5 Säulen echter Souveränität
Vier rechtliche, eine technische Eigenschaft. Jede muss einzeln belegbar sein, sonst bleibt vom Versprechen nur Sovereign Washing übrig. Hier jede Eigenschaft mit unserem Status.
Wer kontrolliert das Unternehmen rechtlich? Kein US-Konzern, keine US-Investoren-Kontrollmehrheit, kein US-Listing.
Kopexa-Status
Kopexa GmbH, Sitz Deutschland. Keine US-Mutter, keine US-Kontrollmehrheit. Kein US-Recht anwendbar.
Daten, Backups, Logs, Metadaten und alle Sub-Auftragsverarbeiter müssen in der EU/EWR liegen, nachweisbar.
Kopexa-Status
SaaS in Region Paris (EU). Backups + Logs in derselben Region. Sub-Prozessor-Liste öffentlich unter /legal/sub-processors.
Wenn der Anbieter den Schlüssel hält, schützt Verschlüsselung nichts vor behördlichem Zugriff via den Anbieter.
Kopexa-Status
Standardmäßig anbieter-verwaltete Schlüssel. BYOK im On-Premise-Setup verfügbar, integriert mit eurem KMS oder HSM.
Welches Recht gilt für eine Datenanforderung? CLOUD-Act-Anweisungen müssen vertraglich ausgeschlossen sein.
Kopexa-Status
Kein US-Recht auf Kopexa anwendbar (kein US-Konzern in der Eigentümerkette). AVV/DPA im Self-Service unter avv.kopexa.com.
Black-Box-Anbieter sind aus Souveränitäts-Sicht riskant. Kunde braucht öffentlich auditierbare Beweise.
Kopexa-Status
KSPEC ist Open Source unter Elastic License v2 auf GitHub. AVV/DPA als Self-Service unter avv.kopexa.com. Sub-Prozessoren öffentlich unter /legal/sub-processors.
Wer profitiert
BSIG § 8a, IT-Grundschutz, KRITIS-Verordnung. Souveräne Cloud ist nicht Wunsch, sondern Pflicht. Microsoft 365 ist nach DSK-Beschluss in mehreren Bundesländern eingeschränkt.
DORA Art. 28-30 verlangt klare Drittparteien-Risikobewertung. BaFin-Aufsicht erwartet bei kritischen Cloud-Services die Souveränitäts-Frage explizit beantwortet.
Patientendaten, Studiendaten, Genom-Daten unterliegen DSGVO Art. 9 mit erhöhtem Schutzbedarf. US-Cloud-Lösungen sind hier nicht vermittelbar gegenüber Aufsicht und Patient.
FAQ
Demo, Sovereign-Washing-Guide oder gleich die ISMS-Plattform ansehen.