--- title: "Datensouveränität und der europäische Data Catalog | Dawiso Blog" description: "US-Datenkataloge stehen im Zugriff des CLOUD Act, die EU-Transferregeln wanken. Warum Souveränität die Katalogwahl prägt und wie Sie den Katalog kontrollieren." url: "https://www.dawiso.com/de/blog-post/european-data-sovereignty-data-catalog" language: "de" --- # Warum europäische Datensouveränität die Entscheidung für einen Datenkatalog neu prägt Samuel Nagy VP of Strategic Growth \3. Juli 2026 Für europäische Unternehmen ist es zu einem echten Entscheidungskriterium geworden, wo ein Datenkatalog läuft und wer gezwungen werden kann, ihn zu öffnen, und nicht bloß zu einer Fußnote in der Beschaffung. Der souveräne Betrieb ist heute einer der wichtigsten Gründe, warum Teams Plattformen mit US-Hauptsitz verlassen, und der rechtliche Boden unter grenzüberschreitenden Datentransfers verschiebt sich weiter. ## Vom Nice-to-have zum Entscheidungskriterium Lange war die Frage, wo ein [Datenkatalog](https://www.dawiso.com/de/product/data-catalog) läuft, eine Sache der Infrastruktur und wurde geklärt, nachdem die Funktionen gewählt waren. In Europa hat sich diese Reihenfolge umgekehrt. Immer häufiger fragen Käufer zuerst nicht, was der Katalog kann, sondern wo er laufen kann und wer gezwungen werden kann, ihn zu öffnen. Diese Verschiebung ist praktisch, nicht ideologisch. Teams, die den Wechsel weg von einer Plattform mit US-Hauptsitz prüfen, nennen heute den **souveränen Betrieb als einen der wichtigsten Beweggründe**, noch vor Preis oder Funktionsumfang. Kann ein Anbieter nicht in einer vom Kunden kontrollierten europäischen Umgebung laufen, oder setzen seine Konnektoren ein öffentliches SaaS-Modell voraus, das eine private oder regulierte Cloud nicht zulässt, endet die Prüfung dort. Der Katalog hält die Landkarte der gesamten Datenlandschaft eines Unternehmens, und wo diese Karte liegt und wessen Recht sie erreicht, ist keine Nebensache. Zwei Kräfte haben die Souveränität nach oben gerückt. Die Rechtsgrundlage dafür, europäische Daten in US-kontrollierte Systeme zu geben, wird vor Gericht immer wieder angegriffen. Und die europäische Politik hat aus Souveränität eine messbare Anforderung in der Beschaffung gemacht. Beides sollte man verstanden haben, bevor man sich für einen Katalog entscheidet, den man jahrelang betreiben wird. ## Was „souverän“ für einen Datenkatalog wirklich heißt Souveränität wird oft auf „die Daten liegen in einer EU-Region“ verkürzt. Das ist nötig, aber nicht ausreichend. [Datensouveränität](https://www.dawiso.com/de/glossary/data-sovereignty) heißt, dass Ihre Daten allein dem Recht der von Ihnen gewählten Rechtsordnung unterliegen und dass keine fremde Behörde still und leise Zugriff erzwingen kann. Bei einem Katalog entscheiden darüber vier getrennte Prüfungen. Die erste ist das **Eigentum**: Wem gehört das Unternehmen hinter dem Produkt? Die zweite ist der **Betrieb**: Wer führt die Plattform tatsächlich und hält die Schlüssel? Die dritte ist der **Datenstandort**: Wo liegen Daten und Metadaten physisch? Die vierte, und die am häufigsten übersehene, ist die **Rechtsordnung**: Wessen Recht muss das betreibende Unternehmen befolgen, wenn eine Anordnung kommt? Ein Katalog kann die Prüfung des Datenstandorts bestehen und an den anderen scheitern. Ein Anbieter mit US-Hauptsitz kann Ihre Metadaten in Frankfurt speichern und dennoch der US-Rechtsordnung unterliegen. Genau diese Lücke zwischen „Daten in der EU“ und „außerhalb fremder Rechtsreichweite“ ist der springende Punkt, und dort sitzt das rechtliche Risiko. ## Das rechtliche Risiko hinter dem SaaS-Katalog Das konkrete Risiko hat einen Namen. Der [US CLOUD Act](https://www.edpb.europa.eu/sites/default/files/files/file2/edpb_edps_joint_response_us_cloudact_annex.pdf) von 2018 erlaubt es US-Behörden, einen Anbieter mit