Die Anforderungen an Cloud-Dienste wachsen rasant, doch zwei Begriffe bleiben in der Diskussion oft unscharf: Datenschutz und Souveränität. Die Datenschutzkonferenz (DSK) hat ihre Kriterien für eine sogenannte „souveräne Cloud“ formuliert, während das Bundesamt für Sicherheit in der Informationstechnik (BSI) mit dem Kriterienkatalog C3A einen neuen technischen Prüfstein vorgelegt hat. Ein Vergleich der beiden Rahmenwerke offenbart, wer aus Datenschutzsicht wirklich eine souveräne Cloud anbietet – und wo die Kriterienlücken liegen.
Warum greift der Datenschutz in die Souveränitätsdebatte ein?
Der Zusammenhang zwischen Datenschutz und digitaler Souveränität ist nicht nur theoretischer Natur. Dr. h.c. Marit Hansen, Landesbeauftragte für Datenschutz und Informationszugang Schleswig-Holstein, bringt es auf den Punkt: „Wir brauchen weniger Abhängigkeiten, mehr Verlässlichkeit und Transparenz, mehr Garantien für europäische Werte – und das bedeutet im Endeffekt: Datenschutz im Schulterschluss mit der digitalen Souveränität.“ Streng genommen ist ein wirklich souveräner Cloud-Betrieb die Voraussetzung für die Einhaltung der DSGVO, die den Verbleib personenbezogener Daten innerhalb ihres Anwendungsbereichs fordert. Eine Cloud, die nicht souverän ist, kann die Rechte betroffener Personen jederzeit durch externe Zugriffe untergraben. Dieses Risiko ist besonders virulent, wenn der Rechtsraum des Anbieters nicht vollständig der europäischen Gerichtsbarkeit unterliegt. Entscheidend ist nicht allein der Serverstandort, sondern der Rechtsraum des Cloud-Anbieters – US-Recht kann selbst bei EU-Rechenzentren Zugriff auf Unternehmensdaten erlauben.
Die DSK-Kriterien: Der goldene Standard für Datenschutz und Souveränität
Die DSK hat in ihrer Orientierungshilfe einen Satz von Kriterien veröffentlicht, die erfüllt sein müssen, damit eine Cloud aus datenschutzrechtlicher Perspektive als wirklich souverän gelten kann. Im Kern geht es um die vollständige Kontrolle über die Dateninfrastruktur. Das bedeutet konkret: Der Cloud-Kunde muss nachvollziehen können, auf welchen Servern seine Daten liegen, wer Zugriff hat und ob dieser Zugriff jederzeit unterbunden werden kann. Die DSK-Kriterien fordern zudem eine umfassende Transparenz bei allen Verarbeitungsvorgängen. Jegliche Verarbeitung personenbezogener Daten muss offengelegt und rechtlich nachvollziehbar sein. Ein zentrales Element der DSK-Kriterien sind die erweiterten Zugriffsrechte für den Kunden. Dieser muss nicht nur die Hoheit über seine Daten besitzen, sondern auch in der Lage sein, den Cloud-Betreiber zu überprüfen – zum Beispiel durch unangekündigte Audits oder die Nutzung von Verschlüsselungsverfahren, deren Schlüssel nur der Kunde selbst besitzt. Die DSK stellt also klar: Ohne echte Souveränität ist kein datenschutzkonformer Betrieb möglich.
C3A des BSI: Ein neuer technischer Maßstab für die souveräne Cloud
Mit dem Kriterienkatalog C3A (Cloud Computing Compliance Controls Catalog – Advanced) setzt das BSI einen neuen Standard, der die Cloud-Nutzung auf ein konkretes, überprüfbares Niveau hebt. C3A definiert detaillierte Anforderungen an die Sicherheit und Souveränität von Cloud-Diensten, die weit über die reine Zertifizierung von Rechenzentren hinausgehen. Der Katalog adressiert unter anderem die Frage der Datenhoheit: Wer darf unter welchen Umständen auf Daten zugreifen? Welche technischen und organisatorischen Maßnahmen verhindern unerlaubte Zugriffe durch Dritte? Ein wesentlicher Punkt ist die Anforderung an die Verschlüsselung, die sowohl für die Datenübertragung als auch für die Speicherung gilt und in der Hand des Kunden liegen muss. Zusätzlich verlangt C3A von Cloud-Anbietern eine umfassende Transparenz über Weiterverarbeitungen oder Subunternehmer. Der Katalog erlaubt es Unternehmen, Cloud-Angebote objektiv zu vergleichen und Risiken präzise zu bewerten. Das BSI sendet damit ein klares Signal: Digitale Souveränität soll sich anhand konkreter, messbarer Kriterien einfordern lassen.
