Lösung · Souveräne Cloud (Souverän)
Delos Cloud (öffentliche Verwaltung)
Anbieter: Delos Cloud GmbH (SAP)computerwoche.de
Lehrfall Sovereign-Label ungleich Souveränität: Betrieb in Deutschland durch Arvato Systems mit sicherheitsüberprüftem Personal, Technologiebasis aber Azure; KI über OpenAI for Germany (US-Modelle). Primär öffentliche Verwaltung.
Label-Vorsicht · Azure-basiert · Public-Sector
Souveränitäts-Profil
Recht (r)
2
Technik (t)
2
Autonomie (a)
0
Warum nicht höher als Stufe 2: Der Anbieter verarbeitet Daten technisch im Klartext · kein Schutz gegen technischen Abfluss. Für Stufe 3 wäre On-Prem / Confidential Computing nötig.
Datenblatt
- Jurisdiktion
- EU
- Betriebsmodell
- Souveräne Cloud auf Microsoft Azure (DE)
- AVV verfügbar
- ja
- Training auf Kundendaten
- nein
- Offene Gewichte
- nein
- Selbst betreibbar
- nein
- Zuletzt geprüft
- 2026-08-01
Wofür sie taugt
Für Behörden und öffentliche Einrichtungen, die Microsoft-Dienste in einer auf die deutsche Verwaltung zugeschnittenen Umgebung nutzen wollen. Betrieben wird die Plattform von Arvato Systems mit sicherheitsüberprüftem deutschem Personal, Microsoft liefert die Technologie.
Grenzen
Der Lehrfall dafür, dass ein Souveränitäts-Label und Souveränität zwei verschiedene Dinge sind. Belegt sind die Datenhaltung in Deutschland (eine der zentralen BSI-Anforderungen) und der Betrieb durch eine deutsche Gesellschaft. Die technologische Basis bleibt Microsoft Azure, und das KI-Angebot beruht auf OpenAI-Modellen („OpenAI for Germany", Start laut SAP für 2026).
Wie weit der Technologielieferant im laufenden Betrieb tatsächlich außen vor bleibt, lässt sich aus den öffentlichen Quellen nicht im Einzelnen belegen. Wir stützen uns hier auf Mitteilungen der beteiligten Unternehmen, nicht auf ein unabhängiges Testat. Das Angebot richtet sich zudem an die öffentliche Verwaltung und steht Unternehmen in der Regel nicht offen.
Restrisiken
- Daten werden beim Anbieter verarbeitet (Klartext) · kein technischer Schutz gegen Abfluss.
- Proprietär ohne Eigenbetrieb: erhöhte Abhängigkeit / Lock-in, eingeschränkte Exit-Optionen.
Pflichten beim Einsatz
- Auftragsverarbeitungsvertrag (Art. 28 DSGVO) abschließen; ggf. Datenschutz-Folgenabschätzung (Art. 35); Verarbeitung in EU-Region.
- EU-Eigentum und EU-Betrieb des Anbieters verifizieren (keine Beherrschung durch eine US-Mutter).
- KI-VO-Pflichten (Hochrisiko nach Annex III, Transparenz nach Art. 50) hängen vom Anwendungsfall ab · separat prüfen.
- Gilt immer: KI-Kompetenz sicherstellen (Art. 4 KI-VO, seit 2.2.2025) · Mitarbeitende schulen, Nutzungsregeln festlegen, beides dokumentieren.
Quellen2
- Microsoft News: Delos Cloud, Microsoft und Arvato Systems schließen finale Verträge presse · abgerufen 2026-08-01 · belegt: jurisdiktion
- SAP News: Partnerschaft für Sovereign OpenAI in Deutschland presse · abgerufen 2026-08-01
Prüfhistorie
- 2026-08-01 Presse-Kürzel computerwoche.de durch Mitteilungen der beteiligten Unternehmen ersetzt. Formulierung „kein MS-Zugriff" zurückgenommen: belegt sind Betrieb durch deutsches, sicherheitsüberprüftes Personal und Datenhaltung in Deutschland, ein Zugriffsausschluss steht in keiner erreichbaren Quelle. (news.microsoft.com, news.sap.com)
Nächster Schritt
Ob Stufe 2 für Ihr Vorhaben genügt, hängt von Ihren Daten, der Rechtslage und dem Einsatzzweck ab. Die Peilung ermittelt Ihre Mindeststufe in vier Schritten (KI-VO, Daten, Branche, Unabhängigkeit) und zeigt anschließend alle Lösungen, die sie erfüllen. Im Erstgespräch klären wir, welcher Weg zu Ihrem Anwendungsfall passt.