Datensouveränität in der EU: Warum europäische Organisationen die Kontrolle über ihre Cloud-Daten neu überdenken

Datensouveränität in der EU: Warum europäische Organisationen die Kontrolle über die Cloud neu überdenken 

Mit dem EU-Datenschutzgesetz hat sich die behördliche Kontrolle grenzüberschreitender Datenübermittlungen und des Zugriffs aus dem Ausland auf europäische Daten verschärft. Wie gewährleisten Sie die Einhaltung der Vorschriften und behalten die Kontrolle, wenn SaaS-Plattformen und andere Anbieter Daten außerhalb der EU-Grenzen verarbeiten? Durch diese Entwicklung wird die Datenhoheit der EU vom Grundsatz zur operativen Realität.

Für viele Unternehmen birgt die Nutzung von Rechenzentren außerhalb der EU oder von nicht souveränen Cloud-Anbietern drei zentrale Risiken:

• Politische und rechtliche Unsicherheit: Von Regierungen angeordnete Datenlöschungen oder Zugriffsanfragen erhöhen das Compliance-Risiko und untergraben die Governance nach EU-Recht.
• Anbieterabhängigkeit und Ausstiegsstrafen: Ein Wechsel, eine Diversifizierung oder ein Ausstieg werden dadurch kostspielig.
• Preisschwankungen: Zölle und Sanktionen können plötzliche Steigerungen der Cloud-Kosten auslösen, die schwer vorherzusagen oder zu kontrollieren sind.

Das sich wandelnde regulatorische Umfeld: DSGVO, DORA und das EU-Datenschutzgesetz 

Die DSGVO schuf die Grundlage für Vorschriften zur Datenlokalisierung, zur rechtmäßigen Verarbeitung und zum grenzüberschreitenden Datentransfer, einschließlich Beschränkungen für Übermittlungen in Länder ohne „angemessenen“ Datenschutz. Der Digital Operational Resilience Act (DORA) stellt für Finanzunternehmen in der EU höhere Anforderungen an Outsourcing- und Cloud-Verträge und verlangt Klarheit hinsichtlich des Datenstandorts, der Verwaltung von Verschlüsselungsschlüsseln, der Prüfungsrechte sowie realistischer Ausstiegsstrategien. Für viele Teams ist die Einhaltung der DORA-Vorschriften zu einer Priorität auf Vorstandsebene geworden. Gemeinsam bestimmen die DSGVO, die DORA und das EU-Datenschutzgesetz zunehmend, wie Unternehmen Cloud-Dienste beschaffen und souveräne Architekturen entwerfen. 

Das EU-Datenschutzgesetz übt zusätzlichen Druck auf Cloud- und SaaS-Anbieter aus: 

• Wechselverpflichtungen: Anbieter müssen kommerzielle, technische und rechtliche Hindernisse für die Datenportabilität und den Wechsel zwischen Cloud-Anbietern beseitigen.&
• Interoperabilitätsvorschriften: Offene Schnittstellen und interoperable, S3-kompatible APIs werden gegenüber proprietären Formaten bevorzugt. 
• Schutzmaßnahmen gegen Zugriff von außerhalb: Anbieter müssen Maßnahmen umsetzen, damit Behörden außerhalb der EU nicht in einer Weise auf in der EU gespeicherte Daten zugreifen können, die im Widerspruch zum EU-Recht oder zum nationalen Recht steht. 

Unternehmen, die keine eindeutige Souveränität über ihre SaaS- und Cloud-Daten nachweisen können, sehen sich mit komplexen Prüfungen, einem höheren Compliance-Risiko und potenziellen Bußgeldern konfrontiert. 

Das Problem der EU-Datenhoheit in Hyperscale-Clouds 

Globale Architekturen werden den strengen Erwartungen der EU hinsichtlich der Datenhoheit oft nicht gerecht. Selbst wenn sich die Daten in EU-Regionen befinden, besteht weiterhin ein Risiko hinsichtlich der gerichtlichen Zuständigkeit: 

• Komplexität beim Ausstieg: technische und finanzielle Hindernisse beim Anbieterwechsel oder bei der Rückführung von Workloads.&
• Ausgangsgebühren: Hohe Gebühren für den Datentransfer beim Herausholen von Daten wirken sich abschreckend auf Diversifizierung, Multi-Cloud-Lösungen oder einen Ausstieg aus und wodurch Unternehmen an nicht-souveräne Plattformen gebunden bleiben. 

