Beherrschender Einfluss & FISA-702-Risiko (Jurisdiktion ≠ Datenresidenz)

Warum wichtig?

Bei US-kontrollierten Anbietern kann „Daten-Residency“ technisch gelöst sein, der juristische/behördliche Durchgriff über die Muttergesellschaft bleibt aber ein Risiko (z.B. FISA 702 / CLOUD Act). Relevanz hängt stark vom Use Case ab. Seit September 2025 verschärft EU Data Act Kapitel VII diesen Konflikt: Maßnahmen gegen unrechtmäßige Drittstaaten-Zugriffe und CLOUD-Act-Pflichten sind für US-kontrollierte Anbieter nicht gleichzeitig vollständig erfüllbar.

Wie gemessen?

• 0 = hohes Jurisdiktions-/Disclosure-Risiko (z.B. US control, FISA 702 exposure) ohne Mitigation
• 1 = erhöhtes Risiko, Mitigations unklar/weak
• 2 = einzelne Mitigations, aber Rest-Risiko hoch oder Scope eng
• 3 = Mitigations vorhanden (EU-Entity, Prozesse), aber Rest-Risiko bleibt relevant
• 4 = starke Mitigations (Legal/Operational Separation), Risiko reduziert und dokumentiert
• 5 = niedriges Risiko (EU control/ownership, keine relevante extraterritoriale Exposure) belegbar
• N/A = keine belastbare Evidence

Quellen / Evidence

• https://www.law.cornell.edu/uscode/text/50/1881a
• https://www.law.cornell.edu/uscode/text/18/2713
• https://news.microsoft.com/de-de/erste-souveraene-cloud-plattform-fuer-die-deutsche-verwaltung-auf-der-zielgeraden/

Validierungsfragen (RFP)

• Wer ist Ultimate Parent / Controlling Interest? Welche Offenlegungs- und Benachrichtigungspflichten bestehen? Gibt es unabhängige EU-Governance, die Government Requests beurteilt?

Scores im Vergleich