Der erste Teil (Vergabeblog.de vom 15/10/2026 Nr. 75372) hat anhand der Schweizer Rahmenverträge gezeigt, dass sorgfältige Vertragsklauseln Schutz, Transparenz und Reaktionsmöglichkeiten schaffen. Ihre praktische Wirkung hängt davon ab, ob die öffentliche Hand die technische Nutzung beherrscht und die erforderlichen Entscheidungen rechtzeitig treffen kann. Der zweite Teil richtet den Blick deshalb auf die staatliche Organisation und die Frage, wie Vergabeverfahren diese spätere Handlungsfähigkeit vorbereiten können.
Die Schweizer Governance ordnet die verbleibenden Aufgaben
Die Schweizer Cloud-Prinzipien für Infrastruktur- und Plattformdienste verlangen vor der Nutzung eine Prüfung der Rechtskonformität, des Schutzbedarfs und gegebenenfalls der Risiken sowie eine bewusste Entscheidung über die passende Sourcing-Option und Cloud-Stufe. Die zuständige Verwaltungseinheit bleibt für ihre Anwendung und ihre Daten verantwortlich. Bei der Nutzung von Public-Cloud-Diensten muss zudem pro Vorhaben oder Anwendungsgruppe eine Exit-Strategie erstellt und bei Erweiterungen der Anwendung aktualisiert werden.
Zwischen Anbieter und nutzender Behörde steht ein Cloud Service Broker beziehungsweise Intermediär. Das Intermediär-Pflichtenheft E032 in Version 1.1 ordnet ihm weit mehr als Bestellung und Abrechnung zu. Es umfasst Architekturvorgaben, technische Grundstrukturen für Cloud-Konten, Identitäten und Netze, Protokollierung, Überwachung, Sicherheitsregeln sowie die Beobachtung von Anbieter-Roadmaps und Serviceänderungen. Technische Policies können dabei Vorgaben verschärfen, Cloud-Dienste einschränken und verbindliche Grundeinstellungen durchsetzen.
Ein Pflichtenheft belegt noch nicht, dass jede Aufgabe im Betrieb personell und technisch vollständig umgesetzt ist. Das Schweizer Modell zeigt aber, welche Funktionen benötigt werden. Der Vertrag schafft einen rechtlichen Handlungsraum. Sourcing, Architektur, Rollen, Überwachung und Exit-Vorsorge entscheiden darüber, ob die Verwaltung ihn nutzen kann.
Die aktuelle Schweizer Entwicklung bestätigt im Kern auch für Deutschland, dass vertragliche Schutzrechte dauerhaft durch Architekturentscheidungen, klare Zuständigkeiten und praktisch vorbereitete Wechselmöglichkeiten ergänzt werden müssen.
Auch diese Governance hebt die Grenzen einer global standardisierten Plattform nicht auf. Anbietergetriebene Produktentwicklung, Zugriffe aufgrund ausländischer Rechtsordnungen und wirtschaftliche Abhängigkeiten können fortbestehen. Organisation und technische Leitplanken machen eine solche Cloud daher nicht vollständig souverän. Sie entscheiden, ob die öffentliche Hand verbleibende Risiken erkennt, begrenzt und rechtzeitig auf Veränderungen reagiert.
Was vor der Ausschreibung geklärt werden muss
Eine sachgerechte Markterkundung nach § 28 VgV sollte mehr erfassen als Produktnamen und Rechenpreise. Zu untersuchen sind die verfügbaren Service- und Betriebsmodelle, die vollständige Vertragsstruktur, Änderungsmechanismen, die Verteilung der Aufgaben, regionale und kryptografische Optionen, Auditnachweise, Exportformate, Migrationsleistungen und die Kosten des späteren Betriebs. Erst dieser Vergleich zeigt, welche Anforderungen unverzichtbaren Bedarf abbilden, welche als Qualitätsunterschiede bewertet werden können und welche den Wettbewerb ohne ausreichenden Grund verengen würden.
Cloud ist dabei kein einzelnes Produkt. Sie ist ein Betriebsmodell, in dem der Zugang zum Cloud-Anbieter, der technische Betrieb und die staatliche Steuerung verschiedene Funktionen erfüllen. Werden sie bei einem Managed-Cloud-Dienstleister gebündelt, können Konfigurationsmacht, Kostenwissen, die Beobachtung von Regeländerungen und Exit-Kompetenz außerhalb der Verwaltung zusammenlaufen. Der Leistungszuschnitt entscheidet damit, welche Fähigkeiten beim Auftraggeber verbleiben und welche Zugriffs-, Informations- und Weisungsrechte er benötigt.
