Datenschutz · Reihe Digitale Souveränität
Drittlandrisiko im Alltag — Teil 1: Abhängigkeiten identifizieren, Risiken abwägen
Auftakt einer dreiteiligen Reihe: Was digitale Souveränität im Unternehmensalltag bedeutet, wo Abhängigkeiten von Cloud-Diensten entstehen und wie sich das Drittlandrisiko sachlich bewerten lässt.
Digitale Souveränität: Begriff und Einordnung
Digitale Souveränität wird derzeit in vielen Geschäftsleitungen diskutiert. Häufig bleibt dabei offen, was der Begriff konkret bedeutet und welche Folgen sich daraus für die eigene IT ergeben. Gemeint ist die Fähigkeit, selbstbestimmt über die eigenen Daten und Systeme zu entscheiden und eine getroffene Entscheidung bei Bedarf auch ändern zu können. Digitale Souveränität ist damit keine Frage eines bestimmten Produkts, sondern eine Frage der Entscheidungsfähigkeit.
Die grundsätzliche Bedeutung des Themas für den Datenschutz ist in einem früheren Beitrag beschrieben. Diese Reihe ergänzt die Einordnung um die praktische Seite: Wie lassen sich Abhängigkeiten erkennen, wie wird das Drittlandrisiko bewertet, und wie kann eine Umstellung gelingen, wenn sie sinnvoll ist?
Ausgangslage: Gründe für den Einsatz von Microsoft 365
Microsoft 365 ist in vielen Unternehmen aus guten Gründen im Einsatz. Die Dienste greifen eng ineinander, ermöglichen ortsunabhängige Zusammenarbeit und bringen umfangreiche Sicherheits- und Compliance-Funktionen mit. Der Betrieb eigener Server entfällt, Aktualisierungen erfolgen zentral. Für viele Organisationen war und ist das eine wirtschaftlich und fachlich gut begründete Entscheidung.
Digitale Souveränität stellt diese Vorteile nicht infrage. Sie fragt danach, ob die mit der Nutzung verbundenen Abhängigkeiten bekannt, bewertet und dokumentiert sind.
Ebenen der Abhängigkeit
Abhängigkeit von einem Cloud-Dienst ist mehr als ein Vertragsverhältnis. Sie entsteht auf mehreren Ebenen, die sich gegenseitig verstärken:
Daten und Formate
Wo liegen die Daten, in welchem Format, und lassen sie sich vollständig und ohne Informationsverlust exportieren?
Identitäten und Prozesse
Benutzerkonten, Berechtigungen und Abläufe, die auf einen Dienst zugeschnitten sind, lassen sich nicht ohne Weiteres übertragen.
Wissen
Welche Personen im Unternehmen kennen die Konfiguration, die Aufbewahrungsregeln und die Exportwege eines Dienstes?
Je enger diese Ebenen verzahnt sind, desto aufwendiger wird ein späterer Wechsel. Das gilt unabhängig vom Anbieter und ist kein Mangel eines bestimmten Produkts, sondern eine Eigenschaft integrierter Plattformen.
Rechtsrahmen: Angemessenheitsbeschluss und CLOUD Act
Für die Übermittlung personenbezogener Daten in die USA gilt seit dem 10. Juli 2023 der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework. Übermittlungen an zertifizierte US-Unternehmen sind damit zulässig. Das Gericht der EU hat eine Klage gegen den Beschluss am 3. September 2025 abgewiesen; ein Rechtsmittel ist beim Europäischen Gerichtshof anhängig. Die beiden Vorgängerregelungen, Safe Harbor und Privacy Shield, hatte der Gerichtshof für ungültig erklärt.
Unabhängig von der Übermittlungsgrundlage kann der US-amerikanische CLOUD Act US-Anbieter verpflichten, Daten in ihrer Verfügungsgewalt auf behördliche Anordnung herauszugeben, auch wenn diese in europäischen Rechenzentren gespeichert sind. Maßgeblich ist, welchem Recht der Anbieter unterliegt, nicht der Speicherort.
