Das Rechenzentrum ist kein juristisches Argument

Das Rechenzentrum ist kein juristisches Argument

The address on the brochure

There is a sentence that appears in cloud tenders with the confidence of a completed argument: the data will be stored in a European data centre. The sentence may be true. It may also be doing far more work than it can carry.

A data centre has a location. That location matters for physical security, resilience, energy, connectivity, national rules and the practical reach of a local authority. It tells a buyer something useful about where some equipment stands. It does not, by itself, tell the buyer who owns the service, who operates the equipment, where copies are made, who holds the keys, which people can administer it, which companies are allowed to subcontract parts of the work, or which legal system can compel a party to provide access.

The distinction is easy to state and surprisingly easy to lose. A postcode is visible. Control is distributed. The postcode fits neatly in a procurement spreadsheet; control arrives as a chain of contracts, identities, support accounts, management planes, encryption keys, corporate relationships, operational procedures and legal duties. The first is a fact about place. The second is a question about power.

European data protection law has been making this point in increasingly precise language. In the Schrems II judgment of 16 July 2020, the Court of Justice of the European Union examined how personal data could leave the European Economic Area while retaining a level of protection essentially equivalent to the one guaranteed inside it. The Court upheld standard contractual clauses as a possible transfer tool, but made clear that they do not operate in a vacuum. The exporter has to examine the law and practice of the destination in the circumstances of the transfer, and act when the safeguards cannot work in practice.

The judgment did not say that a border is irrelevant. It said that a border is one part of the question. The European Data Protection Board's subsequent recommendations turn that principle into a method: know the transfers, identify the legal tool, assess the law and practice that can affect it, add measures where they can work, complete the required procedure, and keep the assessment under review. A server address appears in that map. It is not the map.

This matters beyond personal data. The Data Act treats cloud and other data-processing services as infrastructure from which customers should be able to switch. It also addresses conditions under which a third-country public authority seeks access to non-personal data held in the Union. Again, the legal answer is built from actors, purposes, safeguards, evidence and remedies. A building is involved. A building is not enough.

The practical lesson for a European institution is therefore blunt. Ask where the data is. Then keep asking questions until the answer includes who can read it, who can change it, who can stop it, who can export it, who can be forced to disclose it, and what evidence will remain when the parties disagree. If the answer ends at the door of the data centre, the useful part of the investigation has only just begun.

Residency is about place

Data residency is a statement about where data is stored or processed under a defined arrangement. The definition needs a scope. Is it the primary copy, the backup, the index, the cache, the telemetry, the disaster-recovery site, or all of them? Does processing include an administrator viewing a record from another country? Does a support session count? What happens when an incident team needs to copy a diagnostic trace? A residency promise that does not say what it covers is an attractive label attached to an unfinished sentence.

Cloud-Systeme sind dafür ausgelegt, Arbeit zu verlagern. Replikation kann die Verfügbarkeit verbessern. Ein zweiter Standort kann einen Dienst am Leben halten, wenn der erste Standort nicht verfügbar ist. Ein Edge-Standort kann die Latenz verringern. Ein Sicherheitsteam kann ein Log an ein zentrales Analysesystem weiterleiten. Das sind gewöhnliche technische Entscheidungen und kein Beleg für Fehlverhalten. Sie bedeuten jedoch, dass der Begriff „in Europa gespeichert“ einen technischen Gegenstand benötigt, an den er geknüpft ist. Welche Daten, in welchem Zustand, für welchen Zeitraum, unter welcher Operation?

Die Cloud-Risikobewertung der ENISA, erstmals 2009 veröffentlicht, ist weiterhin nützlich, gerade weil sie sich weigerte, Geografie als vollständige Kontrolle zu behandeln. Sie benennt Risiken durch Speicherung in mehreren Rechtsräumen, unzureichende Informationen über Rechtsräume, Verlust der Kontrolle, Unterauftragsvergabe und Änderungen bei der Kontrolle über den Anbieter. Das Dokument ist alt genug, um eine Vorliebe für Akronyme zu haben, die moderne Teams nicht unbedingt teilen, doch das organisatorische Problem ist nicht verschwunden. Wenn ein Kunde nicht sehen kann, wo Daten verarbeitet werden oder wer für die nächste Übergabe verantwortlich ist, kann der Kunde keine zuverlässige Risikoentscheidung treffen.

Residenz kann eine berechtigte Anforderung sein. Ein öffentliches Archiv muss möglicherweise Aufzeichnungen innerhalb eines definierten Rechtsgebiets aufbewahren. Ein Gesundheitsdienst benötigt möglicherweise eine Verarbeitungsvereinbarung, die begrenzt, wohin sensible Daten gelangen können. Ein Forschungskonsortium kann Verpflichtungen gegenüber einem Fördergeber oder einer Datenweitergabevereinbarung haben. Diese Anforderungen sollten als operative Bedingungen formuliert werden, mit einer Methode zu ihrer Überprüfung, und nicht als einzelner Ländername, den alle großzügig auslegen dürfen.

Es gibt auch einen Unterschied zwischen einer Einschränkung und einer Garantie. Von einem Anbieter zu verlangen, einen primären Speicher in der Europäischen Union zu halten, schränkt eine Klasse von Bewegungen ein. Es garantiert nicht, dass keine Person außerhalb der Union auf einen Datensatz zugreifen kann, dass keine Metadaten das Land verlassen oder dass keine ausländische rechtliche Verpflichtung einen Anbieter erreichen kann. Eine Einschränkung kann nützlich sein, ohne eine Garantie zu sein. Wer beides verwechselt, schafft eine Compliance-Erzählung, die eine Besichtigung des Serverraums besteht und bei genauerem Blick auf die Verwaltungsebene scheitert.

