Die Cloud ist Keine Reine Technologiefrage Mehr
Als Unternehmen ihre Workloads zum ersten Mal in die Cloud verlagerten, standen technische Fragen im Vordergrund: Leistung, Verfügbarkeit, Kosten und Integration. Compliance war ein nachrangiges Anliegen, das nach der Auswahl der Architektur berücksichtigt wurde. Diese Zeit ist vorbei.
Im Jahr 2026 ist die Entscheidung, Daten bei einem bestimmten Cloud-Anbieter zu speichern, gleichzeitig eine technologische, rechtliche, regulatorische und – für größere Organisationen – möglicherweise eine strategisch-geopolitische Entscheidung. Die Europäische Union hat in den vergangenen vier Jahren ein regulatorisches Rahmenwerk aufgebaut, das nicht nur regelt, wie Daten geschützt werden, sondern auch wo sie sich befinden, wer darauf zugreifen kann, unter welcher Gerichtsbarkeit sie stehen und was passiert, wenn eine Regierung – welche auch immer – ihre Herausgabe fordert.
Für Unternehmen in Luxemburg ist dieser Wandel nicht abstrakt. Zwei der vier Gewinnerkonsorzienkonsortien beim 180-Millionen-Euro-Vertrag der Europäischen Kommission für souveräne Cloud-Dienste (vergeben im April 2026) umfassen die Beteiligung luxemburgischer Anbieter. Die CNPD setzt die DSGVO weiterhin gegen Unternehmen durch, die Datentransfers als rein technische Angelegenheiten behandeln. Und der Finanzsektor – in Luxemburgs Wirtschaft überproportional vertreten – unterliegt DORA-Anforderungen, die Cloud-Anbieter als kritische IKT-Drittanbieter einordnen, die einer strukturierten Governance bedürfen.
Die Frage lautet nicht mehr „welche Cloud ist am günstigsten und schnellsten?", sondern „welche Cloud ist legal, sicher und unter den regulatorischen Rahmenbedingungen meines Unternehmens vertretbar?"
Der EU-Datenrechtsakt: September 2025 hat die Spielregeln verändert
Der EU-Datenrechtsakt trat im Januar 2024 in Kraft, seine Kernbestimmungen wurden jedoch erst am 12. September 2025 anwendbar. Wenn Ihr Unternehmen Cloud-Dienste nutzt – und Eurostat-Daten zeigen, dass 52,74 % der EU-Unternehmen mit zehn oder mehr Beschäftigten dies inzwischen tun, gegenüber 45 % im Jahr 2023 – gelten diese Regeln auch für Sie.
Was der Datenrechtsakt in der Praxis verlangt
Die unmittelbarsten Auswirkungen des Datenrechtsakts auf Cloud-Nutzer betreffen die Pflichten der Cloud-Anbieter in Bezug auf Wechsel und Interoperabilität. Anbieter sind nunmehr gesetzlich verpflichtet, kommerzielle, technische, vertragliche und organisatorische Hindernisse zu beseitigen, die Kunden am Wechsel zu einem anderen Anbieter hindern.
Die praktischen Konsequenzen sind erheblich. Cloud-Anbieter müssen Kunden die Migration ihrer Daten und Workloads zu einem Wettbewerber innerhalb von 30 Kalendertagen ermöglichen – verlängerbar auf maximal sieben Monate, wenn dies technisch gerechtfertigt ist. Wechselgebühren waren bis Januar 2027 auf Direktkosten beschränkt; danach muss der Wechsel kostenlos sein. Anbieter müssen ein Online-Register führen, das Datenstrukturen, Formate, Standards und Interoperabilitätsspezifikationen dokumentiert.
Warum das für Ihre Cloud-Verträge relevant ist
Der Datenrechtsakt schafft ein Wechselrecht, das viele bestehende Cloud-Verträge explizit zu verhindern versuchten. Wenn Ihre aktuellen Cloud-Vereinbarungen vor September 2025 geschlossen wurden, können sie Klauseln enthalten, die nun nicht mehr durchsetzbar sind – oder die Ihr Anbieter nun gesetzlich aufheben muss. Dies ist ein konkreter Anlass, bestehende Verträge mit rechtlichem Beistand zu überprüfen, der mit dem Datenrechtsakt vertraut ist.
