{"id":2314,"date":"2026-09-24T12:03:17","date_gmt":"2026-09-24T11:03:17","guid":{"rendered":"https:\/\/sooma.com\/?p=2314"},"modified":"2026-09-24T12:33:14","modified_gmt":"2026-09-24T11:33:14","slug":"acht-fragen-die-eine-oeffentliche-einrichtung-ihrem-e-mail-anbieter-stellen-sollte","status":"publish","type":"post","link":"https:\/\/sooma.com\/de\/oito-perguntas-que-uma-entidade-publica-devia-fazer-ao-seu-fornecedor-de-email\/","title":{"rendered":"Acht Fragen, die eine \u00f6ffentliche Einrichtung ihrem E-Mail-Anbieter stellen sollte"},"content":{"rendered":"

Im Juni 2026 beendete die Entscheidung des Obersten Gerichtshofs der Vereinigten Staaten in der Sache Trump v. Slaughter die Unabh\u00e4ngigkeit der Federal Trade Commission. F\u00fcr die meisten Menschen war das eine Nachricht aus der amerikanischen Politik. F\u00fcr alle, die bei einer portugiesischen \u00f6ffentlichen Einrichtung Informationssysteme verantworten, war es etwas anderes: der Wegfall eines der Bausteine, auf denen das Abkommen beruht, das die \u00dcbermittlung der Daten von Europ\u00e4ern in die Vereinigten Staaten erlaubt.<\/strong><\/em><\/p>\n

Es ist der dritte Schock in zehn Jahren. Safe Harbor fiel 2015, Privacy Shield fiel 2020, und das Abkommen, das sie ersetzte, wird nun angefochten. Keine dieser Episoden ging auf B\u00f6swilligkeit der Verhandler zur\u00fcck. Sie ergaben sich aus einer grundlegenden Unvereinbarkeit zweier Verst\u00e4ndnisse von Souver\u00e4nit\u00e4t, die kein politisches Abkommen aufl\u00f6sen kann.<\/p>\n

Unterdessen handeln unsere europ\u00e4ischen Nachbarn. In Frankreich beh\u00e4lt die Cloud-Doktrin staatliche Systeme mit sensiblen Daten qualifizierter Infrastruktur vor, die gegen au\u00dfereurop\u00e4ische Gesetzgebung immun ist. In Italien wurden \u00f6ffentliche Daten nach Kritikalit\u00e4t klassifiziert und die sensibelsten in qualifizierter nationaler Infrastruktur konzentriert. In Deutschland hat ein Bundesland die E-Mail seiner gesamten Verwaltung, mehr als vierzigtausend Postf\u00e4cher, auf offene L\u00f6sungen migriert. In den Niederlanden hat das Parlament Antr\u00e4ge angenommen, unn\u00f6tige Migrationen der Verwaltung zu amerikanischen Cloud-Anbietern zu stoppen.<\/p>\n

Portugal hat seinen nationalen Plan f\u00fcr eine souver\u00e4ne Cloud verabschiedet, der in den kommenden Jahren umgesetzt werden soll. Das ist die offizielle Anerkennung, dass die derzeitige Abh\u00e4ngigkeit ein Risiko darstellt. Aber eine konkrete Einrichtung, die in den n\u00e4chsten sechs Monaten ein Vergabeverfahren einleiten muss, kann nicht bis zum Ende des Jahrzehnts warten.<\/p>\n

Dies sind die acht Fragen, die vor diesem Verfahren zu stellen sind. Sie erfordern kein technisches Wissen. Sie erfordern klare Antworten.<\/p>\n

1. Welchem Recht unterliegt die Stelle, die den Dienst betreibt, und wer kontrolliert sie?<\/h2>\n

Es ist die Frage, die alle anderen umfasst, und sie wird fast nie gestellt. Verwechseln Sie sie nicht mit dem Standort der Server. Ein in den Vereinigten Staaten gegr\u00fcndetes oder von einem amerikanischen Unternehmen kontrolliertes Unternehmen bleibt amerikanischem Recht unterworfen, wo auch immer es seine Ger\u00e4te aufstellt.<\/p>\n

Der Fall, der das bewiesen hat, war nicht theoretisch. 2013 verlangten die amerikanischen Gerichte von einem Technologieunternehmen die Herausgabe des Inhalts eines E-Mail-Kontos, das in einem Rechenzentrum in Dublin gespeichert war. Das Unternehmen weigerte sich und gewann vor Gericht. 2018 verabschiedete der Kongress ein Gesetz, das die Herausgabe von Daten im Besitz, in der Verwahrung oder unter der Kontrolle dieser Unternehmen vorschreibt, unabh\u00e4ngig vom Land, in dem sie gespeichert sind. Der Fall endete mit der Herausgabe.<\/p>\n

