Zusammenfassung: Wir zeigen dir, was Datensouveränität ist und wie sie für Cloud- und SaaS-Anbieter umgesetzt werden sollte. Dabei erklären wir den US Cloud Act und die BSI-Kriterien zur Datensouveränität. Abschließend klären wir, wer außer dem Anbieter deine Daten bekommt, ob ein deutscher Anbieter reicht oder ein eigener Server nötig ist und was das für dein CRM heißt.
Datensouveränität Definition
Datensouveränität bedeutet im Kontext von Software as a Service (SaaS), dass die bei einem Cloud-Anbieter gelagerten Daten der vollständigen Kontrolle des Nutzers unterliegen. Nutzer müssen nicht fürchten, dass ihre Daten ohne ihr Wissen an Dritte weitergegeben werden. Sie können frei über die Erhebung, Speicherung, Verarbeitung und Nutzung ihrer Daten entscheiden.
Laut dem bidt, einem Institut der Bayerischen Akademie der Wissenschaften, ist Datensouveränität „nicht gleichbedeutend mit Datenschutz“ und bezieht sich „auf alle Daten, also auch solche ohne Personenbezug“.
Die wichtigsten BSI-Kriterien zur Datensouveränität
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat im April 2026 Kriterien zur Datensouveränität für Cloud-Anbieter (englisch) herausgegeben. Die Kriterien sind keine Pflicht, sie helfen bei der Auswahl. Eine vollständige Übersicht findest du im verlinkten PDF.
Auf die wichtigsten Kriterien gehen wir zur Orientierung kurz ein, um das Thema Datensouveränität für Cloud-Systeme noch besser eingrenzen zu können.
Wo sitzt der Anbieter, und wer kontrolliert ihn wirklich?
Für uns ist klar: Bei einem Firmensitz in den USA ist keine Datensouveränität gewährleistet. Punkt. Vor allem in Hinsicht auf den Cloud Act (siehe unten), aber auch in Hinsicht auf das für die Firma geltende Recht muss der Anbieter zwingend in der EU (und noch besser in Deutschland) seinen Firmensitz haben.
Die Kontrolle über das Unternehmen wird vom BSI ähnlich bewertet. Die Bewertung Effective Control C1 würde vergeben, wenn der Cloud Service Provider von „einem oder mehr EU Unternehmen“ kontrolliert wird. C2 gilt nur bei „einer oder mehr deutschen Unternehmungen“.
Quelle: BSI-Kriterien SOV-1-01 Jurisdiction (2.1.1, S. 7); SOV-1-02 Registered Office (2.1.2, S. 7); SOV-1-03 CSP Effective Control (2.1.3, S. 7–8); SOV-2-01 Extraterritorial Exposure (2.2.1, S. 8)
Kann ich sehen, wo meine Daten gespeichert und verarbeitet werden?
Das BSI verlangt, dass die Nutzer eines Cloud Services immer nachprüfen können, an welchen Orten ihre gesammelten Daten gespeichert werden.
Außerdem muss zum Erreichen eines C3 bzw. C4 Kriteriums gewährleistet sein, dass Kundendaten exklusiv in der EU (bzw. in Deutschland) gespeichert und verarbeitet werden.
Quelle: BSI-Kriterien SOV-3-01 Data Residence (2.3.1, S. 9); SOV-3-04 Logging and Monitoring (2.3.4, S. 10)
Arbeiten Support und Betrieb aus der EU?
In den Kriterien zur Datensouveränität verlangt das BSI, dass die für den Betrieb und für den Kundensupport der Dienstleistung beauftragten Mitarbeiter Bürger der EU sind und in der EU oder in Deutschland leben und arbeiten.
Insbesondere muss sich auch eine Drittfirma, die etwa den Kundensupport für das Unternehmen übernimmt, in der EU befinden.
Quelle: BSI-Kriterien SOV-4-01 Operating Personnel (2.4.1, S. 11); SOV-4-02 Remote Work (2.4.2, S. 11)
Werde ich informiert, wenn sich beim Anbieter etwas ändert?
Der Cloud-Anbieter muss seine Nutzer 90 Tage im Voraus informieren, wenn sich Eigentum oder Kontrolle beim Anbieter ändern. Insbesondere müssen „signifikante Änderungen“ in Bezug auf Besitz, Teilhabe oder Organisationsstruktur des Anbieters transparent kommuniziert werden.
Quelle: BSI-Kriterium SOV-1-04 CSP Control Change (2.1.4, S. 8)
Ein anderer (häufigerer) Fall für kleine Teams tritt ein, wenn ein neuer Dienstleister für den Anbieter dazukommt. Nach Art. 28 Abs. 2 DSGVO muss der Anbieter dich vorher über jede geplante Änderung informieren. Die Einzelheiten stehen im Auftragsverarbeitungsvertrag (AVV), der zwischen dir und deinem CRM-Anbieter gilt.
Ein Beispiel aus der Praxis ist unser eigener, neuer AV-Vertrag, der ab dem 1. Dezember 2026 gilt. Neu dabei ist STACKIT, geplant unter anderem für Dateien und Backups, mit Rechenzentren in Deutschland.
Datenhoheit: Wer bekommt meine Daten außer dem Anbieter?
Cloud-Anbieter machen selten alles selbst. Rechenzentrum, Backups oder Spamschutz übernehmen oft Dienstleister. Für personenbezogene Daten legt der AVV nach Art. 28 DSGVO fest, dass der Anbieter solche Dienstleister nur mit der Genehmigung des Kunden einsetzen darf.
