Fünf Fragen, die zeigen, wie europäisch ein Dienst wirklich ist

Modul 2: Was ist eine europäische Cloud wirklich? · Lesezeit: 11 Minuten

Lernziel: Nach dieser Lektion können Sie mit fünf Fragen feststellen, welchem Recht ein Clouddienst unterliegt, und erklären, warum ein Rechenzentrum in Europa dafür nicht ausreicht.

Kernbegriffe: Sitz (satzungsmässiger Sitz), wirtschaftlicher Eigentümer, Rechenzentrumsstandort, Unterauftragsverarbeiter, Fernzugriff, Schlüsselverwaltung, EU, EWR, Angemessenheitsbeschluss, „Sovereign Cloud“

„Unsere Daten liegen in Europa.“ Und dann?

Fast jeder grosse Clouddienst sagt das heute: Ihre Daten liegen in einem Rechenzentrum in Frankfurt, Amsterdam oder Dublin. Das klingt beruhigend, beantwortet aber nur eine der Fragen, auf die es ankommt. In Modul 1 haben Sie gesehen, dass der amerikanische CLOUD Act nicht auf den Standort des Servers schaut, sondern auf das Unternehmen, das die Daten in seinem Besitz, Gewahrsam oder unter seiner Kontrolle hat („possession, custody, or control“). Ein Server in Frankfurt eines Unternehmens, das letztlich amerikanisch ist, kann also trotzdem unter eine amerikanische Anordnung fallen.

Deshalb schauen Sie nicht auf ein Merkmal, sondern auf fünf. Bakkerij De Korrel aus unserem Beispiel (12 Mitarbeitende, Domain example.com) nutzt derzeit ein amerikanisches Office-Paket und möchte wissen, welche Alternativen wirklich europäisch sind. Mit diesen fünf Fragen trennt sie das Marketing von den Fakten.

Frage 1: Wo hat das Unternehmen seinen Sitz?

Der Sitz ist das Land, in dem das Unternehmen, das Ihren Vertrag unterzeichnet, rechtlich eingetragen ist: der satzungsmässige Sitz. Dieses Land bestimmt in erster Linie, welches Recht für das Unternehmen gilt, welches Gericht zuständig ist und welche Aufsichtsbehörde zuständig ist.

Schauen Sie dafür nicht auf die Website, sondern auf die Vertragspartei: den Namen unten in den Allgemeinen Geschäftsbedingungen, im Auftragsverarbeitungsvertrag (AVV) und auf der Rechnung. Steht dort „Example Cloud Ireland Ltd.“, dann ist Ihre Vertragspartei irisch, auch wenn die Marke amerikanisch ist. Das ist ein guter Anfang, aber noch keine Antwort. Dafür brauchen Sie Frage 2.

Frage 2: Wer ist der wirtschaftliche Eigentümer?

Der wirtschaftliche Eigentümer ist das Unternehmen oder die Person an der Spitze der Kette von Anteilseignern. Eine europäische Tochtergesellschaft eines amerikanischen Mutterunternehmens ist rechtlich ein europäisches Unternehmen, aber das Mutterunternehmen hat die Kontrolle. Nach dem CLOUD Act kann ein amerikanisches Gericht das Mutterunternehmen verpflichten, Daten zu liefern, die bei einer Tochtergesellschaft liegen, sofern das Mutterunternehmen tatsächlich „Control“ darüber hat. Ob das in einem konkreten Fall zutrifft, hängt davon ab, wie das Unternehmen aufgebaut ist. Juristen sind sich darüber nicht einig. Genau das macht es zu einem Risiko und nicht zu einer Gewissheit.

Auch umgekehrt kann es passieren: Ein Unternehmen, das heute europäisch ist, kann morgen übernommen werden. In den Niederlanden geschah das 2025 und 2026 rund um Solvinity, das Unternehmen hinter der Infrastruktur von DigiD. Das amerikanische Unternehmen Kyndryl wollte es übernehmen; die niederländische Regierung untersagte die Übernahme im Mai 2026 nach einer Empfehlung des Bureau Toetsing Investeringen (der niederländischen Prüfstelle für Investitionen). Fragen Sie einen Anbieter also auch: Was passiert mit meinem Vertrag bei einer Übernahme? Kann ich dann kostenlos kündigen?

Wo finden Sie den Eigentümer? Im Handelsregister (in den Niederlanden die KVK, in Deutschland das Handelsregister), im Jahresbericht oder auf der Seite „Über uns“ oder „Impressum“. Bei börsennotierten Unternehmen steht es in den Jahresabschlüssen.

Frage 3: Wo liegen die Daten und die Sicherungskopien?

