Was ist Datensouveränität?

Datensouveränität ist der Grundsatz, dass Daten dem Recht und der Governance des Landes unterliegen, in dem sie erhoben oder gespeichert werden. Wo Ihre Daten physisch liegen und unter wessen Rechtsraum sie fallen, entscheidet darüber, welche Behörde auf sie zugreifen kann, welche Datenschutzregeln gelten und was Sie mit ihnen rechtlich tun dürfen. Mit dem Wechsel auf globale Cloud-Plattformen hörte das auf, ein Detail der Verwaltung zu sein: Ein in Frankfurt erzeugter Datensatz, der auf Servern in Virginia liegt, kann dem Recht zweier Länder zugleich unterliegen, bisweilen einem widersprüchlichen.

Datensouveränität ist wichtig, weil Cloud Computing die Verbindung zwischen dem Ort der Nutzung und dem Ort der Speicherung aufgelöst hat, während die Regulierung sie wieder festzurrte. Gesetze wie die DSGVO begrenzen, wohin personenbezogene Daten gelangen dürfen; geopolitische Sorgen über den Zugriff fremder Regierungen treiben Staaten und Unternehmen zu „souveräner“ Infrastruktur; und ein wachsender Flickenteppich nationaler Lokalisierungsregeln macht die Frage „wo genau liegen diese Daten, und wessen Recht gilt für sie?“ zugleich zu einem Thema von Compliance, Sicherheit und Architektur. Sie zu beantworten setzt voraus zu wissen, wo jeder Datensatz liegt, und das ist eine Fähigkeit der Data Governance.

Datensouveränität im Überblick

Datensouveränität ist der Gedanke, dass digitale Daten an die Rechtsordnung des Landes gebunden sind, in dem sie liegen oder aus dem sie stammen. Die zentrale Folge ist die des Rechtsraums: Wer Daten in einem Land speichert, bringt sie unter das Recht dieses Landes, möglicherweise einschließlich des Rechts dieser Regierung, Zugriff zu erzwingen. Für eine multinationale Organisation heißt das, dass ein einziger logischer Datenbestand mehreren, sich überlagernden und gelegentlich widersprechenden Rechtsordnungen unterliegen kann.

Ihre prägenden Merkmale:

• An den Rechtsraum gebunden - Es geht im Kern darum, wessen Recht gilt, nicht bloß darum, wo Daten gespeichert sind.
• Ortsabhängig - Der physische und rechtliche Ort der Daten entscheidet, welche Regeln und Zugriffsrechte an ihnen haften.
• Mehrschichtig - Dieselben Daten können dem Recht des Speicherorts, des Erhebungsorts und des Sitzlandes der verantwortlichen Organisation unterliegen.
• Teils vorgeschrieben - Manche Rechtsräume verlangen gesetzlich, dass bestimmte Daten ihre Grenzen nicht verlassen.

Souveränität, Residenz, Lokalisierung

Diese drei Begriffe werden regelmäßig synonym gebraucht, meinen aber Verschiedenes, und der Unterschied ist für Compliance wie für Architektur wichtig.

• Datenresidenz (Data Residency) ist der Ort, an dem Daten physisch gespeichert sind, eine fachliche oder technische Wahl. Eine EU-Cloud-Region für Ihre Datenbank zu wählen ist eine Entscheidung über die Datenresidenz.
• Datenlokalisierung ist eine Rechtspflicht, dass bestimmte Daten innerhalb der Landesgrenzen bleiben müssen. Sie ist Datenresidenz, gesetzlich vorgeschrieben.
• Datensouveränität ist der weiteste Begriff: wessen Recht für die Daten gilt, einschließlich der Frage, welche Regierung Zugriff erzwingen kann. Daten können in einem Land liegen und trotzdem für eine fremde Regierung nach deren Recht erreichbar sein, und genau diese Spannung adressiert Souveränität.

