Globaler Cloud-ITSM-Anbieter vs. EU-Anbieter – welche Wahl ist die richtige für Ihre Organisation?

Globale Cloud-ITSM-Plattformen bieten in der Regel einen größeren Funktionsumfang sowie umfassende Partnernetzwerke. Die Tatsache, dass sie Daten international speichern und verarbeiten, macht sie jedoch weniger geeignet für EU-Organisationen mit strengen Regulierungs-, Souveränitäts- oder Compliance-Anforderungen. EU-basierte Anbieter hingegen sind auf die Einhaltung der DSGVO und die EU-Datenregulierung ausgerichtet. Dieser Artikel beschreibt den Unterschied zwischen globalen Cloud-ITSM-Tools und EU-basierten ITSM-Tools, damit Ihr IT-Team die richtige Wahl für Ihre Organisation treffen kann.

Für wen ist dieser Vergleichsleitfaden?

• IT-Manager, Servicedesk-Leiter und Procurement-Verantwortliche, die ITSM-Tools zum ersten Mal evaluieren – oder zu einer neuen Lösung wechseln möchten.
• IT-Teams in regulierten Branchen wie dem Finanz- oder Gesundheitswesen – oder solchen, die EU-Datenschutzgesetzen wie der DSGVO unterliegen.

Wann diese Entscheidung relevant wird:

Verwenden Sie diesen Leitfaden, um den Unterschied zwischen globalen Cloud-ITSM-Anbietern und EU-Anbietern zu verstehen, wenn:

• Sie Ihren ITSM-Vertrag verlängern oder ersetzen, und Ihre Rechts- oder Compliance-Abteilung zunehmend Fragen darüber stellt, wo Ihre Daten gespeichert und verarbeitet werden.
• Sie nach einem ITSM-Tool suchen und verschiedene Tools vergleichen und wissen möchten, worauf Sie bei der Auftragsverarbeitungsvereinbarung (AVV) eines ITSM-Anbieters achten sollten.

Globale Cloud-ITSM-Anbieter vs. EU-basierte ITSM-Anbieter: Wichtige Erkenntnisse

• Globale Cloud-Lösungen wie ServiceNow, Jira Service Management (Atlassian) und Freshservice sind auf den internationalen Einsatz ausgelegt und bieten einen großen Funktionsumfang sowie umfassende Partnernetzwerke. Aus diesem Grund behandeln sie EU-Konformität und Datensouveränität eher als Zusatzleistung statt als Standard.
• EU-basierte ITSM-Tools wie TOPdesk (Niederlande), Matrix42 (Deutschland) und ALVAO (Tschechien) wurden unter Berücksichtigung der EU-Konformität entwickelt, wodurch sie besser für Organisationen geeignet sind, die der DSGVO und der NIS2 unterliegen oder in stark regulierten Sektoren wie Finanzen, Gesundheitswesen oder Behörden tätig sind.
• Schrems II hat die EU-Datenkonformität komplexer gemacht. Das Urteil des Europäischen Gerichtshofs erklärte das EU-US Privacy Shield für ungültig. Seitdem müssen Organisationen ein Transfer Impact Assessment (TIA) durchführen, wenn sie mit einem Anbieter außerhalb der EU zusammenarbeiten.
• Die Wahl der richtigen Option hängt von den regulatorischen Anforderungen ab, denen Ihre Organisation unterliegt, sowie von Ihren langfristigen Compliance- und Datenstrategien.

Was bedeutet Datenresidenz und warum ist sie im ITSM relevant?

Bei der Datenresidenz (Datenhaltung) dreht sich alles darum, wo Ihre Daten gespeichert und verarbeitet werden und wer legal darauf zugreifen kann. Es ist ein wichtiger Faktor, den Sie bei der Auswahl eines ITSM-Tools berücksichtigen müssen, da ITSM-Plattformen so viele personenbezogene Daten Ihrer Kunden verarbeiten (Namen, Kontaktdaten, Geräteinformationen).

