DSGVO-konform reicht nicht: Was der Fall cal.eu über echte Datenhoheit zeigt

Der Fall

Cal.com, die quelloffene Terminplanungssoftware, hatte cal.eu erst seit November 2025 zur regulären Anmeldung freigegeben – eine eigene EU-gehostete Instanz für Nutzer mit DSGVO-Anforderungen. Keine neun Monate später kündigt sich das Aus an: Peer Richelsen, Co-Founder und Co-CEO von Cal.com, hat Nutzer direkt per Mail informiert, dass cal.eu wieder in cal.com integriert und damit rückabgewickelt werden soll. Die Entscheidung ist nach Aussage von ihm noch nicht final, Feedback wird aktiv eingeholt.

Ich nutze cal.eu selbst, nicht wegen des Namens, sondern weil meine Planungsdaten dadurch innerhalb der EU bleiben sollten, unter EU-Recht, ohne eine US-Muttergesellschaft in der Kette. Genau das steht jetzt wieder zur Disposition.

Das Prinzip: Zertifizierung ist nicht gleich Jurisdiktion

Der Fall zeigt ein Missverständnis, das mir in Beratungsgesprächen regelmäßig begegnet: "DSGVO-konform" wird oft mit "meine Daten sind sicher vor fremdem Zugriff" gleichgesetzt. Das sind zwei verschiedene Dinge.

DSGVO-Konformität beschreibt, wie ein Anbieter mit Daten umgeht: Verarbeitungsgrundlagen, Löschfristen, Auftragsverarbeitungsverträge. Das lässt sich zertifizieren, dokumentieren, auditieren.

Was DSGVO-Konformität nicht beschreibt: wer rechtlich Zugriff auf diese Daten erzwingen kann, unabhängig vom physischen Serverstandort. Ein US-Unternehmen mit einer EU-Tochtergesellschaft bleibt über den US CLOUD Act erreichbar, denn US-Behörden können Herausgabe von Daten verlangen, die diese Tochtergesellschaft kontrolliert, selbst wenn die Server in Frankfurt oder Amsterdam stehen. Der Supreme-Court-Fall "United States v. Microsoft Corp." (eingestellt 2018, nachdem der CLOUD Act genau diese Zugriffsbefugnis gesetzlich festschrieb) ist der Präzedenzfall dafür.

Bei cal.eu kommt hinzu: Eine eigenständige EU-Rechtsform lässt sich für das Angebot nicht finden. Markenrechte und Impressum laufen weiterhin über die Cal.com, Inc. mit Sitz in den USA. Das bedeutet nicht automatisch ein Datenschutzproblem im laufenden Betrieb, aber es bedeutet: Die rechtliche Kontrolle über cal.eu lag nie außerhalb der US-Muttergesellschaft, unabhängig davon, wo die Server standen.

Dass die Gründer von Cal.com selbst Europäer sind, wie sie schrieben, ändert daran nichts. Die persönliche Herkunft der Gründer ist keine rechtliche Kategorie. Entscheidend ist, in welcher Rechtsordnung das Unternehmen selbst verankert ist, nicht wo seine Gründer aufgewachsen sind. Auch diese verständliche Vermischung begegnet mir schon mal in Beratungsgesprächen: Ein sympathisches, europäisch geprägtes Team wird unbewusst mit europäischer Jurisdiktion gleichgesetzt. Beides hat aber nichts miteinander zu tun.

Was bemerkenswert ist

Für die jetzige Rückabwicklung bietet Cal.com Migrationsunterstützung an. In die andere Richtung – also beim Umzug von cal.com auf cal.eu – gab es diese Unterstützung nicht, obwohl ich sie damals angefragt hatte. Das illustriert, wie unterschiedlich beide Richtungen priorisiert waren.

Was das für die eigene Bewertung bedeutet

Wer einen Dienstleister nach Datenhoheit auswählt, sollte über "DSGVO-konform" hinaus fragen:

• Wer ist die vertragschließende Rechtsperson, und wo hat sie ihren Sitz?
• Gibt es eine eigenständige EU-Gesellschaft, oder ist es eine Marke/Marketing-Instanz eines nicht-EU-Konzerns?
• Wem gehört die Infrastruktur rechtlich – nicht nur, wo steht sie physisch?

Diese Fragen habe ich Peer Richelsen in meiner Rückmeldung genau so gestellt, zusammen mit einem konstruktiven Alternativvorschlag: Da der Code AGPL-lizenziert und damit technisch offen ist, wäre eine Ausgliederung von cal.eu an eine wirklich unabhängige EU-Gesellschaft möglich; mit Cal.com als Lizenz- und Technologiepartner statt als Betreiber. Ob das aufgegriffen wird, ist offen.

Wer selbst cal.eu nutzt oder eine solche Mail erhalten hat: Es lohnt sich, jetzt Feedback zu geben, solange die Entscheidung noch nicht gefallen zu sein scheint.