{"id":3685,"date":"2026-10-05T22:26:29","date_gmt":"2026-10-05T20:26:29","guid":{"rendered":"https:\/\/eu.klytic.com\/?page_id=3685"},"modified":"2026-10-06T17:21:59","modified_gmt":"2026-10-06T15:21:59","slug":"souveraene-cloud-definition","status":"publish","type":"page","link":"https:\/\/eu.klytic.com\/de\/souveraene-cloud-definition\/","title":{"rendered":"Souver\u00e4ne Cloud: Definition, Kriterien und Grenzen"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Startseite<\/a>\u203a<\/span>Ratgeber<\/a>\u203a<\/span>Souver\u00e4nit\u00e4t<\/a><\/p>

Souver\u00e4nit\u00e4t<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Souver\u00e4ne Cloud: Definition, Kriterien und Grenzen<\/h1>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Eine souver\u00e4ne Cloud ist in einer Beschaffungsakte ein Dienst, dessen Betreiber, anwendbares Recht und Administrationszugriffe bekannt sind und dessen Daten zur\u00fcckgeholt werden k\u00f6nnen. Die Marketing-Definition schwankt. Die Kriterien hingegen lassen sich in einem Raster erfassen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Aktualisiert im Oktober 2026<\/b><\/span>8 Min.<\/b> Lesezeit<\/span>Mit offiziellen Quellen<\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Warum ein Raster statt eines Labels<\/h2>

\u201eSouver\u00e4ne Cloud\u201c in eine Ausschreibung zu schreiben hei\u00dft, eine Frage zu stellen, die jeder Bieter mit Ja beantwortet. Die Antworten werden unvergleichbar, und die Wahl f\u00e4llt nach dem Preis oder nach dem Eindruck, den die Pr\u00e4sentation hinterlassen hat.<\/p>

Ein Raster zwingt jeden Bieter, dieselbe Frage mit einem Nachweis zu beantworten. Es sch\u00fctzt den Eink\u00e4ufer auch nach der Unterzeichnung: Eine schriftliche Zusage in der Antwort auf die Ausschreibung kann in den Vertrag \u00fcbernommen werden, w\u00e4hrend sich ein Adjektiv nicht kontrollieren l\u00e4sst. Der Begriff selbst wird unter Was ist eine souver\u00e4ne Cloud<\/a> erl\u00e4utert. Diese Seite dient der Beschaffung.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Eine brauchbare Definition<\/h2>

Merken Sie sich diese.<\/p>

Ein digitaler Dienst gilt f\u00fcr einen europ\u00e4ischen Eink\u00e4ufer als souver\u00e4n, wenn die Gesellschaft, die ihn betreibt, europ\u00e4ischem Recht unterliegt, die anvertrauten Daten und ihre Sicherungen im angegebenen geografischen Geltungsbereich bleiben, die Betriebszugriffe identifiziert sind und der Kunde seine Daten exportieren und anschlie\u00dfend l\u00f6schen lassen kann.<\/p><\/blockquote>

Dieser Satz ist ein Arbeitswerkzeug. Er ist kein Artikel der DSGVO (Datenschutz-Grundverordnung). Die Verordnung definiert Rollen (Verantwortlicher, Auftragsverarbeiter), \u00dcbermittlungen und die Rechte der betroffenen Personen. Sie vergibt kein Label \u201esouver\u00e4n\u201c.<\/p>

Jeder Teil des Satzes verweist auf eines oder mehrere der folgenden Kriterien. Das macht ihn brauchbar: Man kann ihn in Fragen zerlegen und die Antworten bewerten.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Zehn Kriterien<\/h2>