Die nützliche Residenzfrage ist nicht einfach „Wo ist es?“ Sie lautet: „Welche Standorte sind für jeden Zustand dieser Daten möglich, und wer kann diesen Zustand ändern?“ Ein Anbieter sollte in der Lage sein, die Antwort so zu erklären, dass ein Ingenieur sie umsetzen und ein Käufer sie überprüfen kann. Wenn die Erklärung von einer undokumentierten Ausnahme, einer Support-Gewohnheit oder einem Versprechen abhängt, dass sich die eigenen Unterauftragnehmer des Anbieters wahrscheinlich schon korrekt verhalten, ist die Residenzbehauptung noch nicht operativ.

Fünf Fragen, die im Wort „wo“ versteckt sind

Wenn Menschen fragen, wo ihre Daten sind, meinen sie oft mehrere verschiedene Dinge zugleich. Wenn man die Fragen trennt, wird ein Beschaffungsgespräch weniger theatralisch und nützlicher.

1. Wo sind die Bits? Das ist die Frage nach der physischen und logischen Speicherung. Sie umfasst Primärdaten, Replikate, Backups, Caches, Indizes und relevante Protokolle. Eine zufriedenstellende Antwort benennt den Umfang und die Bedingungen, unter denen sich die Antwort ändert.

2. Wo findet die Verarbeitung statt? Ein Datensatz kann in einer Rechtsordnung gespeichert und an einem anderen Ort transformiert, durchsucht, klassifiziert, verschlüsselt oder entschlüsselt werden. Die Verarbeitung kann ein geplanter Auftrag, eine Support-Maßnahme, eine Überwachungspipeline oder eine temporäre Kopie während der Wiederherstellung sein.

3. Wer kann darauf zugreifen? Das ist die Frage nach Identität und Betrieb. Sie umfasst Mitarbeitende, Administratoren, Auftragnehmer, Dienstkonten, Incident-Responder und automatisierte Systeme. Eine Person muss nicht neben einem Server leben, um effektiven Zugriff darauf zu haben.

4. Wer kann diesen Zugriff erzwingen? Das ist die Frage nach Rechtsordnung und rechtlicher Befugnis. Sie folgt den relevanten Organisationen und Personen, den Rollen, die sie innehaben, den Verträgen, die sie unterzeichnen, und den rechtlichen Pflichten, die sie binden können. Sie wird nicht allein durch eine Kartenmarkierung beantwortet.

5. Was kann der Kunde tun, wenn sich die Antwort ändert? Das ist die Frage nach Kontrolle und Ausstieg. Kann der Kunde den Zugriff einschränken, Schlüssel rotieren, einen vertrauenswürdigen Nachweis erhalten, den Dienst wiederherstellen, die Daten verschieben und die Beziehung beenden, ohne das zu verlieren, was er schützen wollte?

Diese Fragen überschneiden sich, sind aber nicht austauschbar. Ein Anbieter kann die erste überzeugend und die dritte schlecht beantworten. Ein Vertrag kann die fünfte auf dem Papier beantworten, während das technische Team den Ausstieg nie durchgeführt hat. Eine lokale Tochtergesellschaft kann die Frage nach der Unternehmensidentität beantworten, während der Dienst von der Infrastruktur oder Support-Organisation einer Muttergesellschaft abhängt. Die richtige Reaktion ist nicht, die beruhigendste Antwort auszuwählen. Es ist, die Menge intakt zu halten.

Aus diesem Grund können Souveränitätsbewertungen verwirrend werden. Das Wort soll physischen Standort, rechtliche Unabhängigkeit, operative Kompetenz, wirtschaftliches Eigentum, strategische Autonomie und die Fähigkeit zu gehen abdecken. Das sind verwandte Ambitionen. Sie sind keine einzelne Eigenschaft. Eine präzise Institution sagt, welche Eigenschaft sie benötigt und welche Belege zeigen würden, dass sie existiert.

Rechtsordnung folgt der Befugnis

Rechtsordnung ist keine mystische Wolke um ein Land. Es ist eine Art zu beschreiben, welche rechtlichen Behörden das Verhalten relevanter Akteure regulieren, anordnen, untersuchen, überprüfen oder beheben können. In einem verteilten Dienst sind die Akteure ebenso wichtig wie die Orte. Ein Unternehmen kann in einem Mitgliedstaat eingetragen sein, Einrichtungen in einem zweiten betreiben, ein Support-Team in einem dritten nutzen und von einer Muttergesellschaft oder einem Subunternehmer abhängen, die anderweitig Pflichten unterliegen. Ein Kunde, der die rechtliche Reichweite verstehen möchte, muss der Kette der Befugnis folgen, nicht am nächsten Gebäude haltmachen.

Das bedeutet nicht, dass jede ausländische Verbindung die europäische Kontrolle untergräbt. Europäische Dienste sind bewusst miteinander verbunden. Grenzüberschreitender Handel, Forschung, Support, Finanzierung und Infrastruktur sind normal. Die Frage ist, ob die Institution weiß, welche Verbindung welche Macht trägt. Ein europäischer Betreiber kann eine gewöhnliche Anfrage ablehnen, aber nicht befugt sein, einer verbindlichen Anweisung einer anderen Organisation zu widerstehen. Ein Subunternehmer kann über eine Berechtigung verfügen, die der Auftraggeber nicht in sein eigenes Zugriffsinventar aufgenommen hat. Ein Support-Prozess kann Fernzugriff erlauben, selbst wenn der Speichervertrag eine lokale Region verspricht.

