Im Juni 2026 beendete die Entscheidung des Obersten Gerichtshofs der Vereinigten Staaten in der Sache Trump v. Slaughter die Unabhängigkeit der Federal Trade Commission. Für die meisten Menschen war das eine Nachricht aus der amerikanischen Politik. Für alle, die bei einer portugiesischen öffentlichen Einrichtung Informationssysteme verantworten, war es etwas anderes: der Wegfall eines der Bausteine, auf denen das Abkommen beruht, das die Übermittlung der Daten von Europäern in die Vereinigten Staaten erlaubt.
Es ist der dritte Schock in zehn Jahren. Safe Harbor fiel 2015, Privacy Shield fiel 2020, und das Abkommen, das sie ersetzte, wird nun angefochten. Keine dieser Episoden ging auf Böswilligkeit der Verhandler zurück. Sie ergaben sich aus einer grundlegenden Unvereinbarkeit zweier Verständnisse von Souveränität, die kein politisches Abkommen auflösen kann.
Unterdessen handeln unsere europäischen Nachbarn. In Frankreich behält die Cloud-Doktrin staatliche Systeme mit sensiblen Daten qualifizierter Infrastruktur vor, die gegen außereuropäische Gesetzgebung immun ist. In Italien wurden öffentliche Daten nach Kritikalität klassifiziert und die sensibelsten in qualifizierter nationaler Infrastruktur konzentriert. In Deutschland hat ein Bundesland die E-Mail seiner gesamten Verwaltung, mehr als vierzigtausend Postfächer, auf offene Lösungen migriert. In den Niederlanden hat das Parlament Anträge angenommen, unnötige Migrationen der Verwaltung zu amerikanischen Cloud-Anbietern zu stoppen.
Portugal hat seinen nationalen Plan für eine souveräne Cloud verabschiedet, der in den kommenden Jahren umgesetzt werden soll. Das ist die offizielle Anerkennung, dass die derzeitige Abhängigkeit ein Risiko darstellt. Aber eine konkrete Einrichtung, die in den nächsten sechs Monaten ein Vergabeverfahren einleiten muss, kann nicht bis zum Ende des Jahrzehnts warten.
Dies sind die acht Fragen, die vor diesem Verfahren zu stellen sind. Sie erfordern kein technisches Wissen. Sie erfordern klare Antworten.
1. Welchem Recht unterliegt die Stelle, die den Dienst betreibt, und wer kontrolliert sie?
Es ist die Frage, die alle anderen umfasst, und sie wird fast nie gestellt. Verwechseln Sie sie nicht mit dem Standort der Server. Ein in den Vereinigten Staaten gegründetes oder von einem amerikanischen Unternehmen kontrolliertes Unternehmen bleibt amerikanischem Recht unterworfen, wo auch immer es seine Geräte aufstellt.
Der Fall, der das bewiesen hat, war nicht theoretisch. 2013 verlangten die amerikanischen Gerichte von einem Technologieunternehmen die Herausgabe des Inhalts eines E-Mail-Kontos, das in einem Rechenzentrum in Dublin gespeichert war. Das Unternehmen weigerte sich und gewann vor Gericht. 2018 verabschiedete der Kongress ein Gesetz, das die Herausgabe von Daten im Besitz, in der Verwahrung oder unter der Kontrolle dieser Unternehmen vorschreibt, unabhängig vom Land, in dem sie gespeichert sind. Der Fall endete mit der Herausgabe.
Was Sie verlangen sollten: die Identifizierung der vertragschließenden Stelle, ihres eingetragenen Sitzes, ihrer Eigentums- und Kontrollstruktur und des Rechts, dem sie unterliegt.
2. Wo befinden sich die Daten physisch, und wer hat Zugang zu den Räumlichkeiten?
Der Standort entscheidet die Frage der Rechtsordnung nicht, ist aber dennoch relevant. Sie müssen wissen, in welchem Land die Geräte stehen, wer den physischen Raum betreibt und ob dieser Betreiber logischen Zugriff auf die Systeme hat.
Was Sie verlangen sollten: den Standort der Rechenzentren, die Identifizierung des physischen Hosting-Anbieters und eine ausdrückliche Erklärung, ob dieser Anbieter Zugriff auf die Daten hat oder nicht.
3. Gibt es Übermittlungen in Drittstaaten, auch nur gelegentliche?
Die Frage sollte alles abdecken, nicht nur den Hauptdienst. Analyse des Website-Traffics, Kundensupport-Tools, Zahlungsabwicklung, von externen Servern geladene Schriftarten. Jedes davon kann eine Übermittlung darstellen.
