EU-Datenresidenz für Eventfotos: Warum sie für B2B-Beschaffung wichtig ist

Ein Foto-Tool für eure nächste Konferenz wirkt auf den ersten Blick wie ein geringes Risiko. Gäste scannen einen QR-Code, laden per Telefon hoch und ihr bekommt das Album. Das ist etwas, das ein Eventmanager an einem Nachmittag buchen kann — bis es auf den Tisch der Vendor-Risiko-Verantwortlichen kommt, und die erste Frage sofort zurückkommt: wo liegen die Daten tatsächlich?

Für ein EU-Unternehmen ist diese Frage kein bürokratischer Aufwand — sie entscheidet darüber, ob ein Tool überhaupt genehmigt werden kann. Die Fotos sind personenbezogene Daten von identifizierbaren Mitarbeitenden, Kunden und Gästen, und sobald sie das Telefon verlassen und auf einem Server landen, zieht das Gesetz dieses Servers die Kaufentscheidung in einen Rechtsrahmen — die GDPR-Regeln zu internationalen Transfers — den die Beschaffung gemäß Compliance vor der Unterzeichnung klären muss.

Dieser Leitfaden richtet sich an die Menschen, die genau diese Frage beantworten müssen: Beschaffung, IT und Rechtsabteilungen, die eine Event-Foto-Plattform evaluieren. Er erklärt, was „EU Data Residency“ wirklich bedeutet (und wie es sich von „DSGVO-konform“ unterscheidet), warum es eine konkrete rechtliche Last von Ihrem Team nimmt, wie die EU–US-Transferregeln im Mid-2026 stehen und wie man einen Residency-Anspruch eines Anbieters prüft, statt nur auf das Badge zu vertrauen. Er ist für den EU/EEA-Kontext geschrieben.

Was bedeutet „EU-Datenresidenz“ in der Praxis?

Datenresidenz ist die Frage, in welchem Land die Server Ihrer Daten physisch liegen und verarbeitet werden. Bei einer Plattform für Eventfotos sind das die Uploads selbst — Fotos, Videos, Voice-Nachrichten — sowie Datenbankeinträge und alle Sicherungen, die sie beschreiben.

Es lohnt sich, drei Punkte zu trennen, die Anbieter in Marketingtexten oft vermischen:

• Datenaufbewahrung — wo Daten gespeichert und verarbeitet werden (Gerichtsstand des Rechenzentrums).

• Firmensitz — dort, wo der Anbieter eingetragen ist. Ein Unternehmen mit Sitz in Berlin kann deine Daten trotzdem in Virginia speichern; ein in den USA eingetragenes Unternehmen kann in Frankfurt hosten. Beides muss nicht übereinstimmen.

• „GDPR-konform“ ist meist eine Aussage über die Praxis des Anbieters. Ein US-gehostetes Tool kann GDPR-konform sein und trotzdem beim ersten EU-Mitarbeiterfoto einen grenzüberschreitenden Transfer auslösen. Es ist kein Synonym für „EU-Residence“.

Dieser Unterschied ist für die Beschaffung entscheidend, weil die Residency der Faktor ist, der festlegt, ob ein Transfer personenbezogener Daten außerhalb der EU überhaupt stattgefunden hat. Bleiben die Daten in der EU, greifen die Übermittlungsregeln in Kapitel V der DSGVO nicht. Werden sie in ein Drittland verlegt, gelten sie — mit allem, was folgt.

Warum ist Datenresidenz bei der B2B-Beschaffung speziell wichtig?

Weil die DSGVO den Verlassen der EU als regulierten Akt definiert und die Beweislast bei euch liegt — beim Verantwortlichen, nicht beim Anbieter.

Gemäß Kapitel V ist eine Übertragung personenbezogener Daten in ein Drittland nur dann rechtmäßig, wenn entweder eine Angemessenheitsentscheidung nach Art. 45 vorliegt oder – bei Fehlen davon – geeignete Garantien wie die Standardvertragsklauseln der Europäischen Kommission gemäß Art. 46(2)(c), mit durchsetzbaren Rechten der Betroffenen und wirksamen Rechtsbehelfen. Das ist kein Häkchen, das ein Anbieter für dich setzt. Werden Konferenzfotos in den Vereinigten Staaten verarbeitet, muss deine Organisation den Mechanismus der Rechtmäßigkeit benennen — und nach Schrems II nachweisen, dass das Zielland bewertet wurde und zusätzliche Schutzmaßnahmen dokumentiert sind (siehe aktuelle Regeln unten).

