Warum EU-Datenresidenz für dein Eventalbum wichtig ist

Wenn du Fotos, Videos und Sprachnachrichten von Gästen sammelst, sammelst du personenbezogene Daten realer Personen — deiner Freunde, Kollegen, Familie. Die meisten Event-Fototools speichern diese Daten auf Servern in den USA, und die meisten Gastgeber denken nie daran zu fragen, wo die Daten landen. Dieser Leitfaden erklärt, was "EU-Data-Residency" tatsächlich bedeutet, warum das für ein Eventalbum wichtig ist und wie man eine echte Aussage von einem Marketinglabel unterscheidet.

Was „EU-Datenresidenz“ in der Praxis bedeutet

Datenresidenz ist einfach die Antwort auf eine Frage: In welchem Land stehen die Server, die die Fotos deiner Gäste speichern und verarbeiten? „EU-Datenresidenz“ bedeutet, dass die Daten auf Infrastruktur innerhalb der Europäischen Union (oder näherungsweise im EWR) liegen und nicht auf einen Server in einem anderen Land übertragen werden.

Das ist wichtig wegen der GDPR-Regel zu solchen Übertragungen. Unter der DSGVO ist die Übermittlung personenbezogener Daten in ein Land außerhalb der EU — eine „Drittlandübermittlung“ — nur rechtmäßig bei einem konkreten Rechtsmechanismus: eine Angemessenheitsentscheidung nach Art. 45 oder geeignete Garantien wie die EU-Standardvertragsklauseln nach Art. 46(2)(c), mit durchsetzbaren Rechten und echten Rechtsbehelfen für betroffene Personen (CITE-20260608-1011). Wenn dein Event-Tool alles innerhalb der EU hält, entfallen diese Transfermechanismen praktisch komplett. Halte die Daten zu Hause und du sparst dir die schwierigste Compliance-Frage.

Daher ist „EU-Datenresidenz“ kein Luxusfeature. Es ist der Unterschied zwischen einer einfachen rechtlichen Grundlage und einer, die von der schwankenden Rechtslage zu grenzüberschreitenden Übermittlungen abhängt.

Gilt die DSGVO überhaupt für Eventfotos?

Ja — häufiger, als viele denken. Ein Foto einer Person sind personenbezogene Daten, weil es sie identifiziert. Erst wenn es mit einer speziellen technischen Methode zur eindeutigen Identifizierung wie der Extraktion von Merkmalen durch Gesichtserkennung verwendet wird, wird daraus eine besondere biometrische Kategorie – normale Galerien überschreiten diese Grenze nicht; CITE-20260608-1003.

Es hält sich hartnäckig ein Missverständnis: Private Veranstaltungen seien ausgenommen. Die DSGVO befreit die Verarbeitung durch eine Einzelperson „im rein persönlichen oder familiären Kontext“ (Art. 2 Abs. 2 lit. c) — daher kann das private Sammeln eigener Schnappschüsse durch einen Gast gedeckt sein. Diese Ausnahme schützt aber nur die einzelne Person; sie entlastet nicht die Plattform, die den Zweck der Verarbeitung bereitstellt (CITE-20260608-1008). Ein Event-Mediendienst ist selbst als Verarbeiter oder Verantwortlicher anzusehen und vollständig in den Anwendungsbereich der DSGVO einbezogen — genau deshalb ist der Speicherort Ihrer Daten für euch relevant, nicht nur der des Anbieters.

Die Ausnahme ist auch enger, als sie klingt. Der CJEU hat sie in Ryneš (C-212/13) eng ausgelegt: Verarbeitung, die „nach außen aus dem privaten Umfeld“ gerichtet ist, kann nicht als rein persönlich behandelt werden. Das offene Veröffentlichen von Fotos anderer Gäste außerhalb eines geschlossenen privaten Kreises fällt wahrscheinlicher aus der Ausnahme heraus und bringt den Gastgeber ebenfalls in den Anwendungsbereich der DSGVO.

