Option 0 – Basisszenario: Bei diesem Szenario wird von einer unveränderten EU-Politik ausgegangen. Option 1 – Nichtlegislative Maßnahmen: Bei dieser Option würden Leitlinien für eine wirksamere Durchsetzung der bestehenden EU-Instrumente hinsichtlich ungerechtfertigter Datenlokalisierungsauflagen in Mitgliedstaaten ausgearbeitet. Die Verfügbarkeit für ordnungspolitische Kontrollzwecke würde im Einklang mit den geltenden Vorschriften der Mitgliedstaaten erleichtert. Zudem würden der Wechsel zwischen Cloud-Diensteanbietern und die Übertragung von Daten an einen anderen Anbieter bzw. die Rückübertragung in das IT-System des Nutzers durch EU-Leitlinien für gute Durchführungspraxis erleichtert. Option 2 – Prinzipienbasierte Rechtsetzungsinitiative und Kooperationsrahmen: Bei dieser Option würde der Grundsatz des freien Datenverkehrs innerhalb der EU eingeführt, nach dem ungerechtfertigte Datenlokalisierungsmaßnahmen untersagt wären – sofern diese nicht aus Gründen der nationalen Sicherheit gerechtfertigt sind – und alle neuen Datenlokalisierungsmaßnahmen notifiziert werden müssten. Unternehmen, die Daten in einem anderen Mitgliedstaat speichern und/oder verarbeiten, müssten einer Regulierungsbehörde Daten übermitteln, wenn sie den Vorschriften entsprechend dazu aufgefordert würden. Der Wechsel des Cloud-Diensteanbieters und die Übertragung von Daten an einen anderen Anbieter bzw. die Rückübertragung in die IT-Systeme des Nutzers würden erleichtert und es würden spezifische Vorschriften für zuverlässige einheitliche Standards und/oder Zertifizierungssysteme im Bereich der Sicherheit der Datenspeicherung und/oder Datenverarbeitung erlassen werden. Die von den Mitgliedstaaten zu benennenden zentralen Anlaufstellen und eine aus diesen Stellen zusammengesetzte gesamteuropäische Arbeitsgruppe würden den Austausch und die Zusammenarbeit im Hinblick auf die Ausgestaltung gemeinsamer Ansätze und guter Durchführungspraxis und die wirksame Umsetzung der festgelegten Grundsätze ermöglichen. Variante – Unteroption 2a: Diese Unteroption sieht statt gesetzgeberischer Maßnahmen bzw. Koregulierung im Bereich der Datenübertragung einen Selbstregulierungsansatz vor, mit dem die Bedingungen für die Übertragung von Daten bei Anbieterwechsel oder die Rückübertragung in die IT-Systeme des Nutzers einschließlich etwaiger Verfahren, Fristen und Gebühren verbessert würden. In Bezug auf die Sicherheit der Datenspeicherung und/oder Datenverarbeitung würde bei dieser Unteroption klargestellt, dass bereits bestehende Sicherheitsanforderungen für gewerbliche Nutzer, die ihre Daten in anderen EU-Mitgliedstaaten speichern und/oder verarbeiten, gültig bleiben, auch wenn dies durch Auslagerung, etwa an einen Cloud-Diensteanbieter, erfolgt. Option 3 – Detaillierte Rechtsetzungsinitiative: Bei dieser Option würden vollständig harmonisierte Vorschriften für ungerechtfertigte Datenlokalisierungsauflagen eingeführt (weiße oder schwarze Listen). Ein verbindlicher Kooperationsrahmen würde gewährleisten, dass die Regulierungsbehörden grenzüberschreitend Zugang zu einschlägigen Daten haben. Cloud-Diensteanbieter wären verpflichtet, die Übertragung von Daten zu ermöglichen und einschlägige Verfahren, technische Anforderungen und Kosten ausreichend detailliert offenzulegen. Für die Sicherheit der Datenspeicherung und/oder Datenverarbeitung würden für Cloud-Dienste einheitliche Standards sowie ein gesondertes europäisches Zertifizierungssystem entwickelt.