Startseite›Ratgeber›Souveränität
Souveränität
Eine europäische und eine amerikanische Cloud unterscheiden sich zuerst durch die Gesellschaft, die den Dienst kontrolliert, dann durch das Recht, das für diese Gesellschaft gilt, und erst danach durch das Land der Server. Zwei identische Serverräume in Frankfurt können zwei verschiedenen Rechtsordnungen unterliegen.
Man vergleicht oft Karten von Rechenzentren: Paris, Dublin, Frankfurt. Das ist einfach und beantwortet eine Nebenfrage. Um zu wissen, wer gezwungen werden kann, Ihre Daten herauszugeben, muss man die Gesellschaft betrachten, die sie besitzt, und das Recht, dem sie unterliegt. Der nützliche Vergleich stellt zwei rechtliche Positionen gegenüber, nicht zwei Länder, und er kürt keinen Sieger: Die richtige Wahl hängt von den Nutzungen des Unternehmens ab. Der Begriff der Souveränität wird unter Was ist eine souveräne Cloud erläutert, das Beschaffungsraster unter Definition, Kriterien und Grenzen. Diese Seite vergleicht.
Microsoft und Google sind Gesellschaften amerikanischen Rechts. Ihre europäischen Verträge, ihre Tochtergesellschaften und ihre Rechenzentren in der Union ändern nichts an dieser Tatsache. Wendet sich eine amerikanische Behörde nach amerikanischem Recht an sie, lautet die Frage: Besitzt oder kontrolliert die Gesellschaft die Daten, auch wenn die Festplatten in Europa stehen?
Der CLOUD Act, ein amerikanisches Gesetz von 2018, beantwortet dies für Dienstleister, die der Gerichtsbarkeit der Vereinigten Staaten unterliegen: Eine gültige Anordnung kann Daten erfassen, die der Dienstleister besitzt, unabhängig vom Speicherort. Das ist kein dauerhafter Zugriff. Es ist ein Verfahren. Der praktische Punkt für den Einkäufer liegt woanders: Der europäische Standort der Festplatte nimmt den amerikanischen Dienstleister nicht aus diesem Verfahren heraus.
Diese Gesellschaften bieten echte Lokalisierungsregelungen an. Microsoft beschreibt eine europäische Datengrenze (EU Data Boundary) für berechtigte Dienste: Kundendaten und pseudonymisierte personenbezogene Daten, die in der EU oder der EFTA gespeichert und verarbeitet werden, Daten professioneller Dienstleistungen, die im Ruhezustand gespeichert werden, mit dokumentierten Ausnahmen (Fernzugriff des Supports, bestimmte Eskalationen, optionale Funktionen, Multi-Geo-Kunden außerhalb des Geltungsbereichs). Google bietet Datenregionen für abgedeckte Inhalte je nach Edition sowie eine Zugriffskontrolle des Supports (Access Management), die bestimmten Editionen und Optionen vorbehalten ist. Diese Regelungen verringern die Datenflüsse. Sie ändern nicht die Nationalität des Softwareherstellers.
Ein amerikanischer Softwarehersteller, der europäische Kunden bedient, steht zwischen zwei Rechtsordnungen. Das amerikanische Recht kann ihn verpflichten, Daten herauszugeben, die er kontrolliert. Die DSGVO (Datenschutz-Grundverordnung) sieht in Artikel 48 vor, dass eine Entscheidung eines Gerichts oder einer Behörde eines Drittlands, mit der die Übermittlung oder Offenlegung personenbezogener Daten verlangt wird, nur dann anerkannt oder vollstreckbar ist, wenn sie auf eine internationale Übereinkunft gestützt ist, etwa ein Rechtshilfeabkommen, die zwischen diesem Land und der Union oder dem Mitgliedstaat in Kraft ist. Der Text sagt nicht, wie ein Softwarehersteller diese beiden Anforderungen im Einzelfall miteinander vereinbart: Es ist Sache des Dienstleisters, seine Praxis zu erläutern, und Sache des Kunden, danach zu fragen.