Was Sie verlangen sollten: eine vollständige Liste der Unterauftragsverarbeiter und Empfänger mit ihrem Standort sowie eine Erklärung zu Übermittlungen in Drittstaaten.
4. Wie lange werden Verkehrsprotokolle aufbewahrt, und auf welcher Grundlage?
Viele Anbieter bewahren Kommunikationsmetadaten aus technischer Trägheit monate- oder jahrelang auf. Es lohnt sich, an den geltenden Rahmen zu erinnern: Das portugiesische Verfassungsgericht hat die Vorschriften, die eine allgemeine Vorratsspeicherung von Verkehrsdaten für ein Jahr verlangten, mit allgemein verbindlicher Wirkung für verfassungswidrig erklärt und einen späteren Versuch einer unterschiedslosen Speicherung für drei Monate erneut für verfassungswidrig erklärt.
Mit anderen Worten: Die längere Aufbewahrung von Metadaten ohne konkreten Zweck ist heute keine Pflicht mehr. Sie ist ein Risiko.
Was Sie verlangen sollten: konkrete Aufbewahrungsfristen je Protokollart und den Zweck, der sie rechtfertigt.
5. Wie werden Anfragen von Behörden behandelt, auch von ausländischen?
Eine öffentliche Einrichtung hat ein besonderes Interesse daran zu wissen, was geschieht, wenn jemand Zugriff auf ihre Daten verlangt, und vor allem, wenn dieser Jemand eine Behörde eines anderen Landes ist.
Was Sie verlangen sollten: eine Beschreibung des internen Verfahrens zur Prüfung von Anfragen sowie eine Erklärung, wie direkte Anfragen von Behörden aus Drittstaaten behandelt werden; diese sollten über die Mechanismen der justiziellen Zusammenarbeit unter Einbeziehung der portugiesischen Behörden laufen. Fragen Sie auch, ob der Anbieter einen Transparenzbericht veröffentlicht.
6. Wie werden Amts- und Berufsgeheimnis geschützt?
Disziplinarverfahren, Gesundheitsdaten, Verschlusssachen, Kommunikation mit Anwälten. Wenn diese Angelegenheiten über Infrastruktur laufen, die der Rechtsordnung eines Drittstaats unterliegt, hängt die Geheimhaltungspflicht nicht mehr allein von der Einrichtung ab.
Was Sie verlangen sollten: eine Erklärung zum Zugriff des Anbieters auf den Inhalt der Kommunikation und zu den Umständen, unter denen ein solcher Zugriff erfolgen kann.
7. Übernimmt der Anbieter die Rolle des Auftragsverarbeiters, und stellt er einen Vertrag zur
Auftragsverarbeitung bereit?
Für die in den Postfächern gespeicherten Daten ist die öffentliche Einrichtung der Verantwortliche und der Anbieter der Auftragsverarbeiter. Das erfordert einen schriftlichen Vertrag mit dem in Artikel 28 der Datenschutz-Grundverordnung festgelegten Inhalt. Ein Anbieter, der keinen solchen Vertrag anbietet, ist nicht in der Lage, mit einer öffentlichen Einrichtung einen Vertrag zu schließen.
Was Sie verlangen sollten: einen Entwurf des Vertrags zur Auftragsverarbeitung mit Anhängen zu Unterauftragsverarbeitern und Sicherheitsmaßnahmen.
8. Was geschieht am Ende des Vertrags?
Die Rückführbarkeit wird beim Vertragsabschluss oft vergessen und bei der Kündigung schmerzhaft.
Was Sie verlangen sollten: Formate und Protokolle für den Datenexport, Aufbewahrungsfrist nach Vertragsende, Zeitrahmen und Methode der Löschung sowie ob Unterstützung beim Übergang zu einem anderen Anbieter geleistet wird.
Eine abschließende Anmerkung dazu, was auf dem Spiel steht
Keine dieser Fragen handelt von Technologie. Sie alle handeln von Verantwortung.
Wer über die Kommunikationsinfrastruktur einer öffentlichen Einrichtung entscheidet, wählt nicht nur einen Dienst. Er bestimmt, welcher Rechtsordnung die Kommunikation zwischen dem Staat und den Bürgern, denen er dient, unterliegen wird. Es ist eine Souveränitätsentscheidung, getroffen in einer Leistungsbeschreibung.
Die gute Nachricht ist, dass nichts davon das Warten auf nationale Pläne erfordert. Es erfordert, acht Fragen zu stellen und auf Grundlage der Antworten zu entscheiden.