EU-Datensouveränität: Fragen Sie, wer auf die Nachweise zugreifen kann

Compliance-Nachweise können Architektur, ungelöste Schwachstellen, Informationen über Beschäftigte, Abhängigkeiten von Lieferanten und die Vorfallshistorie offenlegen. Die Wahl, wo diese Nachweise liegen, verdient dieselbe Sorgfalt wie die Wahl, wo Kundendaten liegen. In manchen Fällen liefert ein Nachweis-Repository ein dichteres Bild des Unternehmens als jedes einzelne Produktionssystem.

Für die Leitung ist EU-Datensouveränität daher eine Frage von Beschaffung und Verantwortung: Wer kann auf diese Informationen zugreifen, unter wessen Autorität, und was geschieht, wenn wir den Anbieter verlassen müssen?

Eine europäische Hosting-Region ist eine nützliche Information. Sie ist aber keine vollständige Antwort. Die Entscheidung muss die Dienstleistungskette, die rechtliche Exposition, den technischen Zugriff und die Fähigkeit abdecken, nutzbare Aufzeichnungen außerhalb der Plattform zu bewahren.

Mit den Informationen beginnen, die Sie anvertrauen

Eine Compliance-Plattform kann Netzwerkdiagramme, Zugriffsüberprüfungen, Schwachstellenberichte, Verarbeitungsverzeichnisse, Risikobewertungen und Vorfallsuntersuchungen enthalten. Zusammengenommen beschreiben diese Aufzeichnungen sowohl, wie die Organisation arbeitet, als auch, wo ihre Abwehr verbessert werden muss.

Sie weisen zudem unterschiedliche Arten von Sensibilität auf. Eine Zugriffsüberprüfung für Beschäftigte enthält personenbezogene Daten. Ein Penetrationstestbericht kann ausnutzbare Schwachstellen offenlegen. Eine Entscheidung der Leitung kann eine kommerzielle Abhängigkeit oder ein akzeptiertes Risiko festhalten. Diese Kategorien erfordern einen unterschiedlichen Umgang, auch wenn sie im selben Arbeitsbereich liegen.

Erstellen Sie vor dem Vergleich von Anbietern ein kleines Nachweisinventar. Dokumentieren Sie für jede Kategorie Zweck, Sensibilität, verantwortliche Person, vorgesehene Leserschaft, Aufbewahrungsanforderung und ob das Originaldokument überhaupt hochgeladen werden muss.

So braucht eine Überprüfung von Maßnahmen etwa den Nachweis, dass eine Behebung abgeschlossen wurde, nicht den vollständigen technischen Bericht mit jeder Schwachstelle. Ein geschwärzter Auszug kann manchmal die erforderliche Tatsache belegen und zugleich die Exposition verringern. Die Schwärzung darf jedoch nicht den Kontext entfernen, der zur Bewertung des Nachweises nötig ist.

Das ist eine praktische Empfehlung, keine allgemeingültige Pflicht, Originale durch Zusammenfassungen zu ersetzen. Ziel ist es, den Umgang mit Nachweisen bewusst zu gestalten, statt zuzulassen, dass jede Auditanfrage das Repository unbegrenzt erweitert.

Datenresidenz, Kontrolle und Rechtskonformität trennen

Datenresidenz betrifft den Ort. Souveränität betrifft darüber hinaus Kontrolle, Zugriff, rechtliche Exposition und die Fähigkeit, Informationen zu verlagern oder weiter zu nutzen. Keiner der beiden Begriffe sollte als Konformitätszertifikat behandelt werden.

Diese Dimensionen wirken zusammen, sind aber nicht austauschbar. Ein in der EU gehosteter Dienst kann Support-Personal oder Verarbeitung außerhalb der EU einbeziehen. Ein Anbieter in europäischem Eigentum kann von Infrastruktur, Überwachung oder KI-Diensten abhängen, die von anderen Gesellschaften betrieben werden. Die Eigentümerschaft allein belegt nicht, dass jeder Zugriffsweg akzeptabel ist.

