Was ist digitale Souveränität?
Digitale Souveränität ist die Fähigkeit einer Organisation, ihre Daten, Software und digitale Infrastruktur zu kontrollieren, ohne ausländischen Rechtsordnungen zu unterliegen. Für europäische Organisationen heißt das: Sie nutzen Tools, die Daten in Europa speichern, europäischem Recht unterliegen und unabhängig von außereuropäischen Anbietern verfügbar bleiben.
Der Begriff stammt aus den europäischen Politikdebatten über technologische Abhängigkeit. Seit dem Schrems-II-Urteil im Juli 2020 steht er in den Beschaffungsfragebögen direkt neben den Sicherheits- und Datenschutzprüfungen. Einige verwandte Begriffe werden oft damit verwechselt:
Digitale Autonomie: Eine Region oder ein Staat kann strategische Technologieentscheidungen treffen, ohne von anderen Mächten abhängig zu sein.
Datensouveränität: Eine Organisation kontrolliert bestimmte Datensätze, einschließlich dessen, wer sie nutzen darf und zu welchem Zweck.
Datenresidenz: Daten werden an einem bekannten physischen Ort gespeichert und verarbeitet, etwa in einem Rechenzentrum in Frankfurt.
DSGVO-Konformität: Ein Anbieter erfüllt den Mindeststandard der EU für den Umgang mit personenbezogenen Daten, den jeder Anbieter mit europäischen Kund:innen erfüllen muss.
Der Speicherort zeigt Ihnen, wo Ihre Daten gespeichert sind. Die Rechtsordnung bestimmt, wer rechtlich darauf Zugriff verlangen kann.
Warum digitale Souveränität jetzt zählt
Drei Entwicklungen haben digitale Souveränität von einer Politikdebatte zu einer praktischen Aufgabe gemacht. Es sind das Schrems-II-Urteil, der US CLOUD Act und EU-Initiativen wie die Digitale Dekade und Gaia-X.
Das Schrems-II-Urteil
Am 16. Juli 2020 entschied der Gerichtshof der Europäischen Union (EuGH) in der Rechtssache C-311/18, bekannt als Schrems II. Der Gerichtshof hat das EU-US-Datenschutzschild (Privacy Shield) für ungültig erklärt, über das viele Unternehmen personenbezogene Daten in die USA übermittelten. Standardvertragsklauseln (SCC) blieben gültig, doch Übermittlungen auf dieser Grundlage erfordern seitdem eine Prüfung des Rechts des Ziellands.
Das Urteil hat Übermittlungen in die USA nicht verboten. Jede Übermittlung hat zu einer rechtlichen Abwägung geführt, für die in Ihrer Organisation jemand Verantwortung trägt. Am 10. Juli 2023 verabschiedete die Europäische Kommission den EU-US-Datenschutzrahmen (Data Privacy Framework) als neue Grundlage für Übermittlungen.
Das Gericht der Europäischen Union wies am 3. September 2025 eine Klage gegen diesen Rahmen ab. Ein Rechtsmittel beim EuGH (C-703/25 P) ist mit Stand Oktober 2026 anhängig, Prüfen Sie den aktuellen Stand also, bevor Sie sich darauf verlassen. Tools, die nicht von einem einzigen Übermittlungsrahmen abhängig sind, sind robuster.
Der US CLOUD Act
Der US CLOUD Act wurde 2018 verabschiedet. Er erlaubt es, Anbieter unter US-Rechtshoheit durch eine gültige rechtliche Anordnung zur Herausgabe von Daten zu verpflichten. Das gilt für Daten in ihrem Besitz, ihrer Obhut oder unter ihrer Kontrolle, unabhängig vom Speicherort.
Auch eine europäische Tochtergesellschaft eines US-Unternehmens kann betroffen sein. Nach einer Ausarbeitung der Wissenschaftlichen Dienste des Bundestags hängt es vom Einzelfall ab, ob das Gesetz eine bestimmte Tochtergesellschaft erfasst. Entscheidend ist, wer die Kontrolle über die Daten hat. Ein Anbieter mit US-Muttergesellschaft sollte erklären können, was das für seine eigene Struktur bedeutet.
Der CLOUD Act wirkt über rechtliche Verfahren mit Grenzen; er ermöglicht also keinen pauschalen Zugriff auf EU-Daten. Trotzdem beantwortet „gehostet in Frankfurt“ nur die Frage nach dem Ort.
