Datensouveränität: Definition, Bedeutung und 10 Fragen

Dieser Artikel informiert und ersetzt keine Rechtsberatung. Rangee ist unser Produkt; die zitierten Texte haben wir am 3. November 2026 geprüft.

Datensouveränität heißt, die Hoheit über die eigenen Daten zu behalten: Sie unterliegen dem Recht, das Sie gewählt haben, und nur Sie entscheiden, wer darauf zugreift. Der Begriff ist seit 2020 allgegenwärtig. Oft wird er auf ein Verkaufsargument verkürzt: „Ihre Daten liegen in Deutschland.“

Das genügt nicht. Ein Server in Frankfurt, betrieben von einem Unternehmen, das einem ausländischen Gesetz unterliegt, schützt nicht vor den Anforderungen dieses Gesetzes. Dieser Leitfaden gibt eine brauchbare Definition, zeigt, worum es 2026 konkret geht, und nennt zehn Fragen, die Sie einem Anbieter stellen sollten, bevor Sie ihm Kundendaten, Lagerbestände oder Mitgliederlisten anvertrauen. Das meistzitierte US-Gesetz erklärt unser Leitfaden zum Cloud Act im Detail.

Was ist Datensouveränität?

Datensouveränität ist die Fähigkeit eines Unternehmens, eines Vereins oder eines Staates, zu bestimmen, welches Recht für seine Daten gilt und wer darauf zugreifen darf. Sie hängt nicht in erster Linie vom Serverstandort ab. Sie hängt von dem Recht ab, dem die Unternehmen unterliegen, die diese Daten kontrollieren.

Der Begriff stammt aus dem Vokabular der Staaten. Auf Daten angewandt, stellt er eine einfache Frage: Wenn eine ausländische Behörde Ihre Daten bei Ihrem Anbieter anfordert, kann dieser zur Herausgabe gezwungen werden? Wenn ja, sind Ihre Daten nicht souverän, egal in welchem Land das Rechenzentrum steht.

Drei verwandte Begriffe werden oft verwechselt:

Residenz ist eine nützliche Bedingung, aber selten eine ausreichende. Ein US-Anbieter kann europäische Residenz bieten, ohne Souveränität zu bieten. Airtable etwa bietet eine europäische Datenresidenz im Tarif Enterprise Scale; der Anbieter bleibt ein US-Unternehmen und unterliegt Section 2713 des US-Bundesrechts, die Daten unter seiner Kontrolle erfasst, „regardless of whether“ sie in den USA liegen.

Warum ist Datensouveränität 2026 ein Thema?

2025 hielten europäische Anbieter laut einer Mitteilung von Synergy Research Group vom 24. Juli nur 15 % des Cloud-Markts in Europa, nach 29 % im Jahr 2017. Amazon, Microsoft und Google kamen auf 70 %. Der Großteil europäischer Daten hängt damit von Unternehmen ab, die einem ausländischen Recht unterliegen.

Gleichzeitig ist die Cloud in Unternehmen zur Normalität geworden. Laut Eurostat kauften 2025 52,7 % der Unternehmen in der EU Cloud-Dienste, nach 45,3 % im Jahr 2023. In Deutschland stieg der Anteil von 47,0 % auf 53,9 %, in Österreich von 46,5 % auf 52,1 %. Die wichtigsten Anwendungen sind E-Mail, Büroanwendungen und Dateiablage: genau die Daten, die man zu schützen vergisst.

Die öffentliche Hand hat aus dieser Abhängigkeit Konsequenzen gezogen. Am 17. April 2026 gab die Europäische Kommission vier Verträge für souveräne Cloud-Dienste bekannt, im Wert von bis zu 180 Millionen Euro über sechs Jahre. In Frankreich regelt das Dekret Nr. 2026-272 vom 14. April 2026, erlassen zu Artikel 31 des SREN-Gesetzes, wie staatliche Stellen besonders sensible Daten einer privaten Cloud anvertrauen dürfen.

Diese Regeln zielen auf Staaten und große Einkäufer. Sie liefern aber eine Methode, die jedes KMU übernehmen kann: nicht mehr fragen „Wo liegen meine Daten?“, sondern „Welches Recht gilt für jedes Unternehmen, das sie berührt?“.

Welche vier Bereiche hat Datensouveränität?

Für diese Ausschreibung hat die Europäische Kommission die Souveränität von Cloud-Diensten an acht Zielen gemessen, zusammengefasst in ihrem Cloud Sovereignty Framework. Für ein Arbeitstool genügen vier Bereiche, um sich ein Bild zu machen: rechtlich, betrieblich, technisch und Reversibilität. Ein einziger schwacher Bereich schwächt das Ganze.

Der rechtliche Bereich: Wer kontrolliert die Daten?

