Souveräne Cloud ausschreiben: Datenresidenz, Betrieb und Exit rechtssicher festlegen

Die Fachabteilung verlangt für ein neues Fachverfahren eine „souveräne EU Cloud“. Im Entwurf der Leistungsbeschreibung steht dieser Begriff bereits mehrfach, doch niemand kann beantworten, wo genau Daten liegen dürfen, wer Administrationsrechte erhält oder wie der Wechsel zu einem anderen Anbieter funktioniert. Genau an diesem Punkt entstehen vergaberechtliche und vertragliche Risiken: Ein Schlagwort ersetzt weder eine eindeutige Leistungsbeschreibung noch eine belastbare Vertragsregelung.

„Souveräne Cloud“ und „EU Cloud“ sind keine fest definierten Rechtsbegriffe. Sie können Datenresidenz in der Europäischen Union, europäische Betreiberstrukturen, Schutz vor Zugriffen aus Drittstaaten, technische Unabhängigkeit oder eine besonders gut kontrollierbare Exit-Strategie meinen. Diese Ziele können berechtigt sein. Für eine Ausschreibung musst du sie jedoch in konkrete, überprüfbare Anforderungen übersetzen.

Warum das Schlagwort allein nicht genügt

Vergabestellen müssen den Beschaffungsgegenstand eindeutig und transparent beschreiben. Anforderungen dürfen den Wettbewerb nicht ohne sachlichen Grund beschränken. Wenn du ausschließlich eine „souveräne Cloud“ verlangst, bleibt offen, welche Leistung ein Angebot tatsächlich erfüllen muss. Bieter können den Begriff unterschiedlich verstehen. Die spätere Wertung wird damit angreifbar.

Auch die Vorgabe „Daten müssen in der EU bleiben“ ist noch zu ungenau. Sie beantwortet insbesondere nicht diese Fragen:

• Welche Datenarten sind erfasst: Inhaltsdaten, Metadaten, Protokolldaten, Supportdaten und Sicherungskopien?
• Gilt die Vorgabe für Speicherung, Verarbeitung, Verschlüsselung, Fernwartung und Monitoring gleichermaßen?
• Dürfen Unterauftragnehmer außerhalb der EU tätig werden?
• Ist ein Fernzugriff aus einem Drittstaat ausgeschlossen oder nur besonders abzusichern?
• Wer verwaltet kryptografische Schlüssel?
• Wie schnell und in welchem Format müssen Daten beim Vertragsende herausgegeben werden?

Die Anforderungen müssen zum konkreten Schutzbedarf passen. Ein öffentlich zugängliches Informationsportal stellt andere Anforderungen als eine Anwendung mit Sozialdaten, Sicherheitsinformationen oder besonders schutzwürdigen Betriebsdaten. Bevor du Kriterien festlegst, solltest du daher Fachseite, Informationssicherheit, Datenschutz, Einkauf und Rechtsstelle an einen Tisch holen.

Datenresidenz präzise statt pauschal fordern

Datenresidenz beschreibt den Ort, an dem Daten gespeichert und verarbeitet werden. In einer Cloud-Umgebung betrifft das weit mehr als die produktive Datenbank. Häufig geraten Backups, Replikationen, Telemetriedaten, Ticketsysteme und technische Protokolle erst spät in den Blick.

Eine belastbare Leistungsbeschreibung kann beispielsweise nach Datenkategorien unterscheiden und für jede Kategorie zulässige Orte festlegen. Entscheidend ist, dass du die Begriffe definierst. „Verarbeitung in der EU“ kann sonst unterschiedlich ausgelegt werden.

Regelungsbereich	Prüffähige Anforderung
Primärdaten	Speicherung und Verarbeitung ausschließlich in benannten EU- oder EWR-Rechenzentren
Sicherungskopien	Backups, Replikationen und Notfallwiederherstellung nur in denselben zulässigen Regionen
Metadaten und Logs	Protokoll-, Telemetrie- und Abrechnungsdaten räumlich und sachlich erfassen
Support	Zugriff nur durch zuvor benannte Personengruppen und aus festgelegten Regionen
Unterauftragnehmer	Vollständige Benennung, Leistungsanteil und Verarbeitungsort vor Einsatz offenlegen

Die Beschränkung auf EU- oder EWR-Standorte muss sachlich begründet sein. Dabei können Schutzbedarf, gesetzliche Geheimhaltungspflichten, behördliche Sicherheitsvorgaben, Anforderungen aus einer Datenschutz-Folgenabschätzung oder konkrete Risikobewertungen maßgeblich sein. Für personenbezogene Daten gehört die Prüfung der Rollen und Vertragsgrundlagen dazu. Die Grundlagen hierzu fasst unser Beitrag Cloud und Datenschutz: DSGVO, Drittland, Schrems II zusammen.

