Sovereign Washing: Wann ist eine Cloud wirklich europäisch?

"EU-Hosted." "Datenzentrum in Frankfurt." "DSGVO-konform." Diese Aussagen können wichtige Eigenschaften beschreiben. Für sich allein beantworten sie aber nicht, wer Daten kontrolliert, welche Zugriffe möglich sind und welche rechtlichen Verpflichtungen für die beteiligten Anbieter gelten.

Das Problem heißt Sovereign Washing: Ein Cloud-Dienst wird als souverän oder europäisch vermarktet, ohne die behaupteten Eigenschaften ausreichend zu erklären und zu belegen. Für CISOs, Datenschutzbeauftragte und Compliance-Verantwortliche lohnt sich deshalb eine Prüfung des konkreten Dienstes statt nur des Labels.

Dieser Leitfaden zeigt fünf Prüffelder für eure Beschaffung. Sie helfen bei der Anbieterbewertung; sie sind kein gesetzliches Gütesiegel und keine Punkteskala, mit der sich DSGVO-Konformität oder digitale Souveränität automatisch feststellen lässt.

Inhaltlich aktualisiert am 24. Oktober 2026. Der ursprüngliche Beitrag erschien am 11. Mai. Die Einordnung trennt Datenschutzrecht, behördliche Zugriffsmöglichkeiten und eure eigenen Souveränitätsanforderungen.

Was ist Sovereign Washing?

Sovereign Washing beschreibt unbelegte oder irreführend verkürzte Souveränitätsversprechen. Typische Prüfanlässe sind:

• EU-Datenzentrum ohne Erklärung der Kontrollstruktur: Der Speicherort sagt noch nicht, welche Gesellschaft den Dienst betreibt und wer administrativen Zugriff hat.
• "DSGVO-konform" ohne Bezug zum Einsatz: Die zulässige Nutzung hängt auch von Zweck, Daten, Konfiguration und Verträgen ab. Sie ist keine pauschale Eigenschaft jedes Kundeneinsatzes.
• Standardvertragsklauseln ohne Prüfung des Übermittlungsfalls: Bei einer darauf gestützten Übermittlung gehören Empfänger, Rechtslage und gegebenenfalls ergänzende Maßnahmen zur Bewertung.
• Verschlüsselung ohne Schlüssel- und Klartextmodell: Entscheidend ist, wer Schlüssel nutzen und Daten im Betrieb lesen kann.
• BYOK nur als Produktname: Prüfe Funktionsumfang, Plan, Betrieb und tatsächliche Zugriffsmöglichkeiten.

Nicht jede unvollständige Produktbeschreibung belegt eine Täuschung. Fordere fehlende Informationen an und dokumentiere, was danach noch unklar bleibt.

Der rechtliche Hintergrund: Schrems II, CLOUD Act, DSK-Beschluss

1. Schrems II und der heutige Übermittlungsrahmen. Der EuGH erklärte 2020 das EU-US Privacy Shield für ungültig und bestätigte Standardvertragsklauseln unter Bedingungen. Das ist nicht die gesamte heutige Rechtslage: Seit 2023 besteht der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (DPF). Für die davon erfassten Übermittlungen an teilnehmende US-Organisationen kann er die Grundlage bilden. Prüfe die konkrete Teilnahme und den erfassten Dienst; das DPF ersetzt nicht alle übrigen DSGVO-Pflichten. EuGH-Urteil, EU-Kommission zum DPF

2. CLOUD Act. Das US-Justizministerium erläutert, dass Anbieter unter US-Gerichtsbarkeit zur Herausgabe von Daten in ihrem Besitz, Gewahrsam oder ihrer Kontrolle verpflichtet werden können, unabhängig vom Speicherort. Daraus folgt weder ein automatischer Zugriff auf sämtliche EU-Daten noch die Regel, dass allein ein US-Aktionär jede Tochtergesellschaft erfasst. Entscheidend sind unter anderem Gerichtsbarkeit, konkrete rechtmäßige Anordnung und Kontrolle über die verlangten Daten. Ein EU-Sitz allein begründet umgekehrt keine umfassende Immunität gegenüber ausländischem Recht. DOJ-Whitepaper zum CLOUD Act

3. DSK-Bewertung zu Microsoft 365. Die Festlegung vom 24. November 2022 betrifft den damals geprüften Vertrags- und Erkenntnisstand. Sie ist ein historischer Bezugspunkt für Transparenz und Verantwortlichkeit, kein aktuelles pauschales Verbot sämtlicher Microsoft-365-Nutzungen. Für die Beschaffung zählen die heute angebotenen Verträge, Funktionen und eure tatsächliche Verarbeitung. DSK-Unterlage von 2022

Datenschutzrechtliche Zulässigkeit und digitale Souveränität sind verschiedene Fragen. Ein zulässiger Transfer kann euren zusätzlichen Beschaffungsanforderungen trotzdem nicht genügen. Umgekehrt beweist eine europäische Eigentümerstruktur noch keine vollständige DSGVO-Konformität.

