Souveränität & Standards

Abhängigkeiten sind unvermeidbar. Kontrollverlust ist es nicht.

Volle Unabhängigkeit von Technologieanbietern ist selten erreichbar und kaum je ihren Preis wert. Die praktische Frage ist enger: Welche Abhängigkeiten gefährden Ihre Kontrolle tatsächlich, und welche Entscheide halten einen Ausstieg offen? Die meisten fallen früh, in Verträgen, Datenmodellen und Schnittstellen, lange bevor es jemand merkt.

Meine Rolle: Ich setze den Entscheidungsrahmen und steuere Ihre Anbieter daran. Code und Architekturen prüfe ich nicht technisch. Die Umsetzung bleibt bei Ihrem Team oder Ihren Partnern, die rechtliche Beurteilung bei Ihrer Rechtsberatung.

Entscheidungsfelder

Sechs Entscheide bestimmen Ihren Handlungsspielraum

01

Wissen, welche Abhängigkeiten kritisch sind

Nicht jeder Anbieter ist gleich wichtig. Am Anfang steht eine Übersicht: Welche Systeme halten kritische Daten oder Prozesse, wie schwer ist jedes zu ersetzen, und wo hängen mehrere Funktionen am selben Anbieter?

  • Anbieterübersicht
  • Ersetzbarkeit
  • Klumpenrisiko
02

Pro Datenklasse entscheiden, wer Zugriff erzwingen kann

Der Speicherort allein klärt das Risiko nicht. Nach dem US CLOUD Act können US-Behörden Anbieter, die US-Recht unterstehen, zur Herausgabe von Daten in ihrem Besitz, Gewahrsam oder ihrer Verfügungsgewalt verpflichten, auch wenn diese ausserhalb der USA gespeichert sind1. Legen Sie pro Datenklasse fest, was nach dem Schweizer DSG2 und, wo Sie EU-Märkte bedienen, nach der DSGVO vertretbar ist.

  • Schweizer DSG
  • EU-DSGVO
  • Datenklassen
  • Rechtsraum des Anbieters
03

Den Ausstieg sichern, bevor Sie unterschreiben

Abhängigkeit entscheidet sich im Vertrag und im Datenmodell, nicht am Ende der Zusammenarbeit. Vereinbaren Sie den Datenexport in offenen Formaten, eine definierte Übergabezeit und Unterstützung beim Ausstieg, solange Ihre Verhandlungsposition am stärksten ist.

  • Ausstiegsklauseln
  • Datenportabilität
  • Übergabeunterstützung
04

Über offene Standards anbinden, nicht über proprietäre Konnektoren

Anbindungen über dokumentierte Schnittstellen (OpenAPI) und standardisierte Identitätsprotokolle (OAuth 2.0, OpenID Connect) lassen sich leichter zu einem anderen Anbieter mitnehmen. Proprietäre Konnektoren binden Ihren Betrieb an einen Anbieter.

  • OpenAPI
  • OAuth 2.0 / OIDC
  • Offene Exportformate
05

Die eigenen Produktdaten besitzen, bevor die EU danach fragt

Wer physische Produkte in der EU verkauft, bekommt mit der Ökodesign-Verordnung (ESPR) den Digitalen Produktpass3. Die Anforderungen gelten Produktgruppe für Produktgruppe, sobald die jeweiligen delegierten Rechtsakte verabschiedet sind, zuerst für Eisen und Stahl, danach für Textilien, Reifen und Aluminium. Klären Sie früh, wem das Datenmodell gehört, und nutzen Sie offene Kennungen wie GS1 Digital Link4, damit Partner und Behörden die Daten unabhängig von Ihrem Plattformanbieter lesen können. Diese Erfahrung bringe ich aus meiner Zeit an der Spitze eines Softwareanbieters für digitale Produktpässe mit.

  • EU ESPR / DPP
  • GS1 Digital Link
  • Datenhoheit
06

Den Einsatz von KI prüfbar machen

Generative und agentische KI brauchen eine Übersicht, wo KI eingesetzt wird, eine Risikoeinstufung sowie dokumentierte Datenquellen und menschliche Aufsicht. Wer KI-Systeme in der EU in Verkehr bringt oder deren Ergebnisse in der EU nutzt, fällt unter den EU AI Act5. Die Pflichten hängen von der Risikoklasse ab und gelten gestaffelt; 2026 hat sich die EU darauf geeinigt, die Fristen für Hochrisiko-Systeme zu verschieben6.

  • EU AI Act
  • KI-Übersicht
  • Menschliche Aufsicht
Nächster Schritt

Platform decisions that outlast the mandate.

Die Digitale Standortbestimmung zeigt Ihre kritischen Anbieterabhängigkeiten, Vorgaben zum Datenstandort und Ihre KI-Exposition, und sie macht sichtbar, welche Abwägungen jetzt einen Entscheid des Verwaltungsrats brauchen. Fixpreis, zwei bis drei Wochen, angerechnet an ein Fractional-Mandat, das innert 60 Tagen startet.

Erstgespräch buchen

Jedes Mandat führt Kevin Lancashire persönlich.

Quellen

  1. EDPB & EDPS (2019). Initial legal assessment of the impact of the US CLOUD Act on the EU legal framework for the protection of personal data (Englisch).
  2. Bundesamt für Justiz. Datenschutz: Rechtsgrundlagen (Bundesgesetz über den Datenschutz, DSG, in Kraft seit 1. September 2023).
  3. Verordnung (EU) 2024/1781 (ESPR), in Kraft seit 18. Juli 2024; Produktgruppen gemäss erstem Arbeitsplan der Kommission 2025–2030, zusammengefasst vom irischen Wirtschaftsministerium (Englisch).
  4. GS1. GS1 Digital Link Standard (Englisch).
  5. Verordnung (EU) 2024/1689 (KI-Verordnung).
  6. Politische Einigung zum KI-Teil des Digital Omnibus, 7. Mai 2026; Zusammenfassung von Winston Taylor (Englisch). Vor dem Verlass auf neue Daten die formelle Verabschiedung prüfen.