Sitz in den USA zur Herausgabe von Daten zu zwingen, die er besitzt, in Gewahrsam hat oder kontrolliert, **unabhängig davon, wo diese Daten physisch liegen**. Metadaten in einem EU-Rechenzentrum zu speichern bringt sie nicht außer Reichweite, wenn das betreibende Unternehmen der US-Rechtsordnung unterliegt. Die Pflicht kann ein US-Unternehmen treffen und, je nach Grad der Kontrolle, auch seine Tochtergesellschaften. Für ein europäisches Unternehmen entsteht daraus ein unmittelbarer Widerspruch zur [DSGVO](https://www.dawiso.com/de/glossary/gdpr). Gibt ein US-Anbieter Ihre Daten aufgrund einer Anordnung nach dem CLOUD Act an US-Behörden heraus, kann diese Übermittlung selbst die DSGVO verletzen und Sie auf beiden Seiten angreifbar machen. Der Katalog ist dabei ein besonders empfindliches Ziel, denn er beschreibt, welche Daten Sie halten, wohin sie fließen und wer sie verantwortet. Diese Karte ist schützenswert. Die übliche Beruhigung ist das [EU-US Data Privacy Framework](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en), der Angemessenheitsbeschluss, der diese Übermittlungen seit Juli 2023 trägt. Seine Grundlage ist umstritten. Am 29. Juni 2026 schwächte ein [Urteil des US Supreme Court](https://noyb.eu/en/us-supreme-court-just-blew-eu-us-data-transfers) in Trump v. Slaughter die Unabhängigkeit des Rechtsbehelfs, auf den sich der Rahmen stützt, und die Datenschutzorganisation noyb kündigte eine neue Klage an, die weithin Schrems III genannt wird. Die beiden Vorgänger, Safe Harbor und Privacy Shield, wurden beide vom Gerichtshof der Europäischen Union gekippt. Der Rahmen gilt heute, doch eine Datenplattform für mehrere Jahre auf einem Mechanismus mit dieser Vorgeschichte aufzubauen ist eine Wette, die immer mehr europäische Teams ablehnen. ## Souveränität wird zum Maßstab in der Beschaffung Nichts davon ist mehr bloße Politikdebatte. Europäische Institutionen machen Souveränität messbar und kaufen danach ein. Im Juni 2026 legte die Europäische Kommission ein [Cloud Sovereignty Framework](https://commission.europa.eu/news-and-media/news/sovereign-cloud-framework-explained-2026-06-01_en) vor, das Anbieter anhand von acht Zielen bewertet, von rechtlicher Kontrolle und Rechtsordnung über die Lieferkette und die Sicherheit bis zur ökologischen Nachhaltigkeit, und sie in Sovereignty Effectiveness Assurance Levels bis hinauf zu SEAL-4 einstuft, der Stufe voller Souveränität. Die Ausgaben folgen dem Rahmen. Im April 2026 [vergab die Kommission einen Auftrag für souveräne Cloud im Wert von 180 Millionen Euro über sechs Jahre](https://commission.europa.eu/news-and-media/news/commission-advances-cloud-sovereignty-through-strategic-procurement-2026-04-17_en) an vier europäische Anbieter, mit SEAL-2 als Mindestanforderung an die Souveränität. Industrielle Vorhaben wie [EuroStack](https://eurostack.eu/) arbeiten daran, eine europäische Alternative über Cloud, KI und Identität hinweg aufzubauen. Eine realistische Anmerkung gehört dazu. Kein ernsthafter Beobachter erwartet, dass europäische Unternehmen die US-Hyperscaler 2026 auf breiter Front verlassen, und die wenigsten werden es tun. Der Punkt ist enger und gilt bereits: Souveränität ist ein bewertetes, mit Geld hinterlegtes Kriterium geworden, und es wandert von öffentlichen Institutionen hinunter in regulierte Branchen und zu privaten Käufern. Ein heute gewählter Datenkatalog wird daran über Jahre gemessen. ## Wie ein souveräner Datenkatalog aussieht Nimmt man die vier Prüfungen zusammen, wird die Gestalt eines souveränen Katalogs klar. Er wird von einem Unternehmen innerhalb der EU gebaut und gehalten, sodass keine fremde Muttergesellschaft an seiner Stelle gezwungen werden kann. Er lässt sich von Ihnen betreiben, in einer Infrastruktur, die Sie kontrollieren, und nicht nur als öffentliches SaaS. Seine Daten und Metadaten liegen