Wo liegen Ihre Daten wirklich? Warum Datensouveränität wichtiger ist denn je

Mit zunehmender Cloud-Nutzung und wachsendem regulatorischem Druck weltweit - auch staatliche Vorgaben können sich hier auswirken - wird entscheidend, wo Daten gespeichert sind und welche Rechtsordnung dafür gilt.

Unternehmen und Organisationen sehen sich einer immer komplexeren Regulierung gegenüber - von der DSGVO der EU über die weitreichende NIS2-Richtlinie und den kommenden AI Act bis hin zu nationalen Regelwerken wie dem Schweizer Bundesgesetz über den Datenschutz (DSG) oder dem Informationssicherheitsgesetz (ISG). Damit hat sich Datensouveränität von einem bloßen Compliance-Häkchen zu einer strategischen Priorität auf Vorstandsebene entwickelt. Besonders herausfordernd ist diese Komplexität für kleine und mittlere Unternehmen (KMU), denen oft die Ressourcen fehlen, um sich in nationalen wie internationalen Regulierungslandschaften sicher zu bewegen und zu behaupten.

Für Open Systems ist Datensouveränität nicht nur eine technische Herausforderung, sondern ein strategisches Versprechen. Verwurzelt in der Schweizer Tradition von Neutralität und starkem Schutz der Privatsphäre verbindet unser Ansatz robuste Infrastruktur mit nachprüfbarer Compliance. Zertifizierungen nach ISO/IEC 27001, 27017 und 27018, regelmäßige SOC 1 Type 2 Audits und die Ausrichtung an den US-amerikanischen HIPAA-Standards bilden das Rückgrat unseres Schutzes sensibler Daten - von der Speicherung über den Zugriff bis zur Auditierbarkeit.

Wie wir diese Versprechen im Alltag einlösen, haben wir mit Thasanee Patklom, General Counsel bei Open Systems, besprochen - und darüber, was Datensouveränität in einer cloud-nativen, SASE-geprägten Welt bedeutet. Im Gespräch ging es insbesondere darum, wie wir Daten verwalten - in der Cloud, On-Premises oder physisch - und welche Optionen wir unseren Kunden bieten, damit sie die Compliance-Herausforderungen von heute souverän meistern.

• Wie definieren Sie Datensouveränität im Kontext der heutigen hybriden, zunehmend cloudbasierten Umgebungen? Datensouveränität bedeutet, genau zu wissen, wo Ihre Daten gespeichert sind, wer (und von wo aus) darauf zugreifen kann und wie sie verwendet werden dürfen. In den komplexen Umgebungen von heute ist dieses Wissen entscheidend, um Compliance sicherzustellen, die Kontrolle zu behalten und die Integrität der Daten zu schützen.

Gleichzeitig verlangt der Wandel hin zu cloud-nativen Architekturen - gerade in sich schnell entwickelnden IT/OT-Konvergenzszenarien - einen stärkeren Fokus auf eingebaute Sicherheitsmechanismen wie Zero-Trust-Prinzipien, sichere Segmentierung und kontinuierliche Zugriffskontrolle. Diese Elemente stärken die Souveränität nicht nur auf technischer Ebene, sondern ermöglichen auch einen resilienten, skalierbaren Schutz.

• Warum ist das regulatorische Umfeld der Schweiz - insbesondere unter dem revidierten Datenschutzgesetz (revDSG) - so gut geeignet, starke Datensouveränität zu gewährleisten? Die Schweiz bietet eine einzigartige Kombination aus rechtlichen, politischen und infrastrukturellen Vorteilen. Ihr Datenschutzrecht verbindet Kernelemente der EU-DSGVO - etwa Transparenz, Rechenschaftspflicht und Betroffenenrechte - mit Schweizer Augenmaß und Pragmatismus. So entsteht ein regulatorisches Umfeld, das robust und zugleich wirtschaftsfreundlich ist.

