Cloud Governance · Jurisdiktions-Achse für den DACH-Mittelstand
Cloud-Compliance für den Mittelstand — Baukasten statt Standard-Stempel. Bei KI souverän by design.
Der US CLOUD Act gibt amerikanischen Behörden Zugriff auf alle Daten von US-Cloud-Anbietern — auch in deutschen Rechenzentren. Wir machen es anders: deutscher Vertragsrahmen, deutsche Cloud, bei KI architektonisch garantierte Souveränität.
Wir bauen Cloud-Compliance auf Basis Ihrer Regulatorik — DSGVO, NIS2, BSI-Grundschutz, AI Act. Vertragspartner ist immer die GLJ Tech GmbH mit Sitz in Deutschland. STACKIT und IONOS als deutsche Cloud-Partner. Ein deutscher Gerichtsstand, kein Konzern-Filz dazwischen. Bei KI-Mandaten zusätzlich: Souveränität ist in der Architektur eingebaut, nicht in einer Vertragsklausel versprochen.
CLOUD Act und Schrems II · Compliance-Relevanz
Es reicht nicht, dass das Rechenzentrum in Frankfurt steht.
Der US CLOUD Act von 2018 erlaubt amerikanischen Behörden den Zugriff auf alle Daten von US-Anbietern — weltweit. Das gilt auch, wenn das Rechenzentrum in Deutschland steht. Schrems II hat 2020 bestätigt: eine Vertragsklausel schützt davor nicht. Trotzdem laufen rund 70 Prozent der europäischen Cloud-Workloads auf US-Hyperscalern. Bei KI sind es über 90 Prozent.
Was Projekte mit Compliance-Relevanz oft scheitern lässt:
- US-Anbieter trotz DSGVO-Klausel — der CLOUD Act schert sich nicht um Ihren Vertrag
- „Private AI" als Vertragsversprechen statt Architektur — bei Verstoß bleibt nur der Streit
- Datenausfuhr über Third-Party-Cookies, Telemetrie, Modell-Telemetrie — meistens übersehen
- Compliance-Stempel ohne Audit-Beweis — schön für die Folie, schwach im Ernstfall
- Sub-Auftragsverarbeiter-Ketten ohne klare Übersicht — wer hat wirklich Zugriff auf was?
- KI-Pilot ohne AI-Act-Vorbereitung — Risiko-Klassifizierung, Protokollierung und Test-Setup vergessen
Das ist keine Vertragsfrage. Das ist eine Architekturfrage. Und genau das unterschätzen die meisten Cloud-Vorhaben, bis der erste Audit kommt.
Architektur-Differenzierung
Vier Säulen — Cloud-Compliance, die im Audit hält.
Vier strategische Entscheidungen, die uns von Hyperscaler-Beratungen und Inhouse-Compliance-Projekten unterscheiden — und Ihre Cloud-Lösung im Audit halten lassen.
Säule 1 — Deutscher Vertragspartner, deutscher Gerichtsstand
Vertragspartner ist immer die GLJ Tech GmbH mit Sitz in Deutschland. Eine Rechnung, ein Ansprechpartner, ein deutscher Gerichtsstand — auch bei kombinierten Liefer-Modellen über Nearshore oder Offshore. Kein US-Konzern dazwischen, kein internationaler Streitfall, keine Übersetzungs-Schleifen, wenn es ernst wird.
Säule 2 — Deutsche Cloud-Anbieter statt US-Hyperscaler
Wir bauen auf STACKIT und IONOS — beides deutsche Cloud-Anbieter mit Rechenzentren in Deutschland und deutschem Vertragsrahmen. Kein CLOUD Act, keine Schrems-II-Probleme, keine Telemetrie-Sicherheitslücke. Das ist nicht „ein bisschen sicherer" — das ist die andere Rechts-Jurisdiktion.