dort, wo Sie es bestimmen, in einer EU-Rechtsordnung oder in Ihrem eigenen Haus. Und das Unternehmen dahinter unterliegt dem EU-Recht. Zwei technische Entscheidungen machen das praktisch statt bloß wünschenswert. Die erste ist die **Flexibilität beim Betrieb**: Derselbe Katalog sollte als betreutes SaaS, in einer privaten Cloud in Ihrem eigenen EU-Tenant oder vollständig On-Premise laufen, ohne dass es für jede Variante ein anderes Produkt braucht. Die zweite ist ein Aufbau, der **nur Metadaten überträgt und je Kunde getrennt ist**. In gemischten Aufbauten verlassen allein Metadaten Ihre Umgebung, während sensible Daten bleiben, wo sie sind, und jeder Kunde bekommt einen eigenen Speicher für Metadaten statt einer gemeinsamen Datenbank für viele Mandanten. Diese Kombination trägt die Pflichten aus [DSGVO](https://www.dawiso.com/de/glossary/gdpr), ISO 27001 und SOC 2 und hält [Klassifizierung](https://www.dawiso.com/de/glossary/data-classification) und [Governance](https://www.dawiso.com/de/glossary/data-governance) innerhalb Ihres Perimeters. Genau hier geraten viele etablierte Kataloge mit US-Hauptsitz ins Stocken. Eine auf SaaS hin gebaute Architektur lässt sich nur schwer in eine private oder abgeschottete europäische Cloud einpassen, und Konnektoren, die für ein öffentliches Modell gebaut wurden, können an einer streng abgeriegelten privaten scheitern. Die Abwägungen vergleichen wir ausführlich auf unserer Seite [Dawiso gegen Collibra](https://www.dawiso.com/de/competitors/collibra). Der Unterschied liegt selten im Können. Er liegt darin, ob die Plattform dort leben kann, wo ein souveräner Käufer sie haben muss. ## Wo Dawiso hineinpasst Dawiso wurde von einem europäischen Unternehmen gebaut und wird von Europäern betrieben, und es ist darauf angelegt, überall dort zu laufen, wohin Ihre Anforderungen an Souveränität zeigen. Sie können es in einer privaten Cloud in Ihrem eigenen Azure-, Google- oder AWS-Tenant betreiben oder vollständig On-Premise, sodass Plattform und Daten in einer Umgebung und einer Rechtsordnung bleiben, die Sie kontrollieren. Ein betreutes SaaS-Angebot auf Azure gibt es für Teams, die es wollen, doch der souveräne Weg hängt nicht daran. Die Architektur passt zu diesem Betriebsmodell. In gemischten Aufbauten werden nur Metadaten übertragen, Ihre sensiblen Daten verlassen Ihre Seite nie, und jeder Kunde hat einen eigenen Speicher für Metadaten statt einer gemeinsamen Datenbank für viele Mandanten, was DSGVO, ISO 27001 und SOC 2 trägt. Darauf läuft der komplette Governance-Stack: ein [Datenkatalog](https://www.dawiso.com/de/product/data-catalog), ein [Business Glossary](https://www.dawiso.com/de/product/business-glossary) und interaktive [Data Lineage](https://www.dawiso.com/de/product/interactive-data-lineage), dazu ein [Context Layer](https://www.dawiso.com/de/context-layer), der KI geregelte Bedeutung liefert. Sie bekommen moderne, KI-ready Data Governance, ohne die Kontrolle darüber abzugeben, wo sie liegt und wessen Recht sie erreicht. Für europäische Käufer müssen Souveränität und Leistungsfähigkeit nicht länger gegeneinander stehen. Der Katalog kann zugleich fachlich zugänglich, KI-ready und vollständig unter Ihrer Kontrolle sein. Genau diese Verbindung beginnt der Markt zu verlangen, und sie ist der Boden, auf dem zu bauen sich lohnt. ## FAQ **Was bedeutet Datensouveränität für einen Datenkatalog?** Datensouveränität heißt, dass Ihre Daten allein dem Recht der von Ihnen gewählten Rechtsordnung unterliegen und dass keine fremde Behörde Zugriff erzwingen kann. Bei einem Datenkatalog entscheiden darüber vier Dinge: Wem gehört der Anbieter, wer betreibt die Plattform, wo liegen Daten und Metadaten physisch, und wessen Recht befolgt das betreibende Unternehmen? Für ein europäisches Unternehmen ist ein Katalog dann souverän, wenn er vollständig in einer von Ihnen kontrollierten Umgebung laufen kann, in einer EU-Rechtsordnung, betrieben von einem Unternehmen, das für eine Anordnung von außerhalb der EU nicht erreichbar ist. **Gilt der US CLOUD Act für Daten, die in der EU liegen?