1. Wo liegen die Daten?
Bare-Metal-Server in Falkenstein, Sachsen. App, Datenbank, Volumes, Backups und Logs bleiben in dieser einen Region. Keine Replikate außerhalb Deutschlands.
Drei Fragen, die dein Datenschutzbeauftragter stellt
Viele Anbieter beantworten nur die erste. Eine wirklich souveräne Cloud braucht alle drei Antworten, also frag nach allen dreien.
2. Wer betreibt die Plattform?
HOSTIM.DEV UG (haftungsbeschränkt), eingetragen in Deutschland. Keine US-Mutter, keine US-Tochter, keine US-Infrastruktur. Nachprüfbar im Handelsregister und im Impressum.
3. Welches Recht gilt?
Deutsches und europäisches Recht. Support und Entwicklung sitzen in der EU. Kein fremder Rechtsweg zu deinen Daten, weil keine fremde Rechtseinheit in der Kette ist.
„EU-Region“ ist nicht dasselbe wie deutscher Betreiber
Der Unterschied, an dem Einkauf und Datenschutz regelmäßig hängen bleiben.
| Frage | US-Anbieter mit EU-Region | Hostim.dev |
|---|---|---|
| Daten physisch in der EU | ✅ meist | ✅ Falkenstein, Sachsen |
| Betreiber in der EU ansässig | ❌ US-Mutter | ✅ deutsche UG |
| Außerhalb des US Cloud Act | ❌ nein | ✅ ja |
| SCC / Transfer Impact Assessment nötig | ✅ ja, wegen Schrems II | ❌ kein Transfer |
| AVV nach Art. 28 DSGVO | ✅ meist | ✅ auf Anfrage, DE oder EN |
| Support und Entwicklung in der EU | ❌ häufig nicht | ✅ ja |
Was die Plattform abdeckt — und was nicht
DSGVO — Standort und Zugriff
Hosting in der EU hält personenbezogene Daten im räumlichen Anwendungsbereich der DSGVO. Kein Drittlandtransfer heißt: keine Standardvertragsklauseln, kein Transfer Impact Assessment, keine zusätzlichen Maßnahmen. Was bleibt — Einwilligungsbanner, Datenschutzerklärung, Betroffenenanfragen, Löschfristen in deinen eigenen Tabellen — ist Anwendungsebene und bleibt deine Verantwortung. Wir liefern den Boden, du den Inhalt.
BDSG — deutsche Ergänzungen
Das Bundesdatenschutzgesetz ergänzt die DSGVO um Regeln zu Beschäftigtendaten, Videoüberwachung und Bonitätsauskünften. Für Mittelstand und öffentlichen Sektor ist das keine Kür. Die Plattformseite ist abgedeckt: deutscher Betreiber, deutscher Standort, AVV nach Art. 28 DSGVO und § 62 BDSG. Die anwendungsseitigen Pflichten bleiben bei dir.
Schrems II — gibt es überhaupt einen Transfer?
Das Schrems-II-Urteil hat das Privacy Shield gekippt und die Übermittlung an US-Anbieter selbst mit SCC stark eingeschränkt. Die einfachste Antwort ist, gar nicht zu übermitteln. Container, Worker, Datenbanken und Volumes liegen alle in der EU — die Prüfung beginnt erst gar nicht.
Datenlokalisierung — eine Region, nicht mehrere
Hostim betreibt heute genau eine EU-Region in Falkenstein. Gut für die Residenz und einfach zu belegen. Es heißt aber auch: keine zweite EU-Region für Disaster Recovery und keine Lokalisierung pro Land. Beides steht auf der Roadmap, ist aber nicht ausgeliefert. Wenn dein Notfallkonzept davon abhängt, sprich uns vorher an.
Was wir nicht behaupten
Die ehrliche Liste ist kürzer als die Marketingliste — und genau die prüft der Einkauf.
Keine Zertifizierungen
Kein ISO 27001, kein SOC 2, kein BSI C5, kein TISAX. Diese Audits haben wir nicht durchlaufen. Falls eines davon Pflicht ist, sprich uns an, bevor du auf uns baust.
Kein Gaia-X
Wir sind nicht Teil von Gaia-X oder SecNumCloud. Die strukturellen Fakten — deutscher Betreiber, deutsche Server, deutsches Recht — sind keine Zertifizierung, beantworten aber das, wonach kommerzielle Kunden fragen.
Ein Zahlungsdienstleister
Stripe verarbeitet Zahlungsdaten unter eigenen Verträgen. Üblich für EU-SaaS, gehört aber in deine Datenschutzerklärung. Für Anwendungsdaten gibt es keinen Unterauftragsverarbeiter außerhalb der EU.