Beides ist kein Anlass zu übereilten Schritten. Beides gehört jedoch in eine dokumentierte Risikobewertung, die regelmäßig überprüft wird, zumal die Entscheidung des Europäischen Gerichtshofs noch aussteht.
Weiterführende Informationen
EU-US-Datentransfers: der Angemessenheitsbeschluss
Die EU-Kommission erläutert den Angemessenheitsbeschluss zum EU-US Data Privacy Framework und die Schutzmechanismen, auf die er sich stützt.
Zur EU-Kommission →Hintergrund zum CLOUD Act: Informationsseite des US-Justizministeriums (englisch).
Praxisbericht: Erfahrungen aus der Umstellung der TBCS IT GmbH
Die TBCS IT GmbH stellt ihre eigene IT-Umgebung im Jahr 2026 schrittweise von Microsoft 365 auf selbst betriebene Lösungen um. Die Erfahrungen aus diesem Projekt fließen in die Reihe ein. Bereits die Bestandsaufnahme hat gezeigt, dass der größere Aufwand in der Vorbereitung liegt und weniger in der Technik.
Vor der Migration müssen die geltenden Aufbewahrungs- und Archivierungsregeln bekannt sein. Gewachsene Ablagestrukturen in Teams und SharePoint brauchen eine neue Ordnung, bevor sie übertragen werden. Die vollständige Übertragung von Postfach-Archiven erfordert eine sorgfältige Planung und Kontrolle. Einzelne Dienste laufen deshalb bis zum Abschluss parallel weiter.
Die Umstellung ist zugleich eine Gelegenheit, Datenbestände zu bereinigen: veraltete Dokumente zu löschen, Strukturen zu vereinheitlichen und Zuständigkeiten zu klären. Das ist eine wichtige Voraussetzung, wenn die Daten später mit KI-Anwendungen genutzt werden sollen.
Bestandsaufnahme in fünf Schritten
✓ Dienste erfassen: Cloud-Dienste, in denen personenbezogene Daten verarbeitet werden, aus dem Verarbeitungsverzeichnis ableiten.
✓ Anbieter einordnen: Je Dienst Anbieter, Konzernsitz und anwendbares Recht feststellen. Erst daraus ergibt sich, ob ein Drittlandbezug besteht.
✓ Rechtsgrundlage dokumentieren: Angemessenheitsbeschluss, Standardvertragsklauseln mit Risikobewertung oder eine andere Grundlage festhalten, ebenso die Folgen, falls diese entfällt.
✓ Aufbewahrung prüfen: Aufbewahrungs- und Löschregeln für E-Mail, Kalender, Chats und Dateien kennen und dokumentieren.
✓ Exportfähigkeit testen: Einen repräsentativen Datenauszug vollständig exportieren und außerhalb des Dienstes lesbar machen. Das gilt auch für Backup-Lösungen.
Ziel der Bestandsaufnahme ist keine Entscheidung für oder gegen einen Anbieter, sondern eine begründete und dokumentierte Entscheidung. Wer seine Abhängigkeiten kennt, kann bewusst beim bisherigen Anbieter bleiben, einzelne Dienste ersetzen oder eine Umstellung planen.
Teil 2 der Reihe erscheint am 27. Oktober 2026 und behandelt die Alternativen: welche Lösungen es für die einzelnen Dienste gibt, wie sie sich in bestehende Abläufe einfügen und worauf bei der Auswahl zu achten ist. Zur vorherigen Ausgabe: Gestohlene Daten — der Angriff endet nicht mit dem Hack.
Abhängigkeiten strukturiert bewerten
Die TBCS IT GmbH unterstützt bei der Bestandsaufnahme Ihrer Cloud-Dienste: Datenflüsse, Rechtsgrundlagen, Drittlandrisiko und Exportfähigkeit. Ergebnis ist eine dokumentierte Entscheidungsgrundlage.