Domäne · D1

Juristische Verortung

„Wer kontrolliert den Anbieter rechtlich — und welcher Jurisdiktion ist er unterworfen?"

1. Strategische Bedeutung§

Die juristische Verortung ist die erste Bewertungsebene, weil sie alle anderen Domänen vorbestimmt. Wer den Anbieter kontrolliert und welcher Jurisdiktion er unterliegt, bestimmt, welche operativen Hebel überhaupt vom Kunden gesteuert werden können — unabhängig von technischer Reife.

Eigentum, Beherrschungsverhältnisse und extraterritoriale Gesetzeszugriffe bestimmen, ob ein Dienst im Konfliktfall steuerbar bleibt. Diese Fragen sind nicht primär technischer Natur — sie sind rechtlich-strukturell und entscheiden über die Tragfähigkeit jeder weiteren Sicherheitskontrolle.

D1 ist daher zwingend Voraussetzung für jede sinnvolle Bewertung von D2 bis D6. Ohne dokumentierte Eigentümer- und Jurisdiktionsstruktur sind alle weiteren Aussagen über Infrastruktur, Datenhoheit, Lieferkette, Resilienz oder Governance spekulativ.

2. Kernkriterien§

Eigentümerstruktur und Ultimate Beneficial Owner
Lückenlose Kette vom operativen Anbieter bis zur natürlichen Person bzw. zum staatlichen Eigentümer. Stille Beteiligungen, Treuhandkonstruktionen und mehrstufige Holdings sind offenzulegen.
Jurisdiktion und extraterritoriale Verpflichtungen
Rechtssitz, Konzernzugehörigkeit und Anwendbarkeit fremder Gesetze (u. a. US CLOUD Act, FISA 702, chinesisches Cybersicherheitsrecht) sind zu benennen und in ihrer Wirkung darzulegen.
Beherrschungsverhältnisse im Mutterkonzern
Stimmrechte, Vetorechte und Konzernweisungsrechte, soweit sie operative Entscheidungen des Anbieters überlagern können.
Vertragliche Datenzugriffsregeln
Vertraglich festgeschriebene Regeln zu Zugriff durch den Anbieter, durch Subunternehmer und durch staatliche Stellen — inklusive Benachrichtigungspflichten und gerichtlicher Anfechtbarkeit.

3. Prüffragen (Auszug)§

Wer ist Ultimate Beneficial Owner des Anbieters und seiner Muttergesellschaft?
Welcher Jurisdiktion unterliegt der Anbieter — und welche extraterritorialen Gesetze sind anwendbar?
Welche vertraglichen Eskalationswege bestehen bei behördlichen Datenanfragen aus Drittstaaten?
Existiert eine schriftliche Verpflichtung, Anfragen außereuropäischer Behörden vor Beantwortung dem Kunden mitzuteilen?
Welche Stimm-, Veto- oder Weisungsrechte hat die Muttergesellschaft gegenüber dem operativen Anbieter?
Welche Personen in welcher Jurisdiktion sind berechtigt, den Dienst abzuschalten oder zu übertragen?

4. Akzeptierte Evidenz§

Beglaubigte Auszüge aus Handels- und Transparenzregistern (Anbieter und alle relevanten Konzernebenen)
Vertragliche Datenzugriffs- und Eskalationsregelungen im Original
Schriftliche Stellungnahmen zu extraterritorialen Gesetzeszugriffen (z. B. CLOUD-Act-Bewertung)
Konzernrichtlinien zu Datenherausgabe

5. Level-Schwellen in dieser Domäne§

Level	Mindestanforderung in D1
L0	EU-Rechtssitz nachgewiesen, Jurisdiktion benannt; Eigentümerstruktur grob dokumentiert.
L2	Vollständige Dokumentation der Eigentümer- und Jurisdiktionsstruktur; unabhängig prüfbar.
L3	Vertraglich abgesicherte Datenzugriffsregeln nach EU-Recht; Benachrichtigungs- und Anfechtungsrechte; CLOUD-Act-Exposition geprüft.
L4	Strukturell minimierte Exposition gegenüber außereuropäischen Jurisdiktionen über die gesamte Konzernkette; extraterritoriale Zugriffsrechte vertraglich und organisatorisch weitestmöglich begrenzt.

6. Anschluss an bestehende Standards§

Standard	Was abgedeckt ist	Wo EDSO darüber hinausgeht
ISO/IEC 27001	Annex A.5.19 Lieferantenbeziehungen — formal abgedeckt	Eigentums- und Jurisdiktionsanalyse nicht gefordert
SOC 2 Type II	Keine substantielle Abdeckung	EDSO ergänzt vollständig
BSI C5	Rechtliche Aspekte rudimentär adressiert	Strukturelle Beherrschungsanalyse fehlt

7. Typische Audit-Befunde§

Mutterkonzern mit verbindlichem Weisungsrecht, das den EU-Sitz des operativen Anbieters faktisch aushebelt
Vertragliche „Best Effort"-Klauseln statt verbindlicher Benachrichtigungspflicht bei Drittstaatenanfragen
Eigentümerkette endet bei Holding ohne offengelegten UBO