Drei Regeln. Keine Ausnahmen.

Nicht die Marketingaussage, nicht die operative Präsenz — die tatsächliche juristische Person, eingetragen in einem öffentlichen Unternehmensregister in einem der 27 EU-Mitgliedstaaten. Wir prüfen anhand des Impressums, der Allgemeinen Geschäftsbedingungen und des zuständigen nationalen Registers (z. B. Handelsregister, Registre du Commerce, Registry of Estonian Businesses).

Diese Regel existiert, weil „ein europäisches Unternehmen" eine der am stärksten gedehnten Marketingaussagen in der Tech-Branche ist. Eine US-C-Corp mit einem Berliner Büro ist kein EU-Unternehmen. Eine Cayman-Holding mit einer Tochter in Tallinn ist kein EU-Unternehmen. Die juristische Person, die den Kundenvertrag unterzeichnet — und die rechtlich nach EU-Recht haftet — ist diejenige, die wir listen.

Ein EU-Hauptsitz ist notwendig, aber nicht ausreichend. Wir prüfen außerdem, ob das Unternehmen nicht strukturell Nicht-EU-Recht ausgesetzt ist — insbesondere dem US CLOUD Act, der US-Behörden ermöglicht, US-Unternehmen (und viele ihrer ausländischen Töchter) zur Herausgabe von Daten zu zwingen, selbst wenn diese auf EU-Servern liegen.

Für einen Käufer in einer regulierten Branche bedeutet „die Daten liegen in der EU" sehr wenig, wenn das Mutterunternehmen nach US-Recht verpflichtet ist, sie auf Anfrage herauszugeben. Wir behandeln das als strukturellen Ausschlussgrund — nicht als Beruhigung.

Für jeden Eintrag umfasst die Prüfung:

Jedes EU-Unternehmen unterliegt formal der DSGVO — aber das ist eine viel schwächere Aussage als die Erfüllung des Standards, den ein Beschaffungsteam oder Datenschutzbeauftragter tatsächlich braucht. Wir verlangen für jeden Eintrag drei konkrete Artefakte.

Für jeden Eintrag wird derselbe vierstufige Prozess von Anfang bis Ende durchlaufen. Bei der Erstprüfung dauert er 30–90 Minuten pro Produkt, bei der Neuprüfung 15–30 Minuten.

Jeder Eintrag wird mindestens alle sechs Monate erneut geprüft. Die Neuprüfung umfasst dieselben vier Schritte sowie eine Recherche nach Unternehmensnachrichten (Übernahmen, Wechsel in der Geschäftsführung, Offenlegung von Sicherheitsvorfällen), die die Eignung beeinflussen könnten.

Wenn ein Eintrag bei der Neuprüfung ein Kriterium nicht erfüllt — oder früher, sofern Nachrichten dies erfordern — wird er als veraltet markiert. Veraltete Einträge bleiben unter ihrer ursprünglichen URL mit einem deutlichen Hinweisbanner zugänglich, werden aber aus Suche, Kategorie- und Länderseiten entfernt.

Die Seite des veralteten Eintrags dokumentiert den Grund, das Datum und einen kurzen redaktionellen Hinweis. Wir löschen Einträge nicht stillschweigend.