Hinzu kommt: Die politische und wirtschaftliche Stabilität der Schweiz bildet das Fundament für eine erstklassige Infrastruktur - mit hochsicheren Rechenzentren, zuverlässiger Internetanbindung und stabiler Stromversorgung. Zudem profitiert das Land von einem großen Pool hervorragend ausgebildeter, erfahrener IT-Fachkräfte.

• Wie prüfen Sie, ob ein Cloud- oder SASE-Anbieter die Anforderungen der EU an Data Residency und Datenlokalisierung erfüllen kann?

Eine gründliche Bewertung erfordert einen multidisziplinären Ansatz, der rechtliche, technische, organisatorische und vertragliche Prüfungen kombiniert:

• Zweck: Was genau geben Sie weiter, und wofür soll es genutzt werden?

• Rechts- und Regulierungskonformität: Hat der Anbieter seinen Hauptsitz in der EU/im EWR oder in einem Land, das ausländischen Gesetzen mit extraterritorialer Wirkung unterliegt (z.B. dem US CLOUD Act)?

• Datenstandort und Kontrolle der Datenflüsse: Wo werden Daten physisch gespeichert? Wie wird mit grenzüberschreitenden Datenflüssen umgegangen?

• Zugriffskontrolle und Datensouveränität: Welche technischen und organisatorischen Maßnahmen schützen den Zugriff und stellen die Souveränität sicher?

• Verträge und Zertifikate: Gibt es angemessene Zertifizierungen, Auditrechte und Nachweismechanismen?

Nur wer alle diese Dimensionen berücksichtigt, kann sicherstellen, dass der Cloud- oder SASE-Anbieter die Residency- und Lokalisierungsanforderungen der EU tatsächlich erfüllt.

• Welche rechtlichen und finanziellen Konsequenzen - etwa Bußgelder in Millionenhöhe - drohen Unternehmen, die Datensouveränitätsanforderungen nicht einhalten? Verstöße gegen Datensouveränitätsanforderungen können Unternehmen erheblichen rechtlichen, finanziellen und geschäftlichen Risiken aussetzen. Nach der DSGVO der EU können Verstöße Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes nach sich ziehen - je nachdem, welcher Betrag höher ist. Auch andere Rechtsordnungen sehen Sanktionen für unrechtmäßige grenzüberschreitende Datenübermittlungen vor.

Über behördliche Sanktionen hinaus drohen Unternehmen Vertragsverletzungen, zivilrechtliche Haftungsansprüche und der Verlust wichtiger Kundenbeziehungen. Ebenso gravierend ist der Reputationsschaden: Er kann das Vertrauen von Kunden, Partnern und Investoren untergraben - mitunter unwiederbringlich.

Das Fazit: Datensouveränität ist kein bloßes juristisches Häkchen, sondern ein strategischer Risikofaktor mit potenziell existenziellen Folgen für moderne digitale Unternehmen.

• Viele Unternehmen müssen DSGVO, DSG und inzwischen auch NIS2, DORA und den EU AI Act gleichzeitig im Blick behalten. Wie unterstützen Open Systems und das SASE-Angebot sie dabei, diese regulatorische Komplexität zu bewältigen?

Mit wachsendem regulatorischem Druck müssen Unternehmen Sicherheit, Risiko-Governance und Verantwortlichkeit stärken.

Unsere Managed Services helfen Kunden, diese Anforderungen in zentralen Bereichen zu erfüllen:

• Identify: Transparenz über kritische Assets, Risiken und Abhängigkeiten

• Protect: Netzwerkbasierte Sicherheitskontrollen, Access Management und Zero-Trust-Prinzipien

• Detect: Kontinuierliches Monitoring und Anomalieerkennung über unser Network Operations Center (NOC)

• Respond: Schnelle Koordination der Reaktion, Incident Reporting und technische Eindämmung

• Risk Management: Unterstützung beim Erkennen und Adressieren von Cyber- und operativen Risiken

• Third-Party Management: Mehr Transparenz und Governance bei Zugriffen und Abhängigkeiten von Dienstleistern

Mit unseren Services können Kunden regulatorische Compliance operationalisieren - mit mehr Resilienz, Kontrolle und Audit-Bereitschaft.