Ebenso bedeutet die Exposition gegenüber einer anderen Rechtsordnung weder, dass eine Offenlegung unvermeidlich ist, noch dass der Dienst automatisch rechtswidrig ist. Bewerten Sie die betreffenden Gesellschaften, das anwendbare Recht, den praktischen Zugriff und die Schutzmaßnahmen. Ist eine erzwungene Offenlegung für die Entscheidung wesentlich, holen Sie rechtlichen Rat ein, statt sich auf eine Herkunftsbezeichnung oder eine Zusicherung aus dem Vertrieb zu verlassen.

Verstehen, welche Regeln tatsächlich gelten

Die DSGVO enthält keine allgemeine Regel, nach der alle personenbezogenen Daten in der EU bleiben müssen. Sie verlangt eine geeignete Rechtsgrundlage und eine rechtskonforme Verarbeitung, einschließlich Sicherheit, Regelungen zur Auftragsverarbeitung und gegebenenfalls Anforderungen an internationale Übermittlungen.

Bestimmen Sie für ein Compliance-Repository mit personenbezogenen Daten die Rollen der Beteiligten und prüfen Sie, wo eine Auftragsverarbeitung vorliegt, die Bedingungen nach Artikel 28. Bewerten Sie die Übermittlungsregelungen nach Kapitel V gesondert. Die Unterzeichnung eines Auftragsverarbeitungsvertrags klärt die Übermittlungsfrage nicht, und die Wahl einer EU-Speicherregion macht die Prüfung von Zugriffen aus Drittländern oder einer Weiterverarbeitung nicht überflüssig.

Artikel 32 verlangt eine dem Risiko angemessene Sicherheit. Verschlüsselung kann eine wichtige Maßnahme sein, doch die DSGVO schreibt kein pauschales Verschlüsselungsdesign für jedes Repository vor. Artikel 48 behandelt zudem Ersuchen von Gerichten oder Verwaltungsbehörden aus Drittländern auf Übermittlung oder Offenlegung; er sollte nicht als allgemeiner Schutzschild gegen ausländischen Zugriff verstanden werden.

Weitere Pflichten hängen von der Organisation ab. NIS2, umgesetzt durch nationales Recht, umfasst für Einrichtungen im Anwendungsbereich die Aufsicht durch die Leitung und Maßnahmen zur Sicherheit der Lieferkette. DORA legt Pflichten zum IKT-Drittparteienrisiko für erfasste Finanzunternehmen fest. Keine der beiden sollte auf die allgemeine Anweisung reduziert werden, europäische Software zu kaufen.

Auch die europäische Souveränitätspolitik und Diskussionen in der Beschaffung müssen sorgfältig eingeordnet werden. Trennen Sie geltende Pflichten von Vorschlägen, politischen Erklärungen, Beschaffungskriterien und Zertifizierungsschemata. Die Anforderungen Frankreichs und Deutschlands sollten nicht als austauschbar oder als automatisch für jedes private Unternehmen in Europa anwendbar behandelt werden.

Bitten Sie Rechtsberatung und Einkauf, die konkreten nationalen, sektoralen und kundenseitigen Anforderungen zu dokumentieren, die Ihre Beschaffung betreffen. Ein Prüfbericht zur Cloud-Sicherheit kann Nachweise beitragen, klärt die Frage der Souveränität aber nicht. So betrifft etwa der Kriterienkatalog C5 des BSI Cloud-Maßnahmen und deren Testierung; er ist keine pauschale Souveränitätszertifizierung.

Die vollständige Dienstleistungskette abbilden

Das nützlichste Beschaffungsdokument ist eine Karte des Nachweisumgangs. Sie zeigt, wie Informationen in den Dienst gelangen, welche Systeme sie verarbeiten, wer darauf zugreifen darf und wie sie den Dienst wieder verlassen.

Fordern Sie Antworten zu Produktionsspeicher, Replikaten, Backups, Notfallwiederherstellung, Anwendungslogs, Überwachung, Support-Tickets und temporären Kopien zur Fehlerbehebung an. Beziehen Sie Exporte und E-Mail-Benachrichtigungen ein: Eine sensible Feststellung kann die vorgesehene Grenze über eine Benachrichtigung verlassen, selbst wenn ihr Anhang in der Plattform bleibt.

