„EU-Region" versus eine EU-souveräne Cloud: der Unterschied, der wirklich zählt

Viel Infrastruktur-Marketing stützt sich auf die Formulierung „in der EU gehostet", als würde das die Frage der Datensouveränität von allein klären. Das tut es nicht, und die Unterscheidung lohnt sich zu verstehen, bevor sie für Ihr Unternehmen relevant wird — nicht danach, wenn es eine rechtliche Frage statt einer Leseübung ist.

Die Marketing-Formel versus die rechtliche Realität

„In der EU gehostet" beschreibt eine physische Tatsache: Die Server stehen irgendwo in Europa. Es sagt nichts darüber aus, welchem Landesrecht das betreibende Unternehmen tatsächlich unterliegt, wem gegenüber es rechenschaftspflichtig ist, oder was passiert, wenn eine ausländische Behörde eine Anfrage zu Ihren Daten stellt. Zwei Anbieter können beide technisch korrekt einen EU-Standort beanspruchen und dabei völlig unterschiedliche rechtliche Positionen innehaben.

Diese Unterscheidung kommt in einem Verkaufsgespräch selten zur Sprache, weil beide Anbieter auf dieselbe Karte zeigen und dasselbe sagen können. Der Unterschied wird erst sichtbar, wenn Sie eine spezifischere Frage stellen: nicht „wo stehen die Server", sondern „wer ist die betreibende Einheit, und wo hat sie ihren Sitz".

Was der US CLOUD Act tatsächlich bewirkt

Nach dem US CLOUD Act können US-Behörden einen Anbieter mit Hauptsitz in den USA zwingen, Daten herauszugeben, die er hält — weltweit —, unabhängig davon, wo die Server physisch stehen oder was das lokale Datenschutzrecht dazu sagt. Die „EU-Region" eines Nicht-EU-Hyperscalers hält Ihre Daten physisch in Europa, aber das Unternehmen, das diese Infrastruktur betreibt, bleibt aufgrund seines Hauptsitzes US-Recht unterworfen, nicht aufgrund der Lage seiner Rechenzentren.

Das ist keine hypothetische Klausel, vergraben in einem Vertrag, den niemand liest — es ist ein bestehender rechtlicher Mechanismus, der unabhängig davon gilt, was die Marketingseite des Anbieters über europäischen Datenstandort behauptet. Der Serverstandort und die rechtliche Gefährdung sind zwei getrennte Tatsachen, und meist wird nur eine davon beworben.

Zwei unterschiedliche rechtliche Positionen

Eine EU-souveräne Cloud ist eine grundlegend andere Position: Sowohl der physische Standort als auch die betreibende Einheit befinden sich innerhalb der EU, sodass diese spezielle Gefährdung nicht in gleicher Weise gilt. Das ist keine Marketing-Nuance — es verändert, wer Zugriff auf Ihre Daten erzwingen kann und nach welchem Rechtsverfahren welchen Landes.

Praktisch ist das auch, warum „welchen Cloud-Anbieter nutzen Sie" eine nützlichere Frage ist als „liegen Ihre Daten in Europa". Die erste Frage zielt auf die Rechtsprechung. Die zweite, für sich genommen, tut das nicht.

Was „EU-gehostet" nicht automatisch garantiert

Selbst bei einem echt in der EU ansässigen Anbieter beschreibt „EU-gehostet" die vereinbarte Architektur für diesen spezifischen Dienst — es bedeutet nicht automatisch, dass jede von einem Unternehmen angebundene Drittintegration ebenfalls ausschließlich innerhalb der EU arbeitet. Jede Datenkategorie muss eigenständig geprüft werden, nicht aus einer einzigen pauschalen Aussage über das Haupt-Hosting abgeleitet werden.

Ein CRM mag auf souveräner Infrastruktur liegen, während eine E-Mail-Marketing-Integration oder ein Analysetool, das das Unternehmen separat angebunden hat, das nicht tut. Das ist kein Widerspruch — es ist lediglich eine Erinnerung daran, dass Souveränitätsansprüche für bestimmte Systeme gelten, nicht durch Assoziation für den gesamten Technologie-Stack eines Unternehmens.