In der Praxis ist genau das die konkrete Arbeit, die ein US-gehostetes Tool verursacht – und die ein EU-gehostetes Tool nicht mehr braucht: Eine erforderliche Transfer-Folgenabschätzung mit Dokumentation, eine belastbare Rechtsgrundlage für die Aufsichtsbehörde, und laufende Auseinandersetzung mit einem Rechtsstatus, der in der letzten Dekade mehrfach gewechselt hat – bei jeder Änderung eine Neubewertung für jeden genutzten US-Anbieter. Bleiben die Daten in der EU, fällt das ganze Paket weg: kein Transfer, also kein Auswahlschritt, keine Folgenabschätzung und keine Angemessenheitsentscheidung, deren Schicksal du verfolgen musst. Für ein Team, das ein Tool mit geringem Risikograd ohne monatelange Rechtsprüfung freigeben will, ist genau das der Wert von Datenresidenz – der Unterschied zwischen schneller Freigabe und einer offenen Compliance-Datei.

„Wir haben doch schon eine DPA“ — reicht das nicht?

Ein Datenschutzvertrag und Datenresidenz beantworten zwei verschiedene Fragen, und in der Regel brauchst du beides. Wenn ein externes Tool personenbezogene Daten in deinem Auftrag und nach deinen dokumentierten Vorgaben verarbeitet, verlangt Art. 28(3) einen verbindlichen schriftlichen Vertrag — die DPA — der regelt, wie der Auftragsverarbeiter die Daten handhabt. Dieser Vertrag beantwortet aber nicht allein, wo die Daten liegen oder ob ein grenzüberschreitender Transfer rechtmäßig ist; das ist die separate Frage nach Kapitel V. Ein Anbieter kann dir eine vorbildliche Art.-28-DPA geben und trotzdem Fotos in einem Drittland verarbeiten, wodurch die Transferfrage offen bleibt. Die Beschaffungsprüfung ist also nicht „DPA oder EU-Standort“, sondern „DPA und klare Auskunft zur Residency.“ (Was eine Art.-28-DPA wirklich enthalten muss, findest du in unserem Begleitleitfaden Data Processing Agreements for Event Tech.)

Wie stehen die EU‑US-Übertragungsregeln im Jahr 2026 zur Jahresmitte da?

Das ist der Punkt, der Hosting als Vereinfachung attraktiv macht. Kurzfassung: Übertragungen in die USA sind derzeit möglich, aber der Boden verschiebt sich, und eine Beschwerde läuft noch, daher ist ein in den USA gehostetes Tool eine fortlaufende Bewertung statt einer abgeschlossenen Entscheidung. Stand Mitte 2026:

• Standardvertragsklauseln bestehen, aber mit Bedingungen. Schrems II hob den alten Privacy Shield 2020 auf, bestätigte aber die SCCs grundsätzlich — unter Vorbehalt der fallbezogenen Transfer-Folgenabschätzung und ergänzender Maßnahmen wie oben beschrieben.

• Der Angemessenheitsbeschluss des EU-US Data Privacy Framework ist in Kraft. Er wurde am 10. Juli 2023 verabschiedet und ermöglicht DSGVO-konforme Übermittlungen an DPF-zertifizierte US-Unternehmen auf Basis von Art. 45. Der Europäische Gerichtshof der EU wies am 3. September 2025 die erste Anfechtung (T-553/23, Latombe gegen Kommission) zurück und bestätigte damit, dass in den USA ein angemessenes Schutzniveau besteht.

• Eine Beschwerde ist allerdings noch anhängig. Gegen das Urteil (C-703/25 P) gibt es eine Rechtsmittelklage beim EuGH, ohne Anhörungstermin bis Mitte 2026. Praktisch heißt das: Die DPF ist aktuell nutzbar, aber nicht risikofrei; SCCs und eine Transfer-Impact-Analyse bleiben der vernünftige Fallback.