Dokumentieren Sie für jede Komponente:

• Die betreibende Gesellschaft und ihre Rolle.
• Die Datenkategorien, die sie erhält, und den Zweck der Verarbeitung.
• Speicher- und Verarbeitungsorte, einschließlich der Orte, von denen aus zugegriffen wird.
• Berechtigte Zugriffsgruppen und weitere beteiligte Anbieter.
• Aufbewahrung, Löschung und Umgang mit Backups.
• Die Vertragsbedingungen, die die Tätigkeit regeln.

Unterscheiden Sie den Infrastrukturlieferanten eines Anbieters von einem Support-Dienstleister oder einem KI-Verarbeiter. Ihre Funktionen und Zugriffe können sich erheblich unterscheiden. Eine Liste von Anbieterlogos ist kein Ersatz für diese Karte.

Prüfen Sie auch das Änderungsmanagement. Wie erfahren Sie von einem neuen Unterauftragsverarbeiter, einem geänderten Verarbeitungsort oder einer überarbeiteten Support-Regelung? Welche Prüf- oder Einspruchsrechte bestehen, und was geschieht, wenn die vorgeschlagene Änderung Ihren Anforderungen widerspricht? Eine heute zufriedenstellende Bewertung braucht einen Mechanismus, um Änderungen von morgen zu erkennen.

KI-Verarbeitung als eigenen Offenlegungsweg behandeln

Eine KI-gestützte Prüfung von Nachweisen kann einen weiteren Anbieter und eine weitere Aufbewahrungsrichtlinie ins Spiel bringen. Eine Funktion, die einen Vorfallsbericht zusammenfasst, kann den Bericht, extrahierten Text, Prompts, Metadaten oder Diagnoseinformationen über die Hauptanwendung hinaus übermitteln.

Fragen Sie, was den KI-Anbieter erreicht, zu welchem Zweck und unter welchen Vertragsbedingungen. Bestätigen Sie im aktuellen Vertrag die Nutzung zum Modelltraining, die Aufbewahrung, menschliche Zugriffe, Verarbeitungsorte und eine Weiterverarbeitung. Nehmen Sie nicht an, dass ein Enterprise-Konto oder eine Aussage „kein Training“ auch „keine Aufbewahrung“ oder „kein Support-Zugriff“ bedeutet.

Klären Sie, ob KI-Funktionen optional sind und ob sich für sensibles Material Einschränkungen anwenden lassen. Kann die Plattform die erforderliche Grenze nicht durchsetzen, ist eine interne Anweisung, eingeschränkte Dokumente nicht hochzuladen, für den Routinebetrieb möglicherweise zu fragil.

Eine praktische Prüfung sollte ein repräsentatives Dokument durch die Funktion verfolgen. Ermitteln Sie Quelle, übermittelte Inhalte, Ausgabe, aufbewahrte Aufzeichnungen und Prüfende. Generierte Zusammenfassungen können selbst sensible Informationen enthalten und gehören daher in die Karte des Nachweisumgangs.

Eine menschliche Prüfung bleibt für Schlussfolgerungen zu Nachweisen notwendig. Sie ist eine von Verarbeitungsbeschränkungen getrennte Schutzmaßnahme: Die Freigabe einer KI-generierten Zusammenfassung legitimiert nicht nachträglich eine inakzeptable Offenlegung ihrer Quelle.

Fragen, wer tatsächlich entschlüsseln und administrieren kann

Verschlüsselung schützt Informationen nur innerhalb der Grenzen ihres Designs und Betriebs. Verschlüsselung bei der Übertragung schützt Verbindungen; Verschlüsselung im Ruhezustand schützt gespeicherte Daten unter bestimmten Bedrohungsannahmen. Keine von beiden verhindert automatisch, dass eine berechtigte Anwendung oder ein privilegierter Betreiber den Inhalt liest.

Fragen Sie, wer die Schlüssel kontrolliert, wer die Entschlüsselung auslösen kann und ob Administratoren die Berechtigungen ändern können, die diesen Zugriff regeln. Eine Regelung mit vom Kunden verwalteten Schlüsseln kann die Kontrolle verbessern, ihre Wirkung hängt aber von der Architektur ab. Erhält der Dienst routinemäßig Klartext, beseitigt die Schlüsselhoheit allein den Zugriff des Anbieters nicht.

