Rechtliche & organisatorische Transparenz

Rechtliche und organisatorische Transparenz ist die erste Bewertungsebene, weil sie alle anderen Domänen vorbestimmt. Wer den Anbieter kontrolliert und welcher Jurisdiktion er unterliegt, bestimmt, welche operativen Hebel überhaupt vom Kunden gesteuert werden können — unabhängig von technischer Reife.

Eigentum, Beherrschungsverhältnisse und extraterritoriale Gesetzeszugriffe bestimmen, ob ein Dienst im Konfliktfall steuerbar bleibt. Diese Fragen sind nicht primär technischer Natur — sie sind rechtlich-strukturell und entscheiden über die Tragfähigkeit jeder weiteren Sicherheitskontrolle.

D1 ist daher zwingend Voraussetzung für jede sinnvolle Bewertung von D2 bis D4. Ohne dokumentierte Eigentümer- und Jurisdiktionsstruktur sind alle weiteren Aussagen über Datenkontrolle, Wechselfähigkeit oder Lieferkette spekulativ.

• Eigentümerstruktur und Ultimate Beneficial Owner

  Lückenlose Kette vom operativen Anbieter bis zur natürlichen Person bzw. zum staatlichen Eigentümer. Stille Beteiligungen, Treuhandkonstruktionen und mehrstufige Holdings sind offenzulegen.

• Jurisdiktion und extraterritoriale Verpflichtungen

  Rechtssitz, Konzernzugehörigkeit und Anwendbarkeit fremder Gesetze (u. a. US CLOUD Act, FISA 702, chinesisches Cybersicherheitsrecht) sind zu benennen und in ihrer Wirkung darzulegen.

• Subunternehmerkette

  Vollständige Kette aller Subunternehmer mit Rolle, Standort und Jurisdiktion. Stille Sub-Auftragsverhältnisse sind unzulässig.

• Governance- und Eskalationsstruktur

  Entscheidungswege im Anbieter inklusive Eskalation in den Mutterkonzern. Wer entscheidet im Konfliktfall über Datenherausgabe, Dienstabschaltung oder Vertragsbruch?

• Vertragliche Datenzugriffsregeln

  Vertraglich festgeschriebene Regeln zu Zugriff durch den Anbieter, durch Subunternehmer und durch staatliche Stellen — inklusive Benachrichtigungspflichten und gerichtlicher Anfechtbarkeit.

• Beherrschungsverhältnisse im Mutterkonzern

  Stimmrechte, Vetorechte und Konzernweisungsrechte, soweit sie operative Entscheidungen des Anbieters überlagern können.

1. Wer ist Ultimate Beneficial Owner des Anbieters und seiner Muttergesellschaft?
2. Welcher Jurisdiktion unterliegt der Anbieter — und welche extraterritorialen Gesetze sind anwendbar?
3. Liegt für jeden Subunternehmer ein dokumentierter Auftragsverarbeitungsvertrag inklusive Standort vor?
4. Welche vertraglichen Eskalationswege bestehen bei behördlichen Datenanfragen aus Drittstaaten?
5. Existiert eine schriftliche Verpflichtung, Anfragen außereuropäischer Behörden vor Beantwortung dem Kunden mitzuteilen?
6. Welche Stimm-, Veto- oder Weisungsrechte hat die Muttergesellschaft gegenüber dem operativen Anbieter?
7. Welche internen Regelungen existieren für Konflikte zwischen EU-Recht und Drittstaatenrecht?
8. Welche Personen in welcher Jurisdiktion sind berechtigt, den Dienst abzuschalten oder zu übertragen?

• Beglaubigte Auszüge aus Handels- und Transparenzregistern (Anbieter und alle relevanten Konzernebenen)
• Vertragliche Datenzugriffs- und Eskalationsregelungen im Original
• Auftragsverarbeitungsverträge mit allen Subunternehmern
• Schriftliche Stellungnahmen zu extraterritorialen Gesetzeszugriffen (z. B. CLOUD-Act-Bewertung)
• Governance-Dokumentation, Geschäftsordnung, Konzernrichtlinien zu Datenherausgabe

• Subunternehmer in Drittstaaten ohne dokumentierten Auftragsverarbeitungsvertrag
• Mutterkonzern mit verbindlichem Weisungsrecht, das den EU-Sitz des operativen Anbieters faktisch aushebelt
• Vertragliche „Best Effort"-Klauseln statt verbindlicher Benachrichtigungspflicht bei Drittstaatenanfragen
• Eigentümerkette endet bei Holding ohne offengelegten UBO

• Übersicht aller vier Domänen
• Aggregationsprinzip
• Level-System L0–L3
• Verhältnis zu anderen Standards