Was ist Datensouveränität, und warum ist sie für Ihre Daten wichtig?

Was bedeutet Datensouveränität?

Datensouveränität ist das Prinzip, dass Daten dem Recht und der Kontrolle einer gewählten Rechtsordnung unterliegen, für europäische Organisationen in der Praxis der EU. Sie geht weiter als die Frage, in welchem Land Ihr Rechenzentrum steht.

Nehmen wir an, Ihre Geschäftsführung stellt drei Fragen: Wo liegen unsere Kundendaten, welche Staaten könnten sie verlangen, und könnten wir weiterarbeiten, wenn unser wichtigster Cloud-Anbieter ausfällt oder nicht mehr vertrauenswürdig ist? Datensouveränität ist die Summe der Antworten. Sie gehört außerdem fest ins Risikomanagement nach NIS2, das wir auf unserer Seite NIS2 Compliance behandeln.

Kurz gesagt: Bei der Residenz geht es um Geografie, bei der Souveränität um Rechtsordnung und Kontrolle.

Warum ist der US CLOUD Act für Daten in der EU relevant?

Weil er dem Anbieter folgt, nicht dem Rechenzentrum. Der CLOUD Act erlaubt es US-Behörden, von US-Anbietern die Herausgabe von Daten zu verlangen, die sie kontrollieren, auch wenn diese in der EU gespeichert sind.

Die zentrale Vorschrift, 18 U.S.C. § 2713, im März 2018 eingefügt, verpflichtet einen Anbieter, Daten offenzulegen, die „sich im Besitz, in der Obhut oder unter der Kontrolle des Anbieters befinden, unabhängig davon, ob sich diese Kommunikation, Aufzeichnung oder sonstige Information innerhalb oder außerhalb der Vereinigten Staaten befindet“. Die CLOUD-Act-Ressourcen des US-Justizministeriums nennen außerdem Regierungsabkommen mit dem Vereinigten Königreich und Australien sowie EU-US-Verhandlungen, die im März 2023 wieder aufgenommen wurden.

US-Anbieter haben mit Angeboten in der EU reagiert. Die EU Data Boundary von Microsoft sagt zum Beispiel zu, Kundendaten von Microsoft 365 und Azure in der EU und der EFTA zu speichern und zu verarbeiten, mit begrenzten, dokumentierten Ausnahmen. Das verbessert die Residenz. An den Eigentumsverhältnissen des Anbieters ändert es nichts. Als eine Untersuchung des französischen Senats im Juni 2025 Anton Carniaux von Microsoft France fragte, ob er garantieren könne, dass französische Daten nicht ohne Zustimmung Frankreichs an US-Behörden weitergegeben würden, antwortete er laut The Register „Nein, das kann ich nicht garantieren“ und fügte hinzu, dass es nie vorgekommen sei.

Das EU-Recht hält dagegen. Art. 48 DSGVO bestimmt, dass ein Urteil eines Gerichts oder eine Entscheidung einer Behörde aus einem Drittland, die eine Übermittlung personenbezogener Daten verlangt, nur dann anerkannt oder vollstreckbar werden kann, wenn sie auf einer internationalen Übereinkunft wie einem Rechtshilfeabkommen beruht. Ein Anbieter kann dadurch zwischen beide Rechtsordnungen geraten.

Reicht das EU-US Data Privacy Framework aus?

Es ist heute eine gültige Rechtsgrundlage für die Übermittlung personenbezogener Daten an zertifizierte US-Unternehmen. Es ist aber angefochten, und es beseitigt den Zugriff von US-Strafverfolgungsbehörden nach dem CLOUD Act nicht.

Die Europäische Kommission erließ ihren Angemessenheitsbeschluss für das EU-US Data Privacy Framework im Juli 2023. Am 3. September 2025 wies das Gericht der Europäischen Union eine Klage des französischen Abgeordneten Philippe Latombe ab, wie IAPP berichtete. Es ist das dritte Rahmenwerk für Datenübermittlungen zwischen der EU und den USA, das EU-Gerichte in einem Jahrzehnt geprüft haben, nach Safe Harbor (2015 gekippt) und Privacy Shield (2020). Latombe legte am 31. Oktober 2025 Rechtsmittel beim Gerichtshof ein, und der Fall ist anhängig, laut WilmerHale.

Für die Risikoplanung zählt diese Geschichte mehr als jedes einzelne Urteil. Hängt Ihre Wiederherstellung vollständig von einem Übermittlungsmechanismus ab, der schon zweimal gekippt wurde, tragen Sie neben dem technischen auch ein rechtliches Risiko.

Wie definiert die Europäische Kommission Cloud-Souveränität?

Über ihr Cloud Sovereignty Framework, ein Bewertungsmodell für die Beschaffung, das im Oktober 2025 veröffentlicht wurde. Es ist für die eigenen Cloud-Ausschreibungen der Kommission geschrieben, eignet sich aber als Checkliste für jeden.