Lassen Sie das technische Team Schlüsseltrennung, Rotation, Widerruf, Wiederherstellung und die Folgen eines Schlüsselverlusts prüfen. Die Leitung sollte jeden Zielkonflikt mit der Verfügbarkeit verstehen, bevor sie ihn genehmigt. Eine stärkere Zugriffsgrenze, die wichtige Nachweise zugleich unwiederbringlich macht, ist keine vollständige Kontinuitätslösung.

Der Support-Zugriff verdient besondere Aufmerksamkeit. Achten Sie auf namentliche Identitäten, begrenzte Berechtigungen, zeitlich befristete Autorisierung, gegebenenfalls eine Kundenfreigabe und nachvollziehbare Aktionen. Fragen Sie, wie Notfallzugriffe funktionieren und wie sie im Nachgang überprüft werden.

Die Beschaffungsfrage ist nicht einfach, ob Zugriffe protokolliert werden. Sie lautet, ob die Organisation genug Informationen erhalten kann, um ein Ereignis zu untersuchen: wer wann auf welche Datensätze zugegriffen hat, aus welchem Grund und mit welcher Autorisierung. Vereinbaren Sie, welche Nachweise verfügbar sein werden, bevor ein Vorfall die Frage dringlich macht.

Portabilität zu einer getesteten Anforderung machen

Portabilität ist Teil der Souveränität, denn die Kontrolle ist geschwächt, wenn ein Wechsel bedeutet, die Aussagekraft der Nachweise zu verlieren.

Testen Sie vor der Festlegung einen repräsentativen Export. Dateien allein bewahren möglicherweise nicht die Beziehungen zwischen Maßnahmen, Nachweisen, Feststellungen, Verantwortlichen, Freigaben und Entscheidungen. Ein Ordner mit PDFs kann Dokumente erhalten und zugleich die Aufzeichnung verlieren, was sie belegt haben und wer die Schlussfolgerung akzeptiert hat.

Wählen Sie eine Stichprobe mit einem Anhang, der verknüpften Maßnahme, einem Prüfkommentar, einer Freigabe, einer offenen Feststellung und relevanten Zeitstempeln. Bitten Sie jemanden außerhalb des Einführungsteams, die Entscheidung aus dem Export zu rekonstruieren. So wird die Nutzbarkeit getestet und nicht nur die Existenz einer Export-Schaltfläche.

OSCAL bietet nützliche Modelle für portable Sicherheitsinformationen. Seine veröffentlichten Spezifikationen können einen strukturierten Austausch unterstützen, doch die Nutzung eines offenen Formats belegt nicht automatisch Vollständigkeit oder Kompatibilität. Prüfen Sie Modellversionen, Kennungen, Anhänge, Erweiterungen und ob das empfangende System die exportierte Struktur interpretieren kann.

Vertragliche Ausstiegsbedingungen sind neben den Formaten wichtig. Klären Sie, wann Exporte verfügbar sind, welche Unterstützung geleistet wird, ob Kosten anfallen und wie lange der Zugriff nach der Kündigung bestehen bleibt. Behandeln Sie die Löschung aktiver Datensätze und den Umgang mit Backup-Kopien getrennt.

Praxisbeispiel: entscheiden, was in ein Repository darf

Betrachten Sie ein fiktives Softwareunternehmen mit Sitz in der EU, das eine Nachweisplattform auswählt. Angenommen, sein erster Geltungsbereich umfasst Zugriffsüberprüfungen für Beschäftigte, geschwärzte Feststellungen aus Sicherheitstests und Entscheidungsdokumentationen zu Vorfällen. Seine interne Richtlinie verlangt für diesen Geltungsbereich eine Speicherung in der EU und eine ausdrückliche Bewertung jedes Zugriffs von außerhalb der EU. Das sind Beispielannahmen, keine allgemeingültigen rechtlichen Anforderungen.

Der Anbieter bestätigt die Produktionsspeicherung in der EU. Die weitere Prüfung ergibt einen separaten Dienst für Support-Tickets und einen optionalen Anbieter für KI-Zusammenfassungen. Das Team erklärt die Plattform nicht allein aufgrund der Hosting-Antwort für akzeptabel oder inakzeptabel.