Jüngste Analysen zeigen, dass ein erheblicher Anteil der Unternehmen Vorfälle im Zusammenhang mit Datenhoheit oder regulatorische Fragen erlebt hat, was viele dazu veranlasst, ihre Cloud-Strategie zu überdenken und EU-nativen oder hybriden Architekturen Vorrang einzuräumen, die besser mit den Zielen der EU zur Datenhoheit im Einklang stehen. 

Checkliste zur EU-Datensouveränität für die DSGVO und DORA 

Eine DSGVO-konforme Datenschutzstrategie unter Berücksichtigung der Souveränität sollte Folgendes umfassen: 

• Geografische Kontrolle: Daten werden ausschließlich innerhalb der EU-Grenzen oder in EU-zertifizierten souveränen Zonen verarbeitet und gespeichert. 
• Rechtliche Steuerung: Die Daten unterliegen ausschließlich oder vorrangig dem EU-Recht und nicht ausländischer Gerichtsbarkeit, einschließlich Schutzmaßnahmen gegen extraterritorialen Zugriff. 
• Anbieterunabhängigkeit: die Möglichkeit, den Anbieter ohne Strafgebühren, proprietäre Bindungen oder langwierige Migrationsprojekte zu wechseln. 
• Eigentumsrechte an Verschlüsselungsschlüsseln: Schlüssel werden vor Ort oder in einer Infrastruktur im Besitz der EU verwaltet, nicht ausschließlich von Cloud-Anbietern außerhalb der EU. 
• Nachprüfbarkeit: klare Transparenz darüber, wo sich Daten befinden, wie sie fließen und wer darauf zugreift, 
• Kostentransparenz: Vorhersehbare Preisgestaltung ohne überraschende Ausgangsgebühren oder versteckte Kosten im Zusammenhang mit grenzüberschreitenden Datenübertragungen.&

Diese Checkliste zur Datenhoheit hilft Organisationen dabei, Audits zu bestehen und gleichzeitig operative sowie regulatorische Risiken zu reduzieren. 

Neue Lösungen und Architekturen zur Datenhoheit in der EU 

Um die Kontrolle zurückzugewinnen, setzen Organisationen in der EU verschiedene auf Datenhoheit ausgerichtete Ansätze um: 

• EU-eigene, S3-kompatible Speicherziele 
• Die Sicherung von SaaS-Daten in einem EU-eigenen Objektspeicher anstelle von Hyperscaler-Buckets verringert das Risiko in Bezug auf die Rechtshoheit und die Anbieterabhängigkeit. 
• Datenverarbeitung vor Ort oder unter EU-Hoheit 
• Die Verarbeitung von SaaS-Sicherungen vor Ort oder in der EU unterliegende Umgebungen trägt dazu bei, Strafen für den Datenausgang zu vermeiden, hält Verschlüsselungsschlüssel unter der Kontrolle des Kunden und vereinfacht den Nachweis einer ausschließlich in der EU erfolgenden Verarbeitung. 
• Hybride Souveränitätsarchitekturen 
• Die Kombination von SaaS-Verarbeitung in der EU-Region mit EU-eigenem Speicher und lokaler Verarbeitung schafft eine Architektur, die gleichzeitig die Anforderungen der DSGVO, DORA sowie die Anforderungen des EU-Datenschutzgesetzes gleichzeitig erfüllt. 
• Offene Standards und Portabilität 
• Die Wahl von Plattformen, die offene APIs, Standardformate und einen straffreien Anbieterwechsel unterstützen, gewährleistet langfristige Flexibilität und Kostenkontrolle. Dieser Ansatz steht in direktem Einklang mit dem Schwerpunkt des EU-Datengesetzes auf Interoperabilität und Cloud-Wechsel. 