Warum US-gehostete Event-Alben ein stiller Risikofaktor sind

Die unbequeme Wahrheit: Die meisten beliebten Eventfoto-Tools hosten außerhalb der EU. Aus den jeweiligen offiziellen, veröffentlichten Angaben jedes Anbieters (verifiziert am 08.06.2026):

• GuestCam gibt an, dass die Daten auf US-basierter Cloud-Speicherung liegen.

• Kululu speichert Primärinhalte auf Google Cloud (Firebase)-Servern in den USA.

• Fotify wird von einem Unternehmen aus Delaware, USA, betrieben (Lumenlio, LLC).

• Wedibox ist ein US-Unternehmen (Wedibox LLC).

(Preise und Standorte gelten Stand Juni 2026; Anbieter ändern ihre Infrastruktur, daher vor Nutzung erneut prüfen.)

Das macht diese Tools nicht automatisch unzulässig. US-Transfers können rechtskonform sein: Der am 10. Juli 2023 angenommene EU-US Data Privacy Framework bleibt geltendes Recht, Transfers zu DPF-zertifizierten US-Anbietern können darauf gestützt werden, und die erste gerichtliche Anfechtung (Latombe, T-553/23) wurde am 3. September 2025 abgewiesen (CITE-20260608-1012). Es gibt aber einen Haken: eine Beschwerde (C-703/25 P) ist anhängig beim EuGH, und der Vorgänger Privacy Shield wurde 2020 vom Schrems II-Urteil gekippt (CITE-20260608-1011). Der rechtliche Rahmen für US-Transfers ist bereits verändert und kann sich erneut ändern. EU-hosting bedeutet, dass du diese Wetterlage nicht laufend beobachten musst.

Für eine lockere Hausfeier ist das vielleicht unwichtig. Für ein Firmenevent mit Mitarbeiterfotos, einen Kindergeburtstag oder jede Runde, bei der ein Gast einfach lieber nicht mit seinem Gesicht auf einem US-Server landen will, ist diese Unterscheidung die Gesamtentscheidung.

Wie erkennst du eine echte EU-Aussage von einem bloßen Badge?

„EU-hosted“ wird schnell zu einem Häkchen, das jeder setzen will — deshalb lohnt es sich, über die Formulierung hinaus zu schauen. Ein paar Fragen trennen Beweis von Marketing:

1. Nenne der Provider, wo die Daten liegen. Eine konkrete Antwort — ein benannter Datacenter, eine benannte Region, benannte Prozessoren — ist deutlich wertvoller als ein Flagge-Emoji und die Worte „europäische Server“.

1. Ist die Aussage explizit oder nur abgeleitet? Manche deutsche und EU-Tools hosten tatsächlich in der EU und sagen das klar – zum Beispiel Weddies (Server in Deutschland) und FridaySnap (deutsche/europäische Server nach DSGVO) sind eindeutig. Andere arbeiten mit weicheren Formulierungen wie „Made in Germany“ oder „europäische Server“; das ist plausibel, aber schwerer zu verifizieren. Sitz in der EU ist nicht dasselbe wie in der EU gehostet.

1. Gibt es Auftragsverarbeitungsverträge im Hintergrund? Wenn ein Dienst Unterauftragsverarbeiter nutzt, ist ein rechtskonformer Data Processing Agreement (DPA) zwingend: Art. 28(3) verlangt einen verbindlichen Vertrag mit Gegenstand, Dauer, Art und Zweck der Verarbeitung, den Datentypen und den Rechten des Verantwortlichen (CITE-20260608-1004). Eine seriöse EU-Residency-Strategie umfasst DPAs mit den eigenen Prozessors, nicht nur einen Serverstandort.

Ein sinnvoller Plausibilitätscheck: Wer dir nicht offen sagt, wo die Fotos deiner Gäste liegen, gilt als Antwort.

Der andere Teil der Geschichte: Aufbewahrungsfristen und Löschung

Residenz bedeutet Ort. Die DSGVO fragt auch nach Dauer und danach, ob Menschen aussteigen können.