Die 5-Punkt-Checkliste für echte Souveränität

Definiere zuerst, was eure Organisation verlangt: etwa bestimmte Datenstandorte, begrenzten Administrationszugriff, eigene Schlüsselhoheit oder einen überprüften Anbieterwechsel. Prüfe anschließend jedes relevante Feld. Ein besonders wichtiger offener Punkt wird nicht durch drei andere Häkchen ausgeglichen.

1. Mutterkonzern-Sitz und Beneficial Ownership

Wer kontrolliert Vertragspartner und Betrieb? Prüfe die konkrete Gesellschaft, Konzernstruktur und maßgebliche Kontrolle. Frage auch, welche Einheiten Support, Administration und Schlüsselmanagement leisten.

Eine europäische Eigentümerstruktur kann ein Beschaffungskriterium sein. Sie ist aber kein Ersatz für die Prüfung weiterer rechtlicher und technischer Abhängigkeiten. Börsennotierung, Beteiligung und behördliche Zugriffsmöglichkeiten sind nicht automatisch dasselbe.

Frage den Anbieter: "Welche Gesellschaften können auf unsere Daten zugreifen, und wie begründet ihr eure Aussage zu anwendbaren Rechtsordnungen?"

2. Datenresidenz und Sub-Auftragsverarbeiter

Wo werden welche Daten verarbeitet? Erfasse Produktdaten, Backups, Logs, Metadaten und Supportfälle getrennt. Prüfe Unterauftragnehmer für Infrastruktur, Mailversand und weitere Dienste einschließlich ihrer Aufgaben und Zugriffsmöglichkeiten.

Benötigt werden die für euren Vertrag geltenden Angaben zu Unterauftragsverarbeitern und Datenflüssen. Ein Verzeichnis nach Art. 30 DSGVO und eine Sub-Prozessor-Liste erfüllen unterschiedliche Aufgaben; das eine ersetzt das andere nicht.

"Region kann variieren" verlangt eine konkrete Klärung. Ein Anbietername allein beweist dagegen noch nicht, welche Daten bei eurer Nutzung dorthin fließen.

3. Verschlüsselungs-Hoheit (Key-Management)

Wer kann Schlüssel verwenden und Klartext sehen? Verschlüsselung bei Speicherung und Übertragung schützt gegen bestimmte Zugriffe. Ob sie auch einen Zugriff über den Anbieter verhindert, hängt von der Architektur ab.

Bei BYOK (Bring Your Own Key) kann der Kunde Schlüsselmaterial bereitstellen, während der Dienst es weiterhin zur Entschlüsselung nutzen kann. HYOK (Hold Your Own Key) muss ebenfalls anhand der konkreten Umsetzung geprüft werden. Ein Produktlabel garantiert keine für den Anbieter unlesbaren Daten.

Prüfe Schlüsselablage, Nutzungsrechte, Klartextverarbeitung, Widerruf und Wiederherstellung. Der EDPB unterscheidet wirksame Verschlüsselung unter bestimmten Voraussetzungen von Fällen, in denen ein Cloud-Anbieter Daten im Klartext verarbeiten muss. EDPB-Empfehlungen 01/2020

4. Behörden-Zugriff und Rechtsweg

Wie behandelt der Anbieter Datenanforderungen? Frage nach Prüfung der rechtlichen Grundlage, zuständigen Stellen, möglichen Rechtsmitteln und Benachrichtigung des Kunden, soweit zulässig.

Transparenzberichte und vertragliche Pflichten helfen bei der Bewertung. Ein Vertrag kann jedoch zwingendes Recht nicht einfach ausschließen. Die Zusage, eine Anfrage zu prüfen oder anzufechten, ist von einer Garantie zu unterscheiden, dass niemals Daten herausgegeben werden.

Halte für kritische Daten fest, welche verbleibenden Zugriffsrisiken eure Organisation akzeptieren kann und wer darüber entscheidet.

5. Code- und Vertrags-Transparenz

Welche Aussagen kannst du tatsächlich prüfen? Nutze Vertragsunterlagen, Angaben zu Unterauftragnehmern, technische Beschreibungen und geeignete unabhängige Prüfberichte. Prüfe bei jeder Bescheinigung Dienst, Geltungsbereich und Zeitraum.

Öffentlicher Quellcode kann bestimmte Prüfungen erleichtern. Er beweist allein weder den tatsächlich betriebenen Stand noch einen sicheren Betrieb. Geschlossener Quellcode ist umgekehrt kein Nachweis für Sovereign Washing.