Alles, was in Ihrem ITSM-Tool passiert, muss mit den Datenrichtlinien Ihrer Organisation und der umfassenderen Compliance-Strategie übereinstimmen.

Für einige Organisationen in stark regulierten Branchen (wie dem Finanz-, Gesundheitswesen oder dem öffentlichen Sektor) ist die Datenresidenz in der EU unverzichtbar. Für andere EU-Unternehmen birgt die Übertragung von Daten außerhalb der EU rechtliche Risiken, die sie lieber vermeiden würden.

Bei TOPdesk geben wir unseren Kunden die volle Kontrolle über ihre Daten und wir sind transparent, wie wir damit umgehen. Mehr dazu erfahren Sie auf unserer SaaS-Seite.

Globale Cloud-ITSM-Anbieter vs. EU-basierte ITSM-Anbieter: Was ist der Unterschied?

Es gibt einige wesentliche Unterschiede zwischen globalen ITSM-Tools und ITSM-Tools von EU-basierten Anbietern, wenn es um die Datenresidenz geht:

Globale Cloud-ITSM-Anbieter sind in der Regel groß angelegte SaaS-Plattformen, die für globale Enterprise-Unternehmen entwickelt wurden, die in verschiedenen Regionen arbeiten. Sie hosten ihre Infrastruktur in der Regel in mehreren Regionen. Globale Anbieter lagern Support oft in andere Regionen aus, sodass Sie möglicherweise Mitarbeitern außerhalb der EU Zugang gewähren müssen. Einige dieser globalen Anbieter bieten die EU-Datenresidenz als Option oder Zusatzleistung an.

EU-basierte ITSM-Anbieter bieten ITSM-Plattformen an, die in der Europäischen Union ansässig und entwickelt sind. Diese Anbieter verfügen in der Regel über Rechenzentren in erster Linie (oder ausschließlich) in EU-Mitgliedstaaten und wurden unter Beachtung der EU-Vorschriften (wie DSGVO) errichtet.

Warum spielt der Unterschied zwischen globalen und EU-basierten ITSM-Anbietern eine Rolle?

Compliance ist nicht nur ein Thema für Ihre Rechtsabteilung. Tatsächlich gelten Vorschriften wie DSGVO und NIS2 direkt für Ihren IT-Betrieb. Beim Vergleich von ITSM-Lösungen muss Ihr IT-Team genau wissen, wo Ihre Daten gespeichert und verarbeitet werden.

So wirkt sich die Wahl eines globalen ITSM-Anbieters gegenüber einem EU-Anbieter auf Ihr IT-Team aus:

DSGVO und Datenübertragungen: Die DSGVO schreibt vor, dass personenbezogene Daten von EU-Bürgern, die die EU verlassen, gemäß den EU-Standards geschützt werden müssen.

Schrems II (und warum SCCs nicht mehr ausreichen): Bis 2020 sicherten sich Organisationen, die personenbezogene Daten aus der EU in Länder außerhalb der EU übermittelten, mit Mustervertragsklauseln ab, den sogenannten Standardvertragsklauseln (Standard Contractual Clauses, SCCs). Dabei handelt es sich im Wesentlichen um gesetzliche Vereinbarungen zwischen einer Organisation und einem Anbieter, die versprechen, dass alle übermittelten Daten gemäß EU-Standards verarbeitet werden.

2020 entschied die Europäische Union jedoch in einem Gerichtsurteil namens Schrems II, dass der EU-US Privacy Shield nicht ausreicht, um den Schutz der Daten von EU-Bürgern bei der Übertragung zwischen der EU und den USA zu gewährleisten. Dank Schrems II müssen Organisationen ein sogenanntes Transfer Impact Assessment durchführen, das dokumentiert, dass das Zielland übermittelte Daten gemäß der DSGVO verarbeitet.

Wenn Sie ein IT-Team sind, das der DSGVO unterliegt, ist die Durchführung eines Transfer Impact Assessments keine einmalige Aufgabe. Es ist ein ressourcenintensiver Prozess, der ständig gewartet, dokumentiert und überprüft werden muss.