Die rechtliche Analyse hängt auch von der Art der Daten und der Art der Anfrage ab. Personenbezogene Daten bringen die Übermittlungsregeln der DSGVO und den Rahmen der Grundrechte ins Spiel. Nicht-personenbezogene Daten sind kein rechtsfreier Raum. Der Data Act enthält Schutzvorkehrungen für bestimmte Anfragen von Drittstaatsbehörden nach nicht-personenbezogenen Daten, die in der Union gespeichert sind. Eine Anfrage muss anhand der Bedingungen der Verordnung geprüft werden, einschließlich der Art der Anfrage und der Schutzmaßnahmen, die im Rechtssystem des Drittstaats verfügbar sind. Die beiden Regelungen unterscheiden sich, und genau dieser Unterschied ist der Grund, warum ein Käufer sie nicht in dem Wort Residenz zusammenfassen sollte.

Das Urteil des EuGH in der Rechtssache C-311/18 liefert ein nützliches europäisches Rechtsmuster. Der Gerichtshof fragte nicht, ob ein Vertrag formell genug aussah. Er fragte, ob der durch das europäische Recht garantierte Schutz unter den Umständen der Übermittlung im Wesentlichen gleichwertig bliebe, unter Berücksichtigung der Rechtsvorschriften und Praktiken, die sich auf die Daten auswirken könnten. Standardvertragsklauseln können die Parteien binden, die sie unterzeichnen. Sie binden keine Behörde, die nicht Vertragspartei ist. Wenn das rechtliche Umfeld die zugesagten Schutzmaßnahmen untergräbt, muss der Exporteur reagieren.

Diese Logik reicht über den konkreten Streitfall hinaus. Ein Vertrag ist ein Instrument privater Zuteilung. Die Gerichtsbarkeit ist das Feld, in dem öffentliche Gewalt handeln kann. Der Vertrag kann einem Anbieter sagen, was er dem Kunden zugesagt hat. Er kann von sich aus keine öffentliche Befugnis beseitigen, die den Anbieter oder seine Mitarbeiter bindet. Gute Governance nimmt beide Aussagen ernst. Sie nutzt Verträge, um Pflichten festzulegen, und technische Maßnahmen, um diese Pflichten beobachtbar zu machen, während sie anerkennt, dass die rechtliche Reichweite die verfügbaren Optionen dennoch verändern kann.

Es ist verlockend, daraus eine Jagd nach einem einzigen gefährlichen Land zu machen. Das ist weniger nützlich, als die tatsächlichen Stellen zu kartieren. Welche Einrichtung ist Verantwortlicher oder Auftragsverarbeiter? Welche Einrichtung beschäftigt den Administrator? Welche Einrichtung hält die Verschlüsselungsschlüssel? Welche Einrichtung kann eine Kopie erstellen? Welche Einrichtung erhält eine Support-Anfrage? Welche Behörde könnte eine Anordnung erlassen? Welcher Rechtsbehelf stünde dem Kunden zu, und vor welchem Forum? Die Karte mag beruhigend sein. Sie mag es auch nicht sein. Beides ist wertvoller als ein Länderaufkleber.

Eigentum ist ein Titel, kein Schlüssel

Eigentum hat echte rechtliche und wirtschaftliche Wirkung. Es kann bestimmen, wer ein Vermögenswert verkaufen, Geschäftsführer ernennen, geistiges Eigentum lizenzieren, Einnahmen erhalten oder bestimmte Entscheidungen treffen darf. Bei einer öffentlichen Einrichtung kann es mit der gesetzlichen Verantwortung für Aufzeichnungen oder Infrastruktur verbunden sein. In einem Unternehmensverbund kann es erklären, wer abstimmen, fusionieren, finanzieren oder einen Anbieter ersetzen kann. Eigentum gehört in eine Souveränitätsbewertung.

Eigentum verschafft nicht automatisch operative Kontrolle. Ein Kunde kann die Daten besitzen, während ein Anbieter die Datenbank betreibt, das Sicherungssystem verwaltet und das Dienstkonto kontrolliert. Eine öffentliche Einrichtung kann ein Gebäude besitzen, während ein Auftragnehmer die Wartungszugangsdaten und den einzigen getesteten Weg zur Wiederherstellung der Ausrüstung innehat. Ein Unternehmen kann den Quellcode besitzen, während ein Dritter den Signaturschlüssel, den Build-Runner, die Paketregistrierung und die Bereitstellungsidentität kontrolliert. Der Titel ist real. Das gilt auch für die Abhängigkeit.

Der Unterschied wird in den Verben sichtbar. Eigentum ist ein Nomen in einem Vertrag. Kontrolle ist die Fähigkeit, zu prüfen, zu betreiben, zu ändern, zu stoppen, wiederherzustellen, zu exportieren, zu löschen und nachzuweisen. Ein Beschaffungsprozess, der nur Nomen erfasst, kann die wichtigen Verben unzugeordnet lassen. Er kann einen benannten Eigentümer für die Plattform haben und dennoch keine benannte Person, die einen Schlüssel rotieren, ein privilegiertes Konto entfernen oder aus einem Backup wiederherstellen kann, ohne eine Organisation zu fragen, die nicht im Raum ist.

Es ist keine Tugend, maximalen Besitz zu verlangen. Ein Krankenhaus, eine Universität oder eine Gemeinde verfügt möglicherweise nicht über das Personal und die Sicherheitskapazität, um jede Ebene sicher zu betreiben. Die Delegierung einer Aufgabe kann verantwortungsvoll sein, wenn die Grenzen klar sind und der Kunde die Möglichkeit behält, zu überwachen, zu testen und wiederherzustellen. Es geht nicht darum, jeden Server in einen öffentlichen Keller zu stellen. Es geht darum zu entscheiden, welche Befugnisse für die Mission wesentlich sind, und diese Befugnisse nahe genug zu halten, um sie zu regieren.