Ein Bericht unter NDA kann sensible Details schützen und trotzdem nützlich sein. Entscheidend ist, ob ihr ausreichende Einsicht in die für euren Einsatz relevanten Aussagen und Einschränkungen bekommt. Eine C5-Testierung oder ein Code of Conduct muss mit seinem konkreten Umfang bewertet werden, nicht als pauschales Souveränitätszertifikat.

Drei reale Cases zum Mitnehmen

Microsoft 365 und Datenschutzbewertungen. Der DSK-Beschluss von 2022 zeigt, warum Verträge und Verantwortlichkeiten geprüft werden müssen. Trenne diesen historischen Stand von heutigen Angeboten und von der Bewertung eines konkreten Schul- oder Verwaltungseinsatzes.

OVHcloud-Brand 2021. Der Anbieter dokumentierte die Zerstörung von SBG2 und Schäden an SBG1 in Strasbourg. Der Fall zeigt, warum Datenstandort und organisatorische Kontrolle nicht die Wiederherstellbarkeit ersetzen. Prüfe räumliche Trennung, vereinbarte Backup-Leistung und tatsächliche Restore-Tests separat. OVHcloud zum Vorfall

AWS European Sovereign Cloud. AWS meldete im Januar 2026 die allgemeine Verfügbarkeit seines europäischen Angebots. Prüfe dessen konkrete Gesellschaften, Betriebsgrenzen, Verträge und technische Kontrollen statt es pauschal aufgrund des Konzernnamens als souverän oder nicht souverän einzuordnen. Die Herstellerbeschreibung ist eine Quelle für das Angebot, kein unabhängiger Nachweis aller Anforderungen eurer Organisation. AWS-Veröffentlichung

Vendor-Assessment-Checkliste für CISOs

Wenn du eine GRC-Plattform, ein CRM, ein HR-System oder eine Marketing-Cloud bewertest, frage konkret:

• Welche Gesellschaft ist Vertragspartner, wer kontrolliert sie und wer betreibt den Dienst?
• Welche Unterauftragsverarbeiter bearbeiten welche Daten, und wo?
• Wo liegen Produktdaten, Backups und Logs? Welche Supportzugriffe sind möglich?
• Wie funktionieren BYOK oder HYOK tatsächlich, und wer kann Klartext verarbeiten?
• Welche Rechtsgrundlage trägt eine relevante Drittlandübermittlung?
• Wie werden behördliche Anfragen geprüft, dokumentiert und gegebenenfalls angefochten?
• Welche Verträge und Prüfberichte gelten für genau unseren Dienst und Zeitraum?
• Wie können wir Daten exportieren, den Anbieter wechseln und die Löschung nachvollziehen?

Bewerte jede Antwort mit Quelle, Geltungsbereich, offenem Punkt, Verantwortung und Entscheidung. Ein ungeklärter kritischer Zugriff kann wichtiger sein als mehrere erfüllte Nebenanforderungen.

Wo Kopexa steht: ehrliche Selbst-Einordnung

Für Kopexa gilt dieselbe Prüfung wie für andere Anbieter. Die folgenden Betreiberangaben beschreiben die Arbeitsgrundlage, nicht die Garantie einer umfassenden rechtlichen Immunität:

Kopexa wird hier als gehostete SaaS-Plattform eingeordnet. Ein On-Premise- oder Air-Gap-Angebot, eine ISO-27001-Zertifizierung oder eine C5-Testierung werden damit nicht zugesagt. Benötigte Leistungs- und Prüfungsnachweise gehören vor der Beschaffung in die konkrete Vertragsprüfung.

Der Nutzen von Kopexa liegt darin, Anbieter, Risiken, Anforderungen, Maßnahmen und Nachweise nachvollziehbar zusammenzuführen. Ein Zertifikat oder eine europäische Adresse ersetzt auch bei uns nicht die Prüfung eures tatsächlichen Einsatzes.

Was du jetzt tun kannst

1. Prüfe einen wichtigen Cloud-Dienst anhand der fünf Felder. Beginne mit euren unverzichtbaren Anforderungen, nicht mit einer pauschalen Punktzahl.
2. Verbinde die Bewertung mit eurer Verarbeitung. Im Verarbeitungsverzeichnis sollte nachvollziehbar sein, welche Daten und Zwecke zum Dienst gehören. Ergänze die relevante Anbieter- und Transferbewertung, ohne beide Register gleichzusetzen.
3. Lege Beschaffungsregeln fest. Benenne Mindestanforderungen, geeignete Nachweise, Verantwortung und den Umgang mit begründeten Ausnahmen.

Für einen ersten Arbeitsfall genügt eine offene Frage zu einem bestehenden Anbieter. In Kopexa lässt sich daran besprechen, wie Lieferant, Risiko, Maßnahme und Nachweis verbunden bleiben. Die Plattform erklärt unsere ISMS-Produktseite.