Säule 3 — Bei KI architektonisch garantiert, nicht vertraglich versprochen
„Private AI" sagt: „Ihre Daten gehen nicht ins Modell-Training, hier ist der Vertrag." Wenn der Anbieter sich nicht hält, haben Sie einen Vertragsstreit — Ihre Daten waren trotzdem auf US-Infrastruktur. Wir machen es anders: Welches Modell läuft, wo es rechnet, wo die Daten fließen, wann sich was ändert — alles unter Ihrer Kontrolle. Die Infrastruktur lässt es nicht anders zu. Das ist Kontrolle, nicht Vertrauen.
Säule 4 — Branchen-Regulatorik eingebaut, nicht nachgerüstet
DSGVO-Auftragsverarbeitung, NIS2-Mapping und BSI-Grundschutz-konforme Onboarding-Prozesse sind unser Standard, nicht eine Ausnahme. Branchen-spezifisch kommen BNetzA für Energie und Stadtwerke, TSI für Bahn, BAAINBw mit ÜSP-erfahrenen Profilen für Defence, und der AI Act für KI-Mandate dazu. Wir mappen pro Mandat, was greift — keine juristische Improvisation, wenn der Audit terminiert ist.
nicht immer KI, aber immer Compliance · zwei Welten
Nicht jede Lösung braucht KI. Aber jede Lösung braucht Compliance.
Cloud-Compliance ist nicht erst seit KI ein Thema. Wir liefern beide Welten aus derselben Substanz — klassische Cloud-Workloads mit Standard-Regulatorik, KI-Mandate mit zusätzlicher Souveränitäts-Architektur. Konkret, nicht abstrakt.
Klassische Cloud-Workloads:
- ERP-Migration in die Cloud unter DSGVO — Sub-Auftragsverarbeiter-Mapping, Auftragsverarbeitungs-Verträge, Übergabe an Ihren Datenschutzbeauftragten.
- BI- und Data-Lake-Plattform unter NIS2 für Stadtwerke und EVU — sektor-spezifisches Mapping, Audit-fähige Berechtigungs-Strukturen, BNetzA-Substanz inklusive.
- Identity-Migration unter BSI-Grundschutz — von On-Premise-IAM zu Cloud-Identity ohne Compliance-Lücke, mit BSI-Grundschutz-konformem Onboarding aller beteiligten Profile.
- Bestandssystem-Modernisierung im öffentlichen Sektor mit BSI-IT-Grundschutz und optional DE-only-Lieferung — wenn der alte Stack neu zertifiziert werden muss, ohne Stillstand im Tagesgeschäft.
KI-Mandate mit Souveränitäts-Anforderung:
- Wissens-Assistent auf eigenen Dokumenten — die Dokumente verlassen Deutschland nicht, Protokollierung pro Anfrage steht, AI Act eingebaut.
- KI-gestützte Dokumenten-Prüfung im AI-Act-Anwendungsbereich — Risiko-Klassifizierung sauber dokumentiert, Test-Setup vor Produktiv-Stellung, Audit-Trail prüfbar.
- Agent-System mit menschlicher Freigabe in regulierter Branche — der Agent schlägt vor, der Mensch entscheidet, alles ist nachvollziehbar protokolliert.
Was bewusst NICHT geht:
- Compliance-Garantie als Pauschal-Stempel — Compliance ist Mandats-Konfiguration, kein Siegel
- US-Cloud souverän machen über Vertragsklauseln — geht architektonisch nicht
- Sovereign-by-design mit Frontier-Modellgüte gleichzeitig — Trade-off, nicht Wundertüte
Wer Compliance auf der Folie verspricht, ist im Verkaufsmodus. Wer Compliance im Audit liefert, hat Architektur. Wir liefern Architektur — für Klassik und KI"
Was wir konkret einsetzen
Was hinter unseren Lösungen steht
Wir benennen die wichtigsten Komponenten direkt. Wer technisch tiefer einsteigen möchte, findet hier die Grundlagen — die volle Compliance-Tiefe und das mandatsspezifische Mapping klären wir im Erstgespräch.