Fragen, die sich bei jedem Anbieter zu stellen lohnen

In der Praxis bedeutet das, einem Anbieter zwei getrennte Fragen zu stellen statt einer: wo die Server physisch stehen und wo das betreibende Unternehmen seinen Sitz und rechtlichen Wohnsitz hat. Eine wirklich souveräne Antwort deckt beides ab. Eine Marketingantwort deckt meist nur das Erste ab.

Warum diese Unterscheidung für manche Unternehmen mehr zählt als für andere

Nicht jedes Unternehmen muss dies als harte Anforderung behandeln. Ein Unternehmen ohne besondere Sensibilität dafür, wer seine Daten anfordern könnte, und ohne regulatorischen oder vertraglichen Grund, sich darum zu sorgen, kann vernünftigerweise entscheiden, dass die EU-Region eines Nicht-EU-Hyperscalers für seine Bedürfnisse ausreicht. Das ist eine legitime unternehmerische Entscheidung, getroffen mit Blick auf die Fakten.

Die Unternehmen, für die diese Unterscheidung am meisten zählt, sind diejenigen, die bereits sorgfältig über Kundenvertraulichkeit, regulierte Datenkategorien oder vertragliche Zusagen an ihre eigenen Kunden zum Verarbeitungsort von Informationen nachdenken. Für sie ist „in der EU gehostet" keine ausreichende Antwort auf eine Frage, die ihre eigenen Kunden oder Aufsichtsbehörden irgendwann stellen könnten — die spezifischere Frage nach der betreibenden Einheit ist diejenige, die tatsächlich beantwortet werden muss.

Die eigene Dokumentation eines Anbieters lesen

Das meiste davon lässt sich ohne Telefonanruf prüfen. Die eigenen AGB, der Auftragsverarbeitungsvertrag oder die Subunternehmerliste eines Anbieters nennen meist direkt die betreibende Einheit und ihr Rechtsgebiet, auch wenn die Marketingseite es nicht tut. Existiert diese Dokumentation nicht, ist sie bewusst vage oder widerspricht sie den Marketingaussagen, ist das an sich schon bemerkenswert — ein Anbieter, der seiner Position sicher ist, dokumentiert sie meist unumwunden.

Was ein Anbieterwechsel tatsächlich bedeutet

Zeigt diese Übung eine Lücke zwischen dem, was ein Unternehmen annahm, und dem, was sein Anbieter tatsächlich ist, bedeutet das nicht zwangsläufig eine dringende Migration. Der Umzug kritischer Infrastruktur birgt ein eigenes Risiko, und ein überstürzter Wechsel, getrieben von Sorge statt von einem klaren Plan, kann mehr Gefährdung schaffen als er beseitigt. Der nützlichere nächste Schritt ist meist, die Lücke genau zu dokumentieren — welche Systeme, welche Datenkategorien, welcher Anbieter — und sie gegen die tatsächliche Risikotoleranz des Unternehmens abzuwägen, bevor irgendetwas entschieden wird.

Entscheidet sich ein Unternehmen für einen Wechsel, gelten für den Ersatz dieselben zwei Fragen: physischer Standort und betreibende Einheit, beide bestätigt in der eigenen Dokumentation des Anbieters statt von einer Landingpage übernommen. Sorgfaltsprüfung im Vorfeld ist deutlich günstiger als Sorgfaltsprüfung, nachdem ein Problem bereits aufgetreten ist.

Das ist kein Grund, wegen bestehender Infrastruktur in Panik zu geraten — viele Vereinbarungen passen durchaus zu dem, was ein bestimmtes Unternehmen tatsächlich braucht. Es ist ein Grund, die konkrete Frage zu stellen, statt die allgemeine Behauptung einfach hinzunehmen. Wir halten dazu eine Erklärung in einfacher Sprache auf unserer eigenen Seite bereit, zusammen mit dem, was „EU-gehostet" in der Praxis garantiert — und was nicht —, genau aus diesem Grund.