Videokonferenz sitzt für EU-Organisationen an einem unangenehmen Schnittpunkt: Sie ist einer der cloud-abhängigsten, daten-intensivsten und zunehmend KI-gesättigten Dienste, die Unternehmen täglich betreiben. Jede Sitzung erzeugt Echtzeit-Medien, die irgendwo geroutet werden müssen, Metadaten, die irgendwo gespeichert werden müssen, und immer häufiger KI-verarbeitete Transkripte und Meeting-Zusammenfassungen, die irgendwo inferiert werden müssen. Dieses „irgendwo" ist 2026 eine Compliance- und Beschaffungs-Frage, nicht mehr nur eine Engineering-Entscheidung.
Der Cloud and AI Development Act, von der Europäischen Kommission am 3. Juni 2026 als Teil des breiteren Tech-Souveränitäts-Pakets vorgeschlagen, ist die Antwort der EU darauf. Die Gesetzgebung führt einen EU-weiten Cloud- und KI-Souveränitäts-Rahmen ein, strukturiert die Beschaffung von Cloud-Diensten durch den öffentlichen Sektor neu und setzt ein Ziel, die EU-Rechenzentrums-Kapazität in fünf bis sieben Jahren zu verdreifachen. Nichts davon ist abstrakt für eine Beschaffungs-Verantwortliche, die eine Video-Plattform für ein Krankenhaus, eine Justizbehörde oder eine Finanzaufsicht auswählt.
CADA ist am 3. Juni 2026 in das Gesetzgebungs-Verfahren eingetreten, mit Verabschiedung derzeit für Q4 2027 angepeilt. Die Anforderungen sind also noch nicht in Kraft. Aber Organisationen, die heute Beschaffungs-Entscheidungen treffen, schließen operative Ketten, die gegen diesen Rahmen bewertet werden, sobald er vom Vorschlag zur Verordnung wird.
Für den DACH-Raum kommt ein konkreter Hebel dazu: Im April 2026 hat die Kommission im Rahmen ihrer SEAL-Ausschreibung erstmals den neuen Souveränitäts-Rahmen als verbindliches Kriterium angelegt – und das deutsche STACKIT (Schwarz-Gruppe, Heilbronn) hat dort SEAL-3 erreicht. Damit ist Deutschland eines der ersten EU-Länder mit einer wirklich souveränen Hyperscaler-Alternative am Markt.
Dieser Artikel zeigt, was CADA konkret verlangt, wie die vier Souveränitäts-Stufen funktionieren und welche Konsequenzen das für Video-Plattform-Auswahl im DACH-Raum hat.
Inhaltsverzeichnis
CADA ist um drei Interventions-Bereiche gebaut, von denen jeder die Video-Infrastruktur auf eigene Weise berührt.
Säule 1: Forschung, Entwicklung und Innovation. Unterstützt die Entwicklung der nächsten Cloud- und KI-Generation, führt „Grand Challenges" für KI-Spitzenforschung ein und finanziert Cloud- und KI-Einsatz in strategischen Industrie- und Sektoren über Experience- und Acceleration-Centres für KI. Für Video relevant vor allem auf der KI-Feature-Schicht: Der Push für EU-souveräne KI-Inferenz-Kapazität schafft eine Alternative zur Weiterleitung von Medien an Nicht-EU-Modell-Anbieter.
Säule 2: Kapazität. Adressiert den aktuellen EU-Rechenzentrums-Bestand, der zu klein ist, um die KI-Compute-Workloads der EU-Institutionen und -Industrien in Skalierung zu tragen. Ziel: mindestens Verdreifachung der EU-Rechenzentrums-Kapazität in fünf bis sieben Jahren, vereinfachte Genehmigungen, besserer Zugang zu Energie, Land und Finanzierung. Souveräne Videokonferenz braucht ausreichend EU-Infrastruktur zum Routen von Medien, und aktuell ist dieses Angebot begrenzt.