Praktisch heißt das: Eine lokale Cloud-Region zu wählen garantiert für sich genommen noch keine Souveränität, weil das Recht des Heimatlandes des Anbieters die Daten weiterhin erreichen kann. Diese Lücke versuchen Angebote für eine „souveräne Cloud“ zu schließen.

Warum das wichtig ist

Datensouveränität ist aus mehreren zusammenlaufenden Gründen von einem Nischenthema zum Mainstream geworden:

• Konzentration in der Cloud. Eine kleine Zahl großer Anbieter, viele davon mit Sitz außerhalb der EU, betreibt einen großen Teil der Cloud-Workloads von Unternehmen, was Fragen nach dem Zugriff fremder Regierungen aufwirft.
• Regulatorischer Druck. Die DSGVO und Branchenregeln begrenzen die grenzüberschreitende Übermittlung personenbezogener Daten und machen den Ort rechtlich folgenreich.
• Geopolitik. Staaten behandeln Daten zunehmend als strategisch und drängen auf „souveräne“ Infrastruktur und digitale Eigenständigkeit.
• Widersprechende Gesetze. Eine Organisation kann nach dem Recht eines Landes zum Schutz von Daten und nach dem eines anderen zu deren Herausgabe verpflichtet sein, eine ohne sorgfältige Platzierung der Daten unauflösbare Zwickmühle.

Die Gesetze dahinter

Mehrere Rechtsinstrumente prägen Datensouveränität in der Praxis:

• Kapitel V DSGVO - Begrenzt die Übermittlung personenbezogener Daten aus der EU und dem EWR. Eine Übermittlung braucht einen Angemessenheitsbeschluss für das Zielland, geeignete Garantien wie Standardvertragsklauseln (SCC) oder, in engen Fällen, eine der Ausnahmen nach Art. 49 DSGVO.
• Schrems II (2020) - Das Urteil des Gerichtshofs der EU vom 16. Juli 2020 (Rechtssache C-311/18), das den EU-US-Privacy-Shield für ungültig erklärte und die Prüfung von Übermittlungen in Länder mit weitreichenden staatlichen Überwachungsbefugnissen verschärfte. Die SCC blieben gültig, doch der Datenexporteur muss prüfen, ob das Recht des Ziellandes ihre Wirkung in der Praxis zulässt.
• EU-US-Datenschutzrahmen (2023) - Der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 erlaubt Übermittlungen an US-Unternehmen, die am Rahmen teilnehmen. Das Gericht der EU wies eine Klage dagegen am 3. September 2025 ab (Rechtssache T-553/23, Latombe/Kommission); ein Rechtsmittel beim Gerichtshof (Rechtssache C-703/25 P) wurde am 31. Oktober 2025 eingelegt und war bei der Aktualisierung dieser Seite im Oktober 2026 noch nicht entschieden.
• US CLOUD Act - Erlaubt US-Behörden, Anbieter, die der US-Gerichtsbarkeit unterliegen, zur Herausgabe von Daten in ihrem Besitz, Gewahrsam oder ihrer Kontrolle zu zwingen, auch wenn diese im Ausland gespeichert sind. Das ist das Musterbeispiel für die Spannung um Souveränität, ausführlich im Glossareintrag zum US CLOUD Act.
• Nationale Lokalisierungsgesetze - Einige Länder verlangen, dass bestimmte Datenkategorien (etwa Gesundheits-, Finanz- oder Verwaltungsdaten) im Inland gespeichert werden.

Zusammen erklären sie den Aufstieg europäischer Datengrenzen-Zusagen und souveräner Cloud-Architekturen: Organisationen versuchen sicherzustellen, dass sowohl die Daten als auch die rechtliche Kontrolle über sie im beabsichtigten Rechtsraum bleiben.

