{"id":44118,"date":"2026-11-13T09:30:53","date_gmt":"2026-11-13T08:30:53","guid":{"rendered":"https:\/\/www.topdesk.com\/de\/?p=44118"},"modified":"2026-11-13T09:17:59","modified_gmt":"2026-11-13T08:17:59","slug":"datensouveraenitaet-topdesk-va","status":"publish","type":"post","link":"https:\/\/www.topdesk.com\/de\/blog\/datensouveraenitaet-topdesk-va\/","title":{"rendered":"Ihre Daten liegen in Europa. Aber haben Sie wirklich die Kontrolle dar\u00fcber?"},"content":{"rendered":"

Datensouver\u00e4nit\u00e4t war nie einfach, aber KI hat das Risiko erh\u00f6ht. Die Aufbewahrung Ihrer Daten in Europa bedeutet nicht automatisch, die Kontrolle dar\u00fcber zu behalten. Schon eine einzige KI-Funktion, die ein Modell eines anderen Anbieters aufruft, kann eine ansonsten souver\u00e4ne Konfiguration gef\u00e4hrden.<\/p>\n

Die EU beginnt, Souver\u00e4nit\u00e4t messbar zu machen und in die Beschaffung zu verankern. Damit wird die Kontrolle zunehmend von einem Wunsch zu einer Anforderung, insbesondere im \u00f6ffentlichen Sektor und in regulierten Branchen.<\/p>\n

Bei TOPdesk sind wir der Meinung, dass Sie selbst entscheiden sollen, wie viel Kontrolle Sie ben\u00f6tigen. Mit unserer Virtual Appliance k\u00f6nnen Sie das Produkt vollst\u00e4ndig auf Ihrer eigenen Infrastruktur betreiben. Wir entwickeln sie langfristig weiter und werden auch KI-Funktionen so integrieren, dass Ihre Souver\u00e4nit\u00e4t gew\u00e4hrt bleibt.<\/p>\n

Datenresidenz ist keine Datensouver\u00e4nit\u00e4t<\/h2>\n

Residenz und Souver\u00e4nit\u00e4t werden oft synonym verwendet, aber die Begriffe beschreiben andere, wenn auch verbundene Konzepte. Bei der Datenresidenz geht es darum, wo Ihre Daten physisch gespeichert werden. Bei Souver\u00e4nit\u00e4t geht es darum, wer sie kontrolliert und welche Gesetze den Zugriff darauf erzwingen k\u00f6nnen. Ihre Daten k\u00f6nnen innerhalb der EU gespeichert werden und dennoch einem Unternehmen unterstehen, das den Gesetzen eines anderen Kontinents unterliegt.<\/p>\n

Im Kern geht es bei Souver\u00e4nit\u00e4t um Gerichtsbarkeit. Alle Daten unterliegen einem rechtlichen Rahmen. Die entscheidende Frage ist: welchem? Je h\u00f6her die Souver\u00e4nit\u00e4t, desto vollst\u00e4ndiger unterliegen Ihre Daten Ihrem eigenen Rechtsrahmen und sind vor fremder Gerichtsbarkeit gesch\u00fctzt. F\u00fcr eine europ\u00e4ische Organisation bedeutet dies, einen festen rechtlichen Rahmen f\u00fcr Ihre Daten festzulegen. So bleiben Ihre EU-Compliance-Standards gewahrt und k\u00f6nnen nicht unbemerkt durch Vorschriften eines anderen Landes au\u00dfer Kraft gesetzt werden.<\/p>\n

Nicht jede Organisation ben\u00f6tigt das gleiche Ma\u00df an Kontrolle<\/h2>\n

Wie viel Souver\u00e4nit\u00e4t Sie ben\u00f6tigen, h\u00e4ngt davon ab, welche Daten Sie verwalten. Je sensibler die Daten sind und je schwerwiegender es w\u00e4re, wenn eine ausl\u00e4ndische Beh\u00f6rde den Zugriff darauf erzwingen k\u00f6nnte, desto mehr Kontrolle ben\u00f6tigen Sie dar\u00fcber, wo sie gespeichert werden und wer darauf zugreifen kann. F\u00fcr manche Organisationen ist das eine bewusste Entscheidung. F\u00fcr andere ist es eine gesetzliche Verpflichtung, die sie nachweisen m\u00fcssen.<\/p>\n

