Urteilskraft 001: Der Serverstandort war nie die Frage

Der HITM Newsletter. Ein Human-in-the-Middle-Briefing.

Der Serverstandort war nie die Frage

Ich habe vor Kurzem die Infrastruktur hinter diesem Briefing umgezogen: neue Versanddomain, neue Schlüssel, verschlüsselte Backups. Dabei ist mir aufgefallen, dass ich monatelang die falsche Frage gestellt hatte. Ich hatte geprüft, wo die Server stehen. Ich hatte nicht geprüft, wem die Unternehmen gehören, die sie betreiben — und ob das morgen noch dieselben sind.

Genau diese Unterscheidung hat in den Niederlanden gerade eine Regierung beschäftigt.

Die Entscheidung der Woche

Wer: Die niederländische Regierung, der Cloud-Anbieter Solvinity und der US-Konzern Kyndryl.

Die Entscheidung: Kyndryl kündigte im November 2025 an, Solvinity zu übernehmen. Solvinity ist kein beliebiger Anbieter: Das Unternehmen betreibt die Hosting-Infrastruktur für DigiD, die digitale Identität der Niederlande, über die Bürgerinnen und Bürger auf Steuer-, Renten- und Gesundheitsdaten zugreifen, sowie für das Behördenportal MijnOverheid.

Was gewählt wurde: Am 25. Mai 2026 untersagte die niederländische Regierung die Übernahme; veröffentlicht wurde die Entscheidung am 26. Mai. Grundlage war eine Prüfung durch das Investment Screening Bureau nach dem Gesetz über unerwünschte Kontrolle im Telekommunikationssektor. Es ist die erste Untersagung, seit die Behörde 2020 ihre Arbeit aufnahm.

Die Begründung: Das öffentliche Interesse. Die Übernahme könne ein Risiko für das öffentliche Interesse darstellen, hieß es — konkreter wurde die Regierung nicht. Im Hintergrund stand die Sorge, dass US-Behörden über den CLOUD Act von 2018 auf Daten zugreifen könnten: Das Gesetz verpflichtet US-Unternehmen zur Herausgabe von Daten, unabhängig davon, wo diese liegen.

Bemerkenswert ist, wie die Regierung ihr eigenes Verfahren beschreibt: länderneutral, risikobasiert, verhältnismäßig. Es ging nicht um die Staatsangehörigkeit des Käufers, sondern um eine Risikolage.

Der Kern: Die Rechenzentren wären in den Niederlanden geblieben, auf niederländischer Hardware. Gestritten wurde nicht über den Standort, sondern über die Eigentümerschaft. Und zwar nicht, weil Solvinity dadurch amerikanisch geworden wäre — eine niederländische B.V. bleibt niederländisch. Sondern weil eine US-Muttergesellschaft amerikanische Jurisdiktion in Reichweite dessen bringt, was die Tochter verwahrt. Das Gericht in Rotterdam hat genau das beschrieben: ein Risiko des Zugriffs über den US-Mutterkonzern nach amerikanischem Recht.

Was Sie daraus mitnehmen: Datenresidenz und Datensouveränität sind nicht dasselbe. Die Frage „Wo stehen die Server?" beantwortet Ihnen jeder Vertrieb. Die Frage „Wem gehört dieses Unternehmen, und was passiert, wenn es verkauft wird?" nicht. Die zweite Frage ist die wichtigere — und sie hat kein dauerhaftes Ergebnis. Eigentümerschaft ändert sich, nachdem Sie unterschrieben haben.

Drei Meldungen, drei Urteile

1. Die Transparenzpflichten gelten bereits

Artikel 50 des AI Act ist seit dem 2. August 2026 anwendbar und wurde vom Digital Omnibus nicht verschoben. Chatbots müssen als KI erkennbar sein, bestimmte KI-erzeugte Inhalte gekennzeichnet werden.

Was das für Sie heißt: Das betrifft Sie heute, nicht irgendwann. Prüfen Sie Ihre eigene Website auf Chatbots und KI-generierte Inhalte. Die maschinenlesbare Kennzeichnung nach Absatz 2 liegt technisch bei den Anbietern Ihrer Werkzeuge — fragen Sie schriftlich nach, ob und wie sie das umsetzen, und heben Sie die Antwort auf.

2. Die KI-Kompetenzpflicht wurde entschärft — und war nie bußgeldbewehrt

Artikel 4 verlangte seit Februar 2025 ein „ausreichendes Maß an KI-Kompetenz". Der Digital Omnibus hat diesen Artikel zum 27. Juli 2026 neu gefasst. Jetzt gilt: Maßnahmen ergreifen, um KI-Kompetenz zu fördern. Ein bestimmtes Niveau muss niemand garantieren.

Was das für Sie heißt: Artikel 4 steht nicht in der abschließenden Liste des Artikels 99, der die Bußgelder regelt. Es gibt also kein unmittelbares EU-Bußgeld für fehlende KI-Schulung. Wenn Ihnen jemand ein Schulungspaket mit Verweis auf 35 Millionen Euro Strafe verkauft, prüfen Sie, ob er den Juli 2026 mitbekommen hat. Schulen Sie Ihr Team trotzdem — aber weil es nützt, nicht aus Angst.

3. „Souveräne Cloud" von US-Anbietern bleibt US-Recht unterworfen

AWS hat seine European Sovereign Cloud am 15. Januar 2026 allgemein verfügbar gemacht, erste Region Brandenburg, betrieben von einer eigenen europäischen Gesellschaft mit deutschen Tochterfirmen. Diese Gesellschaft gehört hundertprozentig Amazon.com Inc.

Was das für Sie heißt: Prüfen Sie bei jedem Angebot mit „souverän" im Namen, welche juristische Person unterschreibt und wem sie gehört. Das steht selten im Datenblatt. Es steht immer im Handelsregister.

Fehlerbild

Viele Ratgeber aus dem Frühjahr 2026 nennen den 2. August 2026 als Stichtag für Hochrisiko-KI nach Anhang III. Das ist überholt. Die Verordnung (EU) 2026/1744 — der Digital Omnibus — hat die Frist auf den 2. Dezember 2027 verschoben, für Anhang I auf den 2. August 2028.

Die Transparenzpflichten wurden nicht verschoben.

Die Lehre ist unangenehm banal: Bei Fristen ist die Sekundärquelle wertlos. Ein Beratungstext vom März kennt eine Verordnung vom Juli nicht — und bleibt trotzdem monatelang in den Suchergebnissen. Wer eine Frist einplant, braucht eine Quelle mit Datum: das Amtsblatt, oder jemanden, der sagen kann, wann er es gelesen hat.

Zum Schluss

Eine Frage, die sich in zehn Minuten beantworten lässt:

Welcher Ihrer Dienstleister wäre morgen ein anderes Unternehmen, wenn er verkauft würde, und würden Sie es überhaupt mitbekommen?

Antworten gehen direkt an mich. Ich lese jede.

Recherchiert und vorbereitet von unserem KI-Team, geprüft und verantwortet von Arthur Schmidt-Pabst.