Das ist kein Grund zur Panik vor US-Tools. Es ist ein Grund zu erkennen, dass die Wahl eines Anbieters bedeutet, eine Frage zu akzeptieren, deren Antwort sich schon einmal geändert hat und sich wieder ändern kann — und bei jeder Änderung wieder alle betroffenen Dienstleister neu prüfen zu müssen. Mit einem EU-residenten Tool bleibt diese Frage offen? gar nicht – und du bleibst aus der Schusslinie der nächsten Schrems-Entscheidung heraus.

Der Markt ist bei der Residency klar getrennt — so sieht es aus

Prüfe, wo diese Tools Daten tatsächlich hosten, und der Markt teilt sich in drei Gruppen. Das Folgende spiegelt die jeweils öffentlich verfügbaren Unternehmens- und Datenschutzangaben der Anbieter wider, wie sie am 2026-06-08 erfasst wurden — die Lücken sind genauso aussagekräftig wie die Behauptungen.

Ausdrücklich in den USA ansässig. Mehrere beliebte Tools sagen offen, dass Daten in den USA liegen und keine EU-Option anbieten: GuestCam (gehostet auf US-basierter Cloud-Speicherung, kein EU-/europaweiter Hosting), Kululu (Hauptinhalte auf Google-Cloud-/Firebase-Servern in den USA), Fotify (betreibt Lumenlio, LLC, ein Unternehmen aus Delaware) und Wedibox (US-Firma, Wedibox LLC). In all diesen Fällen bewegt sich ein EU-konformes Unternehmen, das Mitarbeiter- oder Gästefotos verarbeitet, klar im Bereich Drittstaatentransfer und trägt die volle Bewertungsverantwortung.

Explizit EU-ansässig. Eine kleinere Gruppe nennt Hosting in EU/EEA direkt: EventPics (geführt von der österreichischen Firma Aigner Software e. U., Hosting in einer EU-Region), JoinMyMoment (EU/EEA-Hosting, mit Unterauftragsverarbeitern in Deutschland (Hetzner), Frankreich (Scaleway) und AWS Frankfurt) und Lense (Server in der Europäischen Union, personenbezogene Daten primär dort gespeichert und verarbeitet). Das sind die Tools, bei denen die Transferfrage nicht auftritt.

Ungesagt oder unklar — und genau das ist ein Warnsignal. Viele sinnvolle Tools sagen nicht klar, wo die Daten liegen. Einige in Deutschland oder der EU beworbene Apps verwenden Formulierungen wie „Made in Germany“ oder „europäische Server“, ohne eine explizite Serverstandort-Angabe. Andere — mit nicht offenlegter Firmenniederlassung oder mit Google-Cloud ohne ausgewiesene EU-Region — lassen die Rechtslage faktisch offen. Für die Beschaffung ist eine nicht genannte Datenniederlassung ein Befund, nicht neutral. Wenn ein Anbieter den Hosting-Standort nicht schriftlich benennen kann, lässt sich die Übermittlungsanalyse nicht abschließen und das Tool darf nicht als geprüft gelten, bis er es tut.

Eine wichtige Warnung: Ein EU-Residency-Hinweis auf einer Marketingseite ist ein Anfang, aber kein Beweis. Im nächsten Abschnitt wird diese Lücke geschlossen.

Wie prüfe ich die EU-Residency-Aussage eines Anbieters?

„DSGVO-konform“ auf der Startseite ist eine Marketingleistung. Ein Einkaufs-/Beschaffungsteam braucht Belege, die man in eine Akte legen kann. Fünf Fragen machen aus einem Anspruch etwas Nachprüfbares:

1. Nenne die Datenzentrumsregion schriftlich. Nicht nur „Europa“ allgemein — die konkrete Gerichtsbarkeit (z. B. Deutschland/Frankfurt) für Speicherorte der Uploads und der Datenbank. Frage danach in der DPA oder einem Bestellformular, damit es vertraglich und nicht nur absichtlich formuliert ist.