DSGVO-Durchsetzung hat neue Dimensionen erreicht: 7,1 Milliarden Euro und mehr
Der kumulierte Gesamtbetrag der seit Mai 2018 verhängten DSGVO-Bußgelder hat die Marke von 7,1 Milliarden Euro überschritten. Allein im Jahr 2025 verhängten die Aufsichtsbehörden Bußgelder in Höhe von 1,2 Milliarden Euro – und zwischen Januar 2023 und März 2026 wurden mehr Bußgelder verhängt als in den fünf Jahren zuvor zusammen.
Die wichtigsten Fälle im Überblick
- TikTok, 530 Millionen Euro (Mai 2025) — Bußgeld der irischen Datenschutzbehörde für die Übertragung von Daten europäischer Nutzer nach China und damit verbundene Verstöße gegen Transparenzpflichten. TikTok wurde eine Compliance-Frist von sechs Monaten gesetzt, nach der die Übertragungen ausgesetzt werden könnten.
- LinkedIn, 310 Millionen Euro (Oktober 2024) — Bußgeld der irischen DPC für die rechtswidrige Verarbeitung von Mitgliederdaten zu Verhaltensprofiling- und Targeting-Zwecken; Verfahren auf eine Beschwerde aus dem Jahr 2018 zurückgehend.
- Meta, 251 Millionen Euro (Dezember 2024) — Bußgeld der irischen DPC für einen Datenschutzvorfall aus 2018, mit spezifischen Feststellungen zu Datenschutz durch Technikgestaltung und zur Datensparsamkeit.
- Amazon (Luxemburg, CNPD) — Amazons Bußgeld von 746 Millionen Euro – ursprünglich das höchste jemals verhängte DSGVO-Bußgeld, ausgestellt von Luxemburgs eigener CNPD – wurde im März 2026 von einem luxemburgischen Gericht zur Neubewertung zurückverwiesen. Das Verfahren ist noch anhängig.
Das Muster: Internationale Datentransfers sind das höchste Risiko
Die größten Bußgelder betreffen durchgehend Verstöße gegen Artikel 46 DSGVO: Übermittlungen personenbezogener Daten außerhalb der EU ohne angemessene Garantien. Für luxemburgische Unternehmen, die US-Cloud-Anbieter nutzen, ist dieses Muster unmittelbar relevant.
Das EU-US-Datenschutzrahmenwerk: Funktionsfähig, aber umstritten
Das EU-US-Datenschutzrahmenwerk (DPF) wurde 2023 als Nachfolger des Privacy Shield eingeführt, das der EuGH im Schrems-II-Urteil 2020 für ungültig erklärt hatte. Am 3. September 2025 wies das Gericht der EU die erste Anfechtung des DPF ab. Diese Entscheidung hat die Rechtsgrundlage des DPF aufrechterhalten – vorerst.
Drei Entwicklungen schaffen jedoch anhaltende Unsicherheit:
- Die Berufung beim EuGH ist anhängig. Am 31. Oktober 2025 eingereicht. Ein EuGH-Urteil, das den DPF für ungültig erklärt – von Praktikern als „Schrems III" bezeichnet – würde die Rechtsgrundlage für EU-US-Transfers für Organisationen, die auf die DPF-Zertifizierung angewiesen sind, sofort beseitigen.
- Das Privacy and Civil Liberties Oversight Board (PCLOB) hat im Januar 2025 sein Quorum verloren, nachdem die Trump-Administration drei seiner fünf Mitglieder abberufen hat. Dieses Gremium ist für die Überwachung der DPF-Einhaltung und die Durchführung der jährlichen Überprüfungen zuständig.
- Max Schrems und NOYB haben ihre Absicht angekündigt, den DPF anzufechten, und haben darauf hingewiesen, dass Änderungen an US-Bundesaufsichtsbehörden unabhängig eine Überprüfung der Aussetzung durch die Europäische Kommission auslösen könnten.