Achte darauf, nicht nur Rechenzentrumsadressen abzufragen. Der Anbieter sollte erklären, welche Daten wo verarbeitet werden, welche Übermittlungen stattfinden und wie Änderungen angezeigt werden. Eine bloße Marketingaussage zur „EU Cloud“ ist kein ausreichender Nachweis.

Betriebszugriffe und Unterauftragnehmer kontrollierbar regeln

Ein Rechenzentrum in der EU verhindert nicht automatisch jeden Zugriff aus einem Drittstaat. Administrierende Personen, Hersteller-Support, Monitoring-Dienste oder Sicherheitsanalysen können technisch auf Systeme und Daten zugreifen, obwohl die Daten selbst in der EU liegen. Daher gehört die Zugriffsebene ausdrücklich in die Vergabeunterlagen.

Fordere ein Zugriffskonzept, das mindestens administrative Rollen, Berechtigungsverfahren, Mehr-Augen-Freigaben, Protokollierung und regelmäßige Überprüfung enthält. Für besonders schutzbedürftige Systeme kann ein zeitlich begrenzter, anlassbezogener Zugriff sinnvoll sein. Auch der Zugriff des Auftraggebers auf Audit-Protokolle und Berechtigungsnachweise sollte geregelt werden.

Bei Unterauftragnehmern genügt keine allgemeine Klausel, wonach deren Einsatz „zulässig“ sei. Sinnvoll sind klare Vorgaben:

• Der Bieter legt alle vorgesehenen Unterauftragnehmer einschließlich Leistungsanteil und Einsatzort offen.
• Neue Unterauftragnehmer oder wesentliche Standortänderungen bedürfen einer vorherigen Information und, soweit erforderlich, Zustimmung.
• Der Auftragnehmer verpflichtet Unterauftragnehmer auf gleichwertige Sicherheits-, Datenschutz- und Geheimhaltungspflichten.
• Der Auftraggeber erhält ein Kündigungsrecht oder eine abgestufte Abhilfemöglichkeit, wenn wesentliche Anforderungen nicht mehr erfüllt werden.

Diese Vorgaben müssen verhältnismäßig bleiben. Du solltest nicht pauschal jede Konzernverbindung oder jeden technischen Dienst ausschließen, sondern die für deine Leistung relevanten Risiken adressieren. Eine vorherige Markterkundung vor der IT-Ausschreibung: Marktdialog rechtssicher führen hilft, marktübliche Betriebsmodelle zu verstehen und Anforderungen realistisch zu formulieren.

Verschlüsselung und Schlüsselmanagement nicht vermischen

„Verschlüsselte Cloud“ klingt überzeugend, sagt aber allein wenig aus. Entscheidend ist, welche Daten wann verschlüsselt sind, wer die Schlüssel kontrolliert und ob der Anbieter technisch auf Klartext zugreifen kann.

Beschreibe deshalb getrennt:

• Verschlüsselung der Datenübertragung
• Verschlüsselung gespeicherter Daten
• Verschlüsselung von Sicherungskopien
• Schlüsselverwaltung, Schlüsselrotation und Protokollierung
• Rollen und Zugriffsmöglichkeiten des Cloud-Anbieters
• Verfahren bei Verlust, Kompromittierung oder Wechsel von Schlüsseln

Je nach Schutzbedarf kann ein kundenseitig kontrolliertes Schlüsselmanagement erforderlich sein. Das ist jedoch nicht in jedem Projekt die beste oder wirtschaftlichste Lösung. Es erhöht auf Seiten des Auftraggebers Betriebs- und Wiederherstellungsverantwortung. Wenn du diese Option verlangst, müssen Anforderungen an Verfügbarkeit, Notfallzugriffe und Schlüsselhinterlegung ebenfalls festgelegt werden.

Ergänzend kannst du geeignete Sicherheitsnachweise fordern, sofern sie in Bezug zum Auftragsgegenstand stehen und gleichwertige Nachweise zugelassen werden. Welche Anforderungen sich etwa mit BSI C5 oder ISO 27001 abbilden lassen, erläutern wir in IT-Sicherheitsanforderungen ausschreiben: BSI C5, ISO 27001 und Nachweise rechtssicher fordern. Zertifikate ersetzen aber nicht die Prüfung deiner individuellen Vertragsanforderungen.