Souver\u00e4nit\u00e4t ist t\u00e4gliche Realit\u00e4t f\u00fcr nationale und lokale Beh\u00f6rden, einen Gro\u00dfteil des \u00f6ffentlichen Sektors und regulierte Branchen wie Finanzen und Gesundheitswesen. Einige m\u00fcssen Daten und Systeme im Land oder in der Region aufbewahren. Andere m\u00fcssen vollst\u00e4ndig ohne Verbindung nach au\u00dfen betrieben werden. F\u00fcr diese Organisationen ist Souver\u00e4nit\u00e4t eine Anforderung, die sie erf\u00fcllen m\u00fcssen. Das wirft die offensichtliche Frage auf: Wie l\u00e4sst sie sich messen?<\/p>\n

Souver\u00e4nit\u00e4t hat jetzt eine Scorecard<\/h2>\n

Datensouver\u00e4nit\u00e4t umfasst mehrere klar voneinander abgegrenzte Bereiche, \u00fcber die Sie jeweils mehr oder weniger Kontrolle haben k\u00f6nnen. Um Ausschreibungen zu vereinfachen und ein angemessenes Ma\u00df an Kontrolle f\u00fcr einen Cloud-Service zu gew\u00e4hrleisten, ver\u00f6ffentlichte die Europ\u00e4ische Kommission im Oktober 2025 ihr Cloud Sovereignty Framework<\/strong><\/a>.<\/p>\n

F\u00fcr Eink\u00e4ufer aus dem \u00f6ffentlichen Sektor und regulierten Branchen wird dies zunehmend zur Grundlage, um Anforderungen an die Datensouver\u00e4nit\u00e4t zu formulieren. Diese betreffen auch Software, die Sie selbst betreiben, nicht nur Services, die Sie einkaufen.<\/p>\n

Die Skala wird Sovereignty Effectiveness Assurance Level oder SEAL genannt und l\u00e4uft von 0 bis 4. Je h\u00f6her Sie gehen, desto mehr Kontrolle liegt in europ\u00e4ischen H\u00e4nden. Hier ist, was jede Ebene in Klartext bedeutet:<\/p>\n

 <\/p>\n\n\n\n\n\n\n\n\n\n
Level<\/th>\nWas es bdeutet<\/th>\n<\/tr>\n<\/thead>\n
SEAL-0 Keine Souver\u00e4nit\u00e4t<\/td>\nKontrolle durch Nicht-EU-Parteien nach Nicht-EU-Recht.<\/td>\n<\/tr>\n
SEAL-1 Gerichtsstand<\/td>\nFormal gilt EU-Recht, aber ein Nicht-EU-Unternehmen kontrolliert den Service weiterhin, sodass das Recht schwer durchzusetzen ist.<\/td>\n<\/tr>\n
SEAL-2 Datensouver\u00e4nit\u00e4t<\/td>\nEin EU-Unternehmen ist verantwortlich, und EU-Recht ist durchsetzbar, obwohl Technologie und Lieferkette immer noch von Nicht-EU-Anbietern abh\u00e4ngen.<\/td>\n<\/tr>\n
SEAL-3 Digitale Resilienz<\/td>\nDie EU-Beteiligten kontrollieren, wie der Dienst betrieben wird, wobei nur noch geringe Abh\u00e4ngigkeiten von Drittl\u00e4ndern bestehen.<\/td>\n<\/tr>\n
SEAL-4 Volle Souver\u00e4nit\u00e4t<\/td>\nTechnologie und Betrieb unter vollst\u00e4ndiger Kontrolle der EU, unterliegen ausschlie\u00dflich dem EU-Recht und unterliegen keinen kritischen Abh\u00e4ngigkeiten von Drittl\u00e4ndern.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

 <\/p>\n

Das Framework bewertet acht separate Souver\u00e4nit\u00e4tsziele (kurz SOV genannt), um das SEAL-Level zu bestimmen. Diese Ziele reichen von den Gesetzen, denen der Anbieter unterliegt, \u00fcber die Verantwortung f\u00fcr den Betrieb des Services und die Regeln f\u00fcr den Umgang mit Daten und KI-Modellen bis hin zur Herkunft von Hard- und Software.<\/p>\n

Jedes Souver\u00e4nit\u00e4tsziel erh\u00e4lt sein eigenes SEAL-Level. Der entscheidende Punkt ist, dass Ihr Gesamtlevel nur so hoch ist wie Ihr schw\u00e4chstes Ziel.<\/strong> Erreicht ein Dienst in sieben dieser Bereiche SEAL-3, im achten aber nur SEAL-1, wird der gesamte Dienst als SEAL-1 eingestuft.<\/p>\n