Deutsche Cloud-Infrastruktur
STACKIT (Schwarz-Gruppe) und IONOS — beide mit Rechenzentren in Deutschland, deutschem Vertragsrahmen und ohne CLOUD-Act-Exposition. Die volle Cloud-Substanz (Compute, Storage, Datenbanken, AI Model Serving) auf deutscher Jurisdiktion.
Vertragsformen
Werkvertrag bei klassischer Implementierungs-Verantwortung, Dienstvertrag bei Begleitung im Tagesgeschäft, Freelancer-Konstrukt bei kurzen Spezialisten-Einsätzen. Vertragspartner ist immer die GLJ Tech GmbH.
Liefer-Modelle
Deutschland für datenführende Komponenten und Senior-Steuerung. EU-Nearshore (Polen, Rumänien, Ungarn, Bulgarien) für skalierbare Implementierungs-Tiefe in gleicher Zeitzone. Offshore (Brasilien, Indien) für volumenstarke, nicht-datenführende Arbeitspakete. Was wo passieren darf, mappen wir pro Mandat.
Standard-Compliance
DSGVO-Auftragsverarbeitung als Vertragselement, NIS2-Mapping nach Sektor, BSI-Grundschutz-konforme Onboarding-Prozesse für jeden Profil-Einsatz.
Bei KI zusätzlich
Open-Source-Modelle (zum Beispiel Llama oder Mistral) auf STACKIT AI Model Serving oder IONOS AI Model Hub. Protokollierung jeder Anfrage und Antwort als AI-Act-Vorbereitung. Test-Setup als Verlässlichkeits-Nachweis vor Produktiv-Stellung. Keine Black-Box-Modelle, keine US-Endpoints, keine Modell-Drift ohne Ihre Freigabe.
Detailliertes Compliance-Mapping und mandatsspezifische Architektur klären wir im Erstgespräch — passend zu Ihrer Branche, Ihrer Regulatorik und Ihrer Daten-Sensitivität.
Gegen „Wir haben doch eine DSGVO-Klausel"
„Private AI" verspricht Souveränität per Klausel. Wir garantieren sie per Architektur.
Wir sprechen oft mit Mittelständlern, die ihre Cloud-Compliance auf Vertragsklauseln aufbauen — DSGVO-Klausel, Auftragsverarbeitungs-Vertrag, Sub-Klausel zur Datennutzung. Wir verstehen den Reflex und sagen trotzdem: das reicht nicht. Architektur schlägt Klausel — jedes Mal, wenn es ernst wird.
1. Der CLOUD Act schert sich nicht um Ihre Klausel
Wenn der Cloud-Anbieter ein US-Unternehmen ist, hat US-Recht Zugriff — auch in deutschen Rechenzentren. Schrems II hat das 2020 bestätigt. Eine DSGVO-Klausel ändert daran nichts. Die Daten waren trotzdem zugänglich, die Klage kommt später. Architektur in deutscher Jurisdiktion ändert das.
2. „Private AI" ist Vertrauensrisiko, nicht Kontrolle
„Ihre Daten gehen nicht ins Training, hier ist der Vertrag." Wenn der Anbieter sich nicht hält, haben Sie einen Vertragsstreit. Vielleicht recht. Aber Ihre Daten waren trotzdem auf US-Infrastruktur. Wir bauen so, dass es architektonisch nicht anders geht — wenn der Anbieter wollte, könnte er nicht.
3. Audit-Beweis statt Vertragsversprechen
„Wir sind DSGVO-konform" ist eine Behauptung. „Hier ist die Datenflusskarte, hier sind die Audit-Logs, hier ist die Sub-Auftragsverarbeiter-Liste" ist ein Beweis. Wir liefern das Zweite — auf jeder einzelnen Komponente prüfbar.
