Analyse der Gefährdung französischer Rechenzentren durch ausländisches Recht

Der schwierige Punkt bei Datensouveränität ist, dass das Serverrack zwar eine ausgezeichnete geografische Lage hat, aber nur eine mittelmäßige juristische Persönlichkeit. Ein Server kann im Département Indre stehen, in einem französischen Gebäude vor sich hin summen und trotzdem zu einem Anbieter gehören, der anderswo rechtliche Pflichten hat. Das ist die nützliche Lehre aus der Berichterstattung von La Nouvelle République über Googles geplantes Rechenzentrum nahe Châteauroux: Lokale Speicherung ist wichtig, aber sie ist kein Zauberspruch.

Eine französische Adresse ist nicht der Compliance-Test

La Nouvelle République berichtete, dass Googles künftiges Rechenzentrum für Étrechet nahe Châteauroux geplant ist und dass die Projektunterstützer zwischen 10.600 und 14.200 Arbeitsplätze in der Bauphase über etwa 18 Monate angekündigt haben, gefolgt von zwischen 1.800 und 2.600 Arbeitsplätzen im Betrieb. Das sind große lokale Zahlen, und sie erklären, warum das Projekt in der Sprache der Industriepolitik diskutiert wird. Bei der Präsentation am Montag, dem 12. Oktober 2026, beschrieb Olivier Delcourt, Googles Data-Center-Betriebsleiter für Westeuropa, die französische Präsenz als „S’implanter en France est une question de souveraineté.“

Dieser Satz ist politisch geschickt. Für sich genommen ist er keine Datenschutzgarantie. Wer einen Cloud-Anbieter auswählt, sollte die Adresse des Rechenzentrums als ein Feld in der Prüfungsakte behandeln, neben der Unternehmenskontrolle des Anbieters, Übermittlungsmechanismen, Supportmodell, Unterauftragnehmern und dem Verfahren zur Reaktion auf rechtmäßige Auskunftsersuchen. Wenn Ihre Anbieterpräsentation beim Kartenpin endet, sind Ihre Anwälte nicht schwierig. Sie lesen den Teil nach der Karte.

Warum Cloud-Daten trotzdem eine Grenze überschreiten können

Der Bericht von La Nouvelle République vom 22. Oktober 2026 formulierte das Problem klar: Personenbezogene Informationen, die in der Nähe gespeichert werden, können trotzdem über den Atlantik wandern, wenn ein US-Digitalunternehmen zwischen europäischen Datenregeln und ausländischen rechtlichen Pflichten steht. Lauren Bensaid, eine von der Zeitung zitierte Anwältin, fasste das Cloud-Problem in einem Satz zusammen: „Avec le cloud, les données peuvent circuler sans frontières.“ Das ist der Compliance-Mechanismus, der sich unter dem Souveränitäts-Slogan verbirgt.

In der Praxis geht es nicht nur darum, wo die Festplatten stehen. Die schwierigeren Fragen lauten: Wer kann technisch auf die Umgebung zugreifen, welche juristische Person schließt den Vertrag mit dem Kunden, ob Daten oder Metadaten für Support oder Betrieb übertragen werden und was passiert, wenn eine andere Rechtsordnung Zugriff verlangt. Keine dieser Fragen wird dadurch beantwortet, dass man sagt, das Rechenzentrum stehe in Frankreich. Frankreich kann der Speicherort sein, während die Risikoanalyse weiterhin auf eine multinationale Anbieterstruktur verweist.

Der EU-US-Rahmen erlaubt Übermittlungen, er ersetzt keine Sorgfaltsprüfung

Die Europäische Kommission sagt, dass personenbezogene Daten aus der EU frei an US-Unternehmen fließen dürfen, die am EU-US Data Privacy Framework teilnehmen. Die Kommission sagt außerdem, dass die diesem Rahmen zugrunde liegenden US-Sicherheitsvorkehrungen im Bereich der nationalen Sicherheit den Zugriff der Nachrichtendienste auf das notwendige und verhältnismäßige Maß beschränken und einen Rechtsbehelfsmechanismus für Europäer schaffen. Weiter sagt sie, dass diese Schutzvorkehrungen für alle DSGVO-Übermittlungen an US-Unternehmen gelten, unabhängig vom verwendeten Übermittlungsmechanismus.

Das ist nicht dasselbe wie zu sagen, dass jede mit den USA verbundene Cloud-Bereitstellung verboten ist. Es ist auch nicht dasselbe wie zu sagen, dass jede in Frankreich gehostete Bereitstellung im beschaffungsrechtlichen Sinn souverän ist. Die Position der Kommission gibt Käufern einen rechtlichen Weg für einige Übermittlungen, insbesondere wenn der Anbieter an dem Rahmen teilnimmt. Die praktische Aufgabe besteht darin, diesen Weg zu dokumentieren, nicht so lange auf das Wort Frankreich zu zeigen, bis das Übermittlungsrisiko verschwindet.

Was Käufer vor der Unterschrift fragen sollten

Wenn man die Berichterstattung von La Nouvelle République und die Übermittlungshinweise der Europäischen Kommission als Grundlage nimmt, ist die Beschaffungs-Checkliste ziemlich trocken, und genau so sollten Compliance-Checklisten sein. Fragen Sie, ob der Anbieter für den Dienst, den Sie kaufen, eine konkrete Zusage zur Datenresidenz macht, nicht nur allgemein für die Marke. Fragen Sie, welche Ausnahmen für Support, Sicherheit, Wartung, Backup, Telemetrie und Unterauftragnehmer gelten. Fragen Sie dann, welcher Übermittlungsmechanismus jede Weitergabe an ein US-Unternehmen abdeckt, einschließlich der Frage, ob die relevante Einheit am EU-US Data Privacy Framework teilnimmt.

Der Vertrag sollte auch festlegen, wie der Anbieter mit rechtlich erzwungenen Zugriffsersuchen umgeht, welche Benachrichtigung er gibt, soweit dies zulässig ist, und welche Prüfungsnachweise der Kunde erhält. Diese Klauseln lassen ausländisches Recht nicht verschwinden. Sie geben dem Kunden eine Aufzeichnung darüber, wer auf die Daten zugreifen darf, nach welchem Verfahren und mit welchen Schutzmaßnahmen. Diese Aufzeichnung ist das, wonach eine Aufsichtsbehörde, ein Vorstand oder ein Käufer aus dem öffentlichen Sektor fragen wird, wenn die Souveränitätsbroschüre bereits recycelt wurde.

Die nächste wirklich nützliche Offenlegung für Projekte wie Étrechet ist nicht noch eine Rede über Souveränität. Es ist eine klare Darstellung der Anbieterentität, des Übermittlungswegs, der Zugriffskontrollen und der vertraglichen Zusagen, die mit dem Dienst verbunden sind. Betreiber und Käufer in Europa sollten davon ausgehen, dass Datenlokalisierung eine Ausgangsbedingung ist, nicht die Ziellinie. Das Rack mag französisch sein. Die rechtliche Exponierung braucht vielleicht trotzdem noch eine Passkontrolle.