• Cloud-Infrastruktur & Data Residency: Wo werden Kundendaten in Ihrem SASE-Angebot gespeichert und verarbeitet? Kundendaten werden derzeit in unseren eigenen Rechenzentren in der Schweiz oder in der Microsoft-Azure-Region Switzerland North gespeichert.

• Befinden sich Ihre Cloud-Knoten und Rechenzentren ausschließlich innerhalb der EU? Falls ja: Wie stellen Sie das sicher? Ja. Microsoft verpflichtet sich, Kundendaten innerhalb der definierten Service-Grenzen zu halten, und gewährleistet damit die Einhaltung der Residency-Anforderungen.

Open Systems arbeitet mit Microsoft als Cloud-Service-Provider zusammen. Standardmäßig werden die Daten in Microsoft-Rechenzentren in der EU gehostet, und Open Systems konfiguriert seine Services so, dass die Data Residency innerhalb der EU-Region gewahrt bleibt.

Bei bestimmten Verarbeitungstätigkeiten, die keine Kundendaten betreffen (z.B. Support oder Telemetrie), kann es allerdings zu Zugriffen von außerhalb der EU kommen.

Mit der Initiative EU Data Boundary stellt Microsoft sicher, dass alle Kundendaten und die meisten Servicevorgänge innerhalb der EU verbleiben. Wir beobachten diese Entwicklung und richten uns, wo anwendbar, danach aus.

• Wo werden Kundendaten in der SASE-Infrastruktur von Open Systems gespeichert, und wie stellen wir die volle Kontrolle über Residency und Zugriff sicher? Kundendaten liegen entweder in unseren eigenen On-Premises-Rechenzentren oder in unserem dedizierten Microsoft-Azure-Tenant in der Schweiz. Wir behalten die strikte Kontrolle über Residency und Zugriff - abgesichert durch vertragliche, technische und organisatorische Schutzmaßnahmen.

• Wie untermauern Zertifizierungen wie ISO/IEC 27001, 27017, 27018 und das SOC 1 Type 2 Reporting das Bekenntnis von Open Systems zu nachprüfbarem Vertrauen? Diese Zertifizierungen belegen durch unabhängige externe Audits, dass wir anerkannte Best Practices für Sicherheit und Datenschutz einhalten. Auf Anfrage teilen wir Details zu unseren ISO- und SOC-Zertifizierungen mit Kunden und Interessenten. Darüber hinaus stehen unsere Legal- und Compliance-Teams bereit, um konkrete Fragen zu klären und Transparenz sicherzustellen.

• Wie würden Sie mit einer Situation umgehen, in der ein Cloud- oder SASE-Anbieter von einem Drittstaat rechtlich gezwungen wird, Zugriff auf EU-Kundendaten zu gewähren? Wir kommen rechtmäßigen Anfragen wie vorgeschrieben nach - informieren aber, wo zulässig, die Betroffenen und beschränken die Offenlegung strikt auf das rechtlich Notwendige.

Konkret würden wir:

• die Rechtsgrundlage und den Umfang der Anfrage prüfen

• Rechtsbeistand hinzuziehen, um die Auswirkungen nach DSGVO und anderen anwendbaren Gesetzen zu bewerten

• auf den Anbieter einwirken, um die Offenlegung einzuschränken oder zu begrenzen, und die unternommenen Schritte dokumentieren

• Wie steuert Open Systems das Risiko ausländischer Zugriffsgesetze wie des US CLOUD Act und stellt zugleich die globale Servicebereitstellung sicher? Wir mindern solche Risiken, indem wir Daten wo immer möglich in der Schweiz oder der EU hosten und Verträge über Schweizer oder in der EU ansässige Rechtsträger abschließen. So bleibt sichergestellt, dass die Daten der lokalen Rechtsordnung unterliegen und von Schweizer und/oder europäischen Datenschutzstandards profitieren.

