Ganz ehrlich: Der bequeme Weg hätte anders ausgesehen. Ein AWS-Konto, Cloudflare davor, ein Vercel-Deploy, fertig. So bauen heute die meisten, und wir verstehen jeden, der das tut. Die Werkzeuge sind ausgereift, die Doku ist gut, alles geht schnell.

Wir haben uns trotzdem dagegen entschieden. Im kompletten Datenpfad von fastmon steckt kein einziger US-Anbieter. Kein Cloudflare, kein AWS, kein GCP, kein Vercel. Warum wir uns das antun und was davon konkret bei deinen Daten ankommt: Darum geht es hier.

“EU-Hosting” steht inzwischen überall drauf

Die meisten Tools, die sich datenschutzfreundlich nennen, sind US-Unternehmen mit einem Rechenzentrum in Frankfurt. Die Server stehen in Europa. Das Unternehmen untersteht trotzdem US-Recht, und der US CLOUD Act greift auf dessen Daten zu, wo immer sie liegen. Eine EU-Region ist eben nicht dasselbe wie EU-Jurisdiktion.

Das ist der Unterschied zwischen einem Tool aus der EU und einem mit EU-Region. Genau da wollten wir nicht landen.

Was bei uns konkret dahintersteht

Die fastmon labs UG ist ein deutsches Unternehmen aus Hannover. Alle Kunden- und Monitoring-Daten werden ausschließlich in der EU verarbeitet und in Deutschland gespeichert: Hetzner, Rechenzentrum Falkenstein.

Und der Rest? Auch europäisch, durchgehend. Ein paar Beispiele aus unserer Anbieter-Liste:

Hosting, Storage und Backup: Hetzner, Deutschland
Ingress: ein Unternehmen aus Berlin
DNS: ein Anbieter aus Slowenien
Transaktionale E-Mails und Geschäftsmail: zwei Anbieter aus den Niederlanden
KI-Inferenz: Mistral AI aus Paris, und das nur, wenn du dich aktiv dafür entscheidest

Neun Subauftragsverarbeiter insgesamt, fünf davon sitzen in Deutschland, der Rest in der EU. Die komplette Liste ist keine Verhandlungssache hinter einem Vertriebsgespräch, sie steht öffentlich in unserem AVV.

Und volle Transparenz, weil die Frage sonst irgendwann kommt: Für unseren internen Werkzeugkasten nutzen wir auch US-Tools. Unser Code liegt auf GitHub, Tickets laufen durch Linear, und beim Entwickeln hilft Claude Code von Anthropic. Der Unterschied: Da fließen keine Kunden- und keine Monitoring-Daten durch, unsere interne Richtlinie verbietet genau das, und deshalb sind diese Tools auch keine Subauftragsverarbeiter. Wir listen sie trotzdem offen in unserer Anbieter-Liste. Der Datenpfad, also alles, was deine Daten und die deiner Besucher anfasst, bleibt in Deutschland und der EU.

Der CLOUD Act, ohne Drama

Der US CLOUD Act verpflichtet US-Unternehmen, Daten herauszugeben, egal wo deren Server stehen. Deshalb hilft die Frankfurt-Region eben nicht weiter. Bei fastmon unterliegt kein Anbieter im Datenpfad US-Recht; ein Zugriff ist damit nicht zu erwarten.

Mehr behaupten wir absichtlich nicht. Recht ist kein Schalter, den man einmal umlegt, und Wörter wie “unmöglich” haben in einem Datenpfad nichts verloren. Aber die Ausgangslage ist eine grundlegend andere, wenn kein Beteiligter einer US-Anordnung unterliegt.

Was davon bei deinen Daten ankommt

Jurisdiktion ist die eine Hälfte. Die andere ist, was überhaupt anfällt. Da setzen wir auf Architektur statt auf Versprechen:

Die IP deiner Besucher wird am Edge auf einen Ländercode reduziert, nur das Land, ISO-2, und sofort verworfen. Keine rohe IP und kein User-Agent erreicht je das Backend.
Im Standard-Modus setzt fastmon keine Cookies* und speichert nichts auf dem Gerät.
Kein Fingerprinting, keine seitenübergreifenden IDs, keine Anreicherung durch Dritte.

Das Sternchen hinter “Cookies” ist übrigens Absicht. Cookiefrei heißt nicht automatisch einwilligungsfrei. Dazu gleich mehr.

Der Teil, den dir niemand abnimmt

Jetzt der unbequeme Teil, den viele Anbieter gern weglassen. Ob die Einbindung eines Analyse-Tools eine Einwilligung nach § 25 TDDDG braucht, ist umstritten. Der strenge Maßstab, zu dem Deutschland und der EDSA tendieren, sieht Analytics- und Performance-Messung als nicht unbedingt erforderlich an. Wir gehen von genau diesem strengen Maßstab aus und bauen und dokumentieren konservativ.

Im Klartext: In den meisten Fällen brauchst du auch mit fastmon einen Consent-Banner. Die Einwilligung holst du als Betreiber über dein Consent-Tool ein, und diese Verantwortung bleibt bei dir. Die Einschätzung für deine eigene Seite triffst du, idealerweise mit deiner Datenschutzbeauftragten. Ein Tool, das dir hier pauschal Entwarnung gibt, solltest du genau deshalb hinterfragen.

Hinweis: Das ist keine Rechtsberatung. Es beschreibt, wie fastmon gebaut und dokumentiert ist; die Prüfung für deinen konkreten Einsatz liegt bei dir.

Warum wir uns das antun

Weil das Produkt sonst unglaubwürdig wäre. Ein Monitoring-Tool, das Datenschutz verspricht und die Daten dann doch durch US-Clouds schickt, wäre genau das Kleingedruckte, das wir oben kritisieren.

Der Weg ist unbequemer, das geben wir offen zu. Weniger fertige Bausteine, mehr Eigenbetrieb, und bei jedem neuen Anbieter zuerst die Frage: Sitzt der in der EU? Aber ehrlich: Die europäischen Anbieter, mit denen wir arbeiten, sind kein Kompromiss. Sie sind nur nicht der Default.

Vielleicht sollte sich genau das ändern.

Alles hier steht ausführlicher, mit jeder Zahl und jedem Anbieter, auf unserer Seite zu EU & Datenschutz.