Souveräne Cloud-Strategien: Wie europäische Infrastrukturen wie STACKIT Ihr Haftungsrisiko senken

Eine europäische Cloud-Infrastruktur wie STACKIT senkt Ihr Haftungsrisiko, weil Betreiber und Rechenzentrum derselben Rechtsordnung unterliegen wie Sie und kein Drittstaat Zugriff auf Ihre Daten verlangen kann. Für Compliance-Verantwortliche ist das die kürzeste Antwort auf die Frage, die jede Prüfung stellt: Wo sind die Daten, und wer kommt dran?

Was eine souveräne Cloud ist

Eine souveräne Cloud wird vollständig unter europäischer Rechtsordnung betrieben: Eigentümer, Betreiber, Support und Rechenzentrum sitzen in der EU. Der Serverstandort allein reicht dafür nicht. Der US CLOUD Act knüpft am Sitz des Anbieters an, ein Frankfurter Rechenzentrum eines US-Konzerns bleibt für US-Behörden erreichbar. Weil „souverän“ inzwischen auch auf den Prospekten der US-Anbieter steht, prüfen Sie die Eigentümerstruktur, nicht das Etikett.

Was STACKIT ist und was es nicht ist

STACKIT ist die Cloud-Sparte der Schwarz Gruppe, zu der Lidl und Kaufland gehören. Die Infrastruktur wurde für den eigenen Handelsbetrieb aufgebaut und dann für Kunden geöffnet. Das ist ein brauchbares Argument: Ein Anbieter, der seine eigene Logistik darauf betreibt, kann sich Ausfälle nicht leisten.

STACKIT ist aber ein Anbieter unter mehreren, und er ist kein Hyperscaler. Der Dienstekatalog ist kleiner, Spezialdienste fehlen, und ob Rechenleistung für Ihr KI-Modell in der nötigen Form verfügbar ist, klären Sie vor der Entscheidung. Zertifikate und Testate lassen Sie sich vorlegen, statt sie aus Artikeln wie diesem zu übernehmen. Dasselbe gilt für den Auftragsverarbeitungsvertrag: Lesen Sie, welche Unterauftragnehmer darin stehen und wo diese sitzen. Ein europäischer Anbieter mit einem US-Unterauftragnehmer für den Support hat die Souveränität an genau dieser Stelle wieder aufgegeben.

Wie eine europäische Cloud das Haftungsrisiko senkt

Nach der DSGVO haften Sie als Verantwortlicher für die Verarbeitung, auch wenn ein Dienstleister sie ausführt. Jede Übermittlung in ein Drittland braucht eine Rechtsgrundlage, und die Rechtsgrundlagen für die USA hat der Europäische Gerichtshof bereits zweimal gekippt. Wer bei einem europäischen Anbieter hostet, hat für das Hosting keine Drittlandübermittlung mehr. Eine ganze Risikoklasse verschwindet aus dem Verzeichnis der Verarbeitungstätigkeiten, und der Nachweis gegenüber der Aufsicht wird ein Satz.

Was die Cloud nicht abnimmt: Meldepflichten bei Vorfällen, Rechtsgrundlagen für die Verarbeitung selbst, Betroffenenrechte und Löschfristen. Sie verlagern die Haftung nicht, Sie verkleinern sie.

KI-Daten in der EU verarbeiten: wo die Haftungsfrage wirklich fällt

Der häufigste Fehler in KI-Vorhaben ist, die Hostingfrage zu lösen und die Modellfrage zu vergessen. Die Dateien liegen in Deutschland, aber der KI-Assistent schickt jeden Prompt über die Schnittstelle eines US-Anbieters, samt Vertragstext und Kundendaten. Damit ist die Drittlandübermittlung wieder da, nur unsichtbarer. Ein Auftragsverarbeitungsvertrag regelt die Verantwortung, ändert am Datenfluss aber nichts.

Die Lösung ist, das Modell dort laufen zu lassen, wo die Daten liegen: ein Modell mit offenen Gewichten auf Rechenleistung in der EU oder ein europäischer Modellzugang mit klarer Protokollierung. Dann gilt für den Prompt dasselbe wie für die Datei, und Ihre Datenschutzbeauftragte muss die Frage nur einmal beantworten.

Architektur: logische Trennung zusätzlich zur geografischen

Der Standort löst die Rechtsfrage, die Architektur die Sicherheitsfrage. Sensible Daten laufen in einer eigenen, mandantengetrennten Umgebung, verschlüsselt mit Schlüsseln, die Sie kontrollieren, und jeder Zugriff wird protokolliert. Altsysteme, die sich nicht bewegen lassen, bleiben vorerst im eigenen Rechenzentrum; neue Anwendungen und KI-Dienste entstehen in der Cloud. Diese hybride Landschaft ist kein Kompromiss, sondern der Normalfall während des Übergangs, und sie lässt sich in Etappen ohne Betriebsunterbrechung aufbauen.

Häufige Fragen zur souveränen Cloud

Droht bei STACKIT eine Anbieterabhängigkeit? Weniger als bei Anbietern mit vielen herstellereigenen Diensten, weil der Katalog auf offenen Bausteinen wie Kubernetes und PostgreSQL aufbaut. Prüfen Sie trotzdem für jeden Dienst, ob Sie Ihre Daten und Konfigurationen exportieren können.

Wie steht es um die Ausfallsicherheit? Fragen Sie nach Rechenzentrumsstandorten, Wiederanlaufzeiten und Zusagen zur Verfügbarkeit, und lassen Sie sich diese vertraglich geben. Ein Versprechen im Prospekt ist kein Vertrag.

Muss alles auf einmal umziehen? Nein. Beginnen Sie mit dem, was neu entsteht, und mit Anwendungen, die bereits in Containern laufen. Der Rest folgt in Etappen.

Ist eine souveräne Cloud teurer? Einzelne Ressourcen können teurer sein als beim Hyperscaler. In die Rechnung gehören aber die Datenschutzprüfungen, Zusatzverträge und das Risiko einer gekippten Rechtsgrundlage, die bei US-Anbietern dazukommen.

Der nächste Schritt: Ihr Verarbeitungsverzeichnis lesen

Öffnen Sie Ihr Verzeichnis der Verarbeitungstätigkeiten und markieren Sie jede Verarbeitung, bei der Daten die EU verlassen oder bei der Sie es nicht sicher wissen. Zählen Sie die KI-Anwendungen dazu, auch die inoffiziellen. Was von dieser Liste eine europäische Cloud löst und was Architektur ist, klären wir mit Ihnen in einer halben Stunde: Potenzial-Check buchen.