** Ja, wenn der Anbieter seinen Sitz in den USA hat. Der CLOUD Act von 2018 erlaubt es US-Behörden, US-Anbieter zur Herausgabe von Daten zu zwingen, die sie besitzen, in Gewahrsam haben oder kontrollieren, unabhängig davon, wo diese Daten physisch liegen, auch in EU-Rechenzentren. Daten in einer europäischen Region zu speichern nimmt sie nicht aus der Reichweite, wenn das betreibende Unternehmen der US-Rechtsordnung unterliegt. Genau deshalb kann eine Anordnung nach dem CLOUD Act ein europäisches Unternehmen in einen unmittelbaren Widerspruch zur DSGVO bringen. **Ist das EU-US Data Privacy Framework eine verlässliche Grundlage für Übermittlungen?** Es gilt, doch seine Beständigkeit ist umstritten. Der Rahmen ist seit Juli 2023 die Rechtsgrundlage für Übermittlungen zwischen EU und USA, doch ein Urteil des US Supreme Court vom 29. Juni 2026 schwächte das Argument der Unabhängigkeit im Zentrum seines Rechtsbehelfs, und noyb hat eine neue Klage angekündigt, die oft Schrems III genannt wird. Zwei frühere Regelungen, Safe Harbor und Privacy Shield, wurden vom Gerichtshof der Europäischen Union gekippt. Eine Datenplattform um einen Mechanismus mit dieser Vorgeschichte herum zu planen ist ein Risiko, das viele europäische Teams nicht mehr tragen wollen. **Kann Dawiso ohne jede Abhängigkeit von US-kontrollierter Infrastruktur laufen?** Ja. Dawiso ist in europäischer Hand und wird von Europäern betrieben, und es kann in einer privaten Cloud in Ihrem eigenen EU-Tenant oder vollständig On-Premise laufen, sodass Plattform und Daten in einer Umgebung und einer Rechtsordnung bleiben, die Sie kontrollieren. In gemischten Aufbauten werden nur Metadaten übertragen, und jeder Kunde hat einen eigenen Speicher für Metadaten statt einer gemeinsamen Datenbank für viele Mandanten. Ein betreutes SaaS-Angebot auf Azure gibt es ebenfalls für Teams, die es vorziehen, doch der souveräne Weg hängt nicht daran. [In Aktion erleben](https://www.dawiso.com/de/product/enterprise-deployment-built-for-flexibility-and-security) Betreiben Sie einen Katalog, den Sie kontrollieren Betreiben Sie Dawiso in einer privaten Cloud in Ihrem eigenen EU-Tenant oder vollständig On-Premise, betrieben von einem europäischen Unternehmen. Geregelte Daten, zu Ihren Bedingungen. ### Inhalt Vom Nice-to-have zum EntscheidungskriteriumWas „souverän“ für einen Datenkatalog wirklich heißtDas rechtliche Risiko hinter dem SaaS-KatalogSouveränität wird zum Maßstab in der BeschaffungWie ein souveräner Datenkatalog aussiehtWo Dawiso hineinpasstFAQ ## Mehr zum Thema Lesen Sie weiter und tauchen Sie tiefer in unsere neuesten Beiträge zu Metadatenmanagement und mehr ein: ### [Flexibler Betrieb für Data Governance: SaaS, On-Premise und hybrid](https://www.dawiso.com/de/blog-post/flexible-deployment-for-data-governance-saas-on-prem-and-hybrid) Flexibler Betrieb ist in regulierten Branchen kein Extra, sondern eine Voraussetzung. Vergleichen Sie die Abwägungen und finden Sie das richtige Modell für Ihre Organisation. Weiterlesen ### [Collibra-Alternative: 6 Gründe, warum Dawiso besser für moderne Data Governance ist](https://www.dawiso.com/de/blog-post/collibra-alternative) Collibra ist leistungsstark, passt aber nicht immer. Was Unternehmen nach Alternativen suchen lässt und wie Dawiso die Lücken schließt. Weiterlesen ### [Die Architektur der Metadatenübernahme in Dawiso](https://www.dawiso.com/de/blog-post/data-ingestion-architecture-in-dawiso-explained) Daten verlässlich von der Quelle zum Ziel zu bringen, ist schwerer, als es aussieht. Ein praktischer Überblick für Data Engineers, wie Dawiso Daten übernimmt. Weiterlesen