Digitale Souveränität: Warum europäische KMU auf EU-Technologie umsteigen

In der europäischen Technologielandschaft vollzieht sich ein grundlegender Wandel. Frankreich hat 2,5 Millionen Beamtinnen und Beamte verpflichtet, US-Tools bis 2027 nicht mehr zu nutzen. Der europäische Markt für souveräne Cloud-Dienste wird sich voraussichtlich auf 23 Milliarden US-Dollar verdreifachen. Die Reddit-Community r/BuyFromEU hat über 230.000 Mitglieder.

Dies ist kein Nischen-Trend. Es handelt sich um einen strukturellen Wandel in der Art und Weise, wie europäische Organisationen über Technologiebeschaffung nachdenken — und für KMU werden die Compliance- und Risikoimplikationen zunehmend unübersehbar.

Warum jetzt?

Drei Kräfte treten gleichzeitig in Erscheinung, und ihr kombinierter Druck verändert die Beschaffungsentscheidungen in ganz Europa.

Rechtliches Risiko. Das Schrems-II-Urteil (C-311/18) erklärte das EU-US Privacy Shield im Juli 2020 für ungültig. Obwohl das neue EU-US-Datenschutzrahmenabkommen im Juli 2023 verabschiedet wurde, haben Rechtswissenschaftlerinnen und Rechtswissenschaftler sowie der Europäische Datenschutzausschuss anhaltende Bedenken hinsichtlich seiner Bestandsfestigkeit unter dem US-amerikanischen Überwachungsrecht geäußert. Das Kernproblem hat sich nicht geändert: Gemäß dem US CLOUD Act (Clarifying Lawful Overseas Use of Data Act) können US-Behörden in den USA ansässige Unternehmen dazu zwingen, Daten herauszugeben, die weltweit gespeichert sind — auch auf Servern innerhalb der EU. Jedes Mal, wenn personenbezogene Daten von EU-Bürgerinnen und -Bürgern über ein US-Unternehmen fließen — selbst eines, das auf Frankfurter Infrastruktur betrieben wird — besteht dieser theoretische Zugangspfad.

Dies schafft ein Compliance-Risiko, das kein Datenverarbeitungsvertrag vollständig beseitigt. Für regulierte Branchen — Finanzdienstleistungen, Gesundheitswesen, kritische Infrastruktur — entsteht dadurch eine echte Prüfungshaftung.

Regulatorischer Druck. Eine Welle neuer EU-Verordnungen setzt direkte Anreize für eine inländische Beschaffung. Die NIS2-Richtlinie (transponiert Oktober 2024) verpflichtet wesentliche und wichtige Einrichtungen, die Sicherheit ihrer Lieferketten aufrechtzuerhalten und die Cybersicherheitspraktiken ihrer Technologiedienstleister zu bewerten. Der Cyber Resilience Act führt Sicherheitspflichten für vernetzte Produkte ein. Der Data Act verleiht EU-Nutzerinnen und -Nutzern Rechte an Daten, die durch vernetzte Produkte und Dienste erzeugt werden. Die KI-Verordnung verpflichtet Betreiberinnen und Betreiber von KI-Systemen mit hohem Risiko dazu, die Dokumentation und Compliance-Position ihrer Anbieter zu überprüfen.

Jeder dieser Rahmen lässt sich einfacher erfüllen, wenn Ihr Technologiedienstleister eine EU-regulierte Einrichtung ist, die denselben Gesetzen unterliegt, mit Daten, die standardmäßig gemäß DSGVO verarbeitet werden, und ohne einen kollidierenden ausländischen Rechtsrahmen.

Strategische Autonomie. 80 % der digitalen Technologien der EU werden importiert. Mehr als 70 % der Cloud-Infrastruktur der EU läuft auf AWS, Azure oder Google Cloud. Europäische Regierungen und die Europäische Kommission haben dies ausdrücklich als strategische Schwachstelle identifiziert — nicht nur für die nationale Sicherheit, sondern auch für wirtschaftliche Resilienz und Wettbewerbsfähigkeit. Der EU-Bericht zu Cloud-Infrastruktur und -Diensten stellte fest, dass europäische Unternehmen Preissetzungsmacht, Portabilität und regulatorischen Einfluss verlieren, wenn sie von nicht-europäischen Hyperscalern abhängig sind.

Für KMU vereinfacht sich das strategische Argument: Anbieterabhängigkeit von einem nicht-europäischen Hyperscaler bedeutet, dass Ihr Unternehmen Preisentscheidungen, Politikänderungen und geopolitischen Ereignissen ausgesetzt ist, die vollständig außerhalb des europäischen Rechtsraums liegen.

