Datensouveränität: Warum ein regionales Rechenzentrum strategisch wichtiger denn je ist

Seit dem 12. September 2025 ist die EU-Datenverordnung (EU Data Act) in Kraft – mit großen Auswirkungen auf Cloud- und Rechenzentrumsdienste. Die Verordnung gibt Kunden das Recht, leichter zwischen Cloud-Anbietern zu wechseln, und ab dem 12. Januar 2027 werden die Kosten für einen solchen Wechsel vollständig abgeschafft. Aus Sicht der Datenhoheit ist die Verordnung besonders relevant, da es Schutzmaßnahmen einführt, die verhindern, dass Behörden anderer Länder auf nicht personenbezogene Daten zugreifen können, wenn dies im Widerspruch zum EU- oder nationalen Recht steht. Dies ist eine direkte Reaktion auf grenzüberschreitende Überwachungsgesetze wie den US-amerikanischen CLOUD Act und bedeutet, dass europäische Rechenzentrumsstandorte strategische Vorteile für die Datenhoheit bieten.

CLOUD Act: die anhaltende Bedrohung für die Datenhoheit

Der US-amerikanische CLOUD Act von 2018 bleibt ein wichtiger Diskussionspunkt und eine Risikoquelle. Er gibt US-Behörden das Recht, US-Unternehmen zur Herausgabe von im Ausland gespeicherten Daten zu zwingen, selbst wenn diese Daten europäischen Bürgern gehören und sich in EU-Rechenzentren befinden. Dies ist nicht nur Theorie. Selbst wenn die Daten europäischer Bürger in EU-Rechenzentren gespeichert sind, kann der CLOUD Act US-Unternehmen dennoch dazu verpflichten, diese Daten an US-Behörden zu übergeben. Dies untergräbt den Datenschutz der DSGVO und die europäische Datenhoheit. Für Organisationen, die mit sensiblen Informationen umgehen, von geistigem Eigentum bis hin zu Kundendaten, entsteht dadurch eine komplexe rechtliche Spannung.

Für Kunden bedeuten diese Entwicklungen, dass sie bei der Auswahl eines Rechenzentrumspartners mehrere strategische Faktoren berücksichtigen müssen. Das beginnt mit der Beurteilung der Gerichtsbarkeit, der ein Rechenzentrum unterliegt. Es bedeutet auch, sich von Marketingaussagen zu „Rechenzentren mit Sitz in der EU“ nicht blenden zu lassen. Hat das Unternehmen, das diese Rechenzentren besitzt, seinen Sitz außerhalb der EU, unterliegt es weiterhin den Gesetzen seines Heimatlandes, einschließlich des US-amerikanischen CLOUD Act. Deshalb ist es wichtig, die Eigentümerstruktur und die rechtliche Zuständigkeit eines Anbieters sorgfältig zu prüfen.

Aus Sicht der NIS2-Compliance empfiehlt es sich dringend, jetzt mit Risikoanalysen zu beginnen, das Bewusstsein der Mitarbeiter für Cyberrisiken zu schärfen und für robuste Prozesse bei Sicherheitsvorfällen zu sorgen. Die Wahl der Rechenzentrumsinfrastruktur sollte ein integraler Bestandteil dieser Compliance-Dokumentation sein.

Der EU Data Act stärkt die digitale Souveränität, indem er es Unternehmen ermöglicht, ihre Daten und Anwendungen frei zu verschieben, ohne an proprietäre Systeme oder isolierte Infrastrukturen gebunden zu sein. Dies schafft strategische Unabhängigkeit bei der Auswahl von Rechenzentrumsanbietern. Es ist daher ratsam, Migrationsszenarien zu entwickeln, die ein Höchstmaß an Flexibilität bieten.

Selbst wenn ein Unternehmen nicht direkt dem Geltungsbereich des deutschen NIS2-Gesetzes unterliegt, kann es vertraglich verpflichtet werden, die erforderlichen Cybersicherheitsanforderungen zu erfüllen, wenn es Produkte oder Dienstleistungen an ein reguliertes Unternehmen liefert. Es ist daher ratsam, einen Rechenzentrumspartner zu wählen, der nachweislich die höchsten Sicherheitsstandards, einschließlich ISO/IEC 27001, erfüllt und transparente Prüfpfade bereitstellt.