Diese Entscheidung braucht Belege. „Der Kunde besitzt die Daten“ sollte zu Fragen über Exportformat, Schlüsselverwahrung, Aufbewahrung, Löschung, Zugriffsprotokolle und Support-Berechtigungen führen. „Der Anbieter ist europäisch“ sollte zu Fragen über Unternehmenskontrolle, Subunternehmer, Infrastruktur, rechtliche Risiken und Kontinuität führen. „Die Daten befinden sich in der Union“ sollte zu Fragen über Fernverwaltung, Replikate, Verarbeitungsorte und rechtliche Anfragen führen. Eine gute Antwort kann kompliziert sein. Komplikation ist kein Mangel, wenn das System kompliziert ist.

Betriebskontrolle ist das Recht zu handeln

Betriebskontrolle lässt sich am einfachsten durch eine Handlung verstehen, nicht durch ein Adjektiv. Betrachten wir einen Kunden, der einen Administrator entziehen muss. Wer kann die Entziehung durchführen? Welches Identitätssystem autorisiert sie? Ist der Anbieter verpflichtet, die Änderung auszuführen, oder kann der Kunde sie direkt vornehmen? Deckt die Handlung Support-Konten, Notfallkonten und ruhende Anmeldedaten ab? Belegt ein Datensatz, wann die Berechtigung verschwand? Wenn eine Handlung von einem Helpdesk abhängt, ist der Helpdesk Teil der Kontrollebene.

Derselbe Test gilt für Schlüssel. Verschlüsselung kann die Gefährdung verringern, aber ihre Governance hängt davon ab, wer die Schlüssel erstellt, speichert, rotiert, wiederherstellt und verwenden kann. Ein lokal gespeicherter Datensatz kann für eine Partei, die den Schlüssel nicht erlangen kann, unlesbar bleiben. Er kann für den Kunden auch unzugänglich werden, wenn der einzige Wiederherstellungspfad bei einem Anbieter liegt. Schlüsselverwahrung ist daher weder ein Slogan für Souveränität noch ein Zauberradierer für Zuständigkeit. Sie ist eine konkrete Kontrolle, die zugewiesen und geübt werden muss.

Protokolle verdienen dieselbe Behandlung. Ein Dashboard kann Aktivität anzeigen. Belege erfordern einen Datensatz, den der Kunde aufbewahren, interpretieren und anfechten kann. Wer schreibt das Protokoll? Kann ein Administrator es ändern? Ist die Zeitquelle vertrauenswürdig? Deckt es Support-Zugriff und automatisierte Verarbeitung ab? Kann der Kunde ohne Erlaubnis des Anbieters einen nutzbaren Export erhalten? Was passiert, wenn das Konto geschlossen wird? Ein Protokoll, das mit dem Dienst verschwindet, ist für den Betrieb nützlich und für die Rechenschaftspflicht schwach.

Wiederherstellung ist der härteste Test der Betriebskontrolle, weil sie jede Abhängigkeit sichtbar macht. Ein Anbieter mag Sicherung zusagen, doch die Wiederherstellung kann eine bestimmte Region, eine nicht verfügbare Lizenz, einen Ingenieur, der dort nicht mehr arbeitet, oder ein in einem separaten System gespeichertes Geheimnis erfordern. Der Kunde mag die Sicherungsdatei besitzen und dennoch nicht in der Lage sein, daraus einen funktionierenden Dienst zu machen. Wiederherstellung sollte als ganze Handlung getestet werden, mit aufgezeichnetem Ergebnis und Lücken, die Personen zugewiesen werden, die sie schließen können.

Das Stoppen eines Dienstes ist ebenfalls Kontrolle. Eine Institution muss möglicherweise eine Integration pausieren, einen Datensatz isolieren, automatisierte Verarbeitung aussetzen oder verhindern, dass eine neue Replik erstellt wird. Wenn nur ein Anbieter den Stopp durchführen kann, werden dessen Identität, rechtliche Pflichten, Reaktionszeit und Support-Prozess Teil des Risikos der Institution. Das kann eine akzeptable Vereinbarung sein. Es ist keine unsichtbare.

Der Zweck dieser Tests ist nicht, jedem Anbieter zu misstrauen. Es geht darum, Vertrauen durch eine Beziehung zu ersetzen, die geprüft werden kann. Ein Anbieter mit einer klaren Antwort kann erklären, welche Handlungen er durchführt, welche der Kunde durchführt und welche Zusammenarbeit erfordern. Ein Anbieter, der sich auf einen einzigen beruhigenden Satz verlässt, hat die operative Frage noch nicht beantwortet.

Subunternehmer verwandeln eine Antwort in eine Kette

Ein Dienst ist selten eine einzelne Organisation, die an einem Ort eine einzige Sache tut. Cloud-Anbieter nutzen spezialisierte Infrastruktur, Support-Partner, Überwachungsdienste, Sicherheitsbetrieb, Hardware-Wartung, Netzbetreiber und andere Zulieferer. Einige davon sind im Vertrag sichtbar. Andere tauchen in einer Unterauftragsnehmer-Liste, einer Dienstbeschreibung, einer Störungsmeldung oder einem Support-Workflow auf. Die Kette ist gewöhnlich. Auch die Pflicht, die Kette zu verstehen, ist gewöhnlich.

Die Risikobewertung der ENISA nennt ein bekanntes Versagen: Ein Cloud-Anbieter kann Dienste an einen Dritten vergeben, der nicht dieselben Garantien bietet, während ein Kontrollwechsel die Bedingungen des Anbieters ändern kann. Der Bericht ist keine Spezifikation für moderne Architektur, und das muss er auch nicht sein. Seine bleibende Warnung ist organisatorischer Natur. Ein Kunde kann nicht behaupten, einen Dienst zu verstehen, wenn er nur das erste auf der Rechnung genannte Unternehmen bewertet hat.