Jedes Kriterium wird durch ein Dokument belegt, nicht durch ein Adjektiv.<\/p>

  1. Betreibende Gesellschaft.<\/strong> Firmenname, Sitzland und Muttergesellschaft. Eine europ\u00e4ische Tochtergesellschaft eines amerikanischen Konzerns kann in Euro abrechnen und dennoch zu einem Konzern geh\u00f6ren, der amerikanischem Recht unterliegt. Dieses Kriterium bestimmt, an wen sich eine ausl\u00e4ndische Beh\u00f6rde wenden kann.<\/li>
  2. Vertragsrecht.<\/strong> Anwendbares Recht und zust\u00e4ndiges Gericht. Pr\u00fcfen Sie, ob die Allgemeinen Gesch\u00e4ftsbedingungen und die Vereinbarung zur Auftragsverarbeitung dasselbe sagen.<\/li>
  3. Umfang der Daten.<\/strong> Inhalte (E-Mails, Dateien), Sicherungen, technische Protokolle, Supportdaten. Die Inhalte allein gen\u00fcgen nicht: Eine Zusage, die nur die Postf\u00e4cher abdeckt, l\u00e4sst die Kopien au\u00dfen vor.<\/li>
  4. Ort.<\/strong> Land oder Region f\u00fcr jede Kategorie aus Punkt 3. \u201eEuropa\u201c muss pr\u00e4zisiert werden: Europ\u00e4ische Union, EFTA oder ein benanntes Land.<\/li>
  5. Administrierende Personen.<\/strong> Mitarbeitende des Betreibers, Unterauftragnehmer, Bereitschaftsdienst au\u00dferhalb der Zone. Ein Fernzugriff, auch ein vor\u00fcbergehender, ist eine Verarbeitung. Fragen Sie auch, ob diese Zugriffe protokolliert werden und ob der Kunde das Protokoll einsehen kann.<\/li>
  6. Verschl\u00fcsselungsschl\u00fcssel.<\/strong> Wer sie besitzt, wer sie f\u00fcr eine Wiederherstellung verwenden kann, wer sie an einen Dritten herausgeben kann. Die Frage lautet nicht \u201eSind die Daten verschl\u00fcsselt?\u201c, sondern \u201eWer kann sie entschl\u00fcsseln?\u201c.<\/li>
  7. Unterauftragnehmer.<\/strong> Aktuelle Liste: Spamschutz, Sicherung, Support, Reichweitenmessung, Identit\u00e4t. Ein Unterauftragnehmer, der einem anderen Recht unterliegt, kann die Wirkung von Kriterium 1 aufheben.<\/li>
  8. Beh\u00f6rdliche Ersuchen.<\/strong> Internes Verfahren, wenn eine Beh\u00f6rde Daten anfordert, und das auf dieses Ersuchen anwendbare Recht. Fragen Sie, ob sich der Dienstleister verpflichtet, den Kunden zu informieren, soweit das Gesetz es erlaubt.<\/li>
  9. Reversibilit\u00e4t.<\/strong> Formate, Frist, Kosten und was nicht exportierbar ist (Chatverl\u00e4ufe, interne Regeln, Protokolle). Am sichersten ist es, einen Export vor der Unterzeichnung zu testen.<\/li>
  10. Etwaige Qualifizierung.<\/strong> Verlangt der Eink\u00e4ufer SecNumCloud, muss der Name des qualifizierten Dienstes dem im Katalog der ANSSI entsprechen. Ein auf einer qualifizierten Infrastruktur gehostetes Angebot erbt die Qualifizierung nicht. Seit Version 3.2 seines Anforderungskatalogs (2022) enth\u00e4lt SecNumCloud Anforderungen zum Schutz gegen\u00fcber au\u00dfereurop\u00e4ischem Recht, die den Sitz, die Kontrolle des Kapitals, den Standort und das Personal betreffen.<\/li><\/ol>