Digitale Souveränität ohne Migrationsprojekt
Die politische Debatte dreht sich um Abhängigkeit. Die technische Frage ist, was es kostet, sie zu beenden.
Die Abhängigkeit, nüchtern
Der Großteil europäischer Software läuft auf drei amerikanischen Plattformen. Das trägt, bis eine Preisänderung, eine Exportregel oder ein Gerichtsurteil an einem Ort fällt, an dem du keine Stimme hast. Digitale Souveränität ist die Arbeit, nicht in dieser Lage zu sein.
Dein Container merkt nichts
Hostim führt normale Docker-Images auf Kubernetes aus. Was heute in einen Container baut, läuft heute hier und morgen woanders. Eine europäische Cloud, aus der du nicht wieder herauskommst, ist nur ein anderer Lock-in.
Was es kostet
Ab 2,50 € pro Monat und App, verwaltetes PostgreSQL, MySQL und Redis auf derselben Rechnung. Ein deutscher Cloud-Anbieter ist hier kein Premium-Produkt, sondern meistens der günstigere Posten.
DSGVO-konforme Cloud — häufige Fragen
Was ist eine DSGVO-konforme Cloud?
Eine DSGVO-konforme Cloud speichert personenbezogene Daten innerhalb der EU, wird von einem EU-Unternehmen betrieben und stellt einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO bereit. Hostim.dev erfüllt alle drei Punkte: Server in Falkenstein (Sachsen), Betreiber HOSTIM.DEV UG (haftungsbeschränkt) mit Sitz in Deutschland, AVV auf Anfrage.
Wo genau liegen meine Daten?
Auf Bare-Metal-Servern in Falkenstein, Sachsen. App-Container, verwaltete Datenbanken (PostgreSQL, MySQL, Redis), Persistent Volumes, Backups und Logs bleiben in derselben Region. Es gibt keine Replikate außerhalb Deutschlands.
Wie bekomme ich den Auftragsverarbeitungsvertrag (AVV)?
Schreib an support@hostim.dev. Wir senden den AVV als signierte PDF auf Deutsch oder Englisch. Inhaltlich erfüllt er Art. 28 DSGVO.
Brauche ich Standardvertragsklauseln (SCC)?
Nein. Betreiber und Daten liegen beide in der EU. Es findet keine Übermittlung in ein Drittland statt, also greifen SCC, Transfer Impact Assessment und zusätzliche Maßnahmen aus dem Schrems-II-Urteil nicht.
Gilt der US Cloud Act für Hostim?
Nein. HOSTIM.DEV UG ist ein deutsches Unternehmen ohne US-Muttergesellschaft, ohne US-Tochter und ohne US-Infrastruktur. Es gibt keine US-Rechtseinheit, der eine Anordnung zugestellt werden könnte.
Was ist mit dem BDSG?
Soweit die Plattform betroffen ist: deutscher Betreiber, deutscher Standort, AVV nach Art. 28 DSGVO und § 62 BDSG. Anwendungsseitige BDSG-Pflichten — etwa der Umgang mit Beschäftigtendaten — liegen in deinem Code, nicht beim Hoster.
Welche Zertifizierungen habt ihr?
Aktuell keine. Weder ISO 27001 noch SOC 2, BSI C5 oder TISAX. Wir sind auch nicht Teil von Gaia-X. Falls eine Zertifizierung für deinen Kunden Pflicht ist, sprich uns vorher an — wir sagen ehrlich, ob wir die Anforderung erfüllen können.
Kann ein deutsches Gericht Zugriff anordnen?
Ja, nach deutschem Recht, wie bei jedem deutschen Unternehmen. Das ist der Kern der EU-Souveränität: europäischer statt fremder Rechtszugriff. Ein engeres und vorhersehbareres Risiko, kein Null-Risiko.
Was bedeutet digitale Souveränität beim Hosting?
Digitale Souveränität heißt, dass Standort, Betreiber und geltendes Recht alle in Europa liegen — nicht nur der Serverstandort. Eine US-Plattform mit Frankfurter Region erfüllt den ersten Punkt und keinen der beiden anderen. Hostim.dev erfüllt alle drei: Falkenstein, deutsche UG, deutsches Recht. Weil die Plattform Standard-Docker-Images ausführt, bleibt der Wechsel in beide Richtungen offen.
Muss ich Kubernetes können?
Nein. Du bringst ein Container-Image, ein Git-Repository oder eine docker-compose.yml. Hostim übernimmt Orchestrierung, HTTPS, Netzwerk und Storage.
Start now
Put something live today.
Open the dashboard and deploy a Docker image, a Git repo or a template. The 5-day trial project needs no card.