1. Fordere die Liste der Unterauftragsverarbeiter an. Die meisten Plattformen laufen auf Infrastruktur von Drittanbietern – Cloud-Speicher, Datenbank-Host, E-Mail- und SMS-Versand – und jeder Unterauftragsverarbeiter hat seinen eigenen Standort. Ein Anbieter, der in der EU hostet, aber Benachrichtigungen über einen US-Unterauftragsverarbeiter weiterleitet, überträgt dennoch personenbezogene Daten über die Grenze. Bitte um die vollständige Liste und den Sitz jedes einzelnen Dienstes.

1. Frage nach Backups und Logs. Primäre Speicherung in der EU hilft nicht, wenn nächtliche Backups in eine US-Region repliziert werden. Datenresidenz muss die Kopien abdecken, nicht nur die Live-Daten.

1. Stellt sicher, dass der AV-Vertrag das abbildet. Die Dauerverpflichtung und Bedingungen zu Unterauftragsverarbeitern sollten im Art.-28-Vertrag stehen, den ihr tatsächlich unterschreibt, damit die Verpflichtung durchsetzbar ist — nicht nur in einem Blogartikel beschrieben.

1. Frage nach dem Löschpfad. Bei der Residency geht es nicht nur um den Ort, sondern auch darum, wie lange und wie man sie wieder entfernt. Bestätige, dass der Anbieter eine Löschung eines Betroffenen innerhalb der gesetzlichen Frist umsetzen kann — nach Art. 17 muss der Verantwortliche ohne unangemessene Verzögerung löschen, und Art. 12(3) setzt eine Einmonatsfrist (verlängerbar um zwei Monate bei komplexen Fällen mit Mitteilung) fest. Eine definierte Aufbewahrungsfrist plus ein klarer Löschpfad ist das, was die Speicherbegrenzung in der Praxis verlangt (Art. 5 Abs. 1 lit. e).

Beantworte alle fünf Fragen sauber und schriftlich, und du hast eine belastbare Wohnsitzbasis. Verweise nur auf ein Ausweismerkmal – dann hast du einen Anspruch, den man nicht zurückweisen kann.

Wo Gathmo in dieser Einordnung steht

Gathmo ist genau für die Beschaffungsfrage gebaut, um die es hier geht. Die Datenresidenz liegt in der EU, mit Objektspeicher in der EU, der primären Datenbank in Frankfurt, EU-basierter Compute-Infrastruktur und DPAs mit den Prozessoren. Eine DPA ist auf Anfrage für die pro-event-Tiers verfügbar und im B2B Studio, Agency und Enterprise enthalten. Die Aufbewahrung ist definiert und begrenzt statt unbegrenzt (die pro-event-Tiers reichen von einem 30-Tage-Fenster bis zu 1 Jahr je nach Tier), genau das Speicher-Limit, das Art. 5(1)(e) verlangt. Für eine Beschaffungs- oder IT-Abteilung, deren Standardfrage „bleibt unser Eventdatum in Europa?“ lautet, ist das eine Ja-Antwort mit Nachweis: ein benannter Rechenzentrum und Processor-DPAs — nicht bloß ein Marketing-Badge.

Zwei ehrliche Punkte, weil Beschaffung sie von uns und nicht später hören sollte. Erstens: Gathmo bietet zum Start keine Gesichtserkennung oder Gesichtsersuche — das ist ein Roadmap-Item für Phase 2, keine Live-Funktion. Für einen Corporate-Käufer ist das sogar ein Vorteil: normale Foto-Galerien ohne Gesichts-Templates vermeiden die erhöhte, separate biometrische Einwilligungspflicht, die Gesichts-Matching gemäß Artikel 9 auslöst. Zweitens: Residency wird oft zur Massenwerbung; mehrere Anbieter nennen europäische Server. Wir rahmen Gathmos Vorteil nicht als „die einzige EU-Option“, sondern als EU-Residency, die sich prüfen lässt: benannte Jurisdiktion, Sub-Processor-Transparenz und unterschriebene DPA. Laufen Sie den fünffachen Check oben gegen uns durch; genau dafür ist er da.