Die Empfehlungen des EDPB sind für personenbezogene Daten konkreter. Der erste Schritt ist, die Übermittlungen zu kennen, einschließlich Weiterübermittlungen an Auftragsverarbeiter und Unterauftragsnehmer. Fernzugriff aus einem Drittland kann bereits eine Übermittlung darstellen, selbst wenn die Aufzeichnung in einem Rechenzentrum im EWR verbleibt. Eine Support-Vereinbarung ist daher Teil der Datenübermittlungs-Karte, keine Fußnote, die nach dem Einsatz behandelt werden kann.

Sichtbarkeit von Unterauftragnehmern ist nicht dasselbe wie Kontrolle über Unterauftragnehmer. Eine Liste sagt dem Kunden, wer beteiligt ist. Kontrolle fragt, was jede Partei tun kann, welche Daten sie sehen kann, welches Rechtsinstrument die Tätigkeit abdeckt, wie eine Änderung mitgeteilt wird und welcher Rechtsbehelf besteht, wenn die Partei die Bedingungen nicht mehr erfüllt. Die Kette sollte an jeder Übergabe Grenzen und Nachweise haben.

Es gibt einen praktischen Grund, vagen Ketten zu widerstehen. Wenn ein Vorfall eintritt, wandert die Verantwortung oft in die entgegengesetzte Richtung der Daten. Der Kunde fragt den Anbieter. Der Anbieter fragt ein Plattform-Team. Das Plattform-Team fragt einen spezialisierten Zulieferer. Der spezialisierte Zulieferer fragt einen Administrator in einer anderen Organisation. Jede Übergabe kann Verzögerung, Unsicherheit und eine Gelegenheit hinzufügen, dass der ursprüngliche Datensatz Kontext verliert. Eine Kontrollkarte sollte den Weg vor dem Vorfall zeigen, während die beteiligten Personen noch Zeit haben, präzise zu sein.

Personenbezogene Daten: Schutz reist mit dem Datensatz

Die DSGVO macht personenbezogene Daten nicht dadurch sicher, dass sie sie hinter eine europäische Tür legt. Ihre Übermittlungsregeln sollen ein hohes Schutzniveau bewahren, wenn Daten in ein Drittland gelangen. Der EDPB beschreibt den Grundsatz schlicht: Ein im Wesentlichen gleichwertiges Schutzniveau sollte die Daten überallhin begleiten, während und nach der Übermittlung.

Das bedeutet nicht, dass jede Übermittlung verboten ist. Die DSGVO enthält verschiedene Übermittlungsinstrumente und Bedingungen, darunter Angemessenheitsbeschlüsse und Garantien nach Artikel 46. Die rechtliche Frage ist, ob das gewählte Instrument unter den gegebenen Umständen funktioniert. Die Empfehlungen des EDPB fordern Exporteure auf, die für die jeweilige Übermittlung relevanten Rechts- und Praxisgegebenheiten zu bewerten, zu prüfen, ob der Importeur oder die Daten in den Anwendungsbereich problematischer Regelungen fallen können, und die Begründung zu dokumentieren. Wenn keine zusätzliche Maßnahme das erforderliche Schutzniveau wiederherstellen kann, sollte die Übermittlung vermieden, ausgesetzt oder beendet werden.

Drei Details werden in einem Gespräch über Datenresidenz besonders leicht übersehen. Erstens ist eine Weiterübermittlung von Bedeutung. Ein Anbieter kann den Primärbestand im EWR aufbewahren und eine Kopie an einen Support- oder Analysedienst an einem anderen Ort senden. Zweitens ist der Zugriff von Bedeutung. Ein Administrator in einem Drittland kann möglicherweise einen Datensatz lesen, ohne dass der Datensatz jemals physisch an den Schreibtisch dieser Person gelangt. Drittens ist die Rechenschaftspflicht von Bedeutung. Der Exporteur muss in der Lage sein, die Bewertung nachzuweisen und sie zu überprüfen, wenn sich der Dienst, das Recht, die Personen oder die Umstände ändern.

Der Rahmen verlangt daher von einem Kunden, sowohl den technischen Pfad als auch den rechtlichen Kontext zu verstehen. Ein Diagramm mit Regionen und Pfeilen ist nützlich. Es kann die Übermittlungsbewertung nicht ersetzen. Ebenso wenig kann ein vertragliches Versprechen, dass ein Anbieter sich konform verhalten wird, dies leisten, wenn der Kunde nicht geprüft hat, was die relevanten Garantien angesichts der Gesetze und Praktiken, die auf den Anbieter anwendbar sein können, tatsächlich bewirken können.

Das europäische Datenschutzrecht hat eine gesunde Abneigung gegen Zauberwörter. „EU-Hosting“ kann eine nützliche Tatsache beschreiben. „Konform“ kann eine Schlussfolgerung beschreiben, die Begründungen erfordert. „Souverän“ kann ein politisches Ziel beschreiben. Keines davon sollte als Ersatz für den Nachweis dienen, dass die Daten geschützt sind, der Zugriff geregelt ist und die Entscheidung verteidigt werden kann.

Nicht personenbezogene Daten: ein anderes Regime, dieselbe Disziplin

Der Data Act befasst sich mit einem breiteren Spektrum von Datenbeziehungen und enthält Regeln für Datenverarbeitungsdienste wie Cloud- und Edge-Dienste. Er ersetzt die DSGVO nicht und macht nicht jede Cloud-Entscheidung zu einer Übermittlungsbewertung im Sinne des Datenschutzes. Er liefert jedoch eine zweite europäische Erinnerung daran, dass Standort, Zugriff, Wechsel und Befugnisse gemeinsam betrachtet werden müssen.