Säule 3: Autonomie. Die für aktuelle Beschaffungs-Entscheidungen wichtigste Säule. Sie führt einen einheitlichen EU-weiten Souveränitäts-Rahmen für die Bewertung von Cloud- und KI-Diensten ein, definiert vier Zusicherungs-Stufen, die öffentliche Stellen bei Cloud-Beschaffung anhand einer Risiko-Einschätzung anwenden müssen, und etabliert einen gemeinsamen EU-Beschaffungs-Rahmen. Die vier Stufen:
| Stufe | Fokus | Kernanforderungen |
|---|---|---|
| 1 | Basis-Lokation | Daten werden auf physisch in der EU gelegener Infrastruktur verarbeitet und gespeichert. |
| 2 | Unabhängigkeit | Anbieter weist Unabhängigkeit von Drittstaaten-Rechtsregimen nach; transparente Software-Lieferkette. |
| 3 | EU-Kontrolle | Anbieter im EU-Eigentum und unter EU-Kontrolle; zusätzliche Kriterien, etwa zur Staatsangehörigkeit des Personals. Die Kommission kann ausgewählte Drittstaaten-Anbieter anerkennen. |
| 4 | Volle Souveränität | Volle Transparenz und Kontrolle über die Software-Lieferkette; keine Drittstaaten-Interferenz jeglicher Art. |
Nach Verabschiedung würde die Verordnung öffentliche Verwaltungen verpflichten, zu bewerten, welche Systeme von externen Cloud-Diensten abhängen, sie nach Zusicherungs-Stufe zu klassifizieren und entsprechend zu beschaffen – ein Prozess, den der Vorschlag in den Artikeln 29 und 30 verankert. Die Stufe ergibt sich aus der eigenen Risiko-Einschätzung der Stelle, nicht aus einer vorgegebenen Zuordnung. Eine öffentliche Stelle, die eine sensitive Video-Plattform betreibt, käme typischerweise auf eine höhere Stufe als reine EU-Lokation – aber die Klassifizierung trifft sie selbst. Stufen 2, 3 und 4 werden nur dann verpflichtend, wenn die Risiko-Einschätzung eines Mitgliedstaats die Tätigkeit als beitragend zur Aufrechterhaltung der öffentlichen Ordnung oder kritischer Sektor-Operationen einstuft.
Der Geltungsbereich endet nicht beim öffentlichen Sektor. CADA ermächtigt die Kommission, delegierte Rechtsakte zu erlassen, die private Unternehmen in NIS-2-regulierten Sektoren (Banken, Energie, Telekommunikation, Gesundheit) zu vergleichbaren Souveränitäts-Risiko-Einschätzungen verpflichten. Dieser Erweiterungs-Mechanismus ist direkt relevant für Krankenhäuser, Finanzaufsichten und Telekom-Firmen – das primäre DACH-Publikum dieses Artikels.
Die meisten Cloud-Dienste berühren eine oder zwei Dimensionen des Souveränitäts-Rahmens. Videokonferenz berührt alle gleichzeitig, weshalb sie der klarste Test ist, ob eine Organisation den Rahmen wirklich anwendet oder nur das offensichtlichste Kriterium erfüllt, während sie den Rest ignoriert.
Eine Live-Sitzung leitet Echtzeit-Medien durch eine cloud-gehostete Selective Forwarding Unit (SFU). Das ist eine Cloud-Infrastruktur-Frage: Wo wird das Medium verarbeitet, und ist diese Infrastruktur von einer EU-souveränen operativen Kette regiert? Die Aufzeichnung derselben Sitzung wird irgendwo als Daten at rest gespeichert. Das ist eine separate Daten-Speicher-Frage mit eigenen Souveränitäts-Implikationen für Aufbewahrung, Zugriff und Schlüssel-Management. Und immer häufiger werden Transkript, Meeting-Zusammenfassung und Aktions-Punkt-Extraktion von einem KI-Modell verarbeitet, das dekodierte Audio- oder Video-Daten als Input empfängt – das ist eine dritte Frage: Wo passiert die Inferenz tatsächlich, und verlassen Medien die EU, um sie zu erreichen?
Souveräne Videokonferenz braucht eine glaubwürdige Antwort auf alle drei Fragen, nicht nur die erste zur Rechenzentrums-Lokation. Die meisten Beschaffungs-Gespräche enden dort: „Wo stehen Ihre Server?" wird gefragt; das KI-Inferenz-Ziel selten. Aber der Souveränitäts-Rahmen erlaubt diese selektive Aufmerksamkeit nicht.