Was Sie verlangen sollten:<\/strong> die Identifizierung der vertragschlie\u00dfenden Stelle, ihres eingetragenen Sitzes, ihrer Eigentums- und Kontrollstruktur und des Rechts, dem sie unterliegt.<\/p>\n

2. Wo befinden sich die Daten physisch, und wer hat Zugang zu den R\u00e4umlichkeiten?<\/h2>\n

Der Standort entscheidet die Frage der Rechtsordnung nicht, ist aber dennoch relevant. Sie m\u00fcssen wissen, in welchem Land die Ger\u00e4te stehen, wer den physischen Raum betreibt und ob dieser Betreiber logischen Zugriff auf die Systeme hat.<\/p>\n

Was Sie verlangen sollten:<\/strong> den Standort der Rechenzentren, die Identifizierung des physischen Hosting-Anbieters und eine ausdr\u00fcckliche Erkl\u00e4rung, ob dieser Anbieter Zugriff auf die Daten hat oder nicht.<\/p>\n

3. Gibt es \u00dcbermittlungen in Drittstaaten, auch nur gelegentliche?<\/h2>\n

Die Frage sollte alles abdecken, nicht nur den Hauptdienst. Analyse des Website-Traffics, Kundensupport-Tools, Zahlungsabwicklung, von externen Servern geladene Schriftarten. Jedes davon kann eine \u00dcbermittlung darstellen.<\/p>\n

Was Sie verlangen sollten:<\/strong> eine vollst\u00e4ndige Liste der Unterauftragsverarbeiter und Empf\u00e4nger mit ihrem Standort sowie eine Erkl\u00e4rung zu \u00dcbermittlungen in Drittstaaten.<\/p>\n

4. Wie lange werden Verkehrsprotokolle aufbewahrt, und auf welcher Grundlage?<\/h2>\n

Viele Anbieter bewahren Kommunikationsmetadaten aus technischer Tr\u00e4gheit monate- oder jahrelang auf. Es lohnt sich, an den geltenden Rahmen zu erinnern: Das portugiesische Verfassungsgericht hat die Vorschriften, die eine allgemeine Vorratsspeicherung von Verkehrsdaten f\u00fcr ein Jahr verlangten, mit allgemein verbindlicher Wirkung f\u00fcr verfassungswidrig erkl\u00e4rt und einen sp\u00e4teren Versuch einer unterschiedslosen Speicherung f\u00fcr drei Monate erneut f\u00fcr verfassungswidrig erkl\u00e4rt.<\/p>\n

Mit anderen Worten: Die l\u00e4ngere Aufbewahrung von Metadaten ohne konkreten Zweck ist heute keine Pflicht mehr. Sie ist ein Risiko.<\/p>\n

Was Sie verlangen sollten:<\/strong> konkrete Aufbewahrungsfristen je Protokollart und den Zweck, der sie rechtfertigt.<\/p>\n

5. Wie werden Anfragen von Beh\u00f6rden behandelt, auch von ausl\u00e4ndischen?<\/h2>\n

Eine \u00f6ffentliche Einrichtung hat ein besonderes Interesse daran zu wissen, was geschieht, wenn jemand Zugriff auf ihre Daten verlangt, und vor allem, wenn dieser Jemand eine Beh\u00f6rde eines anderen Landes ist.<\/p>\n

Was Sie verlangen sollten:<\/strong> eine Beschreibung des internen Verfahrens zur Pr\u00fcfung von Anfragen sowie eine Erkl\u00e4rung, wie direkte Anfragen von Beh\u00f6rden aus Drittstaaten behandelt werden; diese sollten \u00fcber die Mechanismen der justiziellen Zusammenarbeit unter Einbeziehung der portugiesischen Beh\u00f6rden laufen. Fragen Sie auch, ob der Anbieter einen Transparenzbericht ver\u00f6ffentlicht.<\/p>\n

6. Wie werden Amts- und Berufsgeheimnis gesch\u00fctzt?<\/h2>\n

Disziplinarverfahren, Gesundheitsdaten, Verschlusssachen, Kommunikation mit Anw\u00e4lten. Wenn diese Angelegenheiten \u00fcber Infrastruktur laufen, die der Rechtsordnung eines Drittstaats unterliegt, h\u00e4ngt die Geheimhaltungspflicht nicht mehr allein von der Einrichtung ab.<\/p>\n

Was Sie verlangen sollten:<\/strong> eine Erkl\u00e4rung zum Zugriff des Anbieters auf den Inhalt der Kommunikation und zu den Umst\u00e4nden, unter denen ein solcher Zugriff erfolgen kann.<\/p>\n