Das CLOUD-Act-Problem in der Praxis

Der CLOUD Act verdient besondere Aufmerksamkeit, da er häufig missverstanden wird. Viele Unternehmen gehen davon aus, dass die Datenspeicherung in einem EU-Rechenzentrum sie vor dem US-Zugriff schützt. Das ist nicht der Fall — zumindest nicht, wenn der Dienstanbieter ein US-Unternehmen ist.

Gemäß dem CLOUD Act können US-Behörden Microsoft, Google, Amazon und jedes andere in den USA ansässige Unternehmen dazu zwingen, Kundendaten herauszugeben, die sich überall befinden — einschließlich europäischer Rechenzentren —, und zwar mit einem Haftbefehl oder einer Gerichtsverfügung. Das Unternehmen kann sich nicht allein mit der Begründung verweigern, dass die Daten in der EU gespeichert sind. Microsoft hat dies im Microsoft-Ireland-Fall (2018) angefochten, aber der CLOUD Act wurde speziell als Reaktion darauf erlassen und stellt klar, dass der Speicherort keine Verteidigung darstellt.

Für Unternehmen, die der DSGVO unterliegen, entsteht dadurch eine echte Spannung. Die DSGVO schränkt die Übermittlung personenbezogener Daten in Drittländer — einschließlich der USA — ein, sofern keine spezifischen Schutzmaßnahmen getroffen werden. Standardvertragsklauseln erfordern eine Datentransfer-Folgenabschätzung, die belegt, dass das US-amerikanische Recht den Schutz nicht untergräbt. Der CLOUD Act untergräbt diese Abschätzung für in den USA ansässige Anbieter, da der theoretische staatliche Zugangspfad vertraglich nicht beseitigt werden kann.

Aus diesem Grund migrieren öffentliche Einrichtungen und regulierte Branchen in ganz Europa aktiv zu in der EU ansässigen Anbietern — und nicht nur zu EU-Regionen von US-Unternehmen.

Was KMU heute tun können

Sie müssen nicht alles über Nacht migrieren. Beginnen Sie mit einem strukturierten Audit:

1. Erstellen Sie eine Liste aller von Ihrem Unternehmen genutzten SaaS-Tools — dokumentieren Sie für jedes Tool den Namen des Anbieters, das Hauptsitzland und den Datenverarbeitungsstandort
2. Ermitteln Sie den Unternehmenssitz des Anbieters — unterscheiden Sie zwischen „hat EU-Server" und „ist ein EU-Unternehmen, das ausschließlich dem EU-Recht unterliegt"
3. Prüfen Sie, wo Ihre Daten tatsächlich gespeichert und verarbeitet werden — Ihr Datenverarbeitungsvertrag (DVV) sollte dies spezifizieren
4. Klassifizieren Sie nach Risiko und Ersetzbarkeit — nicht alle Tools sind gleich; konzentrieren Sie sich zunächst auf Tools, die personenbezogene Daten verarbeiten oder für den Betrieb unverzichtbar sind
5. Prüfen Sie für jedes Nicht-EU-Tool, ob eine EU-Alternative existiert — die Landschaft hat sich seit 2020 erheblich verändert

In vielen Kategorien gibt es inzwischen ausgereifte EU-Alternativen:

| Kategorie | EU-Alternative | Hauptsitz | |-----------|---------------|-----------| | Cloud-Infrastruktur | Scaleway, Hetzner, OVHcloud | Frankreich, Deutschland | | Analyse | Plausible, Matomo | Estland, Frankreich | | E-Mail und Zusammenarbeit | Proton, Infomaniak | Schweiz | | Dokumentenzusammenarbeit | Nextcloud, CryptPad | Deutschland, Frankreich | | DevOps / Git | GitLab (EU-Region), Codeberg | Deutschland | | Videokonferenz | Whereby, Jitsi | Norwegen, Open-Source | | CRM | Brevo, Sellsy | Frankreich | | Zahlungen | Stripe (EU-Einheit), Mollie | Irland, Niederlande | | KI / LLM | Mistral AI | Frankreich |

Das Ziel ist keine ideologische Reinheit — es geht um Risikominderung und regulatorische Vereinfachung.

Die Compliance-Dividende

Jedes Tool, das Sie zu einem in der EU ansässigen Anbieter migrieren, vereinfacht Ihre Compliance-Position auf konkrete Weise:

Weniger Übermittlungsmechanismen erforderlich. Artikel 46 DSGVO erfordert geeignete Garantien für die Übermittlung in Drittländer. Durch die Eliminierung von US-Auftragsverarbeitern entfällt die Notwendigkeit, Standardvertragsklauseln zu pflegen, Datentransfer-Folgenabschätzungen durchzuführen und Angemessenheitsentscheidungen für diese Übermittlungen zu verfolgen.