Beispiel: Eine Plattform, die Medien auf EU-Servern routet, aber Audio an einen Nicht-EU-KI-Anbieter zur Transkription sendet, erfüllt Stufe 1 – würde aber bei Stufe 2 wahrscheinlich Probleme bekommen. Der Anbieter, der Inferenz auf dekodierten Medien durchführt, wird zum Sub-Auftragsverarbeiter, dessen regelnde Jurisdiktion direkt materiell für die Souveränitäts-Compliance ist. Der Vorschlag verbietet KI-Inferenz außerhalb der EU bei Stufe 2 noch nicht ausdrücklich; das Argument ist eine Lesart der Unabhängigkeits-Anforderung von Stufe 2, keine benannte Vorschrift. Wo das ausdrückliche Verbot steht, ist Stufe 4, die keinerlei Drittstaaten-Interferenz erlaubt.
Genau deshalb ist Video der härteste Fall. Die Kombination aus Echtzeit-Medien-Routing, gespeicherten Aufzeichnungen und KI-Feature-Pipelines bedeutet: Eine wirklich souveräne Video-Plattform muss eine EU-regierte Kette über drei verschiedene Daten-Flüsse nachweisen, nicht über einen. Käufer, die nur den ersten auditieren, lassen die technisch komplexeste Schwachstelle unangetastet.
Cloud-Souveränität für Video löst sich in drei Schichten auf, die getrennt geprüft werden müssen, weil jede unabhängig versagen kann, während die anderen bestanden scheinen.
1. Die Infrastruktur-Schicht umfasst, wo Echtzeit-Medien während einer Live-Sitzung geroutet werden und wo Aufzeichnungen at rest gespeichert sind. Bildet direkt die Stufe-1-Anforderung ab: Daten auf EU-Infrastruktur verarbeitet und gespeichert. Diese Schicht prüfen die meisten Käufer ohnehin – sie ist notwendig, aber nicht hinreichend. Ein US-eingetragener Anbieter kann EU-Server betreiben; das erfüllt Stufe 1 und lässt Stufe 2 völlig unbearbeitet.
2. Die Betreiber-Schicht fragt, wer die Infrastruktur kontrolliert und wer von welcher Rechts-Autorität zur Herausgabe von Zugriff oder Daten gezwungen werden kann. US-kontrollierte Cloud-Anbieter mit EU-Rechenzentren bleiben US-Rechtsregimen unterworfen, die Offenlegung von denselben Anbietern verlangen können, unabhängig von der physischen Server-Lokation. Stufe 2 verlangt nachgewiesene Unabhängigkeit von Drittstaaten-Rechtsregimen und Transparenz über die Software-Lieferkette. Für Video heißt das: Frag nicht nur, wo die Hardware steht, sondern unter welchen rechtlichen Verpflichtungen die betreibende Einheit operiert, und ob diese Einheit außerhalb des EU-Rechts gezwungen werden kann.
US-eingetragene Anbieter haben Stufe-2- und Stufe-3-Qualifikation über EU-kontrollierte Joint Ventures und Tochtergesellschaften angestrebt. Die im April 2026 von der Kommission ausgeschriebene SEAL-Ausschreibung über bis zu 180 Millionen Euro über sechs Jahre brachte hier Klarheit. Das Proximus/S3NS-Konsortium (S3NS = Thales- und Google-Cloud-Joint-Venture unter französischer rechtlicher und operativer Kontrolle) erhielt einen Auftrag auf SEAL-2-Stufe. Die drei anderen Gewinner – Post Telecom mit OVHcloud und CleverCloud, STACKIT (Schwarz-Gruppe, Deutschland) und Scaleway (Frankreich) – erreichten die höhere SEAL-3-Stufe, weil sie keine materiellen Nicht-EU-Lieferketten-Abhängigkeiten hatten.