Stattdessen dokumentiert es drei Entscheidungen:

Das Team testet dann, ob sensible Anhänge in Support-Tickets gelangen, verifiziert die vorgeschlagenen Zugriffsbeschränkungen und exportiert eine vollständige Prüfdokumentation.

Angenommen, die Bedingungen der KI-Verarbeitung bleiben unklar. Die Leitung kann eine engere Einführung nur dann genehmigen, wenn der Ausschluss von dieser Verarbeitung verlässlich ist. Lässt er sich nicht durchsetzen, bleibt das betroffene Material außerhalb der Einführung. Das offene Thema erhält eine verantwortliche Person und eine Entscheidungsfrist, statt in einer allgemeinen Risikobewertung des Anbieters zu verschwinden.

Das Ergebnis ist eine abgegrenzte Freigabe: festgelegte Nachweiskategorien, zulässige Verarbeitung, Einschränkungen, offene Fragen und Anlässe für eine Überprüfung. Das ist nützlicher als die uneingeschränkte Erklärung, der Anbieter sei „souverän“.

Die Entscheidung in die Verantwortung der Leitung legen

Der Einkauf kann Dokumente zusammentragen, die Sicherheit kann Zugriffsmaßnahmen bewerten und die Rechtsabteilung kann Pflichten beurteilen. Die Leitung trägt die geschäftliche Entscheidung über akzeptable Exposition und Abhängigkeit. Ist ein Datenschutzbeauftragter beteiligt, wahren Sie dessen unabhängige Beratungs- und Überwachungsaufgaben, statt ihn zum Verantwortlichen für Verarbeitungsentscheidungen zu machen.

Verwenden Sie ausdrückliche Akzeptanzkriterien. Unklare privilegierte Zugriffe, unerklärte Verarbeitungsorte oder ein unbrauchbarer Ausstiegsweg können für einen sensiblen Geltungsbereich ein Ausschlusskriterium sein. Andere Lücken erlauben möglicherweise einen eingeschränkten Einsatz mit dokumentierten Bedingungen. Dokumentieren Sie, wer jedes Restrisiko akzeptieren darf und was eine Neubewertung erzwingen würde.

Häufige Fehler sind, „in der EU gehostet“ ohne Karte der Dienstleistungskette zu akzeptieren, Verschlüsselung als Beweis dafür zu behandeln, dass niemand sonst die Daten lesen kann, und Exporttests bis zur Kündigung aufzuschieben. Ein weiterer Fehler ist die Annahme, eine Zertifizierung oder ein Prüfbericht decke genau den gekauften Dienst, den Verarbeitungsweg und die Nachweiskategorien ab. Prüfen Sie Geltungsbereich und Einschränkungen.

Die Bewertung in einen wiederholbaren Ablauf überführen

Secani verbindet Nachweise mit Anforderungen, Maßnahmen, Zielobjekten und geprüften Entscheidungen und nutzt offene Modelle für Sicherheitsmaßnahmen als Produktgrundlage. Ein fokussierter Ablauf kann mit einem Dienst, benannten Verantwortlichen, seinen Abhängigkeiten von externen Anbietern und den Dokumenten beginnen, die die Beschaffungsentscheidung stützen. Fehlende Antworten werden zu Aufgaben; KI-gestützte Vorschläge bleiben Entwürfe, die einer menschlichen Prüfung und der Nachvollziehbarkeit der Quellen unterliegen.

Bewahren Sie die Regelungen des ausgewählten Dienstes zu Hosting, Verarbeitung, Zugriff und Export zusammen mit der Beschaffungsentscheidung auf. Überprüfen Sie diese Dokumentation, wenn sich Konfigurationen, Unterauftragsverarbeiter oder Vertragsbedingungen ändern. So erhält die nächste prüfende Person eine klare Grundlage, um zu prüfen, ob die Regelung die Anforderungen der Organisation weiterhin erfüllt.

Der praktische nächste Schritt ist, eine sensible Nachweiskategorie auszuwählen und ihren vollständigen Weg nachzuverfolgen. Bringen Sie die daraus entstehende Karte, einen getesteten Export und die offenen Zugriffsfragen in die Beschaffungsentscheidung ein. Das gibt der Leitung eine überprüfbare Grundlage für die Entscheidung, wer die Nachweise halten darf und unter welchen Bedingungen.