Das amerikanische Recht sieht einen Rechtsbehelf vor. Nach 18 U.S.C. § 2703(h) kann der Dienstleister innerhalb von 14 Tagen nach Zustellung die Aufhebung oder Änderung einer Anordnung beantragen, wenn er der Ansicht ist, dass der Kunde keine „United States person“ ist, nicht in den Vereinigten Staaten ansässig ist und die Herausgabe ihn einem erheblichen Risiko aussetzen würde, das Recht einer „qualifizierten ausländischen Regierung“ zu verletzen. Gemeint ist ein Staat, der mit den Vereinigten Staaten durch ein in Kraft getretenes Exekutivabkommen verbunden ist. Das amerikanische Justizministerium veröffentlicht Abkommen mit dem Vereinigten Königreich (unterzeichnet am 3. Oktober 2019) und Australien (unterzeichnet am 15. Dezember 2021). Mit der Europäischen Union ist kein Abkommen in Kraft; die Verhandlungen zwischen der EU und den Vereinigten Staaten über elektronische Beweismittel wurden 2023 wieder aufgenommen; die Seite des Ministeriums erwähnt kein Abkommen mit Frankreich. Dieser spezifische Anfechtungsmechanismus setzt jedoch ein solches Abkommen voraus.
Die Frage wurde in Frankreich öffentlich gestellt. Am 10. Juni 2025 wurde der Direktor für öffentliche und rechtliche Angelegenheiten von Microsoft France vor dem Untersuchungsausschuss des Senats zum öffentlichen Beschaffungswesen gefragt, ob er unter Eid garantieren könne, dass die Daten französischer Bürger, die Microsoft über die Ugap anvertraut wurden, niemals infolge einer Anordnung der amerikanischen Regierung ohne die ausdrückliche Zustimmung der französischen Behörden übermittelt würden. Er antwortete: „Nein, das kann ich nicht garantieren, aber, noch einmal, das ist bisher noch nie vorgekommen.“ Die Antwort enthält beide Elemente der Debatte: eine Garantie, die die Gesellschaft nicht geben kann, und einen Fall, der nach ihren Angaben nicht eingetreten ist.
Eine europäische Cloud im sinnvollen Wortsinn wird von einer Gesellschaft europäischen Rechts betrieben, die nicht von einem Konzern abhängt, der einer amerikanischen Pflicht zur Datenherausgabe unterliegt. OVHcloud ist eine französische Gesellschaft. Die Nextcloud GmbH ist eine deutsche Gesellschaft: Sie entwickelt eine Software, die der Kunde oder ein Hosting-Anbieter betreibt. BlueMind ist eine französische Gesellschaft für E-Mail-Dienste. Infomaniak ist eine Schweizer Gesellschaft: Die Schweiz liegt in Europa, außerhalb der Europäischen Union, und profitiert von einem Angemessenheitsbeschluss der Kommission. Sie als „amerikanisch“ einzustufen wäre falsch. Sie als „Europäische Union“ einzustufen wäre ebenfalls falsch.
Das europäische Recht ist kein einheitlicher Schutzschild. Ein französischer Betreiber unterliegt französischem Recht, ein deutscher Betreiber deutschem Recht. Behördliche Ersuchen gibt es. Sie laufen über das Gericht und die Regeln des Landes des Betreibers.
Der europäische Charakter kann auch durch Unterbeauftragung verloren gehen: Ein europäischer Betreiber, der Sicherungen, Filterung oder Support einem amerikanischen Dienstleister anvertraut, führt wieder ein, was der Einkäufer vermeiden wollte. Die Seite ein Unternehmen vor dem CLOUD Act schützen erläutert diesen Punkt.
| Frage | Cloud eines amerikanischen Softwareherstellers, Daten in Europa | Von einer europäischen Gesellschaft betriebene Cloud |
|---|---|---|
| Wo stehen die Festplatten? | Oft wählbar, in einer EU-Region, mit schriftlich festgelegten Ausnahmen | Je nach Vertrag: Frankreich, Deutschland, ein anderes EU-Land oder beim Kunden |
| Wer kann in den Vereinigten Staaten verpflichtet werden, die von ihm kontrollierten Daten herauszugeben? | Der amerikanische Softwarehersteller, wenn er die Daten besitzt oder kontrolliert | Grundsätzlich nicht der europäische Betreiber, es sei denn, er hängt von einem Konzern oder Unterauftragnehmer ab, der es ist |
| Welches Gericht bei einem lokalen Ersuchen? | Vertragsrecht, oft ergänzt durch das amerikanische Recht des Softwareherstellers | Recht des Landes des Betreibers |
| Erweiterte Office-Funktionen | Sehr umfassend (Office, Excel, Teams oder Docs und die Google-Suche) | Je nach Produkt unterschiedlich. Selten gleichwertig bei fortgeschrittenem Excel, Power BI oder dem Teams-Ökosystem |
| Datenexport | Echte Exportwerkzeuge, Chat- und Automatisierungsverläufe oft unvollständig | Angebot für Angebot zu prüfen. Der E-Mail-Export (IMAP) ist in der Regel am einfachsten |
Keine Spalte gewinnt überall: Der amerikanische Softwarehersteller liegt beim Funktionsumfang vorn, der europäische Betreiber bei der rechtlichen Position. Entscheiden heißt wissen, welche Zeile für Ihr Unternehmen am schwersten wiegt.