Das S3NS-Ergebnis wurde von CISPE (38 europäische Cloud-Firmen) öffentlich als „Sovereignty Washing" kritisiert. Die pure-europäischen Anbieter, die SEAL-3 erreichten, sind die, die der Rahmen ursprünglich vorgesehen hatte. Ob Konstruktionen wie das Proximus/S3NS-Konsortium substantielle Souveränität oder pragmatischer Workaround darstellen, ist eine laufende Debatte. Der Test, den der Vorschlag anwendet, ist die operative und rechtliche Kette – nicht die Flagge auf dem Logo.
3. Die KI- und Daten-Fluss-Schicht wird am häufigsten übersehen. KI-Transkription, Meeting-Zusammenfassungen, Geräusch-Unterdrückung und Sprecher-Analytik beinhalten alle, dass dekodierte Medien an einen Inferenz-Endpunkt geschickt werden. Die Frage ist direkt: Liegt dieser Endpunkt in der EU, wird er von einer EU-souveränen Einheit betrieben, und ist er frei von Drittstaaten-Interferenz? Bei Stufe 4 muss die Antwort ohne Vorbehalt Ja sein: Die Stufe verbietet ausdrücklich jede Drittstaaten-Interferenz, einschließlich KI-Inferenz-Pipelines. Bei Stufe 2 ist das Bild weniger klar: Audio oder Video an einen Nicht-EU-Modell-Anbieter zu routen (auch einen mit EU-Servern, falls dieser Anbieter Nicht-EU-Rechts-Zugriffs-Regimen unterliegt) würde wahrscheinlich mit der Unabhängigkeits-Anforderung kollidieren, aber das ist eine Auslegung des Textes, keine benannte Regel.
Die KI-Pipeline ist keine separate Produkt-Kategorie. Sie ist Teil derselben Daten-Verarbeitungs-Kette.
Eine Plattform, die alle drei Schichten passiert, ist eine andere Produkt-Kategorie als eine, die nur die erste passiert. Workloads mit höchster Sensitivität (Justiz, Verteidigung, Nachrichtendienste) müssten zusätzlich die EU-Eigentums- und Kontroll-Anforderungen von Stufe 3 und die volle Lieferketten-Transparenz von Stufe 4 erfüllen, sodass die Drei-Schichten-Checkliste unten in diesen Kontexten nicht erschöpfend ist.
Während CADA noch im EU-Gesetzgebungsverfahren ist, hat Deutschland bereits eine sehr konkrete Souveränitäts-Architektur am Markt. Wer als DACH-Käufer 2026 eine Video-Plattform bewertet, kann die folgenden DACH-Anker nicht ignorieren.
STACKIT ist die Cloud-Sparte der Schwarz-Gruppe (Lidl, Kaufland, PreZero) mit Sitz in Heilbronn. Im April 2026 erreichte STACKIT in der SEAL-Ausschreibung der Europäischen Kommission die Stufe SEAL-3 – das heißt EU-Eigentum, EU-Kontrolle, keine materiellen Nicht-EU-Lieferketten-Abhängigkeiten. STACKIT ist damit eine der wenigen voll souveränen Hyperscaler-Alternativen mit deutscher Eigentums- und Betreiber-Struktur und wird in den nächsten Jahren ein zentraler Bezugspunkt für DACH-Beschaffungen mit höheren Souveränitäts-Anforderungen.
Neben STACKIT haben weitere deutsche Anbieter Cloud-Infrastruktur mit BSI-C5-Testat und – wo geprüft – C3A-Mapping aufgebaut. Für Video-Anbieter heißt das: Es gibt mehrere DACH-konforme Hosting-Optionen, die nicht auf US-Hyperscaler-Tochtergesellschaften ausweichen müssen.
CADA ist noch Vorschlag. Aber das BSI C5:2026 (Cloud Computing Compliance Criteria Catalogue, im April 2026 veröffentlicht) und das im selben Monat veröffentlichte C3A (Criteria enabling Cloud Computing Autonomy) sind die operative Brücke. Wer als Cloud-Anbieter in den deutschen öffentlichen Sektor verkauft, braucht C5-Testat – CADA-Stufe-1 ist faktisch eine Teilmenge davon. C3A adressiert die Souveränitäts-Frage und stimmt strukturell mit CADAs Stufen 2 bis 4 überein.