Das EU-Cloud-Souveränitätsrahmenwerk: Eine neue Risikokarte
Im Oktober 2025 veröffentlichte die Europäische Kommission ein Cloud-Souveränitätsrahmenwerk, das ein strukturiertes System zur Bewertung der Souveränität von Cloud-Diensten im öffentlichen Beschaffungswesen einführt. Das Rahmenwerk definiert fünf Sovereignty Effectiveness Assurance Levels (SEAL):
| SEAL-Stufe |
Beschreibung |
Wesentliches Merkmal |
| SEAL-0 |
Keine Souveränität |
Vollständig unter nicht-europäischer Gerichtsbarkeit; automatisch von EU-Ausschreibungen ausgeschlossen |
| SEAL-1 |
Jurisdiktionelle Souveränität |
EU-Recht formal anwendbar, aber begrenzte Durchsetzbarkeit; operative Kontrolle außerhalb der EU |
| SEAL-2 |
Datensouveränität |
EU-Recht anwendbar und durchsetzbar; Mindestschwelle für EU-Kommissionsbeschaffungen |
| SEAL-3 |
Operative Souveränität |
Vollständige europäische operative Kontrolle mit Transparenz der Lieferkette |
| SEAL-4 |
Vollständige Souveränität |
Vollständige EU-Lieferkette von Hardware bis Software; keine nicht-europäischen Abhängigkeiten |
Das Signal der 180 Millionen Euro
Im April 2026 vergab die Europäische Kommission einen Rahmenvertrag für souveräne Cloud-Dienste im Wert von 180 Millionen Euro mit sechsjähriger Laufzeit an vier europäische Anbieterkonsorzienkonsortien. Die Gewinner — OVHcloud/CleverCloud (geführt von Post Telecom Luxembourg), StackIT, Scaleway und ein von Proximus geführtes Konsortium — wurden gezielt ausgewählt, weil sie Souveränitätsanforderungen erfüllen, die US-amerikanische Hyperscaler als Primäroperatoren unter den Kriterien dieses Rahmenwerks nicht erfüllen können.
Für luxemburgische Unternehmen ist die Beteiligung von Post Telecom Luxembourg am Gewinnerkonsortium unmittelbar relevant: Sie zeigt, dass souveräne Cloud-Kapazitäten, die den Anforderungen der EU-Kommission entsprechen, innerhalb des luxemburgischen Anbieter-Ökosystems verfügbar sind.
Handlungsempfehlungen für Ihre Cloud-Architektur
Für alle Unternehmen: Sofortmaßnahmen
- Cloud-Inventur. Dokumentieren Sie jeden genutzten Cloud-Dienst – genehmigte und nicht genehmigte (Shadow IT). Viele Organisationen stellen bei dieser Übung fest, dass ihr tatsächlicher Cloud-Fußabdruck zwei- bis dreimal größer ist als die genehmigte Anbieterliste der IT-Abteilung.
- Datenkategorisierung. Für jeden Cloud-Dienst: welche Datenkategorien werden verarbeitet (personenbezogene Daten, sensible Daten, vertrauliche Geschäftsinformationen, regulierte Daten)?
- Überprüfung der Transfermechanismen. Dokumentieren Sie für jeden Dienst mit Datentransfers außerhalb der EU den gültigen Rechtsmechanismus und bewerten Sie dessen aktuellen Rechtsstatus. Wenn Ihr Mechanismus DPF-basiert ist und Sie keinen Notfallplan für ein „Schrems III"-Szenario haben, muss diese Lücke geschlossen werden.
- Vertragsüberprüfung im Rahmen des Datenrechtsakts. Prüfen Sie bestehende Cloud-Verträge auf Konformität mit den Portabilitäts- und Wechselanforderungen des Datenrechtsakts.
Für Finanzsektor-Unternehmen: DORA fügt eine weitere Ebene hinzu
DORA-regulierte Unternehmen — Banken, Investmentgesellschaften, Versicherungsunternehmen, Zahlungsinstitute und weitere von der CSSF beaufsichtigte Finanzinstitute — unterliegen zusätzlichen Anforderungen. DORA klassifiziert Cloud-Anbieter als IKT-Drittdienstleister und verlangt strukturierte Governance, einschließlich kritischer Dienstleisteridentifizierung, DORA-konformer Vertragsklauseln, Konzentrationsrisikobewertung und dokumentierter und getesteter Ausstiegsstrategien für alle kritischen Funktionen in Cloud-Umgebungen.
Die CSSF hat ihre Aufsichtserwartungen klar formuliert: Vor DORA abgeschlossene Cloud-Verträge müssen in Übereinstimmung gebracht werden. Organisationen, die diese Anpassung noch nicht abgeschlossen haben, tragen ein regulatorisches Risiko, das bei einer Aufsichtsprüfung leicht identifiziert werden kann.