Durch vertragliche Schutzmaßnahmen und eine bewusste Wahl der Jurisdiktion minimieren wir aktiv grenzüberschreitende Risiken und unterstützen eine DSGVO- und DSG-konforme Datensouveränität - gerade in komplexen, cloudbasierten Servicemodellen.

In bestimmten Fällen können, je nach Kundenanforderung, Services ausschließlich in der Schweiz gehostet werden, was das Risiko ausländischer Rechtszugriffe weiter senkt.

Darüber hinaus begrenzen wir die Exponierung gegenüber Drittstaaten schon im Design und arbeiten bevorzugt mit Cloud- und Infrastrukturanbietern, die nach ISO/IEC 27001 zertifiziert sind. So ist sichergestellt, dass international anerkannte Standards für das Informationssicherheitsmanagement eingehalten und unabhängig auditiert werden.

Um den rechtskonformen Betrieb in sensiblen Umfeldern wie NGOs oder der Entwicklungszusammenarbeit zu unterstützen, führen wir zudem, wo relevant, eine sorgfältige Sanktions- und De-minimis-Prüfung durch - für Compliance selbst in Hochrisiko-Jurisdiktionen.

• Transparenz ist zentral für Vertrauen. Welche Fragen stellen Kunden am häufigsten zum Umgang mit Daten, und wie beantworten wir sie bei Open Systems? Kunden erkundigen sich regelmäßig nach dem Umgang mit Daten - über Audits, Fragebögen, jährliche Assessments oder auch ad hoc. Die Fragen hängen oft von der Branche des Kunden ab, die häufigsten Themen sind derzeit aber:

• Wo werden die Daten gespeichert und verarbeitet?

• Wer hat sonst noch Zugriff auf unsere Daten (und die unserer Kunden)?

• Hat Open Systems eine formale Richtlinie für den Umgang mit Daten?

• Wie handhaben und steuern wir den Einsatz von KI?

Diese Fragen beantworten wir proaktiv - mit klarer Dokumentation, offenem Dialog und unserem Bekenntnis zu Transparenz und Compliance.

• Mit Blick nach vorn: Welche Trends und Verschiebungen in der globalen Regulierung beschäftigen Sie besonders, und wie ist Open Systems darauf vorbereitet? Die Regulierung von KI ist ein Schwerpunktthema, mit weltweit noch in Entwicklung befindlichen Rahmenwerken. Bei Open Systems betreiben wir nicht nur unsere eigene KI, sondern setzen KI auch verantwortungsvoll ein. Da sich die regulatorische Landschaft rund um KI weiter verändert, sorgt Open Systems mit passenden Governance-Strukturen dafür, an Best Practices ausgerichtet zu bleiben und einen sicheren, verantwortungsvollen Einsatz zu gewährleisten.

Auch auf NIS2 und DORA bereiten wir uns aktiv vor: Wir analysieren die Anforderungen und setzen interne Maßnahmen um, um die Compliance sicherzustellen. Für tiefergehende Einblicke bieten wir Kunden Whitepaper an, die unseren Ansatz im Detail beschreiben.

Mit Blick auf den kommenden EU Cyber Resilience Act befinden wir uns derzeit in der Planungsphase - damit unsere Services auch bei sich weiterentwickelnder Regulierung compliant bleiben.

In einer Zeit, in der digitales Vertrauen eine Währung ist, ist Datensouveränität längst kein bloßes juristisches Häkchen mehr, sondern ein strategisches Gebot. Die Regulierung zieht an, Kunden achten stärker auf den Schutz ihrer Daten - Unternehmen brauchen deshalb Partner, die nicht nur Vorgaben erfüllen, sondern Datenschutz, Sicherheit und Transparenz fest im Kern ihrer Services verankern.

Bei Open Systems begreifen wir Compliance nicht als Last, sondern als Chance, resiliente, zukunftssichere Lösungen zu entwickeln, mit denen unsere Kunden selbst in den am stärksten regulierten Umgebungen erfolgreich sind. Ob DSGVO, DSG, NIS2 oder was als Nächstes kommt: Wir sind schon dort - damit unsere Kunden zuversichtlich vorangehen können.