DSGVO-konforme Kunstsoftware: Warum der Serverstandort über Ihre Daten entscheidet

Was Sammler über Datenschutz wissen sollten, bevor sie ihre Sammlung digital verwalten

Wer seine Kunstsammlung digital verwaltet, lädt mehr als nur Inventardaten in eine Software hoch: Fotos der eigenen vier Wände, Kaufpreise, Versicherungsdaten, manchmal sogar Angaben zu Erben oder Familienverhältnissen. Diese Informationen sind hochsensibel – und genau deshalb lohnt sich ein genauer Blick darauf, wo und wie ein Software-Anbieter diese Daten tatsächlich speichert.

Dieser Artikel erklärt, warum der Serverstandort bei der Wahl einer Kunstsoftware eine wichtige Rolle spielt, was es mit dem US-amerikanischen „Cloud Act“ auf sich hat und worauf Sie bei der Anbieterwahl konkret achten sollten.

Warum Datenschutz bei Kunstsoftware besonders wichtig ist

Eine Kunstsammlung ist oft mehr als ein Hobby – sie ist ein bedeutender Vermögenswert. Wer seine Sammlung digital dokumentiert, gibt einem Anbieter Einblick in:

• Den Gesamtwert der Sammlung: Kaufpreise und aktuelle Marktwerte zusammengenommen ergeben ein klares Bild über Ihr Vermögen in diesem Bereich.
• Standortinformationen: Wo befinden sich welche Werke – im Wohnhaus, im Depot, als Leihgabe? Diese Information ist im Kontext von Einbruchschutz hochsensibel.
• Persönliche Dokumente: Versicherungspolicen, Testamente, Erbschaftsunterlagen werden in manchen Tools direkt mit abgelegt.
• Familien- und Erbinformationen: Wer plant, seine Sammlung zu vererben, hinterlegt mitunter auch Angaben zu Erben oder Nachlassregelungen.

Diese Daten gehören zu den Informationen, die im Falle eines Datenlecks oder unbefugten Zugriffs erheblichen Schaden anrichten könnten – von gezielten Einbrüchen bis zu finanziellem Missbrauch. Ein sorgfältiger Umgang mit dem Thema Datenschutz ist deshalb kein Nebenaspekt, sondern ein zentrales Auswahlkriterium.

Was bedeutet „Serverstandort“ überhaupt – und warum reicht er allein nicht?

Viele Software-Anbieter werben mit dem Hinweis „Server in Deutschland“ oder „Hosting in der EU“. Das ist ein wichtiger erster Schritt, reicht aber nicht automatisch für vollständige DSGVO-Konformität aus. Entscheidend sind drei Ebenen:

1. Wo physisch die Daten liegen

Der einfachste und sichtbarste Faktor: In welchem Land steht das Rechenzentrum? Liegt es innerhalb der EU, gilt automatisch ein einheitliches Datenschutzniveau nach DSGVO – ohne zusätzliche vertragliche Absicherung.

2. Wo das Unternehmen rechtlich verankert ist

Hier wird es komplizierter: Auch wenn ein Server physisch in Frankfurt steht, kann das Unternehmen, das ihn betreibt, einem anderen Rechtssystem unterliegen. Der sogenannte CLOUD Act (Clarifying Lawful Overseas Use of Data Act), ein US-Gesetz aus dem Jahr 2018, verpflichtet US-Unternehmen dazu, auf Anfrage US-amerikanischer Behörden Daten herauszugeben – unabhängig davon, wo diese Daten physisch gespeichert sind.

3. Wie die Daten technisch und organisatorisch geschützt sind

Verschlüsselung, Zugriffskontrollen, regelmäßige Sicherheitsaudits und ein gültiger Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO gehören ebenfalls zu den Mindestanforderungen an einen seriösen Software-Anbieter.

Anbietertypen im Vergleich: Wo stehen die Daten wirklich?

Diese Tabelle macht deutlich: Der entscheidende Faktor ist nicht allein der physische Serverstandort, sondern die rechtliche Heimat des Unternehmens. Nur wenn beides – Unternehmenssitz und Serverstandort – innerhalb der EU liegt, entfällt das Risiko einer Drittstaaten-Zugriffsproblematik vollständig.

Checkliste: Was Sie bei der Wahl einer Kunstsoftware prüfen sollten

• Serverstandort: Liegt das Rechenzentrum nachweislich in Deutschland oder der EU?
• Unternehmenssitz: Ist der Anbieter selbst ein EU-Unternehmen, oder handelt es sich um die EU-Niederlassung eines US-Konzerns?
• Auftragsverarbeitungsvertrag (AVV): Bietet der Anbieter einen AVV nach Art. 28 DSGVO an? Ein seriöser Anbieter stellt diesen unaufgefordert zur Verfügung.
• Datenschutzerklärung: Ist sie vollständig, verständlich und beschreibt sie konkret, welche Daten zu welchem Zweck verarbeitet werden?
• Verschlüsselung: Werden Daten sowohl bei der Übertragung (TLS/SSL) als auch bei der Speicherung verschlüsselt?
• Subunternehmer: Werden Daten an Drittanbieter weitergegeben (z.B. für Foto-Hosting oder E-Mail-Versand) – und wo sitzen diese?
• Löschkonzept: Können Sie Ihr Konto und alle zugehörigen Daten vollständig löschen lassen, wenn Sie den Dienst nicht mehr nutzen möchten?
• Zertifizierungen: Verfügt der Anbieter über anerkannte Datenschutz- oder Sicherheitszertifizierungen (z.B. ISO 27001)?

Warum gerade Sammler genauer hinsehen sollten

Im Vergleich zu vielen anderen Branchen gibt es bei Kunstsammlungs-Software einen wichtigen Unterschied: Die Nutzer sind häufig Privatpersonen, die sensible Vermögensinformationen in ein Tool eingeben – nicht Unternehmen mit eigener IT-Abteilung und Rechtsberatung. Genau das macht die sorgfältige Anbieterauswahl umso wichtiger, da private Nutzer diese Risiken seltener selbst einschätzen oder vertraglich absichern können.

Zudem gilt: Anbieter aus den USA richten ihre Plattformen naturgemäß zuerst am US-amerikanischen Markt und Rechtssystem aus. Deutschsprachiger Support, DSGVO-konforme Voreinstellungen und ein Verständnis für die spezifischen Anforderungen deutscher Sammler sind bei europäischen Anbietern in der Regel von Anfang an mitgedacht – nicht nachträglich aufgesetzt.

Wie all.my.arts den Datenschutz für Ihre Sammlung umsetzt

all.my.arts wurde von Grund auf für Sammler im DACH-Raum entwickelt – mit Datenschutz als zentralem Bestandteil der Architektur, nicht als nachträgliche Ergänzung.

Fazit: Datenschutz ist keine Fußnote, sondern Teil der Sammlungssicherheit

Eine Kunstsammlung digital zu verwalten bringt enorme Vorteile – aber nur, wenn die zugrundeliegenden Daten auch sicher aufgehoben sind. Wer seine Sammlung über Jahre hinweg in eine Software einpflegt, sollte sich vorher die Frage stellen: Wo liegen meine Daten eigentlich, und wer hat im Zweifel Zugriff darauf?

Ein Anbieter mit europäischem Unternehmenssitz, deutschem Serverstandort und transparenter Datenschutzpraxis ist dabei kein „nice-to-have“, sondern für Sammler mit sensiblen Vermögensdaten die solidere Grundlage.