Warum europäische Datensouveränität die Entscheidung für einen Datenkatalog neu prägt

Lange war die Frage, wo ein Datenkatalog läuft, eine Sache der Infrastruktur und wurde geklärt, nachdem die Funktionen gewählt waren. In Europa hat sich diese Reihenfolge umgekehrt. Immer häufiger fragen Käufer zuerst nicht, was der Katalog kann, sondern wo er laufen kann und wer gezwungen werden kann, ihn zu öffnen.

Diese Verschiebung ist praktisch, nicht ideologisch. Teams, die den Wechsel weg von einer Plattform mit US-Hauptsitz prüfen, nennen heute den souveränen Betrieb als einen der wichtigsten Beweggründe, noch vor Preis oder Funktionsumfang. Kann ein Anbieter nicht in einer vom Kunden kontrollierten europäischen Umgebung laufen, oder setzen seine Konnektoren ein öffentliches SaaS-Modell voraus, das eine private oder regulierte Cloud nicht zulässt, endet die Prüfung dort. Der Katalog hält die Landkarte der gesamten Datenlandschaft eines Unternehmens, und wo diese Karte liegt und wessen Recht sie erreicht, ist keine Nebensache.

Zwei Kräfte haben die Souveränität nach oben gerückt. Die Rechtsgrundlage dafür, europäische Daten in US-kontrollierte Systeme zu geben, wird vor Gericht immer wieder angegriffen. Und die europäische Politik hat aus Souveränität eine messbare Anforderung in der Beschaffung gemacht. Beides sollte man verstanden haben, bevor man sich für einen Katalog entscheidet, den man jahrelang betreiben wird.

Souveränität wird oft auf „die Daten liegen in einer EU-Region“ verkürzt. Das ist nötig, aber nicht ausreichend. Datensouveränität heißt, dass Ihre Daten allein dem Recht der von Ihnen gewählten Rechtsordnung unterliegen und dass keine fremde Behörde still und leise Zugriff erzwingen kann. Bei einem Katalog entscheiden darüber vier getrennte Prüfungen.

Die erste ist das Eigentum: Wem gehört das Unternehmen hinter dem Produkt? Die zweite ist der Betrieb: Wer führt die Plattform tatsächlich und hält die Schlüssel? Die dritte ist der Datenstandort: Wo liegen Daten und Metadaten physisch? Die vierte, und die am häufigsten übersehene, ist die Rechtsordnung: Wessen Recht muss das betreibende Unternehmen befolgen, wenn eine Anordnung kommt?

Ein Katalog kann die Prüfung des Datenstandorts bestehen und an den anderen scheitern. Ein Anbieter mit US-Hauptsitz kann Ihre Metadaten in Frankfurt speichern und dennoch der US-Rechtsordnung unterliegen. Genau diese Lücke zwischen „Daten in der EU“ und „außerhalb fremder Rechtsreichweite“ ist der springende Punkt, und dort sitzt das rechtliche Risiko.

Das konkrete Risiko hat einen Namen. Der US CLOUD Act von 2018 erlaubt es US-Behörden, einen Anbieter mit Sitz in den USA zur Herausgabe von Daten zu zwingen, die er besitzt, in Gewahrsam hat oder kontrolliert, unabhängig davon, wo diese Daten physisch liegen. Metadaten in einem EU-Rechenzentrum zu speichern bringt sie nicht außer Reichweite, wenn das betreibende Unternehmen der US-Rechtsordnung unterliegt. Die Pflicht kann ein US-Unternehmen treffen und, je nach Grad der Kontrolle, auch seine Tochtergesellschaften.

Für ein europäisches Unternehmen entsteht daraus ein unmittelbarer Widerspruch zur DSGVO. Gibt ein US-Anbieter Ihre Daten aufgrund einer Anordnung nach dem CLOUD Act an US-Behörden heraus, kann diese Übermittlung selbst die DSGVO verletzen und Sie auf beiden Seiten angreifbar machen. Der Katalog ist dabei ein besonders empfindliches Ziel, denn er beschreibt, welche Daten Sie halten, wohin sie fließen und wer sie verantwortet. Diese Karte ist schützenswert.

Die übliche Beruhigung ist das EU-US Data Privacy Framework, der Angemessenheitsbeschluss, der diese Übermittlungen seit Juli 2023 trägt. Seine Grundlage ist umstritten. Am 29. Juni 2026 schwächte ein Urteil des US Supreme Court in Trump v. Slaughter die Unabhängigkeit des Rechtsbehelfs, auf den sich der Rahmen stützt, und die Datenschutzorganisation noyb kündigte eine neue Klage an, die weithin Schrems III genannt wird. Die beiden Vorgänger, Safe Harbor und Privacy Shield, wurden beide vom Gerichtshof der Europäischen Union gekippt. Der Rahmen gilt heute, doch eine Datenplattform für mehrere Jahre auf einem Mechanismus mit dieser Vorgeschichte aufzubauen ist eine Wette, die immer mehr europäische Teams ablehnen.