Für nicht personenbezogene Daten, die in der Union gespeichert sind, beschreibt die Erläuterung der Kommission zum Data Act Schutzmaßnahmen für bestimmte Anfragen oder Entscheidungen einer Behörde eines Drittlands. Wo kein anwendbares internationales Abkommen den Zugriff regelt, legt die Verordnung Bedingungen fest, die europäische Interessen schützen sollen, einschließlich der Berücksichtigung der Rechtsordnung des Drittlands und der Verhältnismäßigkeit der Anfrage. Von Anbietern wird erwartet, dass sie angemessene Maßnahmen wie Verschlüsselung, Audits oder Zertifizierungsvereinbarungen ergreifen, um unbefugten Zugriff zu verhindern und Kunden, wo möglich, zu informieren.

Der Wortlaut ist von Bedeutung. Der Data Act behauptet nicht, dass die Union ausländische Rechtsordnungen zum Verschwinden bringen kann. Er schafft einen Rahmen für die Bewertung und Begrenzung bestimmter Zugriffswege. Ein Anbieter muss weiterhin wissen, welche Systeme er betreibt, welche Daten gespeichert sind, wer auf eine Anfrage reagieren kann und welche Nachweise dem Kunden gegeben werden können. Ein Kunde muss weiterhin verstehen, welche Teile der Daten personenbezogen sind, welche nicht und welche anderen Rechtsregime Anwendung finden.

Das Gesetz verfolgt Kontrolle auch über die Wechselmöglichkeit. Kunden sollten zwischen Datenverarbeitungsdiensten wechseln, Dienste parallel nutzen und exportierbare Daten sowie digitale Vermögenswerte übertragen können. Anbieter müssen Informationen über Exportformate, Schnittstellen, bekannte Einschränkungen und die für den Prozess benötigte Zeit bereitstellen. Die Regeln zur funktionalen Gleichwertigkeit erkennen eine praktische Wahrheit an: Eine Datei, die heruntergeladen werden kann, ist nicht unbedingt ein Dienst, der wiederhergestellt werden kann.

Der Wechsel wird oft als Wettbewerbsmaßnahme beschrieben, und das ist er auch. Er ist zugleich eine Souveränitätsmaßnahme im operativen Sinne. Eine Einrichtung, die gehen kann, hat mehr Spielraum, eine Änderung abzulehnen, die sie nicht akzeptieren kann. Eine Einrichtung, die nicht gehen kann, mag zwar einen Vertrag besitzen und dennoch von den Standardeinstellungen des Anbieters bestimmt sein. Ein gesetzliches Wechselrecht ist ein wichtiger Anfang. Eine geprobte Migration, die Daten, Konfiguration und Nachweise erhält, ist der Teil, der das Recht nutzbar macht.

Verträge, Schlüssel und die Grenzen der Beruhigung

Verträge bleiben unverzichtbar. Sie verteilen Pflichten, legen Benachrichtigungsregeln fest, benennen Unterauftragsverarbeiter, definieren zulässige Verarbeitung, beschreiben Löschung und Aufbewahrung, schaffen Prüfrechte und etablieren Unterstützung während eines Übergangs. Die Cloud-Wechselbestimmungen des Data Act unterstreichen die Notwendigkeit klarer vertraglicher Bedingungen, exportierbarer Daten und Informationen über die Mechanik eines Ausstiegs. Auch die ältere Leitlinie der ENISA empfiehlt, bei der Bewertung von Cloud-Verträgen auf Datentransfers, Kontrollwechsel, Zugriffe durch Strafverfolgungsbehörden, Verletzungsmeldungen und Haftung zu achten.

Ein Vertrag ist keine Laufzeitkontrolle. Eine Klausel, die besagt, dass der Kunde exportieren darf, ist schwächer als ein Exportlauf gegen einen repräsentativen Datensatz, der in einer zweiten Umgebung wiederhergestellt wird. Eine Klausel, die besagt, dass der Anbieter löscht, ist schwächer als ein prüfbarer Löschprozess, der Replikate, Caches, Backups und abgeleitete Datensätze abdeckt. Eine Klausel, die ein Prüfrecht einräumt, ist schwächer als Protokolle und Nachweise, die der Kunde tatsächlich erhalten kann. Papier ist wichtig. Papier, das nie auf ein funktionierendes System trifft, ist höflich formulierter Optimismus.

Schlüssel vermitteln eine ähnliche Lektion. Kundengesteuerte Verschlüsselung kann reduzieren, was ein Anbieter oder eine unbefugte Partei lesen kann. Sie beantwortet nicht, wer eine Person, die einen Wiederherstellungsschlüssel besitzt, zwingen kann, wer das Hardware-Sicherheitsmodul kontrolliert, wer die Schlüsselrichtlinie ändern kann oder was geschieht, wenn der Kunde seine eigene Berechtigung verliert. Das richtige Design kann geteilte Autorität, unabhängige Verwahrung, sorgfältig abgegrenzten Zugriff und getestete Wiederherstellung nutzen. Das falsche Design kann den entscheidenden Schlüssel in einer anderen Rechtsordnung platzieren und die Regelung als lokal bezeichnen, weil die Datenbank lokal ist.

Rechtliche und technische Maßnahmen sollten gemeinsam gestaltet werden. Wenn ein Vertrag verlangt, dass der Kunde Supportzugriff genehmigt, sollte der Dienst einen Genehmigungsablauf haben, der eine Aufzeichnung hinterlässt. Wenn der Kunde Weiterleitungen verhindern muss, sollte der Anbieter den Weg offenlegen und die Grenze durchsetzen. Wenn eine Anfrage einer öffentlichen Behörde bewertet werden muss, sollte der Vorfallsprozess die Anfrage, die rechtliche Analyse, die Entscheidung, die Benachrichtigung und die Antwort bewahren. Ein rechtliches Versprechen wird glaubwürdig, wenn ein System zeigen kann, wie es umgesetzt wird.

