Hartes Durchgreifen bei Plattformen, souveräne Clouds und ein Investitionsrückgang

Die Europäische Kommission hat die Woche damit verbracht, die Branche daran zu erinnern, dass das Gesetz über digitale Dienste weiterhin Zähne zeigt. ChatGPT, Reddit und Roblox wurden als sehr große Online-Plattformen benannt, wobei ChatGPT zusätzlich als sehr große Online-Suchmaschine eingestuft wurde. Diese Einstufung unterwirft den Dienst denselben Pflichten in Bezug auf systemische Risiken wie Google Search. Die drei Dienste haben nun bis Januar 2027 Zeit, die Vorgaben zu erfüllen. Die Benennung fiel zufällig in dieselbe Woche wie die Rede zur Lage der Union der Kommissionspräsidentin, der alljährliche Moment, in dem Brüssel seine digitalen Prioritäten für das kommende Jahr festlegt.

Der Rest des regulatorischen Bildes war unübersichtlicher. Die Änderung der KI-Verordnung innerhalb des Digital-Omnibus-Pakets kam voran und verschob die Fristen für die Einhaltung der Vorschriften für Hochrisiko-KI-Systeme nach hinten. Ein paralleler Vorschlag zur Neudefinition dessen, was unter der DSGVO als personenbezogene Daten gilt, stieß jedoch während der interinstitutionellen Verhandlungen auf Widerstand. Brüssel versucht im selben Paket, die KI-Compliance zu vereinfachen und eine zentrale Datenschutzdefinition zu lockern, doch nur eine Hälfte verläuft reibungslos.

Die Vereinfachung des einen Regelwerks testet die Grenzen eines anderen.

Auch die Durchsetzung des Wettbewerbsrechts war ein zweischneidiges Schwert. Opera verlor seine Klage, Microsoft Edge im Rahmen des Gesetzes über digitale Märkte als Torwächter einstufen zu lassen. Das Gericht der Europäischen Union stellte fest, dass der Browser kein ausreichend wichtiges Zugangstor sei, um diese Kriterien zu erfüllen. Dieses Urteil schränkt ein, wie weit das Gesetz über digitale Märkte in den Bereich der Desktop-Software hineinreicht. Unterdessen leitete die Kommission eine Voruntersuchung zu den Cloud-Lizenzierungspraktiken von Oracle ein, die auf eine ähnliche Untersuchung bei SAP folgt. Dies ist ein Zeichen dafür, dass die Überprüfung von Anbietern von Unternehmenssoftware eher zur Routine als zur Ausnahme wird.

Die Souveränitätsambitionen stießen auf ihre eigenen Widersprüche. Die Niederlande veröffentlichten einen Entwurf für ihre souveräne Government-Cloud, ein konkreter Schritt in Richtung der Unabhängigkeit öffentlicher Infrastrukturen, die Brüssel immer wieder fordert. In Italien spielt sich die gegenteilige Dynamik ab. Dort begünstigen Beschaffungsregeln, die eigentlich zum Schutz lokaler Anbieter verfasst wurden, stattdessen US-Hyperscaler. Die Qualifikationsanforderungen belohnen Skaleneffekte, die nur die größten etablierten Unternehmen erfüllen können, wodurch lokale Cloud-Zusammenschlüsse wie EduStorage ausgeschlossen werden, obwohl sie technisch bereit für den Wettbewerb sind. Absicht und Ergebnis ziehen hier in entgegengesetzte Richtungen.

Beim privaten Kapital zeigte sich ein ähnliches Bild. Das in Zürich ansässige Unternehmen xorlab sammelte 5 Millionen Euro ein, um eine souveräne E-Mail-Sicherheitsplattform auszubauen, die explizit dafür entwickelt wurde, die Abhängigkeit von US-kontrollierter Infrastruktur zu verringern. Wenige Tage später bestätigte Nvidia die Übernahme von Hugging Face für 12,93 Milliarden Dollar. Die in Frankreich gegründete Plattform für KI-Modelle hat sich zu einem der zentralen Knotenpunkte für Open-Source-KI entwickelt. Ein französischstämmiger Champion der Souveränität wechselte soeben in den Besitz des weltweit dominierenden Chipherstellers. Dies erinnert daran, dass der Aufbau souveränitätsorientierter Unternehmen und deren Verbleib in europäischem Besitz zwei unterschiedliche Herausforderungen sind.