Selbst bei in Europa gespeicherten Daten umfasst ein Dienst eines amerikanischen Softwareherstellers Übermittlungen (Supportzugriffe, Eskalationen, optionale Funktionen), die auf einer Rechtsgrundlage der DSGVO beruhen müssen.
Der vorherige Rahmen, der Privacy Shield (Beschluss 2016/1250), wurde vom Gerichtshof der Europäischen Union am 16. Juli 2020 für ungültig erklärt (Rechtssache C-311/18, sogenanntes Schrems-II-Urteil), insbesondere wegen des Umfangs der amerikanischen Überwachungsprogramme und des Fehlens eines wirksamen Rechtsbehelfs. Die Standardvertragsklauseln bleiben gültig, erfordern aber eine Einzelfallprüfung.
Mit Stand vom 5. Oktober 2026 können sich Übermittlungen an zertifizierte amerikanische Organisationen auf den Angemessenheitsbeschluss (EU) 2023/1795, das sogenannte Data Privacy Framework, stützen. Er ist in Kraft. Er ist umstritten, wie die Kanzleien DAC Beachcroft und WilmerHale festhalten. Nach Angaben der letztgenannten hat das Gericht der Europäischen Union am 3. September 2025 eine Nichtigkeitsklage abgewiesen, und am 31. Oktober 2025 wurde ein Rechtsmittel beim Gerichtshof eingelegt. Ein umsichtiges Unternehmen dokumentiert diese Rechtsgrundlage in seinem Verzeichnis und plant, was zu tun ist, falls sie wegfällt.
Sie bleibt sinnvoll, wenn das Geschäft auf fortgeschrittenem Excel, Power BI, Office-Add-ins, Teams als Branchenstandard oder Dutzenden bereits produktiver Integrationen beruht. Aus rechtlichen Gründen das Werkzeug zu wechseln und dann die Nutzung zu verlieren, die das Unternehmen am Laufen hält, ist eine schlechte Rechnung. Die Seite Microsoft 365 im Vergleich zu einer souveränen Lösung erläutert diese Schwelle.
Sie bleibt auch sinnvoll, wenn die rechtliche Analyse der Übermittlung, der Auftragsverarbeitungsvertrag (DPA) und die Optionen zur Datenresidenz dem tatsächlichen Bedarf des Verzeichnisses entsprechen. Viele europäische Unternehmen nutzen Microsoft 365 oder Google Workspace in diesem Rahmen. Das zu sagen gehört zu einem ehrlichen Vergleich. Die durchzuführenden Prüfungen werden unter DSGVO und Microsoft 365 und DSGVO und Google Workspace beschrieben.
Er wird sinnvoll, wenn die Geschäftsführung will, dass die Gesellschaft, die die E-Mails und Dateien besitzt, eine europäische Gesellschaft ist, dass der Support in diesem Rahmen erreichbar ist und dass sich die Nutzungen auf E-Mail-Dienst, Dateien und deren Online-Bearbeitung, Videokonferenzen, ein CRM und Telefonie beschränken. Er wird auch für eine Bereitstellung beim Kunden sinnvoll, wenn das Unternehmen überhaupt keine Cloud will.
Die beiden Optionen schließen sich nicht aus. Ein Unternehmen kann eine amerikanische Suite für die Arbeitsplätze behalten, die davon abhängen, und den Rest einem europäischen Betreiber anvertrauen. Diese Konstruktion erfordert mehr Administration; sie ist gerechtfertigt, wenn die Trennung der Nutzungen klar ist.