Datensouveränität erreichen

Souveränität lässt sich nicht behaupten, sie muss belegt werden. Und Kontrolle über Daten, die Sie nicht finden, klassifizieren oder nachverfolgen können, lässt sich nicht belegen. Damit wird Data Governance zur praktischen Grundlage jeder Souveränitätsstrategie:

• Ein Datenkatalog inventarisiert die mit ihm verbundenen Datenspeicher und, wo Sie es erfassen, die Region, in der jeder liegt. Das ist die Voraussetzung für jede Aussage über Souveränität.
• Datenklassifizierung erkennt, welche Daten personenbezogen, sensibel oder lokalisierungspflichtig sind, damit Kontrollen dort greifen, wo das Gesetz es verlangt.
• Data Lineage verfolgt, wie Daten über Systeme und Regionen wandern, soweit die Lineage erfasst ist, und legt Übermittlungen offen, die sonst gegen Regeln zur Datenresidenz oder Lokalisierung verstoßen würden.
• Entscheidungen über die Bereitstellung legen fest, wo die Werkzeuge laufen, die Ihre Metadaten halten, und unter welchem Recht. Dawiso läuft als SaaS auf Microsoft Azure, in einer Private Cloud in Ihrem eigenen Azure-, AWS- oder Google-Cloud-Tenant oder vollständig On-Premises. Diese drei Clouds sind US-Anbieter, die dem CLOUD Act unterliegen; wer dieses Risiko ausschließen will, betreibt Dawiso vollständig On-Premises.

Genau hier stützt Dawiso eine Souveränitätsstrategie: eine gesteuerte Karte der Datenlandschaft, die Sie anbinden, also welche Daten es gibt, was sie enthalten, wie Ihre Stewards sie klassifiziert haben und wo sie liegen, damit eine Organisation dokumentieren und nicht nur behaupten kann, dass die richtigen Daten im richtigen Rechtsraum liegen. Dawiso wird von einem europäischen Unternehmen mit Sitz in Prag entwickelt; in hybriden Setups werden nur Metadaten sowie gegebenenfalls von Ihnen aktivierte Datenstichproben an den Cloud-Katalog von Dawiso übertragen, und jeder Kunde hat einen eigenen Metadatenspeicher. Dawiso setzt Datenresidenz oder Zugriffe nicht selbst durch: Die Architektur entscheidet, wo Daten liegen; Governance ist das, womit Sie wissen und belegen, dass sie dort liegen, wo sie sollen. Dieselbe Karte kann auch die Dokumentation für Übermittlungen nach der DSGVO sowie für DORA und NIS2 stützen.

Fazit

Datensouveränität ist die Einsicht, dass Daten nie wirklich „in der Cloud“ sind: Sie sind immer irgendwo, unter dem Recht von irgendjemandem. Je stärker Regulierung und Geopolitik dieses Irgendwo aufwerten, desto besser kommen die Organisationen zurecht, die schnell und mit Belegen sagen können, wo jeder Datenbestand liegt und wessen Regeln für ihn gelten. Diese Antwort ist kein Architekturdiagramm, sondern ein lebendes, gesteuertes Inventar der Datenlandschaft. Souveränität ist ein rechtlicher Begriff, aber gewonnen oder verloren wird sie an der Qualität Ihrer Data Governance.

Quellen

• DSGVO Chapter V, Transfers of personal data to third countries or international organisations (Art. 44 bis 50 DSGVO).
• DSGVO Article 45, Transfers on the basis of an adequacy decision.
• DSGVO Article 46, Transfers subject to appropriate safeguards.
• DSGVO Article 49, Derogations for specific situations.
• Gerichtshof der EU, Press release No 91/20, Judgment in Case C-311/18 (Schrems II) (16. Juli 2020).
• Europäische Kommission, EU-US data transfers.
• Gericht der EU, Press release No 106/25, Judgment in Case T-553/23 (Latombe v Commission) (3. September 2025).
• EUR-Lex, Case C-703/25 P, Appeal brought on 31 October 2025 by Philippe Latombe.
• Cornell LII, 18 U.S. Code 2713, Required preservation and disclosure of communications and records.
• Dawiso, Enterprise Deployment.