    Wie man gewichtet<\/h3>

    Die zehn Kriterien haben nicht f\u00fcr alle Eink\u00e4ufer dasselbe Gewicht. F\u00fcr einen E-Mail-Dienst und eine Dateifreigabe machen in der Regel die Kriterien 1, 3, 4, 5 und 9 den Unterschied zwischen den Angeboten. Kriterium 10 ist ein Ausschlusskriterium, wenn es verlangt wird, und andernfalls neutral. Legen Sie die Gewichtung fest, bevor Sie die Antworten \u00f6ffnen, nicht danach.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Die Grenzen, klar benannt<\/h2>

    Der Ort ersetzt nicht das Recht.<\/strong> Ein Rechenzentrum in Frankfurt, das von einer amerikanischen Gesellschaft betrieben wird, bleibt ein Dienst dieser Gesellschaft. Der amerikanische CLOUD Act erfasst Daten, die ein der Gerichtsbarkeit der Vereinigten Staaten unterliegender Dienstleister besitzt, unabh\u00e4ngig vom Land der Festplatte. Siehe ein Unternehmen vor dem CLOUD Act sch\u00fctzen<\/a> und den Vergleich europ\u00e4ische oder amerikanische Cloud<\/a>.<\/p>

    Europ\u00e4isches Recht bedeutet nicht, dass es keine Anordnungen gibt.<\/strong> Ein franz\u00f6sisches, deutsches oder niederl\u00e4ndisches Gericht kann einem Betreiber in seinem Zust\u00e4ndigkeitsbereich die Herausgabe von Daten anordnen. Der Unterschied betrifft das Gericht, das Verfahren und die Rechtsmittel. Ein Raster, das das Gegenteil glauben lie\u00dfe, w\u00fcrde den Eink\u00e4ufer in die Irre f\u00fchren.<\/p>

    Software und Betreiber sind zu unterscheiden.<\/strong> Nextcloud wird von der Nextcloud GmbH in Deutschland herausgegeben. Zimbra wird von Synacor in den Vereinigten Staaten herausgegeben. BlueMind ist eine franz\u00f6sische Gesellschaft. In allen drei F\u00e4llen h\u00e4ngt die Souver\u00e4nit\u00e4t Ihres<\/em> Dienstes davon ab, wer ihn installiert, wer ihn sichert und wer ans Telefon geht. Die Nationalit\u00e4t des Softwareherstellers z\u00e4hlt vor allem dann, wenn er Zugriff auf die Daten hat: Sie wird dann unter Kriterium 7 behandelt.<\/p>

    SecNumCloud ist eng gefasst.<\/strong> Es ist eine Qualifizierung der ANSSI, Angebot f\u00fcr Angebot, mit einem Geltungsbereich und einem Ablaufdatum. Sie wird h\u00e4ufig f\u00fcr sensible Daten des Staates verlangt. Als einziges Kriterium ist sie f\u00fcr ein KMU, das einen E-Mail-Dienst und eine Dateifreigabe sucht, unverh\u00e4ltnism\u00e4\u00dfig. Sie ist unzureichend, wenn man sich auf sie beruft, ohne die Entscheidung zu lesen.<\/p>

    Kein Angebot deckt alle Nutzungen von Microsoft 365 ab.<\/strong> Fortgeschrittenes Excel, Power BI, das Teams-\u00d6kosystem und branchenspezifische Add-ins haben bei europ\u00e4ischen Betreibern kein allgemeines Pendant. Das Souver\u00e4nit\u00e4tskriterium entscheidet diesen Punkt nicht. Es kommt hinzu. Sind diese Nutzungen zentral, kann das Raster dazu f\u00fchren, Microsoft 365 in voller Kenntnis der Sachlage zu behalten: siehe Microsoft 365 im Vergleich zu einer souver\u00e4nen L\u00f6sung<\/a>.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Wie man es in ein Lastenheft schreibt<\/h2>

    Ersetzen Sie \u201esouver\u00e4ne Cloud\u201c durch die zehn Kriterien, jeweils mit einem erwarteten Nachweis. Dann k\u00f6nnen Sie ein Microsoft-Angebot mit europ\u00e4ischer Datengrenze, ein Google-Angebot mit Datenregion, ein Schweizer Angebot wie Infomaniak und ein in Frankreich betriebenes Angebot vergleichen. Der Vergleich wird zur Pr\u00fcfung von Nachweisen, nicht zu einem Wettstreit der Adjektive.<\/p>