Bei der Verwendung eines Anbieters mit Sitz in der EU bleiben personenbezogene Daten in der EU-Gerichtsbarkeit, und die Übertragungsfrage stellt sich gar nicht erst.

Die DSGVO gilt unmittelbar für den IT-Betrieb. In diesem Blogartikel erfahren Sie, was die DSGVO für Ihr IT-Team bedeutet und worauf Sie bei der Auswahl eines ITSM-Tools achten sollten.

Was ist mit globalen ITSM-Anbietern mit EU-Rechenzentren?

Können Sie sich also einfach für einen globalen ITSM-Anbieter mit EU-Rechenzentren entscheiden und das Thema damit abhaken? Nicht ganz.

Die meisten Menschen gehen davon aus, dass ihre Daten Europa nie verlassen, wenn ihr ITSM-Anbieter EU-Rechenzentren nutzt. Aber was ist, wenn Sie einen Bug entdecken und ein Ticket beim Support-Team Ihres ITSM-Anbieters erstellen? Wenn dieses Team in den USA ansässig ist, benötigt es möglicherweise Zugriff auf Ihre Daten, um das Problem zu lösen. Das ist technisch eine Datenübertragung.

Dasselbe gilt für Backups, Tools von Drittanbietern, die Ihr Anbieter verwendet, und alle KI-Funktionen, die Ihre Ticketdaten verarbeiten.

Wenn Ihre Organisation Daten ausnahmslos innerhalb der EU-Grenzen speichern muss (Full Stop), reichen EU-Rechenzentren bei einer Prüfung durch die Aufsichtsbehörden möglicherweise nicht aus.

Was ist eine Auftragsverarbeitungsvereinbarung (AVV) und warum spielt sie bei der Auswahl eines ITSM-Anbieters eine Rolle?

ITSM-Tools verarbeiten viele personenbezogene Daten (Namen, E-Mail-Adressen, Gerätedetails usw.). Dies macht Ihren ITSM-Anbieter zu einem Datenverarbeiter (ein Dritter, der personenbezogene Daten in Ihrem Namen verarbeitet).

Eine Auftragsverarbeitungsvereinbarung (AVV) ist ein formaler Vertrag zwischen Ihrer Organisation (dem Verantwortlichen) und Ihrem ITSM-Anbieter (dem Auftragsverarbeiter). Und es ist kein Nice-to-have – es ist eine DSGVO-Anforderung.

Eine AVV legt Regeln fest für:

• Welche Daten Ihr ITSM-Anbieter verarbeiten kann (und warum)
• Welche Sicherheitsmaßnahmen Ihr ITSM-Anbieter ergreifen wird
• Mit wem Ihr ITSM-Anbieter die Daten sonst teilen kann (alle von Ihren ITSM-Anbietern verwendeten Drittanbieter, die letztendlich die Daten Ihrer Organisation berühren)
• Was passiert, wenn ein Datenschutzverstoß vorliegt

Natürlich ist jede AVV einzigartig für Ihre Organisation und Ihren ITSM-Anbieter. Hier ist jedoch ein schneller Überblick über die Unterschiede zwischen AVV-Prozessen mit globalen Anbietern im Vergleich zu EU-basierten Anbietern:

Bei einem globalen Anbieter wird Ihre AVV wahrscheinlich auf Standardklauseln (SCCs) verweisen, um eine mögliche Verarbeitung der Daten außerhalb der EU abzudecken. Sie müssen die Liste der Drittanbieter-Unterauftragsverarbeiter sorgfältig überprüfen, bestätigen, welche Rechenzentren verwendet werden, und sicherstellen, dass Supportteams in anderen Ländern keinen Zugriff auf Ihre Daten haben. All das ist überschaubar, aber es erfordert Arbeit. Und Sie müssen Ihre Auftragsverarbeitungsvereinbarung regelmäßig erneut prüfen, sobald Ihr Anbieter seine Infrastruktur aktualisiert.