Für eine Video-Beschaffung in einer deutschen Behörde im Jahr 2026 ist die Reihenfolge der Anforderungen typischerweise: BSI C5:2026-Testat → C3A-Mapping → CADA-Stufen-Voreinschätzung.
Das Zentrum für Digitale Souveränität (ZenDiS) in Bochum, gegründet Dezember 2022, treibt mit openDesk und openCode die Souveränitäts-Strategie der Bundesverwaltung voran. Bis Oktober 2028 soll die Bundesverwaltung über digital-souveräne Alternativen zu proprietären IT-Arbeitsplätzen verfügen. Für Video-Anbieter heißt das: Integration mit openDesk-Stack (Single Sign-On, Kalender, Dokument-Workflows) wird zum Wettbewerbs-Vorteil in Behörden-Vergaben.
Das deutsche NIS-2-Umsetzungsgesetz ist seit 6. Dezember 2025 in Kraft. CADAs Erweiterungs-Mechanismus zielt explizit auf die NIS-2-regulierten Sektoren: Banken, Energie, Telekommunikation, Gesundheit. Für DAX-Konzerne, Sparkassen, Energie-Versorger und Krankenhäuser heißt das: CADAs Stufen-Logik wird wahrscheinlich – über delegierte Rechtsakte – auch private Beschaffungen erreichen, nicht nur den öffentlichen Sektor.
In Österreich gelten DSGVO, NIS-2 (umgesetzt seit 2024/2025) und FMA-Anforderungen. Beschaffungs-Logik analog DE.
In der Schweiz – nicht in der EU – verfolgt das revidierte Bundesgesetz über den Datenschutz (in Kraft seit September 2023) ähnliche Souveränitäts-Logiken. Die Swiss Federal Cloud (SFC) ist ein paralleler Ansatz. CH-Käufer sollten DE/EU-Souveränität als Mindeststandard, nicht als Maximum, behandeln.
Eine Plattform, die alle drei Schichten glaubwürdig beantworten kann, hat von Anfang an bewusste architektonische Entscheidungen getroffen, statt nachträglich eine Compliance-Erzählung zusammenzustellen. Die wichtigen Entscheidungen betreffen nicht primär Papierkram. Es geht darum, wo Medien fließen, wer sie lesen kann und unter welcher Rechtsprechung die Personen stehen, die dafür verantwortlich sind.
Konkret: Jede Plattform, die CADA-Bereitschaft demonstrieren will, muss dokumentierte Belege für jede Schicht der Souveränitäts-Kette vorzeigen – wo Medien verarbeitet werden, wer diese Infrastruktur betreibt und kontrolliert, und wie KI-Features gehandhabt werden.
Bei Digital Samba sind die architektonischen Entscheidungen dokumentiert und öffentlich:
Für Käufer entsteht die praktische Wahl zwischen dem Selbst-Zusammenbau dieser Kette über self-hosted Open-Source-Infrastruktur oder dem Einbetten einer Plattform, die diese Kette schon gebaut hat. Self-Hosting erreicht dieselben Souveränitäts-Ziele, verlangt aber, dass der Käufer die gesamte operative Last selbst trägt: Infrastruktur-Provisionierung, SFU-Wartung, KI-Sub-Auftragsverarbeiter-Verträge, Compliance-Nachweis-Erstellung und laufendes Security-Patching. Das embedded-Modell überträgt diesen Aufwand an den Anbieter, ohne die Souveränität zu übertragen – vorausgesetzt, der Anbieter kann die Kette Ende-zu-Ende belegen.
Eine wichtige Einschränkung: Für Workloads, die Stufe-4-Zusicherung verlangen (volle Lieferketten-Kontrolle, keinerlei Drittstaaten-Interferenz), reicht ein vendor-gemanagter embedded Service möglicherweise nicht. Käufer auf dieser Stufe müssen typischerweise den vollen Stack kontrollieren, inklusive Betrieb der SFU auf eigener Infrastruktur. Das embedded-Modell passt am besten zu Stufe-2- und Stufe-3-Beschaffungs-Anforderungen.