    Kriterium<\/th>Frage an den Bieter<\/th>Erwarteter Nachweis<\/th><\/tr><\/thead>
    1. Betreibende Gesellschaft<\/td>Welche Gesellschaft betreibt den Dienst, und wer kontrolliert sie?<\/td>Handelsregisterauszug, Konzernorganigramm<\/td><\/tr>
    2. Vertragsrecht<\/td>Welches Recht, welches Gericht?<\/td>Klausel der Allgemeinen Gesch\u00e4ftsbedingungen und der Vereinbarung zur Auftragsverarbeitung<\/td><\/tr>
    3 und 4. Umfang und Ort<\/td>Welche Datenkategorien, in welchen L\u00e4ndern?<\/td>Tabelle nach Kategorie: Inhalte, Sicherungen, Protokolle, Support<\/td><\/tr>
    5. Administration<\/td>Wer administriert, von wo aus, mit welcher Protokollierung?<\/td>Beschreibung der Teams und der Protokollierung<\/td><\/tr>
    6. Schl\u00fcssel<\/td>Wer kann entschl\u00fcsseln, und in welchen F\u00e4llen?<\/td>Beschreibung des Verschl\u00fcsselungsschemas<\/td><\/tr>
    7. Unterauftragnehmer<\/td>Wer erh\u00e4lt eine Kopie oder einen Zugriff?<\/td>Namentliche Liste mit Land<\/td><\/tr>
    8. Beh\u00f6rden<\/td>Was tun Sie bei einem Ersuchen?<\/td>Schriftliches Verfahren<\/td><\/tr>
    9. Reversibilit\u00e4t<\/td>Wie erhalten wir alles zur\u00fcck, und in welcher Zeit?<\/td>Exportverfahren, Formate, Test<\/td><\/tr>
    10. Qualifizierung<\/td>Ist das angebotene Angebot qualifiziert?<\/td>Verweis auf den Katalog der ANSSI, falls verlangt<\/td><\/tr><\/tbody><\/table><\/div>

    Das rein geografische Kriterium wird ausf\u00fchrlich unter Was \u201ein Europa gehostete Daten\u201c wirklich bedeutet<\/a> behandelt.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    Beispiel: ein mittelst\u00e4ndisches Dienstleistungsunternehmen schreibt aus<\/h2>

    Hypothetischer Fall. Ein mittelst\u00e4ndisches Dienstleistungsunternehmen erneuert seinen E-Mail-Dienst und seine Dateifreigabe. Die erste Fassung seines Lastenhefts verlangt \u201eeine in Europa gehostete souver\u00e4ne Cloud-L\u00f6sung\u201c. Die drei Bieter antworten mit Ja.<\/p>

    Die IT-Abteilung schreibt die Ausschreibung mit dem Raster neu. Die Antworten werden lesbar. Der erste Bieter hostet in Europa, geh\u00f6rt aber zu einem Konzern, der amerikanischem Recht unterliegt: Kriterium 1 nicht erf\u00fcllt, Kriterien 3 und 4 gut dokumentiert. Der zweite ist eine europ\u00e4ische Gesellschaft, vertraut den Nachtsupport aber einem Unterauftragnehmer au\u00dferhalb der Zone an: Kriterium 5 ist zu verhandeln. Der dritte erf\u00fcllt die rechtlichen Kriterien, deckt aber eine fachliche Nutzung nicht ab: Die Gesch\u00e4ftsf\u00fchrung muss abw\u00e4gen. Das Raster hat nicht anstelle des Unternehmens entschieden. Es hat die Entscheidung explizit gemacht.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t

    H\u00e4ufige Fehler<\/h2>