Die Digitale Dekade der EU und Gaia-X
Das Programm Digitale Dekade der Europäischen Kommission hat Ziele für 2030 festgelegt. Dazu gehören eine breitere Nutzung von Cloud, KI und Big Data in europäischen Unternehmen sowie eine sicherere Edge-Infrastruktur.
Gaia-X ist ein gemeinnütziger Verein, der Spezifikationen, Regeln und einen Prüfrahmen für föderierte, vertrauenswürdige Daten- und Cloud-Dienste entwickelt. Gaia-X betreibt keine eigene Cloud und zertifiziert keine Tools als souverän. Beide Initiativen machen europäische Kapazitäten zur offiziellen Politik, doch keine von beiden sagt Ihnen, ob ein bestimmtes Tool souverän ist.
Digitale Souveränität vs. DSGVO-Konformität: warum das nicht dasselbe ist
DSGVO-Konformität bedeutet, dass ein Tool die EU-Datenschutzregeln einhält. Digitale Souveränität bedeutet, dass das Tool keinen außereuropäischen Rechtsordnungen unterliegt, die diese Regeln aushebeln könnten. Ein US-Tool kann DSGVO-konform sein und dennoch unter den CLOUD Act fallen.
Die DSGVO ist das Fundament. Sie legt den Mindeststandard für die rechtmäßige Verarbeitung, die Betroffenenrechte und die Sicherheit fest. Sie entscheidet jedoch nicht darüber, welche Gerichte auf die Muttergesellschaft eines Anbieters zugreifen können. Digitale Souveränität ist die zusätzliche Ebene, wenn dieses Risiko zählt, meist in drei Situationen:
Sensible Daten wie Gesundheitsdaten, Personalakten und vertrauliche Produktentwürfe wiegen schwerer, wenn eine ausländische Behörde sie anfordert.
Regulierte Branchen: Finanzwesen, Gesundheitswesen und kritische Infrastruktur unterliegen Branchenregeln und Verträgen, die nach Speicherort und Datenkontrolle fragen.
Öffentliche Aufträge: Behörden und ihre Zulieferbetriebe müssen in Ausschreibungen häufig Kriterien zur Souveränität dokumentieren.
Unser Artikel zum Datenschutz made in Europe zeigt, wie EU-Datenschutz über die Mindestanforderungen hinausgeht. Dieser Artikel konzentriert sich auf die Souveränitäts-Ebene und beginnt mit dem Speicherort.
Wo liegen Ihre Daten? Die Frage der Datenresidenz
Datenresidenz ist der physische Ort, an dem Daten gespeichert und verarbeitet werden. Für digitale Souveränität ist sie notwendig, aber nicht ausreichend. Daten, die ein Anbieter mit US-Beteiligung in Frankfurt speichert, können dennoch unter US-Recht fallen.
Anbieter beantworten Fragen zur Datenresidenz oft mit einem kurzen Etikett. Wenn ein Anbieter „EU-Hosting“ sagt, stellen Sie vier Rückfragen:
Primärspeicher: Fragen Sie, welches Land und welches Rechenzentrum Ihre Live-Daten speichern und ob der Vertrag diesen Ort festschreibt.
Backups: Fragen Sie nach den Standorten der Sicherungskopien und der Notfallwiederherstellung, denn sie können sich in einer anderen Region befinden.
Verarbeitung und Supportzugriff: Fragen Sie, wo Daten verarbeitet werden und aus welchen Ländern das Supportpersonal sie einsehen kann.
Verantwortliche Rechtsperson: Fragen Sie, welches Unternehmen die Server betreibt und welche Muttergesellschaft dieses Unternehmen besitzt.
Nehmen wir an, die Einkaufsleitung eines mittelständischen Logistikunternehmens erhält vom Anbieter die Antwort „EU-Hosting“. Speicher und Backups liegen in Deutschland, aber Supporttickets laufen über die US-Muttergesellschaft, die auf Kundendaten zugreifen kann. Das schließt den Anbieter nicht aus, zeigt jedoch, welches Risiko die Einkaufsleitung eingehen würde und welche Bedingungen sie verhandeln sollte.
Eine Checkliste zur Bewertung digitaler Souveränität
Nutzen Sie diese fünf Fragen bei jeder Anbieterprüfung, ob Sie etablierte Plattformen vergleichen oder europäische Alternativen zu US-Tools in die engere Auswahl nehmen. Bitten Sie um schriftliche Antworten, denn auch vage Antworten sind ein Signal.