Das Cloud Sovereignty Framework (Version 1.2.1) bewertet Anbieter anhand von acht Zielen:

1. Strategische Souveränität
2. Rechtliche und juristische Souveränität
3. Daten- und KI-Souveränität
4. Operative Souveränität
5. Souveränität der Lieferkette
6. Technologische Souveränität
7. Sicherheits- und Compliance-Souveränität
8. Ökologische Nachhaltigkeit

Jedes Ziel wird auf einer SEAL-Skala bewertet, von SEAL-0, „keine Souveränität“, bei dem Dienste unter der ausschließlichen Kontrolle von Parteien außerhalb der EU stehen, bis SEAL-4, „volle digitale Souveränität“, mit Technologie und Betrieb „unter vollständiger EU-Kontrolle, nur dem EU-Recht unterworfen“. Die Erkenntnis für KMU und MSPs: Fragen Sie Anbieter nach Eigentümerstruktur, Rechtsordnung und operativer Kontrolle, nicht nur nach dem Standort des Rechenzentrums.

Was bedeutet Datensouveränität für Backup und NIS2?

Ihr Backup ist Ihre Rückfallebene, wenn die primäre Plattform ausfällt, kompromittiert wird oder rechtlich kompliziert wird. Bei einem unabhängigen EU-Anbieter haben Sie einen zweiten Lieferanten und eine zweite Rechtsordnung für die Wiederherstellung.

Beide Gesetze weisen in dieselbe Richtung. Art. 21 Abs. 2 lit. c NIS2-Richtlinie verlangt Aufrechterhaltung des Betriebs, etwa Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement. Art. 21 Abs. 2 lit. d NIS2-Richtlinie verlangt Sicherheit der Lieferkette, einschließlich der Risiken Ihrer direkten Lieferanten. Nach der DSGVO ist ein Backup-Anbieter Auftragsverarbeiter, daher verlangt Art. 28 DSGVO einen Vertrag mit ihm, und Art. 32 Abs. 1 lit. c DSGVO verlangt „die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen … rasch wiederherzustellen“.

In der Praxis gehören zu einem Backup, das die DSGVO unterstützt:

• Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO.
• Speicherung in der EU, bei einem Anbieter, der für die Backup-Daten nicht auf Drittlandübermittlungen angewiesen ist.
• Verschlüsselung bei der Übertragung und Zugriffskontrollen mit MFA (Multi-Faktor-Authentifizierung).
• Getestete Wiederherstellungen, damit „rasch“ eine Zahl ist, die Sie vorweisen können.

So haben wir unseren Backup-Service aufgebaut. Daten liegen ausschließlich in unseren eigenen Tier-III-Rechenzentren in Deutschland und den Niederlanden, unter EU-Recht und unabhängig von US-Hyperscalern. Zu jedem Vertrag gehört ein Auftragsverarbeitungsvertrag nach DSGVO, und wir sind ISO-27001- und NEN-7510-zertifiziert (NEN 7510 ist die niederländische Norm für Informationssicherheit im Gesundheitswesen). Liegen Ihre Produktivdaten in Azure, lesen Sie Backup für Azure. Den Unterschied zwischen beiden Arten von Kopien erklärt Cloud-Speicher oder Cloud-Backup: Was ist der Unterschied?

Wie verbessern Sie die Datensouveränität, ohne Ihre Cloud zu verlassen?

Beginnen Sie mit Ihrer Wiederherstellungskopie und Ihrer Lieferantenliste. Sie müssen nicht von Microsoft 365, Google Workspace oder einer Public Cloud wegmigrieren, um echte Fortschritte zu machen.

1. Erfassen Sie Daten und Lieferanten. Listen Sie auf, wo kritische Daten liegen und wem jeder Anbieter gehört, einschließlich Muttergesellschaften außerhalb der EU.
2. Klassifizieren Sie. Entscheiden Sie, welche Daten so sensibel sind, dass ausländischer Zugriff oder die Abhängigkeit von einem Anbieter nicht tragbar ist.
3. Prüfen Sie Verträge. Bestätigen Sie Auftragsverarbeitungsverträge, Unterauftragsverarbeiter und den Übermittlungsmechanismus, auf den sich jeder stützt.
4. Ergänzen Sie eine souveräne Wiederherstellungskopie. Sichern Sie kritische Workloads bei einem EU-Anbieter, mit unveränderlichen Backups (Immutable Backups) und getrennten Zugangsdaten.
5. Planen Sie Ihren Ausstieg. Wissen Sie, wie Sie Daten außerhalb der primären Plattform wiederherstellen würden, und testen Sie das einmal im Jahr.
6. Berichten Sie an die Geschäftsleitung. Nach Art. 20 NIS2-Richtlinie genehmigen und überwachen die Leitungsorgane die Maßnahmen zur Cybersicherheit. Setzen Sie das Souveränitätsrisiko also auf die Tagesordnung.

Sie sind unsicher, ob NIS2 für Sie gilt? Prüfen Sie, wer in den Anwendungsbereich von NIS2 fällt. Für die Bewertung von Lieferanten siehe NIS2-Lieferkettensicherheit.

Ihre nächsten Schritte

Datensouveränität ist kein Etikett auf einem Rechenzentrum. Sie bedeutet, zu wissen, welche Gesetze auf Ihre Daten zugreifen, die Kontrolle über den Zugriff zu behalten und wiederherstellen zu können, ohne von einem einzigen ausländischen Anbieter abzuhängen. Für die meisten Organisationen ist der schnellste Gewinn ein unabhängiges Backup der unverzichtbaren Systeme bei einem Anbieter in der EU.

Wie Souveränität zu Ihren weiteren Pflichten passt, lesen Sie auf unserer Seite NIS2 Compliance. Oder fordern Sie eine kostenlose Analyse an, wo Ihre Daten und Backups heute liegen.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.