Was kommt als Nächstes: Der Weg zur vollständigen EU-Datensouveränität 

Angesichts der zunehmenden Durchsetzung sollten Unternehmen kurzfristige Maßnahmen ergreifen, um Lücken in der Souveränität zu schließen: 

• Prüfen Sie aktuelle SaaS- und Cloud-Architekturen auf rechtliche Risiken, ausländische Zugriffsvektoren und Abhängigkeiten von Ausgangsgebühren. 
• Dokumentieren Sie die Datenverbleibsorte und Übertragungswege in den Aufzeichnungen über Verarbeitungsvorgänge gemäß Artikel 30, einschließlich Cloud-Unterauftragsverarbeitern und Backup-Abläufen. 
• Bewerten Sie EU-native, EU-souveräne oder hybride Optionen, die das Risiko eines Zugriffs aus dem Ausland beseitigen und die Abhängigkeit von Hyperscalern außerhalb der EU verringern. 
• Stellen Sie die Einhaltung der im EU-Datenschutzgesetz festgelegten Umstellungsverpflichtungen sicher. 

Unternehmen, die frühzeitig in souveränitätsorientierte Architekturen investieren, vermeiden in letzter Minute auftretende Compliance-Probleme, fehlgeschlagene Audits und plötzliche Kostenschocks. Zusammengenommen bilden die DSGVO, DORA und der EU-Datenschutzgesetz ein mehrschichtiges Rahmenwerk, das viele derzeitige Cloud- und SaaS-Architekturen ohne Neugestaltung nicht vollständig erfüllen können. Für Unternehmen, die klare Souveränität, Anbieterunabhängigkeit und vorhersehbare Kosten anstreben, ist der Weg klar: Speichern Sie SaaS-Daten in einer Infrastruktur im Besitz der EU, verarbeiten Sie Backups nach Möglichkeit vor Ort oder in Umgebungen unter EU-Souveränität, behalten Sie die volle Kontrolle über Verschlüsselungsschlüssel und wählen Sie Plattformen, die auf Portabilität statt auf Anbieterabhängigkeit ausgelegt sind. 

Fragen und Antworten zur EU-DatensouveränitätA 

Was ist EU-Datensouveränität, und warum wird sie gerade jetzt so dringlich? 

Kurze Antwort: EU-Datensouveränität ist die Fähigkeit europäischer Organisationen, Daten gemäß EU-Recht zu speichern, zu verarbeiten und zu verwalten, wobei die Abhängigkeit von ausländischen Rechtsordnungen auf ein Minimum beschränkt bleibt. IT-Verantwortliche müssen nachweisen, dass sie unbefugten Zugriff aus dem Ausland verhindern, Anbieter ohne Bindung verlassen und dokumentieren können, wohin und wie Daten durchgängig übertragen werden. 

Löst das Hosting in einer EU-Region bei einem großen, bekannten Hyperscaler die Bedenken hinsichtlich der EU-Datensouveränität vollständig? 

Kurze Antwort: Nicht unbedingt. Selbst wenn sich die Daten in EU-Regionen befinden, können die Muttergesellschaften dennoch Gesetzen außerhalb der EU unterliegen, wie beispielsweise dem US-amerikanischen CLOUD Act, was zu einer rechtlichen Gefährdung führen kann. Zudem können proprietäre Architekturen und Auslieferungsgebühren einen Anbieterwechsel kostspielig und komplex machen, was die Unabhängigkeit von Anbietern untergräbt und Unternehmen Audit-Herausforderungen sowie potenziellen Geldbußen aussetzt, wenn sie keine klare Souveränität über ihre Cloud- und SaaS-Daten nachweisen können. 

Wie wirken sich die DSGVO, DORA und der EU-Datenschutzgesetzentwurf gemeinsam auf die Cloud-Beschaffung und -Architektur aus? 