1. Wo werden die Daten gespeichert und verarbeitet?
Teilen Sie den Ort in drei Bereiche auf: Primärspeicher, Backup-Speicher und Verarbeitung. Ein Anbieter kann Live-Daten in Deutschland speichern und Backups oder Analysen anderswo durchführen. Auch die Verarbeitung zählt, denn Daten sind überall dort exponiert, wo sie gelesen werden.
Akzeptieren Sie nur Antworten, die konkrete Rechenzentrumsstandorte in der EU nennen, etwa Frankfurt oder Paris, denn „EU-Region“ lässt sich nicht überprüfen. Fragen Sie, ob diese Standorte im Vertrag oder im Auftragsverarbeitungsvertrag (AVV) enthalten sind und wie der Anbieter Sie vor einer Änderung informiert.
2. Welche Rechtsordnung gilt?
Das Unternehmen, das den Dienst betreibt, bestimmt, welches Recht gilt. Ein Tool, das ein in den USA ansässiges Unternehmen in Deutschland hostet, kann dennoch US-Recht unterliegen, auch dem CLOUD Act.
Prüfen Sie das im Vertrag genannte Betreiberunternehmen und seinen Sitz, anschließend die Muttergesellschaft und die Eigentümerstruktur. Prüfen Sie zuletzt den Unterauftragsverarbeiter für die Infrastruktur, denn auch ein europäischer Anbieter kann auf einer Cloud-Plattform mit einer außereuropäischen Muttergesellschaft laufen.
3. Wer hat Zugriff und unter welchen Umständen?
Dokumentieren Sie alle Parteien, die auf Ihre Daten zugreifen können, sowie die jeweiligen Zugriffsbedingungen. Berücksichtigen Sie diese Gruppen:
Personal des Anbieters: Klären Sie, welche Rollen Kundendaten einsehen können, aus welchen Ländern und mit welcher Freigabe.
Unterauftragsverarbeiter: Fordern Sie die vollständige Liste an, inklusive dessen, was jeder Dienstleister verarbeitet und wo.
Anbieter der Cloud-Infrastruktur: Prüfen Sie, ob Personal des Hosting-Anbieters auf Ihre Daten zugreifen kann und unter welchem Rechtssystem.
Behörden: Fragen Sie, wie der Anbieter mit behördlichen Anfragen umgeht und ob er Kund:innen informiert, soweit das Gesetz es erlaubt.
Fordern Sie den AVV und die Liste der Unterauftragsverarbeiter vor der Unterschrift an. Beide Dokumente machen mündliche Zusagen überprüfbar.
4. Welche Ausstiegsoptionen gibt es?
Prüfen Sie, ob Sie jederzeit alle Daten in einem Standardformat wie CSV oder JSON exportieren können. Fragen Sie schriftlich nach, was der Export nicht enthält, denn Anhänge, Kommentare oder Verläufe benötigen eventuell eine eigene Lösung.
Das IT-Team einer Kommune kann dies vor Vertragsabschluss testen. Das Team exportiert ein kleines Pilotprojekt und öffnet die Dateien in einem anderen Tool, etwa in einer Tabellenkalkulation. Kommen Aufgaben, Zuständigkeiten und Fälligkeitsdaten vollständig an, hat die Ausstiegsoption einen echten Praxistest bestanden.
5. Welche Zertifizierungen und Standards hat der Anbieter?
Zertifizierungen zeigen betriebliche Reife, doch keine davon belegt für sich allein Souveränität. Achten Sie auf diese Nachweise:
ISO 27001: Dieser internationale Standard regelt das Informationssicherheitsmanagement.
BSI C5: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) legt in diesem Katalog Mindestanforderungen an sicheres Cloud Computing fest.
TISAX: Die ENX Association führt diese Prüfung der Informationssicherheit für die Lieferkette der Automobilindustrie durch.
Auf EU-Ebene entwickelt die EU-Agentur für Cybersicherheit (ENISA) noch das europäische Zertifizierungsschema für Cloud-Dienste (EUCS). Bewerten Sie Angaben zu einer EUCS-Zertifizierung mit Vorsicht, bis das Schema verabschiedet ist.
Digitale Souveränität im öffentlichen Sektor
Öffentliche Stellen stellen strengere Anforderungen an digitale Souveränität als die meisten privaten Unternehmen. Bundesbehörden müssen BSI-C5-Nachweise verlangen, wenn sie externe Cloud-Dienste beschaffen, die dienstliche Daten verarbeiten. Die Europäische Kommission wendet bei ihrer eigenen Cloud-Beschaffung das im Oktober 2025 veröffentlichte Cloud Sovereignty Framework an.