7. \u00dcbernimmt der Anbieter die Rolle des Auftragsverarbeiters, und stellt er einen Vertrag zur<\/h2>\n

Auftragsverarbeitung bereit?<\/p>\n

F\u00fcr die in den Postf\u00e4chern gespeicherten Daten ist die \u00f6ffentliche Einrichtung der Verantwortliche und der Anbieter der Auftragsverarbeiter. Das erfordert einen schriftlichen Vertrag mit dem in Artikel 28 der Datenschutz-Grundverordnung festgelegten Inhalt. Ein Anbieter, der keinen solchen Vertrag anbietet, ist nicht in der Lage, mit einer \u00f6ffentlichen Einrichtung einen Vertrag zu schlie\u00dfen.<\/p>\n

Was Sie verlangen sollten:<\/strong> einen Entwurf des Vertrags zur Auftragsverarbeitung mit Anh\u00e4ngen zu Unterauftragsverarbeitern und Sicherheitsma\u00dfnahmen.<\/p>\n

8. Was geschieht am Ende des Vertrags?<\/h2>\n

Die R\u00fcckf\u00fchrbarkeit wird beim Vertragsabschluss oft vergessen und bei der K\u00fcndigung schmerzhaft.<\/p>\n

Was Sie verlangen sollten:<\/strong> Formate und Protokolle f\u00fcr den Datenexport, Aufbewahrungsfrist nach Vertragsende, Zeitrahmen und Methode der L\u00f6schung sowie ob Unterst\u00fctzung beim \u00dcbergang zu einem anderen Anbieter geleistet wird.<\/p>\n

Eine abschlie\u00dfende Anmerkung dazu, was auf dem Spiel steht<\/h2>\n

Keine dieser Fragen handelt von Technologie. Sie alle handeln von Verantwortung.<\/p>\n

Wer \u00fcber die Kommunikationsinfrastruktur einer \u00f6ffentlichen Einrichtung entscheidet, w\u00e4hlt nicht nur einen Dienst. Er bestimmt, welcher Rechtsordnung die Kommunikation zwischen dem Staat und den B\u00fcrgern, denen er dient, unterliegen wird. Es ist eine Souver\u00e4nit\u00e4tsentscheidung, getroffen in einer Leistungsbeschreibung.<\/p>\n

 <\/p>\n

Die gute Nachricht ist, dass nichts davon das Warten auf nationale Pl\u00e4ne erfordert. Es erfordert, acht Fragen zu stellen und auf Grundlage der Antworten zu entscheiden.<\/strong><\/em><\/p>","protected":false},"excerpt":{"rendered":"

Eine Checkliste zur digitalen Souver\u00e4nit\u00e4t, f\u00fcr das n\u00e4chste Vergabeverfahren.<\/p>","protected":false},"author":5,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"8 perguntas a fazer ao fornecedor de email p\u00fablico | Sooma","_seopress_titles_desc":"Uma checklist de soberania digital para entidades p\u00fablicas, com oito perguntas a fazer ao fornecedor de email antes do pr\u00f3ximo procedimento.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"8 perguntas a fazer ao fornecedor de email p\u00fablico | Sooma","_seopress_social_fb_desc":"Uma checklist de soberania digital para entidades p\u00fablicas, com oito perguntas a fazer ao fornecedor de email antes do pr\u00f3ximo procedimento.","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"8 perguntas a fazer ao fornecedor de email p\u00fablico | Sooma","_seopress_social_twitter_desc":"Uma checklist de soberania digital para entidades p\u00fablicas, com oito perguntas a fazer ao fornecedor de email antes do pr\u00f3ximo procedimento.","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","_seopress_news_disabled":"","_seopress_video_disabled":"","_seopress_video":[],"_seopress_pro_schemas_manual":[],"_seopress_pro_rich_snippets_disable_all":"","_seopress_pro_rich_snippets_disable":[],"_seopress_pro_schemas":[],"footnotes":""},"categories":[35],"tags":[],"class_list":["post-2314","post","type-post","status-publish","format-standard","hentry","category-sector-publico"],"_links":{"self":[{"href":"https:\/\/sooma.com\/de\/wp-json\/wp\/v2\/posts\/2314","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/sooma.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/sooma.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/sooma.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/sooma.com\/de\/wp-json\/wp\/v2\/comments?post=2314"}],"version-history":[{"count":0,"href":"https:\/\/sooma.com\/de\/wp-json\/wp\/v2\/posts\/2314\/revisions"}],"wp:attachment":[{"href":"https:\/\/sooma.com\/de\/wp-json\/wp\/v2\/media?parent=2314"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/sooma.com\/de\/wp-json\/wp\/v2\/categories?post=2314"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/sooma.com\/de\/wp-json\/wp\/v2\/tags?post=2314"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}