Luxemburg-spezifische Betrachtungen
CNPD-Aufsicht und Durchsetzungstendenz. Die CNPD — Luxemburgs Datenschutzbehörde — agiert im Kontext des Amazon-Falls mit 746 Millionen Euro, der nun zur Neubewertung zurückverwiesen wurde. Luxemburgs Rolle als Sitz der EU-Niederlassungen vieler großer Technologieunternehmen bedeutet, dass die CNPD weiterhin ein bedeutsamer Akteur in der Durchsetzung bleiben wird.
Konzentration des Finanzsektors. Luxemburg beherbergt einen unverhältnismäßig großen Anteil der europäischen Fondsverwaltung, Bankinfrastruktur und Zahlungsabwicklung. Die CSSF-Aufsichtserwartungen für die Cloud-Nutzung durch regulierte Unternehmen sind strenger als das, was NIS2 von allgemeinen Handelsunternehmen verlangt, und werden aktiv durch Aufsichtsrevisionszyklen durchgesetzt.
Luxemburg als souveräner Cloud-Hub. Die Beteiligung von Post Telecom Luxembourg am EU-Kommissionsauftrag vom April 2026 ist ein Signal über Luxemburgs aufkommende Position. Da die EU weiterhin in souveräne Cloud-Infrastruktur für sensible Behördenanwendungen investiert, machen Luxemburgs Rechenzentrumsindustrie, sein Regulierungsumfeld und seine geografische Position innerhalb der EU es zu einem natürlichen Standort für souveräne Cloud-Kapazitäten im Dienst europäischer Institutionen.
Nächste praktische Schritte
- Bewerten Sie Ihre aktuelle Exposition. Wo liegen Ihre Daten, unter welcher Gerichtsbarkeit und durch welche Rechtsmechanismen? Wenn der DPF morgen für ungültig erklärt würde, welche Ihrer Cloud-Dienste würden sofort ein Compliance-Problem verursachen?
- Überprüfen Sie Verträge im Rahmen des Datenrechtsakts. September 2025 hat Ihre Rechte als Cloud-Kunde verändert. Haben Sie diese geltend gemacht?
- Kartieren Sie Ihre Cloud-Nutzung gemäß den DORA-Anforderungen (falls zutreffend). Spiegelt Ihr IKT-Drittparteienrisikomanagement Ihre tatsächliche Cloud-Umgebung wider?
- Entwickeln Sie einen Notfallplan für Transfer-Mechanismus-Störungen. Ein „Schrems III"-Szenario ist nicht sicher, aber absehbar.
- Bewerten Sie souveräne Cloud-Optionen. Der luxemburgische und europäische souveräne Cloud-Markt hat sich weiterentwickelt. Eine strukturierte Bewertung der Migration spezifischer Workloads auf SEAL-2- oder SEAL-3-Infrastruktur ist eine sinnvolle und zeitgemäße Übung.
Wie Wir Ihnen Helfen Können
Cloud-Datensouveränität umfasst Technologiearchitektur, rechtliche Compliance, Regulierungsangelegenheiten und strategische Planung — vier Disziplinen, die selten in einem einzigen Team vereint sind. Die Organisationen, die sich am effektivsten damit befassen, behandeln sie als integriertes Programm statt sie aufzuteilen zwischen IT (verwaltet die Infrastruktur), Recht (prüft die Verträge) und Compliance (verfolgt die Vorschriften), wobei jedes Silo mit unvollständigen Informationen arbeitet.
Bei ObsidianCorps begleiten wir Unternehmen in Luxemburg und der Großregion genau an dieser Schnittstelle: Wir helfen Organisationen dabei, ihre aktuelle Cloud-Exposition zu verstehen, diese den geltenden regulatorischen Anforderungen zuzuordnen, souveräne Cloud-Optionen entsprechend ihrem Sektor und Risikoprofil zu evaluieren und die Governance-Rahmen aufzubauen, die ihre Cloud-Strategie unter der Kontrolle von CSSF, CNPD und Europäischer Kommission vertretbar machen.
Wenn Sie eine Cloud-Architekturüberprüfung, eine DORA-IKT-Drittparteienrisikobewertung oder eine souveräne Cloud-Evaluation durchführen — oder wenn Sie einfach wissen möchten, ob Ihre aktuelle Cloud-Konfiguration den im September 2025 in Kraft getretenen Regeln entspricht — sprechen Sie uns gerne an.