Bei einem Anbieter mit Sitz in der EU bleiben Daten in der EU-Gerichtsbarkeit. Es gibt keine Übertragungsprozesse außerhalb der EU zu verwalten, und Sie werden wahrscheinlich weniger Unterauftragsverarbeiter zu prüfen haben. Alles in allem ist die Freigabe damit deutlich unkomplizierter.

Globale Cloud-ITSM-Anbieter vs. EU-basierte ITSM-Anbieter: Welcher ist der richtige für meine Organisation?

Entscheiden Sie sich für einen globalen ITSM-Anbieter, wenn:

• EU-Datenresidenz keine harte Anforderung ist
• Ihre Rechtsabteilung mit dem Umgang mit Standardvertragsklauseln (SCCs) und den Risiken von Datenübermittlungen in Drittländer vertraut ist
• Sie bereits in ein globales Cloud-Ökosystem investiert haben (z. B. Microsoft oder AWS)

Wählen Sie einen ITSM-Anbieter mit Sitz in der EU, wenn:

• Ihre Organisation der DSGVO unterliegt
• Sie in einem stark regulierten Sektor (z.B. Finanzdienstleistungen oder Gesundheitswesen) arbeiten
• Ihre Organisation strenge Anforderungen an die Datenresidenz hat
• Sie Ihren AVV-Prozess vereinfachen möchten

Häufige Fragen zu globalen Cloud-ITSM vs. EU-basierten Anbietern

Heißt ein EU-Rechenzentrum, dass ein Anbieter die DSGVO einhält? Nicht automatisch. Die Datenresidenz ist ein Faktor, aber Sie müssen auch prüfen, wer auf Ihre Daten zugreifen kann (einschließlich der Mitarbeiter von Anbietern in Drittländern) und auf welcher Rechtsgrundlage dies geschieht.

Kann ein globaler Anbieter jemals die richtige Wahl für eine regulierte EU-Organisation sein? Ja – mit der richtigen rechtlichen Überprüfung und Vertragsverhandlungen. Dies muss jedoch von Ihrem IT-Team aktiv verwaltet und gewartet werden.

Sind europäische ITSM-Lösungen weniger leistungsfähig als globale Alternativen? Die Unterschiede sind deutlich kleiner geworden. Globale Plattformen sind jedoch bei fortschrittlichen KI-Funktionen meist weiterhin führend und bieten möglicherweise mehr Standardintegrationen mit Drittanbieter-Tools außerhalb der EU.

Was ist das Urteil Schrems II und warum spielt es hier eine Rolle? Das Urteil aus dem Jahr 2020 machte den Datentransfer zwischen der EU und den USA rechtlich komplexer. Dies bedeutet, dass EU-Organisationen, die mit US-amerikanischen Anbietern zusammenarbeiten, möglicherweise längere Vertragsverhandlungen und rechtliche Überprüfungen durchlaufen müssen.

Abschließende Gedanken zu globalen vs. EU-basierten ITSM-Anbietern

Globale ITSM-Plattformen bieten in der Regel umfassendere Funktionen und umfassendere Partnernetzwerke. EU-basierte Plattformen wurden unter Berücksichtigung der EU-Konformität entwickelt und verfügen standardmäßig über eine EU-Datenresidenz. Die richtige Wahl hängt von den Compliance- und Datenspeicheranforderungen Ihrer Organisation ab.

Suchen Sie nach einem konkreten ersten Schritt? Bevor Sie Anbieter auf die Shortlist setzen, dokumentieren Sie zunächst Ihre Anforderungen an die Datenresidenz und definieren Sie gemeinsam mit Ihrem Rechts- oder Datenschutzteam Ihre AVV-Must-Haves. Dies wird Ihnen helfen, Ihren Umfang einzugrenzen und Ihnen ein klareres Bild davon zu vermitteln, worauf Sie bei einem ITSM-Anbieter achten sollten.

Sie haben Schwierigkeiten, den perfekten ITSM-Anbieter für Ihr Team zu finden?

Unser Leitfaden erläutert alles, was Sie wissen müssen, um ITSM-Tools zu evaluieren und Ihre perfekte Lösung auszuwählen.