4. Souveränität ist Trade-off, nicht Versprechen
Sovereign garantiert Kontrolle — nicht Frontier-Modellgüte. Open-Source-Modelle liegen heute unter GPT-4 oder Claude. Für rund 90 Prozent der Mittelstands-Anwendungsfälle reicht das vollständig. Wer das letzte Prozent Frontier braucht, opfert Souveränität teilweise. Bewusste Entscheidung, transparente Kosten — keine Wundertüte.
5. Aus einer Hand statt Vertrag plus Verantwortung
Compliance-Beratung, Architektur, Profile, Cloud — wir orchestrieren das Ganze. Sie haben einen deutschen Ansprechpartner statt drei Verträge mit drei Verantwortlichkeiten. Wenn Sie es selbst zusammensetzen, bezahlen Sie die Übersetzungs-Schleifen — und die Schwachstellen liegen genau in den Übergaben.
Verbands-Engagement für den Mittelstand
InnoShore ist Mitglied in zwei Verbänden, die unsere strategische Ausrichtung tragen.
Bundesverband IT-Mittelstand (BITMi): Wir vertreten im BITMi die Interessen mittelständischer IT-Dienstleister und bringen unsere Praxis-Substanz in den Verbandsdiskurs ein — vor allem dort, wo das Thema bei Mittelständlern gerade am dünnsten ist: souveräne KI- und Cloud-Architektur.
KI Bundesverband: Wir gestalten die Diskussion zu Sovereign AI, EU AI Act und EU-Cloud-Souveränität aktiv mit, statt sie nur zu konsumieren.
Drei Achsen, eine Story
Cloud-Governance ist das Fundament — zwei weitere Achsen klären Fähigkeit und Organisation.
Compliance und Souveränität sind die Grundlage. Wer KI im Unternehmen produktiv nutzen will, braucht zusätzlich zwei weitere Achsen-Entscheidungen.
KI-Agenten (Fähigkeitsachse)
Wollen Sie KI, die antwortet — oder die handelt? Wissens-Assistenten und KI-Agenten sind zwei Klassen auf einer Fähigkeitsachse. Beide brauchen das Enterprise-Fundament dieses Bereichs.
Enterprise AI (Organisations-Achse)
Wie wird aus dem KI-Pilot ein produktiver Betrieb mit P&L-Effekt? Integration in Bestandssysteme, Governance, Skalierung — das ist die Organisations-Frage. Weniger als 5 Prozent der KI-Pilotprojekte erreichen den produktiven Betrieb. Wir bauen die anderen 95 Prozent.
Personaldienstleister mit
KI-Bedarf
Sie liefern Cloud- oder KI-Spezialisten an Ihre Endkunden und brauchen Sourcing-Partnerschaft mit verlässlicher Compliance-Substanz.
Direkter Endkunde im Mittelstand
Sie verantworten Cloud-Compliance oder einen KI-Piloten mit Souveränitäts-Anforderung — in Industrie, Energie, Bahn, Public Sector, Pharma oder Defence.
IT-Consulting-Haus mit KI-Mandat
Sie haben das Cloud- oder KI-Mandat akquiriert und brauchen Senior-Profile mit Compliance-Tiefe und deutschem Vertragsrahmen.
Häufige Fragen zur Jurisdiktions-Achse
Was uns oft gefragt wird.
FAQ 1: Brauche ich Sovereign AI überhaupt, wenn ich keine KI im Einsatz habe?
Nein. Für klassische Cloud-Workloads sind DSGVO, NIS2, BSI-Grundschutz und die branchen-spezifische Regulatorik der relevante Rahmen. Die vier Sovereign-AI-Kontroll-Dimensionen werden erst relevant, wenn KI dazukommt. Wir bauen genau das, was Ihr Mandat braucht — nicht mehr.
FAQ 2: Was unterscheidet Sovereign AI von „Private AI"?