Der Rechenzentrumsstandort bleibt wichtig. Liegen Ihre Daten in der EU, gibt es keine Übermittlung ausserhalb des EWR im Sinne der DSGVO, solange niemand von ausserhalb darauf zugreifen kann. Fragen Sie nach allen Standorten: das primäre Rechenzentrum, das Ausweichrechenzentrum und die Backups. Ein Anbieter mit Servern in den Niederlanden und Backups in den Vereinigten Staaten hat sehr wohl eine Übermittlung.

Achten Sie hier auf drei Begriffe, die oft verwechselt werden:

Die Schweiz und das Vereinigte Königreich gehören also nicht zur EU, aber einen Dienst dort dürfen Sie unter der DSGVO trotzdem ohne zusätzliche Vertragsklauseln nutzen. Der Beschluss für die Schweiz stammt aus dem Jahr 2000 und wurde im Januar 2024 bei einer Neubewertung bestätigt. Der Beschluss für das Vereinigte Königreich wurde am 19. Dezember 2025 bis zum 27. Dezember 2031 verlängert. Ein Angemessenheitsbeschluss kann allerdings überarbeitet oder vom Gerichtshof der Europäischen Union (EuGH) für ungültig erklärt werden: Das geschah zweimal mit den Vereinbarungen mit den USA (Modul 1, Lektion 1.4). Für die Vereinigten Staaten gilt jetzt das Data Privacy Framework, aber nur für amerikanische Unternehmen, die sich dem angeschlossen haben, und mit der Unsicherheit, die Sie in Lektion 1.4 gesehen haben.

Frage 4: Wer hat sonst noch Zugriff? Unterauftragsverarbeiter und Fernzugriff

Ein Unterauftragsverarbeiter ist ein anderes Unternehmen, das der Anbieter beauftragt und das dabei Ihre Daten verarbeitet oder einsehen kann: das Rechenzentrum, ein Backup-Dienst, ein Unternehmen für die E-Mail-Zustellung, eine Support-Abteilung in einem anderen Land, ein KI-Dienst, der E-Mails zusammenfasst. Die DSGVO verlangt, dass der Anbieter Ihnen vorab mitteilt, welche Unterauftragsverarbeiter er einsetzt, und Ihnen ermöglicht, neuen zu widersprechen (Art. 28 DSGVO, Lektion 9.2).

Achten Sie besonders auf den Fernzugriff. Daten, die in Amsterdam liegen, auf die aber ein Support-Mitarbeiter in einem Land ausserhalb des EWR zugreifen kann, um eine Störung zu beheben, gelten nach Auffassung der europäischen Aufsichtsbehörden ebenfalls als übermittelt. Ein Rechenzentrum in Europa mit einem Helpdesk, der rund um die Uhr weltweit mitschauen kann, ist also weniger europäisch, als es scheint.

Wo finden Sie die Liste? Meist als Anlage zum Auftragsverarbeitungsvertrag oder auf einer eigenen Seite „Unterauftragsverarbeiter“ oder „Sub-Processors“. Fehlt diese Liste oder ist sie vage formuliert („wir arbeiten mit sorgfältig ausgewählten Partnern“), ist das ein Warnsignal.

Frage 5: Wer hat den Schlüssel?

Verschlüsselung schützt nur dann vor anderen, wenn diese den Schlüssel nicht haben. Bei den meisten Clouddiensten sind Ihre Daten während der Übertragung (https) und im Ruhezustand (auf der Festplatte) verschlüsselt, aber der Anbieter hat den Schlüssel. Muss der Anbieter Daten herausgeben, kann er sie entschlüsseln. Bei Ende-zu-Ende-Verschlüsselung oder Verschlüsselung mit einem Schlüssel, den nur Sie verwalten, kann der Anbieter das nicht. Das schützt besser, hat aber seinen Preis: Suche, gemeinsame Bearbeitung im Browser und die Wiederherstellung eines vergessenen Passworts funktionieren dann oft nicht oder nur eingeschränkt. Fragen Sie also: Welche Bestandteile sind Ende-zu-Ende verschlüsselt, und was kann ich dann nicht mehr tun?