Direkter Vergleich: Wo DSK und BSI C3A sich ergänzen – und wo nicht
Ein detaillierter Abgleich zeigt, dass die DSK-Kriterien im Kern eine Erweiterung der C3A-Anforderungen darstellen. Beide Rahmenwerke fordern eine vollständige Vertragstransparenz und die Möglichkeit zur Überprüfung des Anbieters durch den Kunden. Der entscheidende Unterschied liegt jedoch in der Tiefe der geforderten Kontrolle. Die DSK verlangt explizit die rechtliche und faktische Abschottung vor Zugriffen durch ausländische Behörden – ein Aspekt, der im primär technisch orientierten C3A-Katalog weniger stark ausgeprägt ist. C3A fokussiert auf die Sicherheit der Verarbeitung, die Verschlüsselung und die Verfügbarkeit von Daten. Die DSK geht darüber hinaus und bewertet auch die strategische Frage der Abhängigkeit von Branchenriesen. Eine Cloud, die C3A erfüllt, kann technisch hochsicher sein, aber dennoch anfällig für Zugriffe durch eine ausländische Jurisdiktion – etwa durch US-Gesetze wie den CLOUD Act. Damit unterschreitet ein solcher Dienst die notwendige Souveränität, die der Datenschutz fordert. Unternehmen müssen diesen Unterschied erkennen: Eine C3A-Zertifizierung ist ein starkes Sicherheitsmerkmal, ersetzt aber nicht die Prüfung der rechtlichen und politischen Souveränität des Anbieters. Die wahre Herausforderung besteht darin, beide Anforderungskataloge in einer Entscheidung zu vereinen.
Die praktische Konsequenz für Entscheider in Unternehmen
Für Compliance-Beauftragte, IT-Sicherheitsverantwortliche und Geschäftsführer bedeutet dies: Die reine Zertifizierung eines Cloud-Anbieters nach C3A ist ein wichtiges, aber nicht ausreichendes Kriterium. Sie müssen die vertragliche Ausgestaltung und die rechtliche Verankerung des Anbieters prüfen. Kann der Anbieter garantieren, dass kein Dritter – insbesondere keine außereuropäische Regierung – Zugriff auf die personenbezogenen Daten erhält, die in der Cloud verarbeitet werden? Lässt sich dies technisch durch Ende-zu-Ende-Verschlüsselung untermauern? Die DSK-Kriterien fordern hier ein Höchstmaß an Sicherheit. Unternehmen, die diese Prüfung scheuen, setzen sich erheblichen rechtlichen und wirtschaftlichen Risiken aus – von Abmahnungen bis hin zu Bußgeldern nach der DSGVO.
Warum Souveränität mehr als Technik ist
Die Debatte zeigt: Souveränität in der Cloud ist kein statisches Merkmal, sondern ein dynamischer Zustand. Er muss ständig überwacht und hinterfragt werden, denn sowohl die technische Entwicklung als auch die geopolitische Lage können die Bedingungen verändern. Ein Beispiel: Ein Cloud-Anbieter, der heute in einem europäischen Rechtsraum operiert, könnte morgen durch einen Unternehmenskauf oder neue Gesetze in die Sphäre einer nicht-europäischen Jurisdiktion geraten. Die DSK-Kriterien verlangen daher nicht nur eine einmalige Prüfung, sondern eine kontinuierliche Sicherstellung der Souveränität. C3A bietet hierfür ein hervorragendes technisches Grundgerüst, bildet aber die politischen und rechtlichen Dimensionen nicht vollständig ab. Wer Datenschutz ernst nimmt, muss die DSK-Kriterien als Leitplanke verwenden und die C3A-Zertifizierung als einen Teil der technischen Umsetzung sehen. Die Zukunft der Cloud liegt in der Vereinigung von robuster Technik und wasserdichter rechtlicher Kontrolle – und genau diese Synthese definiert die souveräne Cloud neu.
