EU-Cloud-Kompass: Wie souverän muss Ihre Cloud sein?

Datensouveränität in der Cloud: Was kleine Firmen wirklich brauchen

„Dürfen wir überhaupt mit Google oder Microsoft arbeiten?“ Diese Frage hören wir oft. Die ehrliche Antwort: Für die meisten kleinen und mittleren Firmen ja – wenn die Umgebung sauber eingerichtet ist. Für manche Firmen reicht das aber nicht. Dieser Kompass hilft bei der Einordnung.

Worum geht es bei „Datensouveränität“?

Datensouveränität heißt: Sie bestimmen, wo Ihre Daten liegen und wer darauf zugreifen kann. Bei US-Anbietern wird oft der sogenannte CLOUD Act diskutiert. Er erlaubt US-Behörden unter bestimmten Bedingungen, Daten von US-Firmen herauszuverlangen – auch wenn diese in Europa gespeichert sind. Auf der anderen Seite gibt es seit Juli 2023 das EU-US-Datenschutzabkommen (Data Privacy Framework), das Datenübertragungen in die USA rechtlich absichert. Das EU-Gericht hat es im September 2025 bestätigt; ein Rechtsmittel beim Europäischen Gerichtshof läuft noch.

Stufe 1: Google oder Microsoft mit EU-Einstellungen

Beide Anbieter bieten heute viel für europäische Kunden. Microsoft hat im Februar 2025 seine „EU Data Boundary“ abgeschlossen: Kundendaten von Microsoft 365 werden in der EU gespeichert und verarbeitet. Google Workspace bietet je nach Lizenz Datenregionen, mit denen Sie festlegen, dass bestimmte Daten in Europa gespeichert werden. Dazu gehören immer: ein Auftragsverarbeitungsvertrag (AVV), saubere Freigabe-Einstellungen, Zwei-Faktor-Anmeldung und eine Dokumentation für Ihr Datenschutz-Verzeichnis. Für die große Mehrheit der Firmen ist das die richtige Lösung.

Stufe 2: Zusätzliche Schutzmaßnahmen

Wenn Sie besonders sensible Daten haben, können Sie gezielt nachrüsten. Die wichtigste Maßnahme ist die clientseitige Verschlüsselung: Daten werden verschlüsselt, bevor sie beim Anbieter landen, und die Schlüssel liegen bei Ihnen oder einem europäischen Partner. Der Anbieter selbst kann die Inhalte dann nicht lesen. Diese Funktion gibt es bei beiden Anbietern nur in höheren Lizenzstufen. Eine günstigere Alternative: Die wirklich sensiblen Daten – etwa Patientenakten oder Mandantenunterlagen – liegen in einer spezialisierten Lösung, und der Rest läuft bequem in Google oder Microsoft.

Stufe 3: Europäische Alternative

Für manche Firmen ist ein US-Anbieter keine Option, etwa wenn Auftraggeber das vertraglich ausschließen. Dann gibt es europäische Angebote. Zwei Beispiele:

• Workspace by STACKIT: Die Cloud der Schwarz-Gruppe (Lidl, Kaufland) bietet zusammen mit Google eine Variante von Google Workspace mit Datenhaltung bei STACKIT und clientseitiger Verschlüsselung. Die gewohnte Google-Oberfläche bleibt.
• Nextcloud-basierte Angebote: Zum Beispiel der Nextcloud Workspace von IONOS, betrieben in deutschen Rechenzentren. Dateien, Kalender, Office und Videokonferenzen auf Open-Source-Basis.

Für die öffentliche Verwaltung gibt es außerdem openDesk, eine Open-Source-Arbeitsumgebung des Zentrums für Digitale Souveränität (ZenDiS). Ehrlich gesagt: Europäische Lösungen sind beim Komfort und bei der Zusammenarbeit mit Kunden oft noch nicht auf dem Niveau von Google und Microsoft. Sie sollten wissen, worauf Sie sich einlassen – und ob Sie im Team jemanden haben, der sich darum kümmert.

Unsere Rolle

Wir richten Google Workspace und Microsoft 365 ein und sichern sie ab – inklusive EU-Einstellungen und zusätzlicher Schutzmaßnahmen. Wenn eine europäische Alternative für Sie besser passt, sagen wir Ihnen das offen und beraten Sie bei der Auswahl.

Stand: Oktober 2026. Diese Seite gibt eine technische Orientierung und ersetzt keine Datenschutz- oder Rechtsberatung. Funktionen und Lizenzbedingungen der Anbieter ändern sich regelmäßig.