Das gleiche Prinzip gilt für Eigentumsänderungen. Eine Übernahme des Lieferanten, eine neue Muttergesellschaft, ein Wechsel des Unterauftragnehmers oder eine Änderung der Betriebsregion des Dienstes kann die Kontrollkarte verändern, ohne die kundenorientierte Marke zu ändern. Verträge sollten Benachrichtigung und Abhilfen verlangen. Technische Bestandsverzeichnisse sollten aktualisiert werden. Ein Änderungsprotokoll sollte zeigen, welche Befugnisse sich verschoben haben. Governance, die nur bei der ursprünglichen Unterzeichnung existiert, hat eine kurze Halbwertszeit.

Die Kontrollkarte eines Käufers

Ein öffentlicher oder privater Käufer braucht keinen magischen Fragebogen. Er braucht eine Karte, die Behauptungen mit Nachweisen verbindet. Die folgenden Fragen sind ein nützlicher Ausgangspunkt, weil sie nach Handlungen, Akteuren und Aufzeichnungen fragen und nicht nach einem bevorzugten Adjektiv.

Die Tabelle ist bewusst nüchtern gehalten. Sie soll den Kontakt mit einem Beschaffungsteam überstehen. Sie gibt dem Käufer außerdem eine Möglichkeit, Anbieter zu vergleichen, ohne so zu tun, als ob ein Zertifikat, eine Nationalflagge oder eine Besichtigung des Rechenzentrums alles klärt. Die Nachweise können vertraulich sein. Die Anforderung, Nachweise zu haben, sollte es nicht sein.

Fordern Sie eine Vorführung der kritischen Aktion an, nicht nur eine Beschreibung. Zeigen Sie, wie ein privilegiertes Konto entfernt wird. Zeigen Sie, wie eine Support-Sitzung genehmigt wird. Zeigen Sie, was ein Kunde erhält, wenn er einen Export anfordert. Zeigen Sie, wie eine Replik gefunden wird. Zeigen Sie, was eine Rechtsanfrage mit dem Incident-Workflow macht. Zeigen Sie, wie die Organisation weitermacht, wenn das Anbieterkonto gesperrt wird. Es geht nicht darum, einen dramatischen Fehler zu inszenieren. Es geht darum zu sehen, ob die Kontrolle außerhalb der Folienpräsentation existiert.

Fragen Sie dann, wem das Ergebnis gehört. Ein Test ohne Eigentümer ist eine Vorführung. Eine Lücke ohne Datum ist ein dauerhaftes Merkmal. Eine Kontrolle ohne Aufzeichnung ist ein Glaube. Die Übersicht sollte daher die Person oder Stelle benennen, die das Risiko übernimmt, den Lieferanten, der die Aktion ausführen muss, und den Weg, das Ergebnis anzufechten. Governance ist kein Stapel von Fragen. Es ist eine Reihe von Entscheidungen mit einem Ziel.

Ein Gedankenexperiment über ein europäisches Archiv

Das Folgende ist eine gekennzeichnete Hypothese, kein Bericht über einen tatsächlichen Kunden oder Vorfall. Stellen Sie sich ein kommunales Archiv vor, das einen gehosteten Dienst für digitalisierte Planungsunterlagen auswählt. Die Ausschreibung verlangt primäre Speicherung in der Europäischen Union und fordert Verschlüsselung, Sicherungen und einen Support-Desk. Drei Anbieter erfüllen die Worte. Einer ist lokal eingetragen, verlässt sich aber auf einen Support-Subunternehmer außerhalb der Union. Einer hält Speicherung und Support in der Union, nutzt aber die Identitätsplattform der Muttergesellschaft. Einer hat einen kleineren lokalen Betrieb, eine klare Schlüsselverwahrung und einen getesteten Export, benötigt aber einen sorgfältig abgegrenzten Service-Level, weil er nicht jedes optionale Feature anbieten kann.

Der erste Anbieter kann dennoch akzeptabel sein. Der zweite kann dennoch akzeptabel sein. Der dritte kann für eine bestimmte Verfügbarkeitsanforderung dennoch ungeeignet sein. Der Punkt des Gedankenexperiments ist, dass die reine Ansässigkeit allein nicht zwischen ihnen entscheiden kann. Das Archiv muss fragen, welcher Support-Zugriff möglich ist, wer eine Kopie erstellen kann, welche juristischen Personen eine Anordnung erhalten können, wie die Schlüssel verwaltet werden, was die Protokolle zeigen und ob die Unterlagen anderswo wiederhergestellt werden können.

Angenommen, das Archiv entscheidet, dass lokale Speicherung seine wichtigste Bedingung ist. Es kann diese Anforderung in den Vertrag schreiben. Es sollte auch die Objekte definieren, die von der Bedingung abgedeckt werden, eine Benachrichtigung bei Änderungen verlangen und klären, wie ein Verstoß erkannt würde. Angenommen, es entscheidet, dass Fernwartung nur für einen dokumentierten Vorfall zulässig ist. Der Dienst benötigt einen Genehmigungsweg, zeitlich begrenzte Zugangsdaten und einen Datensatz, der überprüft werden kann. Angenommen, es entscheidet, dass das Archiv in der Lage sein muss, den Dienst zu verlassen. Der Ausstieg sollte getestet werden, bevor der Dienst der einzige Ort wird, an dem jemand noch weiß, wie die Aufzeichnungen gelesen werden.

