt australischem Recht samt Rechtshilfeabkommen. Über den behördlichen Zugriff entscheidet am Ende der Firmensitz.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Die neue EU-Datenregion von Fastmail kommt mit einer ungewöhnlich offenen Einschränkung. „Eine Garantie, dass Ihre Daten ausschließlich in der EU bleiben, haben wir nicht. Wir sagen Ihnen das lieber direkt“, schreibt CEO Bron Gondwana in der Ankündigung.[1] Damit liegt offen, woran die Anbieterprüfung wirklich hängt.
Das Wichtigste in Kürze
- Die Hauptkopie von Mail und Dateien liegt seit dem 3. August auf Fastmail-eigenen Servern in Amsterdam, ohne Aufpreis.
- In den USA bleiben die Notfall-Backups in Philadelphia, sämtliche System-Logs und Teile der Kundendaten.
- Fastmail Pty Ltd sitzt in Australien. Das CLOUD-Act-Abkommen mit den USA erfasst ausdrücklich Backup- und Speicheranbieter.
- Artikel 48 DSGVO erkennt eine Drittlands-Anordnung nur mit internationalem Abkommen als Grundlage an.
Was liegt künftig in Amsterdam und was bleibt in den USA?
Die Hauptkopie von Mail und Dateien liegt auf Fastmail-eigener Hardware in einem Colocation-Rechenzentrum in Amsterdam. Die georedundante Zweitkopie bleibt vorerst in den USA, die Notfall-Backups aller Kunden ohnehin in Philadelphia.[1]
Über beide Kontinente laufen zusätzlich E-Mail-Adressen und weitere Kundendaten. Sämtliche System-Logs konsolidiert Fastmail in den USA.[1] Die Wahl der EU-Region verschiebt also die Hauptkopie, nicht den gesamten Bestand.
Einen Aufpreis verlangt der Anbieter dafür nicht. Kunden mit europäischer Rechnungsadresse wählte Fastmail vorab aus, alle übrigen stellen sich in den Einstellungen unter „Data residency“ selbst in die Warteschlange.[1]
Warum schützt der Serverstandort nicht vor behördlichem Zugriff?
Fastmail Pty Ltd ist eine australische Gesellschaft. Australien und die USA unterzeichneten am 15. Dezember 2021 ein Abkommen nach dem US-CLOUD-Act, das Anordnungen direkt an Anbieter im jeweils anderen Land erlaubt, ohne Prüfung durch den Empfängerstaat.[2]
Das australische Innenministerium zählt die erfassten Firmen auf, darunter Messaging-Dienste sowie Backup- und Speicheranbieter. Die Schwelle liegt bei Straftaten mit mindestens drei Jahren Freiheitsstrafe.[2] Das US-Justizministerium veröffentlichte die Zertifizierung am 6. Juli 2022 im Federal Register.[3]
Gondwana benennt die Konsequenz selbst: Auf rechtmäßige Anfragen der zuständigen Behörden antworte Fastmail überall gleich, unabhängig vom Speicherort.[1] Dieselbe Frage nach der Rechtsordnung des Anbieters stellte sich, als Spanien den US-Konzern Palantir von öffentlichen Aufträgen ausschloss.
Fastmail rechnet in Amsterdam offen vor, was andere Anbieter verschweigen: Ein Rechenzentrum in der EU ändert nichts an der Rechtsordnung, der die Firma untersteht. Genau diese Zeile gehört in jede Anbieterprüfung.
— Michael Dobler, Herausgeber Dr. Web
Was trotz EU-Region in den USA liegt
Was müssen deutsche Unternehmen jetzt prüfen?
Artikel 48 DSGVO erkennt die Entscheidung einer Drittlandsbehörde nur an, sofern ein internationales Abkommen wie ein Rechtshilfeabkommen die Grundlage liefert. Europäischer Datenschutzausschuss und Europäischer Datenschutzbeauftragter stellten im Juli 2019 klar, dass ein Herausgabeverlangen allein keine Rechtsgrundlage schafft.[4]
Die zweite Säule wackelt ohnehin, seit der US-Supreme-Court am 28. Juni 2026 die Unabhängigkeit der Federal Trade Commission kippte. Genau auf deren Aufsicht stützt sich das EU-US-Datenschutzrahmenwerk. Vier Schritte gehören deshalb auf die Sicherheitsagenda der Geschäftsführung:
- Den Firmensitz und die Konzernstruktur des Anbieters prüfen, nicht allein den Standort des Rechenzentrums.