„Sovereign Cloud“ von amerikanischen Unternehmen

Die grossen amerikanischen Anbieter reagieren auf die Nachfrage nach Souveränität. Ein paar Beispiele, damit Sie die Begriffe wiedererkennen:

• Microsoft EU Data Boundary: Microsoft gab im Februar 2025 bekannt, dass Kundendaten von Microsoft 365, Dynamics 365, Power Platform und den meisten Azure-Diensten innerhalb der EU und der EFTA-Länder gespeichert und verarbeitet werden, einschliesslich Supportdaten. Microsoft schreibt selbst, dass in begrenzten Fällen weiterhin Daten ausserhalb der EU verarbeitet werden, etwa für Sicherheitszwecke. Microsoft bleibt ein amerikanisches Unternehmen. Im Juni 2025 erklärte der Justiziar von Microsoft Frankreich unter Eid im französischen Senat, dass er nicht garantieren könne, dass Daten niemals ohne Zustimmung an amerikanische Behörden weitergegeben würden.
• AWS European Sovereign Cloud: seit dem 15. Januar 2026 allgemein verfügbar, mit einer ersten Region in Brandenburg (Deutschland). Sie wird von einer deutschen Gesellschaft mit Personal in der EU verwaltet und ist technisch von der übrigen AWS-Infrastruktur getrennt. Das wirtschaftliche Mutterunternehmen ist Amazon. Analysten weisen darauf hin, dass das CLOUD-Act-Risiko dadurch kleiner sein kann, aber nicht nachweislich verschwunden ist.
• Kooperationsmodelle: In Frankreich und Deutschland gibt es europäische Unternehmen, die amerikanische Cloud-Technik unter Lizenz betreiben, sodass das europäische Unternehmen die Kontrolle hat. Ob das funktioniert, hängt von den Vereinbarungen über Updates, Verwaltung und Zugriff ab.

Solche Dienste können für manche Organisationen ein vernünftiger Zwischenschritt sein. Stellen Sie ihnen aber dieselben fünf Fragen. Die Antwort auf Frage 2 (Eigentümer) bleibt bei diesen Diensten anders als bei einem Unternehmen, das vollständig europäisch ist.

In der Praxis: So sieht es bei einem Anbieter aus

Nehmen Sie eine WebOké Nextcloud als Beispiel. Sitz und Eigentümer: eine niederländische B.V. Rechenzentrum: laut Handbuch zwei niederländische Rechenzentren von NorthC. Software: Nextcloud, entwickelt von der deutschen Nextcloud GmbH, Open Source. Der Schlüssel der Speicherverschlüsselung liegt beim Anbieter; die Ende-zu-Ende-Verschlüsselung können Sie pro Ordner selbst aktivieren. Bei anderen europäischen Anbietern, etwa anderen Nextcloud-Anbietern, mailbox.org, Infomaniak oder IONOS, suchen Sie dieselben fünf Antworten an denselben Stellen: Vertrag, Handelsregister, Auftragsverarbeitungsvertrag und Liste der Unterauftragsverarbeiter.

Zusammenfassung

• Ein Rechenzentrum in Europa beantwortet nur eine der fünf Fragen.
• Die fünf Fragen: Sitz, wirtschaftlicher Eigentümer, Speicherort der Daten und Backups, Unterauftragsverarbeiter und Fernzugriff, und wer den Schlüssel hat.
• Eine europäische Tochtergesellschaft eines amerikanischen Unternehmens kann trotzdem unter den CLOUD Act fallen.
• Die Schweiz und das Vereinigte Königreich gehören nicht zur EU, haben aber einen Angemessenheitsbeschluss; der EWR ist die EU plus Norwegen, Island und Liechtenstein.
• „Sovereign Cloud“-Dienste amerikanischer Unternehmen verringern Risiken, ändern aber nichts an der Antwort auf die Eigentümerfrage.

Quiz

Aufgabe

Aufgabe A2.1: Wer empfängt und versendet Mail für Ihre Domain? Geben Sie Ihre eigene Domain ein. Das Programm sucht die MX-Einträge und entfaltet Ihren SPF-Eintrag vollständig. Sie tragen ein, welche Organisationen Ihre Mail empfangen und welche in Ihrem Namen Mail versenden dürfen. So sehen Sie in wenigen Minuten, welche Parteien bereits an Ihrer Mail beteiligt sind.

Aufgabe E2.1: Die fünf Fragen für Ihre eigenen Dienste. Wählen Sie zwei Dienste, die Sie derzeit nutzen (zum Beispiel Ihre Mail und Ihre Dateispeicherung), und eine mögliche europäische Alternative. Suchen Sie für alle drei die Antworten auf die fünf Fragen heraus, jeweils mit Quellenangabe.

Weiterführende Informationen

Die Schritte in diesen Artikeln gelten für die Dienste von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• Nextcloud-Anleitung 1.1: Was ist Nextcloud und was ist ein WebOké Nextcloud?
• Nextcloud-Anleitung 3.1: Wie sichert WebOké Ihre Nextcloud ab?
• Nextcloud-Anleitung 15.13: Häufig gestellte Fragen zu Sicherheit und Datenschutz
• Europäische Kommission, Übersicht der Angemessenheitsbeschlüsse: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
• CLOUD Act, 18 U.S.C. § 2713 (Daten „regardless of whether“ sie sich in oder ausserhalb der USA befinden)