Das Framework bewertet Angebote anhand von Vertrauensstufen von SEAL-0 bis SEAL-4. Es ist ein Beschaffungsinstrument und kein Gesetz, doch andere öffentliche Stellen können seine Skala übernehmen. Nationale Initiativen in Deutschland und Frankreich weisen in dieselbe Richtung:
Deutsche Verwaltungscloud: Der IT-Planungsrat hat diesen Strategierahmen 2021 für einen gemeinsamen Cloud-Ansatz in der öffentlichen Verwaltung beschlossen.
ZenDiS und openDesk: Das Zentrum für Digitale Souveränität der Öffentlichen Verwaltung (ZenDiS) stellt Verwaltungen Open-Source-Angebote wie openDesk zur Verfügung.
SecNumCloud: Die französische Cybersicherheitsbehörde ANSSI vergibt diese Qualifizierung, die Kriterien für EU-Sitz, Eigentum und Schutz vor außereuropäischem Recht umfasst.
Wenn Sie sich auf eine öffentliche Ausschreibung vorbereiten, hilft Ihnen die Checkliste oben, Hosting, Eigentümerstruktur, Unterauftragsverarbeiter, Zertifizierungen und Ausstiegsbedingungen strukturiert zu dokumentieren. Wie ein Anbieter für Aufgabenmanagement diese Fragen beantwortet, zeigt die MeisterTask-Seite für Behörden und den öffentlichen Sektor.
MeisterTask und digitale Souveränität
MeisterTask speichert Projektdaten in einem nach ISO 27001 zertifizierten Rechenzentrum in Frankfurt. Vertragspartner ist die MeisterLabs GmbH mit Sitz in Vaterstetten, Deutschland, die deutschem und europäischem Recht unterliegt. Die Infrastruktur läuft in der Google-Cloud-Region Frankfurt; prüfen Sie daher die Liste der Unterauftragsverarbeiter im AVV anhand Ihrer eigenen Maßstäbe. Auf die Checkliste übertragen, stechen drei Fakten hervor:
Datenresidenz: Die Projektdaten von MeisterTask liegen in Frankfurt, und MeisterLabs ist nach ISO 27001:2022 zertifiziert.
Rechtsordnung und Transparenz: Die AVV nennt neben weiteren Unterauftragsverarbeitern die Google Cloud EMEA Limited, deren Muttergesellschaft in den USA ansässig ist.
Ausstiegsoptionen: Alle Nutzer:innen können Projekte als CSV exportieren, inklusive Aufgaben, zuständiger Personen, Fälligkeitsdaten, Kommentare und Checklisten. Anhänge laden Sie separat herunter, und ein Export Ihrer persönlichen Daten bündelt alle Ihre Projekte und Anhänge in einer ZIP-Datei.
Meister KI kombiniert ein von MeisterLabs entwickeltes Suchmodell mit Modellen von Google und OpenAI, beiden US-Anbietern. Google und OpenAI nutzen die von Meister KI verarbeiteten Informationen nicht zum Training ihrer Modelle. Da „gehostet in Deutschland“ nur für Projektdaten gilt, können Administrator:innen mit MeisterTask Business die KI-Funktionen deaktivieren und das Aufgabenmanagement weiterhin nutzen. Unser Artikel zum Thema „KI-Tools im Team einführen“ zeigt, wie Sie diese Entscheidung abwägen.
Nehmen Sie ein Fertigungsteam, das in seinen Projekten vertrauliche Zeichnungen von Zulieferbetrieben verwendet. Die Administration des Teams deaktiviert die KI-Funktionen, und das Team plant Aufgaben, Fristen und Übergaben weiter in MeisterTask. Details zum Hosting und zur Zertifizierung finden Sie auf der Sicherheitsseite von MeisterTask.
Souveränität bei jeder Tool-Entscheidung mitdenken
Digitale Souveränität ist eine Reihe von Fragen an jeden Anbieter, und kein einzelnes Etikett beantwortet sie. Wenn ein Anbieter von „EU-Hosting“ spricht, prüfen Sie den Speicherort, die Rechtsordnung, den Zugriff, den Ausstieg und die Zertifizierungen, um zu sehen, welche Risiken Sie eingehen.
MeisterTask dokumentiert Hosting-Provider, Unterauftragsverarbeiter und KI-Anbieter, damit Ihr Team sie nach eigenen Maßstäben messen kann.