Einfachere NIS2-Lieferkettenbewertungen. Artikel 21 Absatz 2 Buchstabe d der NIS2-Richtlinie verpflichtet wesentliche und wichtige Einrichtungen, die Sicherheit ihrer Lieferketten zu bewerten. EU-regulierte Anbieter unterliegen denselben Sicherheitsrahmen (NIS2-Richtlinie, DORA für Finanzdienstleistungen), was Anbieterprüfungen einfacher und gegenüber nationalen Behörden besser vertretbar macht.

Geringere Dokumentationslast nach der KI-Verordnung. Wenn Sie KI eines in der EU ansässigen Anbieters wie Mistral einsetzen, unterliegt dieser Anbieter als Hersteller den Pflichten der EU-KI-Verordnung. Wenn Sie einen Nicht-EU-KI-Anbieter nutzen, müssen Sie möglicherweise dessen Compliance-Dokumentation überprüfen — oder selbst als geltender Anbieter Verpflichtungen übernehmen.

Migrationsprioritäten

Nicht jedes Tool muss sofort migriert werden. Eine praktische Reihenfolge:

Sofort (hohes regulatorisches Risiko): Tools, die sensible personenbezogene Daten verarbeiten — HR-Systeme, Gesundheitsdaten, Finanzdaten. Diese haben die höchste DSGVO-Exposition durch grenzüberschreitende Übermittlungen.

Kurzfristig (NIS2 / Lieferkette): Sicherheitstools, Netzwerküberwachung, Infrastrukturanbieter. Die NIS2-Lieferkettenanforderungen machen Nicht-EU-Anbieter in dieser Kategorie für wesentliche und wichtige Einrichtungen zu einer Compliance-Haftung.

Mittelfristig (strategisch): Produktivitäts- und Kollaborationstools. Geringeres unmittelbares Compliance-Risiko, aber hohe Abhängigkeit und Wechselkosten, die mit der Zeit steigen.

Langfristig oder optional: Entwicklertools, interne Tools ohne personenbezogene Daten. Geringere Priorität, sofern die Organisation keine spezifischen Sicherheitsanforderungen hat.

Digitale Souveränität ist kein einzelnes Migrationsprojekt — es ist eine Beschaffungsrichtlinie, die Ihre Standardhaltung verschiebt. Bei der Evaluierung neuer Tools wird EU-First zur Ausgangsposition, mit einer klaren Begründung, die erforderlich ist, um davon abzuweichen.

Häufig gestellte Fragen

Entfallen durch den Wechsel zu einer EU-Cloud die DSGVO-Übermittlungspflichten? Für in der EU ansässige Anbieter, die Daten ausschließlich innerhalb der EU verarbeiten, ja — die standardmäßige EU-interne Verarbeitung erfordert nicht die Übermittlungsschutzmaßnahmen nach Artikel 46, die für internationale Übermittlungen erforderlich sind. Sie benötigen weiterhin eine gültige Rechtsgrundlage für die Verarbeitung gemäß Artikel 6, aber die internationale Übermittlungsebene entfällt.

Sind EU-Alternativen so ausgereift wie US-Äquivalente? In den meisten Kategorien ja. Cloud-Infrastruktur (Hetzner, OVHcloud, Scaleway), Analyse (Plausible) und E-Mail (Proton) sind für KMU produktionsreif. KI/LLM holt schnell auf — die Modelle von Mistral AI sind für die meisten geschäftlichen Anwendungsfälle wettbewerbsfähig und zu geringeren Kosten verfügbar.

Erfordert die DSGVO-Compliance die Nutzung von EU-Anbietern? Nein — die DSGVO verbietet internationale Übermittlungen nicht. Sie erfordert geeignete Schutzmaßnahmen. Die Nutzung von EU-Anbietern vereinfacht die Compliance jedoch erheblich und reduziert Ihre rechtliche Exposition, insbesondere angesichts der anhaltenden Unsicherheit über die Bestandsfestigkeit des EU-US-Datenschutzrahmenabkommens.

Quellen

• EuGH, Schrems-II-Urteil (Rechtssache C-311/18), Data Protection Commissioner gegen Facebook Ireland: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A62018CJ0311
• Europäische Kommission, Angemessenheitsbeschlüsse für die Übermittlung personenbezogener Daten in Drittländer: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
• ENISA, Cloud-Sicherheitsempfehlungen und europäische Cloud-Landschaft: https://www.enisa.europa.eu/topics/cloud-and-big-data/cloud-security
• Gaia-X, europäische Cloud-Infrastrukturinitiative: https://gaia-x.eu/

Dieser Beitrag dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar. Konsultieren Sie qualifizierte Rechtsberatung, bevor Sie Compliance-Entscheidungen treffen.