Kurze Antwort: 

• Die DSGVO legt die Grundvoraussetzungen für den Datenschutz, die Datenhoheit und die Steuerung grenzüberschreitender Übermittlungen personenbezogener Daten fest. 
• DORA (für Finanzdienstleistungen in der EU) legt die Messlatte für Verträge und Betriebsabläufe höher und verlangt Klarheit hinsichtlich Datensouveränität, Verwaltung von Verschlüsselungsschlüsseln, Outsourcing-Risiken und tragfähigen Ausstiegsstrategien. 
• Das EU-Datengesetz erhöht den Druck auf Anbieter durch Wechselverpflichtungen, Interoperabilitätsvorgaben, die offene Schnittstellen und S3-kompatible APIs begünstigen, sowie Schutzmaßnahmen gegen den Zugriff von Regierungen außerhalb der EU auf in der EU gespeicherte Daten. 
• Zusammen zwingen sie Unternehmen dazu, der Einhaltung des EU-Rechts, der Datenportabilität sowie transparenten und überprüfbaren Cloud-Architekturen Priorität einzuräumen. 

Was gehört in eine Checkliste zur EU-Datensouveränität, um Audits zu bestehen und Risiken zu minimieren? 

Kurze Antwort: 

• Geografische Kontrolle: Daten dürfen ausschließlich innerhalb der EU-Grenzen oder in EU-souveränen Umgebungen verarbeitet und gespeichert werden. 
• Rechtliche Steuerung: Halten Sie die Daten dem EU-Recht unterworfen und minimieren Sie so die Exposition gegenüber ausländischer Gerichtsbarkeit und extraterritorialem Zugriff. 
• Anbieterunabhängigkeit: Gewährleistung eines praktikablen, sanktionsfreien Anbieterwechsels und Vermeidung von proprietären Bindungen, die im Widerspruch zu den Zielen des EU-Datenschutzgesetzes stehen. 
• Eigentumsrechte an Verschlüsselungsschlüsseln: Verwalten Sie Schlüssel vor Ort oder in einer Infrastruktur im Besitz der EU, um einseitigen Zugriff aus dem Ausland zu verhindern. 
• Nachvollziehbarkeit: Gewährleisten Sie einen klaren Überblick über den Speicherort, die Datenflüsse, den Zugriff und die Rechtsgrundlagen der Daten, gestützt durch solide Aufzeichnungen und Protokollierung. 
• Kostentransparenz: Vermeiden Sie unerwartete Ausgangsgebühren und tarifbedingte Preisschocks, die die langfristige Planung erschweren. 

Welche praktischen Architekturentscheidungen tragen dazu bei, die EU-Datensouveränität in der Praxis zu verwirklichen? 

Kurze Antwort: 

• EU-eigene, S3-kompatible Speicherziele: Sichern Sie SaaS-Daten in einem EU-eigenen Objektspeicher, um das Risiko rechtlicher Zuständigkeiten zu verringern und Interoperabilität ohne proprietäre Formate zu ermöglichen. 
• Datenverarbeitung vor Ort oder in der EU: Verarbeiten Sie SaaS-Backups vor Ort oder in der EU, um Strafen für den Datentransfer ins Ausland zu vermeiden und die volle Kontrolle über die Verschlüsselungsschlüssel zu behalten. 
• Hybride Souveränitätsarchitekturen: Kombinieren Sie die Verarbeitung in der EU-Region mit Speicher in EU-Besitz, um gleichzeitig die Anforderungen der DSGVO, DORA und dem EU-Datenschutzgesetz gleichzeitig zu entsprechen. 
• Offene Standards und Portabilität: Wählen Sie Plattformen mit offenen APIs, Standardformaten und einem straffreien Anbieterwechsel, um langfristig Flexibilität und Kostenkontrolle zu gewährleisten – im Einklang mit den Zielen des EU-Datenschutzgesetzes hinsichtlich Anbieterwechsel und Interoperabilität.&

Zu den kurzfristigen Maßnahmen gehören die Überprüfung aktueller Cloud- und SaaS-Architekturen auf Sicherheitsrisiken sowie die Dokumentation von Datenflüssen in den ROPAs gemäß Artikel 30. Die Bewertung von EU-eigenen oder hybriden Optionen, die das Risiko eines Zugangs aus dem Ausland mindern, sowie die Planung realistischer Ausstiegsszenarien aus nicht-souveränen Anbietern. 

Um mehr darüber zu erfahren, wie HYCU Unternehmen bei der Datenhoheit unterstützt, lesen Sie Datenschutz für die Datenhoheit in der EU.