„Private AI" verspricht Souveränität per Vertragsklausel. Wenn der Anbieter sich nicht hält, haben Sie einen Streit. Sovereign AI garantiert Souveränität per Architektur — Modell, Rechenort, Datenpfad und Update-Takt unter Ihrer Kontrolle. Wenn der Anbieter wollte, könnte er nicht. Das ist Kontrolle statt Vertrauen.
FAQ 3: Bedeutet Sovereign AI schlechtere Modellgüte?
Sovereign garantiert Kontrolle, nicht Frontier-Fähigkeit. Open-Source-Modelle liegen heute unter GPT-4 oder Claude. Für rund 90 Prozent der Mittelstands-Anwendungsfälle reicht das vollständig. Wer Frontier braucht, opfert Souveränität teilweise — bewusste Entscheidung pro Mandat.
FAQ 4: Was ist mit dem CLOUD Act bei US-Anbietern?
Der US CLOUD Act gibt amerikanischen Behörden Zugriff auf alle Daten von US-Unternehmen — weltweit, auch in deutschen Rechenzentren. Eine DSGVO-Klausel ändert daran nichts. Wir lösen das nicht juristisch, sondern architektonisch: deutsche Cloud-Anbieter mit deutschem Vertragsrahmen.
FAQ 5: Welche Daten verlassen Deutschland?
Bei Sovereign-Mandaten keine. Alle datenführenden Komponenten — Wissensbasis, Dokumente, Protokolle — liegen in Deutschland auf STACKIT- oder IONOS-Infrastruktur. Bei klassischen Cloud-Mandaten konfigurieren wir den Datenpfad pro Anwendungsfall.
FAQ 6: Wer ist mein Vertragspartner?
Immer die GLJ Tech GmbH mit Sitz in Deutschland. Auch bei kombinierten Liefer-Modellen über EU-Nearshore oder Offshore ist der Vertragsrahmen deutsch. Eine Rechnung, ein Ansprechpartner, ein Gerichtsstand.
FAQ 7: Was machen die Offshore-Center genau?
Bei Sovereign-Mandaten ausschließlich nicht-datenführende Arbeitspakete: Frontend, generische Komponenten, Infrastruktur-Vorlagen. Kein Zugriff auf datenführende Systeme oder personenbezogene Daten. Wir trennen sauber — wer das verwischt, verkauft Souveränität, die im ersten Audit zerfällt.
FAQ 8: Wie funktioniert das Compliance-Setup bei KI-Mandaten?
Der AI Act ist Pflicht. Protokollierung jeder Anfrage und Antwort, Risiko-Klassifizierung des Anwendungsfalls und ein Test-Setup als Verlässlichkeits-Nachweis sind eingebaut, nicht nachträglich aufgesetzt. Verzahnt mit der Organisations-Achse: Enterprise AI.
FAQ 9: Können Sie Compliance garantieren?
Nein. Compliance ist eine Mandats-Konfiguration, kein Pauschal-Stempel. Wir liefern Architektur, Substanz-Belege und Senior-Steuerung — die formale Compliance-Verantwortung bleibt beim Auftraggeber. Was wir garantieren: dass die Konfiguration sauber zu Ihrer Regulatorik passt.
FAQ 10: Wie sind die Tagessätze positioniert?
Mittelständische Tagessätze. Konkrete Sätze werden im Erstgespräch transparent kommuniziert — abhängig von Mandats-Tiefe, Senior-Setup und Liefer-Modell.
Erstgespräch oder Compliance-Mapping
Sondieren Sie Ihre Cloud-Compliance — oder fragen Sie ein Compliance-Mapping an.
Wenn Sie strategisch über Cloud-Compliance reden wollen — Vier-Säulen-Logik, Branchen-Regulatorik, Sovereign-by-design bei KI, deutscher Vertragsrahmen —, ist das Erstgespräch der richtige Einstieg. Wenn Sie ein konkretes Mandat haben und ein Mapping anfragen möchten: das Formular bringt uns schnell in die Tiefe. Beides geht.