Europas Weg zur digitalen Unabhängigkeit – die Bedeutung der neuen AWS European Sovereign Cloud für Europa

Angesichts der fortschreitenden Digitalisierung steigt in der Europäischen Union (EU) das Bedürfnis nach einer verlässlichen Möglichkeit der Datensicherung. Unternehmen wie Privatpersonen stehen vor der Herausforderung, immer größere Datenmengen sicher, kontrolliert und gesetzeskonform zu speichern. 

In Betracht kommt die Speicherung von Daten bei US-amerikanischen Cloud-Anbietern, sofern diese über eine DPF-Zertifizierung verfügen (z.B. Microsoft, Google oder Amazon). Die EU-US Data Privacy Framework(DPF)-Zertifizierung verpflichtet US-Unternehmen dazu, bestimmte Datenschutzstandards einzuhalten, die von der EU als angemessen anerkannt werden. Ziel ist es, die Übermittlung personenbezogener Daten aus der EU in die USA rechtlich sicher und unkompliziert zu gestalten. Gleichwohl ist die rechtliche Absicherung nicht uneingeschränkt. Der US CLOUD Act kann diesen Schutz unterlaufen, indem er US-Unternehmen dazu verpflichtet, Daten auf Anfrage an US-Behörden weiterzugeben. Sowohl europäische Unternehmen als auch EU-Bürger:innen müssen daher befürchten, dass ihre Daten US-Behörden zugänglich gemacht werden könnten. 

Neuer Lösungsansatz durch Isolierung

Diese Sorge adressiert die neue sogenannte AWS European Sovereign Cloud, die von Amazon Web Services speziell für die EU entwickelt wurde. Die Cloud soll die strengen Datensouveränitäts-, Datenschutz- und Compliance-Anforderungen europäischer Behörden, Unternehmen und kritischer Sektoren erfüllen und ausschließlich dem Recht der Europäischen Union unterliegen. 

AWS wirbt für die im Januar 2026 vorgestellte „European Sovereign Cloud“ mit dem Motto: „In Europa entwickelt, betrieben, kontrolliert und gesichert“. Die Cloud wird vollständig in der EU betrieben und sowohl physisch als auch rechtlich von globalen Netzwerken getrennt.

AWS investiert rund 7,8 Mrd. € in die European Sovereign Cloud, deren Infrastruktur und Rechenzentren sich ausschließlich in Europa befinden werden. Nach der Errichtung eines ersten Rechenzentrums in Brandenburg (Deutschland) sind weitere Local Zones in Belgien, Niederlande und Portugal geplant, um Datenlokalität und geringe Latenz zu gewährleisten. Zudem soll der Cloud-Betrieb ausschließlich durch EU-Bürger:innen erfolgen und vollständig dem Recht der EU sowie der Aufsicht und Kontrolle der zuständigen EU-Behörden unterliegen. Dies soll eine operative Unabhängigkeit und Eigenständigkeit der Cloud garantieren. AWS verspricht, dass die European Sovereign Cloud, trotz einer Trennung von den globalen AWS-Netzwerken, denselben Funktionsumfang, dieselbe Architektur, dieselben Services, APIs und Innovationen wie andere AWS-Regionen bieten wird. Durch die physische und logische Trennung zur Durchsetzung von Zugriffsbeschränkungen, leistungsstarke Verschlüsselung und ein dediziertes Security Operation Center, ergänzt durch unabhängige Überprüfungen zur Einhaltung internationaler Standards (ISO, SOC, BSI C5 etc.), werde die Sicherheit von Daten und die Einhaltung von Compliance-Anforderungen sichergestellt. 

Verbleibende Unsicherheit

Trotz der operativen, organisatorischen und rechtlichen Unabhängigkeit der AWS European Sovereign Cloud ist kritisch zu berücksichtigen, dass es sich bei der Muttergesellschaft AWS Inc. um ein US-amerikanisches Unternehmen handelt und der US CLOUD Act US-Unternehmen grundsätzlich auch dann zur Herausgabe von Daten verpflichten kann, wenn diese außerhalb der Vereinigten Staaten gespeichert sind. AWS vertritt demgegenüber die Auffassung, dass die European Sovereign Cloud von einer eigenständigen EU-Gesellschaft betrieben wird, die Datenverarbeitung ausschließlich nach europäischem Recht erfolgt und der US-Muttergesellschaft weder ein operativer Zugriff noch eine Weisungsbefugnis zusteht. Viele Datenschützer:innen sind gleichwohl der Auffassung, dass die Anwendbarkeit des US CLOUD Act zwar erheblich eingeschränkt ist, ein vollständiger Ausschluss jedoch nicht mit letzter Sicherheit gewährleistet werden kann.  

Die technische Isolierung der neuen Cloud-Lösung kann als Fortschritt verbucht werden. Ob der Zugriff durch US-amerikanische Behörden durch Anwendung des CLOUD Act wirksam verhindert werden kann, bleibt jedoch fraglich. Für eine effektive digitale Unabhängigkeit führt an der Nutzung europäischer Lösungen oder einer Veränderung der US-amerikanischen Rechtslage kein Weg vorbei.

Unabhängig hiervon kann sich auf den formalen Standpunkt gestellt werden, dass durch eine DPF-Zertifizierung oder auch durch die Verwendung von Standardvertragsklauseln ein formal ordnungsgemäßes DSGVO-Niveau erreicht wird.

Bei Fragen oder Beratungsbedarf rund um Cloud-Lösungen und deren rechtliche Einordnung unterstützen wir Sie gerne.