Das Drei-Schichten-Modell liefert konkrete Fragen für jeden Video-Beschaffungs-Prozess. Für Workloads, die eine Risiko-Einschätzung auf Stufe 3 oder Stufe 4 platziert, sind diese Fragen ein Ausgangspunkt – diese Stufen fügen Eigentums-, Kontroll- und Lieferketten-Transparenz-Anforderungen hinzu, die über die folgende Liste hinausgehen.
Die Gesetzgebung tritt nicht über Nacht in Kraft, und ihre finale Form wird aus dem Trilog (interinstitutionelle Verhandlung zwischen Kommission, Parlament und Rat) hervorgehen. Aber die Richtung ist klar und stimmt mit jeder EU-Digital-Souveränitäts-Initiative der vergangenen drei Jahre überein: Cloud-Dienste für sensitive Workloads im öffentlichen Sektor werden gegen einen Vier-Stufen-Souveränitäts-Rahmen bewertet, und Videokonferenz mit ihren Echtzeit-Medien, gespeicherten Aufzeichnungen und KI-Inferenz wird Compliance über alle drei Daten-Fluss-Schichten nachweisen müssen – nicht nur die, die am leichtesten für ein Marketing-Deck zu fotografieren ist.
Die Plattformen, die bereits in diesen Begriffen denken, sind der Beschaffung voraus. Für Käufer, die jetzt entscheiden müssen, übersetzen die Fragen in der Checkliste oben die Logik der Verordnung in Vendor-Auswahl-Kriterien, die unabhängig vom Trilog-Ergebnis tragen sollten.
Eine wichtige Einschränkung: Das Dritt-Audit, das nötig wäre, um Stufen 2 bis 4 formal zu zertifizieren, hängt am EU Cybersecurity Certification Scheme (EUCS), der noch nicht finalisiert ist. Anbieter können also noch keine validierte CADA-Zertifizierung erhalten. Das ist eine bekannte Umsetzungs-Lücke, kein Grund, Beschaffungs-Gespräche zu verschieben – aber gut zu wissen, bevor du Anbieter um Dokumentation bittest, die noch nicht existiert.
Für DACH-Käufer 2026 bleibt die operative Logik einfacher als die EU-Gesetzgebungs-Komplexität: BSI-C5:2026-Testat + C3A-Mapping + STACKIT-äquivalente Souveränität + dokumentierte EU-KI-Verarbeitung. Wer das heute prüfen kann, ist auf CADA strukturell vorbereitet.
Mehr zu unserem Datensicherheits- und Infrastruktur-Ansatz findest du auf der Digital-Samba-Sicherheits-Seite. Für eine breitere Behandlung der Daten-Souveränität für Video lies unseren früheren Artikel.
CADA ist ein Gesetzgebungs-Vorschlag der Europäischen Kommission, am 3. Juni 2026 als Teil des EU-Tech-Souveränitäts-Pakets veröffentlicht. Er zielt auf drei Bereiche: Unterstützung von Forschung und Innovation in Cloud und KI, Verdreifachung der EU-Rechenzentrums-Kapazität in fünf bis sieben Jahren, und Einführung eines einheitlichen EU-weiten Souveränitäts-Rahmens zur Bewertung von Cloud- und KI-Diensten. Dieser Rahmen definiert vier Zusicherungs-Stufen, die öffentliche Stellen bei Cloud-Beschaffung auf Basis ihrer Risiko-Profile anwenden müssen.
Die Gesetzgebung macht Videokonferenz-Plattformen zum Gegenstand einer formellen Souveränitäts-Einschätzung, wenn sie von öffentlichen Stellen verwendet werden. Video berührt jede Schicht, die der Rahmen betrachtet: Echtzeit-Medien-Routing auf Cloud-Infrastruktur, gespeicherte Aufzeichnungen und KI-Inferenz für Transkripte und Zusammenfassungen. Jede davon wird unter dem Vier-Stufen-Modell separat bewertet. Eine Plattform, die Stufe 1 erfüllt (Daten auf EU-Servern), aber KI-Inferenz über einen Nicht-EU-Anbieter routet, würde bei Stufe 2 wahrscheinlich Probleme bekommen – obwohl das ausdrückliche geografische Verbot von KI-Inferenz-Daten außerhalb der EU eine Stufe-4-Regel ist, keine Stufe-2-Regel.
