Souveräne Cloud für Transportdaten: DSGVO und NIS-2 in internationalen Lieferketten einhalten

Transportdaten lassen sich DSGVO- und NIS-2-konform verarbeiten, ohne dass die Lieferkette langsamer wird, wenn Speicherort, Zugriff und Betreiber der Cloud unter europäischem Recht stehen und Sie das jederzeit nachweisen können. Das gilt inzwischen auch für die KI-Auswertung dieser Daten: Ein Modell, das Ankunftszeiten vorhersagt, muss dort laufen, wo die Daten liegen dürfen.

Was eine souveräne Cloud für Transportdaten ist

Eine souveräne Cloud ist eine Infrastruktur, deren Betreiber, Rechenzentren und Vertragsrecht in der EU liegen und bei der Sie selbst festlegen, wo Daten gespeichert werden und wer darauf zugreift. Der Unterschied zu den großen US-Anbietern liegt nicht in der Technik, sondern im Zugriff: Ein US-Betreiber kann per amerikanischem Recht zur Herausgabe verpflichtet werden, auch wenn das Rechenzentrum in Frankfurt steht. Für Sendungsdaten, Fahrzeugtelemetrie und Empfängeradressen, die über mehrere EU-Länder wandern, ist das der Punkt, an dem Datenschutzbeauftragte zu Recht nachfragen.

Souverän heißt nicht abgeschottet. Die Lieferkette bleibt international; was sich ändert, ist der Ort, an dem Daten ruhen, und die Kontrolle darüber, wer sie liest.

Warum DSGVO und NIS-2 Logistiker treffen

Die DSGVO greift, sobald sich Daten einer Person zuordnen lassen, und in der Logistik ist das häufiger der Fall, als viele denken: Fahrernamen, Standortverläufe eines Fahrzeugs, Telefonnummern von Empfängern. Die NIS-2-Richtlinie zählt den Verkehrssektor zu den regulierten Bereichen und verlangt von betroffenen Unternehmen nachweisbare Maßnahmen für Cybersicherheit, Vorfallmeldung und Geschäftskontinuität, mit persönlicher Verantwortung der Geschäftsleitung. Ob Ihr Unternehmen darunter fällt, hängt von Größe und Tätigkeit ab; das klärt Ihr Rechtsberater, nicht dieser Artikel.

Was wir sagen können: Beide Regelwerke verlangen am Ende dasselbe von der Architektur. Sie müssen zeigen können, wo welche Daten liegen, wer zugegriffen hat und was bei einem Ausfall passiert. Eine Cloud, die das nicht protokolliert, kann noch so sicher sein; im Audit hilft sie nicht.

Souveräne Cloud Deutschland: KI und Transportdaten am selben Ort

Immer mehr Logistiker lassen Transportdaten von KI-Modellen auswerten, für Ankunftsprognosen, Routenoptimierung oder die automatische Zuordnung von Frachtpapieren. Damit entsteht ein zweiter Datenabfluss, den viele übersehen: Die Daten liegen in der EU, aber der Prompt geht an eine Modell-Schnittstelle in den USA. Ein Auftragsverarbeitungsvertrag deckt das formal ab, beantwortet aber nicht, ob die Daten dort für andere Zwecke landen.

Die saubere Lösung ist, das Modell in derselben souveränen Umgebung zu betreiben wie die Daten. Offen lizenzierte Sprachmodelle laufen heute auf europäischer Infrastruktur in brauchbarer Qualität, und für Prognosen auf Telemetriedaten braucht es ohnehin kein Modell aus dem Silicon Valley. Bauen Sie die Anbindung so, dass sich das Modell austauschen lässt, dann bleibt die Entscheidung umkehrbar.

Drei Eigenschaften, die die Architektur haben muss

Datenhoheit: Alle Transportdaten liegen in EU-Rechenzentren, der Zugriff läuft über rollenbasierte Berechtigungen, jeder Zugriff wird protokolliert. Sie können festlegen, dass bestimmte Daten nur in Deutschland verarbeitet werden, und das gegenüber Kunden belegen.

Ausfallsicherheit: Redundante Systeme, ein geprobter Wiederanlaufplan und regelmäßige Sicherheitstests. Eine Flottensteuerung, die nach einem Angriff auf ein zweites Rechenzentrum umschalten kann, erfüllt genau das, was NIS-2 unter Geschäftskontinuität versteht.

Offene Standards: Container-Plattformen wie Kubernetes und offene Datenformate sorgen dafür, dass Sie den Anbieter wechseln können, wenn er seine Zusagen nicht hält oder sich die Rechtslage ändert. Souveränität, die an einen einzigen Anbieter bindet, ist keine.

Der Weg dorthin in vier Schritten

Erstens klassifizieren Sie Ihre Daten: Welche sind personenbezogen, welche geschäftskritisch, welche dürfen in Drittländer? Zweitens wählen Sie einen Anbieter, der europäisches Recht, Nachweise wie ISO 27001 oder das C5-Testat des BSI und vertragliche Zusagen zum Speicherort bietet. Drittens migrieren Sie schrittweise, beginnend mit unkritischen Daten, und prüfen nach jedem Schritt die Protokolle. Viertens richten Sie eine zentrale Protokollierung ein, die Zugriffe auf Transportdaten sammelt und bei Auffälligkeiten meldet, und sehen Sie sich diese Meldungen tatsächlich an.

Häufige Fragen

Ist eine Public Cloud eines US-Anbieters für Transportdaten grundsätzlich unzulässig?

Nein, aber Sie tragen die Nachweislast, dass der Zugriff aus Drittländern ausgeschlossen oder rechtlich abgesichert ist. Eine souveräne Cloud nimmt Ihnen diese Diskussion ab.

Kann ich meine bestehende Cloud-Infrastruktur umziehen?

Ja, wenn Daten klassifiziert und Abhängigkeiten bekannt sind. Der Umzug läuft schrittweise, mit Testphasen; ein Stichtagswechsel ist das größte Risiko, das Sie eingehen können.

Wie stelle ich sicher, dass der Anbieter keine Daten weitergibt?

Durch vertragliche Zusagen zum Speicherort, unabhängige Testate und eigene Kontrolle: Verschlüsselung mit Schlüsseln, die Sie halten, und Protokolle, die Sie selbst lesen.

Ihr nächster Schritt

Listen Sie die drei Datenflüsse Ihrer Transportdaten auf, bei denen Sie heute nicht sicher sagen können, in welchem Land sie enden. Bringen Sie die Liste mit in den Potenzial-Check, eine halbe Stunde, kostenlos. Wir sagen Ihnen, welcher Fluss zuerst in eine souveräne Umgebung gehört und ob die KI-Auswertung dort gleich mitlaufen kann. Potenzial-Check buchen