Die Durchsetzung des Datenschutzes schritt unabhängig von der Definitionsdebatte in Brüssel weiter voran. Der Oberste Gerichtshof Österreichs stellte fest, dass die Auskunftei CRIF rechtswidrig Daten gesammelt und damit gegen den Grundsatz der Zweckbindung der DSGVO verstoßen hatte, ein Urteil, das die anhängige Sammelklage von noyb stärkt. Die irische Data Protection Commission verhängte gegen das Health Service Executive eine Geldstrafe von 645.000 Euro wegen ungesicherter medizinischer Akten in Papierform. Die französische Datenschutzbehörde CNIL belegte das Hôpital Privé de la Loire mit einer Geldstrafe von 500.000 Euro, nachdem durch eine Sicherheitslücke Gesundheitsdaten von mehr als 524.000 Patienten offengelegt worden waren. Die niederländische Datenschutzbehörde schlug den entgegengesetzten Weg ein und veröffentlichte kostenlose Compliance-Vorlagen, um kleinen Unternehmen zu helfen, ihre DSGVO-Pflichten auch ohne ein eigenes Rechtsteam zu erfüllen. Im Hinblick auf die geplante Einführung der EUDI Wallet bis Dezember 2026 wies Agenda Digitale darauf hin, dass deren Architektur weiterhin offene Fragen zur Handhabung von Metadaten aufwirft, und zwar genau unter jenen Vorschriften, die die Aufsichtsbehörden andernorts aktiv durchsetzen.

Die Kapitalmärkte zeichneten derweil je nach Betrachtungsweise ein zweigeteiltes Bild. Der wöchentliche Rückblick von Tech.eu zählte zu Beginn der Woche etwas mehr als 475 Millionen Euro, die in über 35 Deals investiert wurden. Wenige Tage später rückte ein separater Bericht das Gesamtbild in eine andere Perspektive. Die europäische Tech-Finanzierung fiel im August um 63 Prozent auf 3,2 Milliarden Euro verteilt auf 165 Transaktionen, was Teil eines breiteren Rückgangs der Transaktionen auf dem gesamten Kontinent ist. Dennoch floss das Geld, das bewegt wurde, weiterhin in strategisch sensible Sektoren. Das deutsche Spacetech-Unternehmen HyImpulse sicherte sich über 50 Millionen Euro, um vor bevorstehenden Missionen eine souveräne Startkapazität zu skalieren. INLEAP Photonics sammelte 20 Millionen Euro ein, um seine laserbasierten Systeme zur Drohnenabwehr für Kunden im Bereich der europäischen Verteidigung und der kritischen Infrastruktur zu erweitern. Das finnische Unternehmen Creoir erhielt eine Seed-Finanzierung zur Vermarktung von Sprach-KI, die für Verteidigungssysteme entwickelt wurde. Das spanische Unternehmen iPronics sammelte 107,6 Millionen Euro für optische Netzwerke in KI-Rechenzentren ein. An dieser Finanzierungsrunde beteiligte sich auch Nvidia selbst, ein Geschäft, das irgendwo zwischen einem Erfolg für europäisches Deep Tech und der Abhängigkeit von exakt demselben Chiphersteller angesiedelt ist, der in dieser Woche die Debatte um Souveränität andernorts neu gestaltet.

Europa schreibt die Regeln für Souveränität weiterhin schneller, als es die damit verbundenen Eigentumsstrukturen aufbauen kann.

Zusammengenommen fängt die Woche gut ein, wo Europas Projekt der digitalen Souveränität tatsächlich steht. Die rechtliche Maschinerie, die aus dem DSA, dem DMA, der KI-Verordnung und der DSGVO aufgebaut wurde, ist aktiv und wird durchgesetzt. Dies geschieht manchmal gegen dominante US-Plattformen und manchmal gegen europäische Krankenhäuser und Behörden, die ihren eigenen Pflichten nicht nachkommen. Souveränität über Infrastruktur und Eigentumsverhältnisse lässt sich jedoch weitaus schwerer gesetzlich regeln als die Souveränität über Vorschriften. Der Entwurf für eine niederländische Government-Cloud und eine Finanzierungsrunde für E-Mail-Sicherheit aus Zürich weisen in die eine Richtung, während eine italienische Ausschreibungsstruktur und eine Übernahme durch Nvidia in die andere weisen. Keines von beiden hebt das andere auf, und diese Spannung dürfte die kommenden Monate prägen.