Cloud-Souveränität für Video heißt, dass EU-regierte Kontrolle über die gesamte Daten-Verarbeitungs-Kette nachweisbar ist: wo Medien geroutet und gespeichert werden, wer Infrastruktur betreibt und kontrolliert, und wo KI-Inferenz passiert. EU-Hosting ist eine Teilmenge davon. Es erfüllt die Stufe-1-Lokations-Anforderung, sagt aber nichts darüber aus, wer die Infrastruktur kontrolliert oder ob der Betreiber Extra-EU-Rechts-Zugriff unterliegt. Eine Plattform kann EU-gehostet sein und trotzdem bei Stufe 2 Souveränität verfehlen, wenn sie von einer Nicht-EU-kontrollierten Einheit betrieben wird.
Die April-2026-Ausschreibung der Kommission über bis zu 180 Millionen Euro hat erstmals den SEAL-Rahmen angewendet. STACKIT (Schwarz-Gruppe, Heilbronn) erreichte gemeinsam mit Post Telecom/OVHcloud/CleverCloud und Scaleway das SEAL-3-Niveau. Das deutsch-luxemburgisch-französische Trio ist damit für DACH-Beschaffungen mit höheren Souveränitäts-Anforderungen die naheliegende Wahl. Das US-Joint-Venture-Modell (Proximus/S3NS mit Thales und Google Cloud) bekam nur SEAL-2 und wurde von CISPE als „Sovereignty Washing" kritisiert.
Die ausdrückliche Antwort hängt davon ab, welche Stufe du anschaust. Bei Stufe 4 ist die Anforderung klar: keine Drittstaaten-Interferenz jeglicher Art – das umfasst KI-Inferenz-Pipelines. Bei Stufe 2 ist das Bild weniger klar. Die Unabhängigkeits-Anforderung (Nachweis der Unabhängigkeit von Drittstaaten-Rechtsregimen) würde wahrscheinlich eine funktionale Barriere für KI-Anbieter schaffen, die Nicht-EU-Zugriffs-Gesetzen unterliegen – aber das ist eine Lesart der Unabhängigkeits-Anforderung, keine benannte Vorschrift im Vorschlag. Für eine öffentliche Stelle, die eine Video-Plattform auf Stufe 2 beschafft, würde das Routing von Audio an einen Nicht-EU-KI-Anbieter zur Transkription mit sehr hoher Wahrscheinlichkeit Probleme in einer Souveränitäts-Einschätzung schaffen.
Das verlässlichste Signal ist, ob der Anbieter drei Fragen mit dokumentierten Belegen statt mit Marketing-Sprache beantworten kann: Wo genau werden Live-Medien verarbeitet, und wer betreibt diese Infrastruktur? Wo findet KI-Inferenz statt, und wer sind die benannten KI-Sub-Auftragsverarbeiter? Liegt die operative Kette (Hosting, Betrieb, KI-Verarbeitung) vollständig in EU-eingetragenen Einheiten, die keinen Extra-EU-Rechts-Zugriffs-Regimen unterliegen? Ein Anbieter, der seinen Dienst in einer Beschaffungs-Antwort den CADA-Souveränitäts-Stufen zuordnen kann, demonstriert die Art operativer Transparenz, die der Rahmen einrichten soll.
Käufer sollten dokumentierte Antworten in drei Bereichen verlangen: (1) Lokation und Betreiber der Infrastruktur, die Live-Medien und Aufzeichnungen handhabt, plus BSI-C5:2026-Testat-Status; (2) Identität, Lokation und rechtliche Jurisdiktion aller KI-Sub-Auftragsverarbeiter, die Transkription, Zusammenfassungen oder andere Features mit dekodierten Medien handhaben; und (3) ob der Anbieter eine Zuordnung seines Dienstes zu den CADA-Souveränitäts-Stufen liefern kann, mit Belegen. Ein öffentliches Repository oder ein „DSGVO-konform"-Label ist keine ausreichende Antwort auf eine dieser Fragen.