Portabilität und Exit als Leistungsbestandteil beschreiben

Digitale Souveränität zeigt sich besonders beim Wechsel. Kannst du Daten, Konfigurationen, Protokolle und Dokumentationen nur mit erheblichem Aufwand herauslösen, entsteht eine faktische Abhängigkeit, selbst wenn die Daten im EWR liegen. Deshalb darf der Exit nicht als unverbindlicher Anhang behandelt werden.

Lege bereits in der Leistungsbeschreibung fest, welche Exit-Leistungen geschuldet sind. Dazu zählen regelmäßig die vollständige Datenherausgabe, die Übergabe von Konfigurationen und Schnittstelleninformationen, Unterstützung bei der Migration, geordnete Abschaltung sowie die nachweisbare Löschung verbliebener Daten. Vereinbare offene, dokumentierte und maschinenlesbare Formate, soweit dies technisch möglich und für den Beschaffungsgegenstand sinnvoll ist.

Auch Fristen und Vergütung gehören in den Vertrag. Ohne Regelung kann sich herausstellen, dass Migrationsunterstützung nur zu unklaren Tagessätzen, in unzureichenden Zeitfenstern oder erst nach Vertragsende verfügbar ist. Prüfe zudem, ob ein Exit-Test während der Laufzeit erforderlich ist. Bei kritischen Fachverfahren kann eine bloße Zusicherung für den Ernstfall zu wenig sein.

Bei Cloud-Leistungen der öffentlichen Hand bietet der Vertragstyp wichtige Orientierung. Unser Überblick zu EVB-IT Cloud: Cloud-Leistungen der öffentlichen Hand zeigt, welche Themen du zusätzlich mit Leistungsbeschreibung, Preisblatt und ergänzenden Vertragsanlagen konkretisieren solltest. Die EVB-IT ersetzen keine projektspezifische Exit-Planung.

Eignung, Zuschlag und Vertragsausführung sauber trennen

Nicht jede Anforderung gehört an dieselbe Stelle der Vergabeunterlagen. Diese Trennung verhindert unnötige Ausschlüsse und erleichtert die Wertung.

Eignungskriterien betreffen die Fähigkeit des Unternehmens, den Auftrag auszuführen. Hier können passende Referenzen oder qualifiziertes Personal relevant sein. Technische Mindestanforderungen beschreiben dagegen die angebotene Cloud-Leistung, etwa zulässige Verarbeitungsorte oder erforderliche Exportformate. Zuschlagskriterien bewerten Mehrwerte, beispielsweise eine kürzere garantierte Exit-Dauer oder eine höhere Transparenz des Zugriffskonzepts. Vertragliche Ausführungsbedingungen regeln fortlaufende Pflichten wie Änderungsanzeigen, Auditrechte oder Löschprotokolle.

Formuliere jeweils, welche Nachweise mit dem Angebot vorzulegen sind. Geeignet sind etwa ein ausgefüllter Standortkatalog, eine Unterauftragnehmerliste, ein Sicherheitskonzept, ein Muster-Exit-Plan und konkrete Servicebeschreibungen. Nach Zuschlag sollten dieselben Inhalte als verbindliche Vertragsanlagen fortgelten.

Checkliste für deine Vergabeunterlagen

Vor Veröffentlichung solltest du diese Punkte prüfen:

• Ist „souveräne Cloud“ durch konkrete technische und organisatorische Kriterien ersetzt?
• Sind Datenarten, Speicherorte, Verarbeitungsorte und Backup-Standorte eindeutig erfasst?
• Sind Fernzugriffe, Support und administrative Berechtigungen geregelt?
• Müssen Unterauftragnehmer vorab benannt und Änderungen kontrolliert werden?
• Sind Verschlüsselung und Schlüsselmanagement passend zum Schutzbedarf beschrieben?
• Gibt es offene Exportformate, feste Exit-Fristen und klare Unterstützungsleistungen?
• Ist festgelegt, wie Löschung und Datenherausgabe nachgewiesen werden?
• Sind Mindestanforderungen, Zuschlagskriterien und Vertragsbedingungen voneinander getrennt?
• Lässt die Ausschreibung gleichwertige Lösungen zu, wenn kein zwingender Grund für eine bestimmte technische Umsetzung besteht?

Eine souveräne Cloud beschaffst du nicht durch ein Etikett, sondern durch nachvollziehbare Anforderungen, belastbare Nachweise und einen vertraglich durchsetzbaren Betrieb. Passende Seminare und Termine findest du bei uns auf cmt.de.