Nichts in diesem Gedankenspiel verlangt, dass das Archiv ein Rechenzentrum betreibt. Es verlangt, dass das Archiv die Befugnisse versteht, die es delegiert. Das ist der Unterschied zwischen verantwortungsvoller Auslagerung und einem Kauf, der das Risiko in einen Raum verschiebt, den der Käufer nicht betreten kann.

Was Europa mit souverän ehrlich meinen kann

Europäische Souveränität in der digitalen Infrastruktur sollte mit Begriffen beschrieben werden, die einer unangenehmen Nachfrage standhalten. Sie kann bedeuten, dass eine europäische Institution die Autorität über kritische Entscheidungen behält. Sie kann bedeuten, dass zentrale Abhängigkeiten sichtbar, begrenzt und wiederherstellbar sind. Sie kann bedeuten, dass rechtliche Ansprüche durch technische Fähigkeiten gestützt werden. Sie kann bedeuten, dass ein öffentlicher Auftraggeber wechseln, anfechten, prüfen und den Betrieb fortsetzen kann, wenn ein Anbieter oder ein Gesetz den verfügbaren Weg ändert.

Sie sollte nicht bedeuten, dass ein Dienst automatisch sicher ist, weil seine Marketingadresse europäisch ist. Sie sollte auch nicht bedeuten, dass jede ausländische Verbindung verboten ist. Europa ist auf grenzüberschreitende Systeme angewiesen, und eine Regel, die das Gegenteil behauptet, wird ignoriert oder stillschweigend umgangen. Die reife Haltung ist anspruchsvoller: Erlauben Sie die Abhängigkeiten, die der Aufgabe dienen, dokumentieren Sie sie, reduzieren Sie diejenigen, die unannehmbare Macht mit sich bringen, und behalten Sie einen Ausstieg für diejenigen, die nicht vertrauenswürdig gemacht werden können.

Diese Haltung gibt auch europäischen Anbietern einen faireren Test. Ein lokaler Anbieter sollte keine Fahnenzeremonie abhalten müssen, um ernst genommen zu werden. Er sollte zeigen können, was er betreibt, was er delegiert, wer Zugriff hat, welches Recht gelten kann, wie Daten geschützt werden und wie ein Kunde gehen kann. Ein globaler Anbieter sollte denselben Fragen gegenüberstehen. Der Maßstab ist Kontrollnachweis, nicht Herkunftstheater.

Das Wort Souveränität wird nützlich, wenn es das Kaufverhalten verändert. Ein Ministerium kann die Beschaffung nutzen, um einen getesteten Ausstiegsweg zu belohnen. Ein Krankenhaus kann zentrale Vereinbarungen verlangen, die seinen klinischen Pflichten entsprechen. Eine Universität kann die Herkunft von Forschungsdaten sichtbar machen. Eine Aufsichtsbehörde kann den Zustand eines Systems zum Zeitpunkt einer Entscheidung abfragen. Ein Anbieter kann seinen Dienst so gestalten, dass die Autorität des Kunden kein dekorativer Absatz ist. Das sind institutionelle Handlungen, kein Slogan-Wettbewerb.

Eine kurze Anmerkung von uns

Bei Dweve verwendet unsere öffentliche Analyse The Sovereignty Illusion: where control really sits, veröffentlicht am 29. Juni 2026, eine ähnliche Disziplin. Sie trennt Eigentum, Technologie, Kapital, Infrastruktur und rechtliche Risiken, anstatt ein europäisches Etikett für alle fünf stehen zu lassen. Dieser Artikel ist enger gefasst. Er folgt der Behauptung über das Rechenzentrum in die operativen und rechtlichen Ebenen, die ein Käufer steuern muss.

So beschreiben wir auch unsere eigene Arbeit am liebsten. Ein System sollte seine Grenzen lesbar machen: was lokal ist, was delegiert ist, was aufgezeichnet wird, was angefochten werden kann und was geändert werden kann. Die nützliche Behauptung ist die, die ein Leser prüfen kann. Der Rest ist Dekoration, und Europa hat bereits genug dekorative Infrastruktur.

Das rechtliche Argument beginnt nach der Adresse

Der Standort eines Rechenzentrums ist wissenswert. Er kann den physischen Zugang, die Resilienz, die Konnektivität, die geltenden lokalen Regeln und das Design eines Dienstes beeinflussen. Er kann die richtige erste Frage sein. Er ist eine schlechte endgültige Antwort.

The final answer has to connect place to authority. It has to name the operator, the identities, the keys, the subcontractors, the legal tools, the possible requests, the evidence and the exit. For personal data, the European level of protection must remain essentially equivalent when the data is transferred, and exporters have to assess the circumstances rather than repeat a location claim. For non-personal data, the Data Act adds rules about foreign access and cloud switching, which again make control and portability concrete.

There is no single European number that can turn a complicated service into a sovereign one. There is a sequence of questions, tests and records. The sequence is slower than printing “EU hosted” on a brochure. It is also the part that remains useful after the brochure has gone out of date.

When a buyer asks where the data is, answer the location precisely. Then ask who can read it, who can act on it, who can be compelled, who can prove what happened and who can leave. A European data centre can be part of a trustworthy arrangement. It cannot be the legal argument on its own.

Sources

• Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data, European Data Protection Board, final version 18 June 2021. The linked page includes the official PDF.
• Case C-311/18, Data Protection Commissioner v Facebook Ireland and Schrems II, Court of Justice of the European Union, judgment 16 July 2020, EUR-Lex.
• Regulation (EU) 2023/2854, the Data Act, European Parliament and Council, 13 December 2023, EUR-Lex.
• Data Act explained, European Commission, published 2025 and accessed 5 August 2026.
• Cloud Computing Risk Assessment and the official report PDF, European Union Agency for Cybersecurity (ENISA), 2009.
• The Sovereignty Illusion: where control really sits, Dweve, 29 June 2026.