Vor der Leistungsbeschreibung steht außerdem die Architekturentscheidung. Die Vergabestelle muss wissen, welche staatliche Funktion und welche Daten betroffen sind, welche Serviceebene benötigt wird und wo Identitäten und Schlüssel geführt werden. Außerdem muss sie festlegen, welche Aufgaben intern, durch einen Dienstleister oder durch den Cloud-Anbieter wahrgenommen werden. Eine auftragsbezogene und verhältnismäßige Zielarchitektur kann mit § 31 VgV vereinbar sein, wenn sie funktional beschrieben wird und den Wettbewerb nicht ungerechtfertigt verengt.
Auch mehrere Rahmenvertragspartner schaffen allein noch keine technische Redundanz. Unterschiedliche Plattformen können Risiken verteilen; die Übernahme eines Workloads durch eine andere Plattform muss gesondert vorbereitet werden. Ein Resilienzmodell braucht dafür klare Anbieterrollen, belastbare Abrufregeln, Portabilität und erprobte Rückfallmöglichkeiten.
Wie Souveränitätsziele überprüfbar werden
Allgemeine Forderungen helfen wenig. „Datenhaltung in Europa“ sollte durch die betroffenen Datenarten, zulässige Regionen, Regeln für Supportzugriffe, das Schlüsselmodell und konkrete Nachweise ausgefüllt werden. „Exit-fähig“ wird erst durch Exportformate, Fristen, dokumentierte Abhängigkeiten, Unterstützungsleistungen, Kosten, Tests und Wiederanlaufziele überprüfbar. Für die geteilte Verantwortung braucht es eine ausgefüllte Aufgabenmatrix, aus der auch hervorgeht, welche Werkzeuge und Protokolle der Auftraggeber zur Erfüllung seiner Aufgaben erhält.
Zuschlagskriterien können Unterschiede abbilden, wenn sie auf den konkreten Auftrag bezogen und nachprüfbar formuliert sind. Denkbar sind etwa Reaktionsfristen bei Änderungen von Unterauftragsbearbeitern, die regionale Verfügbarkeit der benötigten Dienste, eine technisch getrennte Schlüsselhaltung, die Qualität aktueller Auditnachweise, die Portabilität bestimmter Komponenten sowie Inhalt und Preis von Migrationsleistungen. Allgemeine Anbieteretiketten ersetzen diese Prüfung nicht.
Wie Anbieterbedingungen und Änderungen beherrschbar werden
Die Vertragsunterlagen müssen alle Bedingungen erfassen, die die Leistung während der Laufzeit prägen. Die EVB-IT Cloud bieten mit Vertrag, AGB, Kriterienkatalog und einer Anlage für auftragnehmerseitige Bedingungen eine geeignete Ordnungsstruktur. Die Vergabestelle muss dennoch die maßgeblichen Fassungen sichern, dynamische Verweise begrenzen und bestimmen, welche Veränderungen zulässig sind. Ebenso sollte feststehen, wann eine Verschlechterung Abhilfe, Preisanpassung, Widerspruch oder Beendigung auslöst.
Ein bloßer Link auf die jeweils aktuellen Webbedingungen beschreibt weder den angebotenen Leistungsstand noch eine vergleichbare Grundlage für die Wertung. Bei dynamischen Cloud-Diensten braucht es deshalb eine dokumentierte Ausgangsbasis und ein Verfahren, das spätere Änderungen nach ihrer technischen, wirtschaftlichen und rechtlichen Wirkung einordnet.
Zugleich bleibt zu prüfen, ob eine spätere Leistungsänderung noch von den ausgeschriebenen Bedingungen und einer hinreichend klaren Änderungsklausel gedeckt ist. Anbietergetriebene Produktentwicklung beantwortet die vergaberechtliche Frage nach § 132 GWB nicht von selbst. Bereits die Vergabeunterlagen sollten deshalb die erwartbare Entwicklungsbreite und die Folgen wesentlicher Änderungen so konkret wie möglich beschreiben.