Nichts davon ist mehr bloße Politikdebatte. Europäische Institutionen machen Souveränität messbar und kaufen danach ein. Im Juni 2026 legte die Europäische Kommission ein Cloud Sovereignty Framework vor, das Anbieter anhand von acht Zielen bewertet, von rechtlicher Kontrolle und Rechtsordnung über die Lieferkette und die Sicherheit bis zur ökologischen Nachhaltigkeit, und sie in Sovereignty Effectiveness Assurance Levels bis hinauf zu SEAL-4 einstuft, der Stufe voller Souveränität.

Die Ausgaben folgen dem Rahmen. Im April 2026 vergab die Kommission einen Auftrag für souveräne Cloud im Wert von 180 Millionen Euro über sechs Jahre an vier europäische Anbieter, mit SEAL-2 als Mindestanforderung an die Souveränität. Industrielle Vorhaben wie EuroStack arbeiten daran, eine europäische Alternative über Cloud, KI und Identität hinweg aufzubauen.

Eine realistische Anmerkung gehört dazu. Kein ernsthafter Beobachter erwartet, dass europäische Unternehmen die US-Hyperscaler 2026 auf breiter Front verlassen, und die wenigsten werden es tun. Der Punkt ist enger und gilt bereits: Souveränität ist ein bewertetes, mit Geld hinterlegtes Kriterium geworden, und es wandert von öffentlichen Institutionen hinunter in regulierte Branchen und zu privaten Käufern. Ein heute gewählter Datenkatalog wird daran über Jahre gemessen.

Nimmt man die vier Prüfungen zusammen, wird die Gestalt eines souveränen Katalogs klar. Er wird von einem Unternehmen innerhalb der EU gebaut und gehalten, sodass keine fremde Muttergesellschaft an seiner Stelle gezwungen werden kann. Er lässt sich von Ihnen betreiben, in einer Infrastruktur, die Sie kontrollieren, und nicht nur als öffentliches SaaS. Seine Daten und Metadaten liegen dort, wo Sie es bestimmen, in einer EU-Rechtsordnung oder in Ihrem eigenen Haus. Und das Unternehmen dahinter unterliegt dem EU-Recht.

Zwei technische Entscheidungen machen das praktisch statt bloß wünschenswert. Die erste ist die Flexibilität beim Betrieb: Derselbe Katalog sollte als betreutes SaaS, in einer privaten Cloud in Ihrem eigenen EU-Tenant oder vollständig On-Premise laufen, ohne dass es für jede Variante ein anderes Produkt braucht. Die zweite ist ein Aufbau, der nur Metadaten überträgt und je Kunde getrennt ist. In gemischten Aufbauten verlassen allein Metadaten Ihre Umgebung, während sensible Daten bleiben, wo sie sind, und jeder Kunde bekommt einen eigenen Speicher für Metadaten statt einer gemeinsamen Datenbank für viele Mandanten. Diese Kombination trägt die Pflichten aus DSGVO, ISO 27001 und SOC 2 und hält Klassifizierung und Governance innerhalb Ihres Perimeters.

Genau hier geraten viele etablierte Kataloge mit US-Hauptsitz ins Stocken. Eine auf SaaS hin gebaute Architektur lässt sich nur schwer in eine private oder abgeschottete europäische Cloud einpassen, und Konnektoren, die für ein öffentliches Modell gebaut wurden, können an einer streng abgeriegelten privaten scheitern. Die Abwägungen vergleichen wir ausführlich auf unserer Seite Dawiso gegen Collibra. Der Unterschied liegt selten im Können. Er liegt darin, ob die Plattform dort leben kann, wo ein souveräner Käufer sie haben muss.

Dawiso wurde von einem europäischen Unternehmen gebaut und wird von Europäern betrieben, und es ist darauf angelegt, überall dort zu laufen, wohin Ihre Anforderungen an Souveränität zeigen. Sie können es in einer privaten Cloud in Ihrem eigenen Azure-, Google- oder AWS-Tenant betreiben oder vollständig On-Premise, sodass Plattform und Daten in einer Umgebung und einer Rechtsordnung bleiben, die Sie kontrollieren. Ein betreutes SaaS-Angebot auf Azure gibt es für Teams, die es wollen, doch der souveräne Weg hängt nicht daran.

Die Architektur passt zu diesem Betriebsmodell. In gemischten Aufbauten werden nur Metadaten übertragen, Ihre sensiblen Daten verlassen Ihre Seite nie, und jeder Kunde hat einen eigenen Speicher für Metadaten statt einer gemeinsamen Datenbank für viele Mandanten, was DSGVO, ISO 27001 und SOC 2 trägt. Darauf läuft der komplette Governance-Stack: ein Datenkatalog, ein Business Glossary und interaktive Data Lineage, dazu ein Context Layer, der KI geregelte Bedeutung liefert. Sie bekommen moderne, KI-ready Data Governance, ohne die Kontrolle darüber abzugeben, wo sie liegt und wessen Recht sie erreicht.

Für europäische Käufer müssen Souveränität und Leistungsfähigkeit nicht länger gegeneinander stehen. Der Katalog kann zugleich fachlich zugänglich, KI-ready und vollständig unter Ihrer Kontrolle sein. Genau diese Verbindung beginnt der Markt zu verlangen, und sie ist der Boden, auf dem zu bauen sich lohnt.