In Ausschreibungen k\u00f6nnen Auftraggeber au\u00dferdem f\u00fcr jedes Ziel eine SEAL-Mindestanforderung festlegen. Gebote, die nicht einmal ein Minimum erf\u00fcllen, k\u00f6nnen disqualifiziert werden, w\u00e4hrend diejenigen, die sich qualifizieren, anhand einer gewichteten Souver\u00e4nit\u00e4tsbewertung bewertet werden.<\/p>\n

Eine KI-Funktion kann die gesamte Scorecard \u00e4ndern<\/h2>\n

Bei KI ist es besonders schwierig, Datensouver\u00e4nit\u00e4t sicherzustellen. Denn die KI-Funktionen, die die meisten Tools heute bereitstellen, greifen auf ein extern gehostetes Modell zu. Sobald das geschieht, kann sich dies auf Ihre SEAL-Einstufung auswirken.<\/p>\n

Um KI in einem Workflow zu nutzen, werden einige der im ITSM-System gespeicherten Daten an ein Large Language Model (LLM) gesendet, das gelesen und verarbeitet wird. Das hei\u00dft nicht, dass das Modell aus Ihren Daten lernt. Eine gut regulierte Funktion nutzt es zur Beantwortung der Anfrage und mehr nicht. Doch w\u00e4hrend diese Daten verarbeitet werden, befinden sie sich auf der Infrastruktur eines anderen Anbieters und unterliegen den dort geltenden Gesetzen. Genau das pr\u00fcft das Framework: Werden die Modelle hinter einem Feature in Europa entwickelt, gehostet und reguliert, und l\u00e4sst sich ihre Nutzung nachvollziehbar \u00fcberpr\u00fcfen?<\/p>\n

Wenn eine KI-Funktion ein Modell aufruft, das nicht unter europ\u00e4isches Recht f\u00e4llt, kann die Daten-und-KI-Bewertung (SOV-3) sinken. Da das am schw\u00e4chsten bewertete Ziel die Obergrenze vorgibt, kann das gesamte Setup nicht h\u00f6her bewertet werden, als es die eine Funktion zul\u00e4sst, so stark alles andere auch ist.<\/p>\n

Virtual Appliance von TOPdesk: auf Datensouver\u00e4nit\u00e4t ausgelegt<\/h2>\n

Als Unternehmen, das in Europa aufgebaut und gef\u00fchrt wird, haben wir die Notwendigkeit einiger Organisationen f\u00fcr Datensouver\u00e4nit\u00e4t l\u00e4ngst verstanden. Deshalb haben wir 2018 unsere Virtual Appliance eingef\u00fchrt.<\/p>\n

Es bietet die Kernfunktionen von TOPdesk, l\u00e4uft aber auf ihrer eigenen Infrastruktur: Ihr Rechenzentrum, Ihre Private Cloud oder eine vollst\u00e4ndig isolierte Umgebung ohne jegliche Verbindung nach au\u00dfen. Sie entscheiden, wo die Daten gespeichert werden und wer darauf zugreifen darf. Neue Releases werden viertelj\u00e4hrlich ver\u00f6ffentlicht, und Sie entscheiden selbst, wann Sie Updates installieren. Sie legen ebenfalls die Integrationen und Netzwerkgrenzen fest.<\/p>\n

Nach unserer eigenen Einsch\u00e4tzung kann eine vom Kunden betriebene Virtual Appliance bei den Souver\u00e4nit\u00e4tszielen, die die Software und ihren Betrieb betreffen, SEAL-3 erreichen. Denn Hosting und betriebliche Kontrolle liegen in Ihren H\u00e4nden. Ihr Gesamtniveau an Datensouver\u00e4nit\u00e4t h\u00e4ngt weiterhin vom Rest Ihrer IT-Umgebung ab. Denn ein System ist nur so souver\u00e4n wie die Infrastruktur und die Komponenten und Dienste, auf denen es aufbaut.<\/p>\n

Unsere Leistung im Hinblick auf die acht Ziele gliedert sich in drei Gruppen: Was TOPdesk festlegt, was die Virtual Appliance erm\u00f6glicht und was von Ihrer Infrastruktur abh\u00e4ngt:<\/p>\n

TOPdesk schafft die Grundlage:<\/strong><\/p>\n