Der Leitfaden Europäische Alternativen zu Microsoft 365 stellt Microsoft 365, Google Workspace, OVHcloud, Nextcloud, Infomaniak, weitere Anbieter und Klytic jeweils mit ihrem Anwendungsfall vor.
Hypothetischer Fall. Ein mittelständischer Industriebetrieb hat zwei Standorte. Das Konstruktionsbüro arbeitet mit fortgeschrittenem Excel und tauscht sich mit seinen Auftraggebern über Teams aus. Werkstatt, Einkauf und Verwaltung nutzen vor allem den E-Mail-Dienst und freigegebene Ordner, in denen Pläne liegen.
Ein Auftraggeber verlangt, dass seine Pläne von einer europäischen Gesellschaft verwahrt werden. Für das Konstruktionsbüro würde der Verzicht auf fortgeschrittenes Excel und Teams die Arbeit mit den Kunden durcheinanderbringen: Die amerikanische Suite bleibt gerechtfertigt, mit einer dokumentierten Analyse der Übermittlung. Für die Pläne und den E-Mail-Dienst der übrigen Abteilungen erfüllt ein europäischer Betreiber die Anforderung ohne Nutzungsverlust. Die Entscheidung folgt den Zeilen der Tabelle, nicht einem Prinzip.
Nein. Der CLOUD Act erfasst Daten, die ein amerikanischem Recht unterliegender Dienstleister besitzt oder kontrolliert, unabhängig vom Speicherort. Die europäische Region verringert die Übermittlungen. Sie ändert nicht die Gesellschaft, die die Daten besitzt.
Ja, wenn er von einem Konzern abhängt, der diesem Recht unterliegt, oder wenn er Daten einem Unterauftragnehmer anvertraut, der ihm unterliegt. Deshalb muss man die Muttergesellschaft und die Liste der Unterauftragnehmer prüfen, nicht nur den Namen des Betreibers.
Es liefert eine Rechtsgrundlage für Übermittlungen an zertifizierte amerikanische Organisationen im Sinne der DSGVO. Es ist in Kraft und umstritten. Es ändert weder die Nationalität des Softwareherstellers noch die Reichweite der im amerikanischen Recht vorgesehenen Anordnung.
Klytic gehört in die zweite Spalte der Tabelle. Es wird von Dedicace Software betrieben, einer französischen Gesellschaft. Das Hosting ist in jeder geografischen Zone möglich, die der anwendbaren Rechtsordnung entspricht, vorbehaltlich der Verfügbarkeit der benötigten Dienste, zum Beispiel in Europa oder auf Mauritius, oder auf den Servern des Kunden.
Der E-Mail-Dienst beruht auf Zimbra, herausgegeben von Synacor in den Vereinigten Staaten und betrieben von Klytic. Die Dokumente beruhen auf einer dedizierten Nextcloud-Instanz pro Kunde. Klytic ist nicht nach SecNumCloud qualifiziert und ersetzt weder fortgeschrittenes Excel noch Power BI noch Teams. Die Dienste werden einzeln erworben: Ein Unternehmen kann Microsoft 365 behalten und nur die Filterung Klytic MTA hinzufügen, die seinem E-Mail-Dienst vorgeschaltet wird. Die Einzelheiten zum Hosting finden Sie auf der Seite Hosting und Souveränität.
Diese Seite beschreibt einen allgemeinen Rahmen. Sie ersetzt nicht die Prüfung Ihres Vertrags.
Rechtsstand: 5. Oktober 2026. Dieser Text ersetzt keine Vertragsprüfung. Der Angemessenheitsbeschluss EU–USA (EU) 2023/1795 ist in Kraft. Er wird angefochten. Für SecNumCloud ist der Katalog der ANSSI maßgeblich.
Abgerufen im Oktober 2026.
E-Mail, Dokumente, Videokonferenz, CRM und Telefonie, gehostet in der Zone, die Ihrer Rechtsordnung entspricht, zum Beispiel in Europa oder auf Mauritius, oder bei Ihnen vor Ort.
Willkommensangebot
Testangebot ohne Verpflichtung. Ein Berater ruft Sie zurück, um Ihre Bedürfnisse zu verstehen und Ihren Klytic-Bereich vorzubereiten.