- Im Auftragsverarbeitungsvertrag festhalten, dass der Anbieter Behördenanordnungen meldet und anficht.
- Metadaten, System-Logs und Backups getrennt bewerten, weil dort der US-Bezug bestehen bleibt.
- Für Postfächer mit Berufsgeheimnissen einen Anbieter mit Sitz in der EU prüfen, auch beim nächsten Hosting-Wechsel.
Behördlicher Zugriff bleibt nur eine Risikoquelle von mehreren. Der Rüstungszulieferer IEH fand nach einem gekaperten Microsoft-365-Postfach keine Spur des Datenabflusses. Auf EU-Ebene laufen parallel die Verhandlungen über Massenscans in Nachrichten.
Fastmail legt dabei mehr offen als die meisten Wettbewerber. Fragen Sie Ihren eigenen Anbieter diese Woche schriftlich, welche Daten er repliziert und wer die Herausgabe erzwingen kann.
FAQ: EU-Datenregion und Zugriff durch Behörden
Was bedeutet Datenresidenz bei einem E-Mail-Anbieter?
Datenresidenz beschreibt, in welchem Land die Hauptkopie Ihrer Daten physisch liegt. Der Begriff sagt nichts darüber, welchem Recht der Anbieter untersteht. Beides fällt nur dann zusammen, wenn auch der Firmensitz in derselben Rechtsordnung liegt.
Schützt ein Serverstandort in der EU vor US-Behörden?
Nein. Der US-CLOUD-Act erlaubt Anordnungen gegen Unternehmen, die der US-Jurisdiktion unterliegen, unabhängig vom Speicherort. Über bilaterale Abkommen erreichen US-Behörden zusätzlich Anbieter in Partnerstaaten wie Australien direkt, ohne dass eine Stelle im Empfängerland die Anordnung vorab prüft.
Welche Daten bleiben bei Fastmail trotz EU-Region in den USA?
Die Notfall-Backups aller Konten liegen in Philadelphia, sämtliche System-Logs laufen an einer US-Stelle zusammen. Auf beide Kontinente repliziert Fastmail außerdem E-Mail-Adressen und weitere Kundendaten, den Speicher für Websites und die Verknüpfungen zu Drittdiensten.
Was sagt Artikel 48 DSGVO zu Anordnungen aus Drittstaaten?
Artikel 48 DSGVO erkennt das Urteil eines Drittlandsgerichts oder die Entscheidung einer Drittlandsbehörde nur an, sofern ein internationales Abkommen wie ein Rechtshilfeabkommen die Grundlage liefert. Ein Herausgabeverlangen allein rechtfertigt die Übermittlung nicht.
Wie wechseln Sie bei Fastmail in die EU-Region?
Der Wechsel läuft in den Einstellungen unter Users & Sharing, dort im Bereich Team Settings unter dem Punkt Data residency. Das Konto bleibt während der Übertragung nutzbar. Der Status wandert von der Warteschlange über die Übertragung bis zum Abschluss.
Quellen
[1] Bron Gondwana, CEO Fastmail: „Fastmail offers EU data region“, 3. August 2026
[2] Department of Home Affairs, Australien: „Australia-US CLOUD Act Agreement“
[3] US Department of Justice im Federal Register: „Clarifying Lawful Overseas Use of Data Act; Attorney General Certification and Determination“, 6. Juli 2022
[4] Europäischer Datenschutzausschuss und Europäischer Datenschutzbeauftragter: „Initial legal assessment of the impact of the US CLOUD Act on the EU legal framework“, 10. Juli 2019
Mehr Newshunger?
- Snowflake-Hack: Vier Jahre alte Passwörter öffneten 165 Firmenkonten
- Datenleck bei Netze BW: Wie Kriminelle über einen Zähler-Dienstleister an Stromkundendaten kamen
- Atlassian Rovo: Eine versteckte Anweisung genügt für den Datenabfluss aus Jira und Confluence
- 430 Millionen Euro: Metas Klage gegen DPC scheitert
- Insider-Datendiebstahl: Wie ein NetEase-Prüfer 171 ruhende Konten ausräumte