Datenminimierung und Speicherbegrenzung. Personenbezogene Daten müssen „angemessen, relevant und auf das erforderliche Maß beschränkt“ sein und in identifizierbarer Form „nicht länger als notwendig“ aufbewahrt werden (Art. 5 Abs. 1 lit. c und e; CITE-20260608-1013). Für ein Eventalbum bedeutet das definierte Aufbewahrungsfenster und automatische Löschung — nicht eine Galerie, die dauerhaft auf einem Server bleibt. Das spricht für Tools mit klarer Speicherfrist gegenüber einem Standard-Standard „für immer“.

Das Recht auf Löschung. Jeder Gast kann die Löschung seiner Daten verlangen, und der Verantwortliche muss „ohne unangemessene Verzögerung“ handeln – in jedem Fall innerhalb eines Monats nach der Anfrage, verlängerbar um zwei weitere Monate bei komplexen oder zahlreichen Anträgen (Art. 17 Abs. 1 i.V.m. Art. 12 Abs. 3; CITE-20260608-1005, CITE-20260608-1006). Vor der Veranstaltung lohnt es sich zu wissen, wie euer gewähltes Tool mit einer Nachricht wie „Bitte löscht meine Fotos“ umgeht – denn nach dem Gesetz tickt diese Uhr wirklich.

Sage es den Gästen direkt. Wenn du Daten direkt von Menschen sammelst, musst du sie beim Erhebungszeitpunkt klar informieren: Wer kontrolliert die Daten, zu welchem Zweck, auf welcher Rechtsgrundlage und welche Rechte bestehen (Art. 13(1); CITE-20260608-1007). Bei einer Veranstaltung reicht oft eine kurze Datenschutzhinweiszeile auf der Upload-Seite oder neben dem QR-Code aus — damit Gäste wissen, worauf sie scannen.

Gathmos Positionierung — ehrlich

Gathmo wurde EU-first gebaut, und wir zeigen unsere Arbeit lieber als nur ein Abzeichen zu schwenken:

• Benannter Hosting-Standort. Anwendungsserver und Datenbank laufen auf einem dedizierten Host in Phoenix, Arizona (USA), Medien werden bei Cloudflare gespeichert, und Übermittlungen aus dem EWR stützen sich auf die EU-Standardvertragsklauseln, mit DPAs für unsere Verarbeiter. (Quelle: Gathmo-Preise).

• Definierte Retention pro Tier. Alben haben echte Ablauffenster statt unbegrenzter Speicherung — von 30 Tagen im Free-Tier (plus 14-tägige Nachfrist) bis zu 1 Jahr im Top-Tier — und folgen so dem Prinzip der Speicherbegrenzung.

• EUR-Preise, pro Veranstaltung. Kostenlos / €29 / €69 / €89, mit EU-Residency-Modell für jeden Tarif.

Zwei ehrliche Hinweise, weil Vertrauen der Kern ist. Erstens ist Gathmo keine Option für EU-Datenresidenz — Anwendungsserver und Datenbank laufen auf einem dedizierten Host in Phoenix, Arizona (USA), und die Event-Medien liegen bei Cloudflare, während EventPics (Österreich, explizit Cloudflare R2 EU), Weddies und FridaySnap (deutsche Server) Daten in der EU halten; unser Vorteil sind Funktionen wie transkribierte Sprachnachrichten und echte White-Label-Positionierung, nicht der Speicherort der Daten. Zweitens bietet Gathmo bei Start keine Gesichtserkennung im Foto-Lookup oder RSVP — beides steht auf der Roadmap, noch nicht im Produkt. Wir kennzeichnen es, weil Gesichtserkennung das Feature wäre, das gewöhnliche Fotos in besondere biometrische Kategorien nach Art. 9 verwandeln kann (CITE-20260608-1002); ein Tool, das Gäste per Gesichtsmatching identifiziert, braucht eine eigene ausdrückliche-Einwilligungs-Absicherung. Zu wissen, dass ein Tool das noch nicht macht, ist für viele Gastgeber ein Feature.