Wer die Cloud-Leistung im Betrieb steuert
Schon vor dem Zuschlag sollte geklärt sein, wer Änderungen von Diensten und Anbieterregeln beobachtet und welche Fachstellen sie bewerten. Ebenso muss feststehen, wie schnell entschieden wird und wer technische Einschränkungen oder einen Exit anordnet. Auditberichte benötigen einen Empfänger, einen Prüfmaßstab und ein Folgeverfahren. Exit-Pläne benötigen eine Zieloption, Budget, Personal und Tests. Fehlen diese Voraussetzungen, bleiben vertragliche Rechte und technische Werkzeuge ungenutzt.
Diese Betriebsaufgaben können intern aufgebaut, an einen Intermediär vergeben oder in einem gemischten Modell organisiert werden. Entscheidend ist eine eindeutige Zuordnung. Der Vergabevermerk sollte deshalb neben Preis und Qualität auch festhalten, warum das gewählte Vertrags-, Architektur- und Betriebsmodell während der Laufzeit beherrschbar erscheint.
Was Deutschland und Europa beitragen können
Deutschland entwickelt mehrere vorgelagerte Ordnungsstrukturen. DVC 2.0 führt die Deutsche Verwaltungscloud als gemeinsamen Rahmen weiter. Der Deutschland-Stack entwickelt Architektur, Standards und Basiskomponenten. Der Marktplatz Deutschland Digital macht digitale Leistungen auffindbar und DVC-konforme Cloud-Services direkt bestellbar, während die EVB-IT Cloud die vertragliche Einbindung von Cloud-Leistungen unterstützen. Keine dieser Ebenen ersetzt die Prüfung des konkreten Fachverfahrens.
Auf europäischer Ebene zeigt das Cloud Sovereignty Framework der Kommission, wie strategische, rechtliche, operative und technische Merkmale in Beschaffungskriterien übersetzt werden können. Der im Juni 2026 vorgelegte Entwurf eines Cloud and AI Development Act soll einen unionsweiten Rahmen mit mehreren Souveränitätsstufen schaffen. Das Gesetzgebungsverfahren ist noch nicht abgeschlossen.
Für die Praxis hilft die Unterscheidung zwischen anerkannter, konfigurierter und ausgeübter Souveränität.
Ein Rahmenwerk kann Eigenschaften eines Dienstes vorgelagert anerkennen. Die konkrete Architektur bestimmt, welche Schutzwirkung durch Region, Identitäten, Schlüssel und Schnittstellen entsteht. Ausgeübt wird Souveränität erst, wenn eine Organisation Nachweise bewertet, Änderungen verarbeitet, Regeln durchsetzt und im Bedarfsfall tatsächlich umsteuern oder wechseln kann.
Fazit
Bei öffentlicher Cloud-Nutzung bleibt digitale Souveränität eine begrenzte Handlungsfähigkeit unter fortbestehenden Abhängigkeiten. Vertrag, Architektur, Konfiguration, Betriebsmodell und Organisation entscheiden gemeinsam darüber, wie weit die öffentliche Hand Risiken erkennen, begrenzen und im Bedarfsfall umsteuern kann. Das Vergabeverfahren legt wesentliche Voraussetzungen dafür fest. Es bestimmt den Leistungsgegenstand, macht Anbieterbedingungen vergleichbar, übersetzt Schutzinteressen in überprüfbare Anforderungen und ordnet die Verantwortung für den späteren Betrieb.
Beschafft wird damit mehr als ein Cloud-Dienst mit Preis und Service Level. Mitgestaltet wird eine Verantwortungsstruktur, die sich während der Vertragslaufzeit weiterentwickelt. Wer Rollen, Entscheidungswege und Exit-Vorsorge erst nach dem Zuschlag klärt, übernimmt Abhängigkeiten, bevor ihre Steuerung gesichert ist. Eine belastbare Annäherung an digitale Souveränität beginnt deshalb mit einer Vergabe, die den späteren Betrieb von Anfang an mitdenkt.
Hannah Kremer-Hennig
Hannah Kremer-Hennig ist Rechtsanwältin und Inhaberin der Kanzlei Kremer-Hennig mit Schwerpunkt im Vergabe- und IT-Recht sowie Consultant bei der Valora Consulting GmbH. Sie berät öffentliche Auftraggeber bei IT-Beschaffungen, insbesondere zu Cloud-, Software- und Infrastrukturprojekten sowie IT-Sicherheitsanforderungen. Ihre Tätigkeit verbindet vergaberechtliche Expertise mit technischem Verständnis für moderne digitale Verwaltung.
Schreibe einen Kommentar