Das BSI macht daraus eine eigene Prüffrage: Der Anbieter soll eine Liste der externen Dienste führen, die er für seinen Service braucht, jeweils mit Land, und sie seinen Kunden zur Verfügung stellen (Kriterium SOV-5-03). Bei CentralStationCRM steht die Liste der Unterauftragnehmer öffentlich im AVV.
Wichtig ist dabei, um welche Daten es geht. Bei CentralStationCRM trennen wir zwei Ebenen:
- die Daten unserer Kunden selbst, etwa ihren Namen in einem Webinar-Tool
- die Daten, die unsere Kunden im CRM über ihre eigenen Kunden speichern
Der AVV regelt nur die zweite Ebene.
Wie problematisch ist der Cloud Act?
Der Clarifying Lawful Overseas Use of Data (CLOUD) Act kann dazu führen, dass ein Unternehmen mit amerikanischer Muttergesellschaft oder amerikanischem Firmensitz Daten seiner Kunden an US-Behörden herausgeben muss.
Der Cloud Act greift über die rechtliche Zugehörigkeit des Unternehmens. Der Serverstandort ist dabei egal. Damit ist jeder Cloud-Anbieter, der amerikanischem Recht unterliegt, weit von der Datensouveränität entfernt.
Der Cloud Act im Wortlaut
„A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider’s possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States.“
„Ein Anbieter eines elektronischen Kommunikationsdienstes oder eines Remote-Computing-Dienstes (also auch Cloud-Software) muss die Pflichten aus diesem Kapitel erfüllen. Das gilt für die Aufbewahrung, Sicherung oder Offenlegung der Inhalte einer drahtgebundenen oder elektronischen Kommunikation. Es gilt auch für alle Aufzeichnungen oder sonstige Informationen zu einem Kunden oder Abonnenten, die sich im Besitz, Gewahrsam oder unter der Kontrolle dieses Anbieters befinden. Dabei spielt es keine Rolle, ob sich diese Kommunikation, Aufzeichnung oder sonstige Information innerhalb oder außerhalb der Vereinigten Staaten befindet.“
Quelle: Cloud Act, 18 U.S.C. § 2713
Was sagt das EDPB zum Cloud Act?
Laut einer gemeinsamen Stellungnahme des European Data Protection Board (EDPB) und des Europäischen Datenschutzbeauftragten (EDPS) von 2019 ist unklar, ob der Cloud Act auch Firmen mit Sitz in Europa und einer „Präsenz“, also einer Außenstelle in den USA, betrifft.
Außerdem sehen beide einen möglichen Rechtskonflikt zwischen EU- und US-Recht bei Anbietern, die dem Cloud Act unterliegen und DSGVO-Daten verarbeiten. Beide halten aber auch fest: Der Cloud Act regelt gezielte Anfragen. Eine systematische, massenhafte Sammlung personenbezogener Daten erlaubt er nicht.
Quelle: Gemeinsame Stellungnahme von EDPB und EDPS zum Cloud Act (englisch)
Die Empfehlung des Gremiums an EU-Firmen ist deutlich: Fragt eine Behörde aus einem Drittstaat, etwa aus den USA, direkt nach Daten, sollen sie in der Regel auf den Rechtshilfeweg verweisen, sofern ein Rechtshilfeabkommen besteht. Grundlage ist Art. 48 DSGVO.
Quelle: Guidelines 02/2024 on Article 48 GDPR (englisch)
Was bedeutet der Cloud Act für deutsche Unternehmen?
Deutsche Unternehmen, die nicht amerikanischem Recht unterliegen, müssen dem Cloud Act grundsätzlich nicht folgen.
Sobald deutsche Unternehmen aber Infrastruktur und/oder Tools von amerikanischen Anbietern nutzen, sollte klar sein, dass diese Anbieter sehr wohl an die Konsequenzen des Cloud Acts gebunden sein können.
Deutscher Anbieter vs. Self-Hosting: Was passt für kleine Teams?
Für ein kleines Unternehmen ohne IT-Abteilung passt eine Cloud-Lösung oft besser als eine selbst gehostete Variante. Man muss sich weniger Gedanken über Datensouveränität, Betrieb und Datenschutz machen.
Zwischen den Extremen Cloud-Lösung und Self-Hosting gibt es indes ehrlicherweise auch eine große Bandbreite. Selbst wer für ein neues KI-Tool beim Datenschutz Abstriche macht, sollte sein Hosting trotzdem (wenn möglich) in Europa behalten.
Welches CRM unterstützt deine Datensouveränität?
CentralStationCRM erfüllt die für kleine Unternehmen wichtigen Datensouveränitäts-Kriterien.
- Unsere Server stehen in Deutschland.
- Das Unternehmen unterliegt nicht der US-Gesetzgebung, die Kontrolle über die Daten unterliegt also immer einer deutschen Unternehmung.
- Den Betrieb machen wir selbst: Die Hardware haben wir gekauft und installiert. Sie steht im Rechenzentrum unseres Dienstleisters Core Backbone in Nürnberg, der nur Strom und Internet liefert. Damit ein Ausfall in Nürnberg nicht alles trifft, liegen die Backups an einem zweiten Ort, beim deutschen Anbieter Hetzner.
- Unseren Support machen drei fest angestellte KollegInnen bei 42he, an Drittanbieter ist er nicht ausgelagert.
Als CRM aus Deutschland bietet CentralStationCRM kleinen Unternehmen die Möglichkeit, ihre Daten souverän und einfach zu verwalten.