Das ist der entscheidende Bereich. Er betrifft die Nationalität des Anbieters, seiner Muttergesellschaft und jedes Unterauftragsverarbeiters: Hosting, Backups, E-Mail-Versand, Support, KI. Ein europäischer Anbieter, der seine Dateien bei einem US-Hoster speichert, setzt diese Dateien über den Hoster dem US-Recht aus.

Microsoft France hat das am 10. Juni 2025 vor dem französischen Senat eingeräumt. Unter Eid befragt, antwortete der Direktor für öffentliche und rechtliche Angelegenheiten laut offiziellem Protokoll, er könne nicht garantieren, dass Daten französischer Bürger nie auf US-Anordnung herausgegeben werden.

Der betriebliche Bereich: Wer betreibt den Dienst und wer hat Zugriff?

Ein Dienst kann in Europa gehostet und von einem anderen Kontinent aus verwaltet werden. Der technische Support, die Bereitschaft und die Ingenieure mit Zugriff auf die Datenbanken zählen so viel wie das Rechenzentrum. Der Rahmen der Kommission ordnet das der betrieblichen Souveränität zu: der Fähigkeit, den Dienst ohne Abhängigkeit von ausländischer Kontrolle zu betreiben und zu warten.

Der technische Bereich: Wer hält die Schlüssel?

Verschlüsselung schützt, wenn nur Sie die Schlüssel halten. Hält sie der Anbieter, kann er die Daten lesen und muss sie gegebenenfalls im Klartext herausgeben. Die meisten Kollaborationstools (Datenbank, CRM, Projektverwaltung) müssen die Daten lesen, um sie anzuzeigen und zu sortieren: Ende-zu-Ende-Verschlüsselung ist dort selten. Der technische Bereich ersetzt den rechtlichen also nicht.

Reversibilität: Können Sie mit Ihren Daten gehen?

Souveräne Daten sind Daten, die man mitnehmen kann. Ein vollständiger Export in einem offenen Format, ohne unverhältnismäßige Kosten, ist die Voraussetzung, um den Anbieter zu wechseln, wenn sich seine Regeln ändern. Der EU Data Act macht das für Cloud-Dienste zur Pflicht, mit festen Terminen (siehe unten).

Die Reversibilität ist der am meisten vernachlässigte Bereich und der einzige, den Sie in zehn Minuten selbst testen können: Exportieren Sie eine vollständige Datenbank und versuchen Sie, sie woanders zu öffnen.

Was sagt das EU-Recht zur Datensouveränität?

Kein europäischer Text definiert „Datensouveränität“. Zwei Verordnungen legen dennoch die Grundlagen. Die DSGVO regelt personenbezogene Daten und ihre Übermittlung außerhalb der EU. Der Data Act, laut Europäischer Kommission seit dem 12. September 2025 anwendbar, erfasst auch nicht personenbezogene Daten und den Wechsel des Cloud-Anbieters.

Der Data Act bringt zwei konkrete Dinge. Erstens müssen Cloud-Anbieter laut der Erläuterung der Kommission „all reasonable measures“ (Verschlüsselung, Audits, Zertifizierungen) gegen unrechtmäßige Zugriffe ausländischer Behörden treffen und diese auf ihrer Website veröffentlichen. Zweitens entfallen ab dem 12. Januar 2027 alle Wechselentgelte, Datenexport eingeschlossen.

Diese Texte haben eine Grenze. Sie binden Anbieter, die den europäischen Markt bedienen, heben aber ein ausländisches Gesetz nicht auf, das denselben Anbieter bindet. Ein US-Anbieter steht weiter zwischen zwei Rechtsordnungen. Wie das aussieht, erklärt unser Leitfaden zum Cloud Act.

Braucht man eine hochqualifizierte souveräne Cloud?

Für die meisten KMU und Vereine nicht. Das französische Label SecNumCloud der Cybersicherheitsbehörde ANSSI ist eine anspruchsvolle Sicherheitsqualifikation, die unter anderem einen Anbieter verlangt, der nach Sitz und Kapital europäisch ist. Sie zielt auf sensible Daten: Gesundheit, Daten des Staates, kritische Infrastrukturen.

Ein KMU, das Angebote, Lagerbestände oder eine Mitgliederliste verwaltet, trägt kein solches Risiko. Es braucht drei einfachere Dinge: einen Anbieter, der europäischem Recht unterliegt, bekannte Unterauftragsverarbeiter und einen Export seiner Daten. Eine Lagerliste in Excel verlangt nicht dieselben Vorkehrungen wie eine Patientenakte.

Die richtige Frage lautet also nicht „Ist das Tool souverän?“, sondern „Ist das Tool souverän genug für diese Daten?“. Teilen Sie Ihre Daten in drei Stufen ein: alltäglich, personenbezogen, sensibel. Wählen Sie Ihre Tools danach.

10 Fragen an einen Anbieter

Diese zehn Fragen decken die vier Bereiche ab. Sie lassen sich vor der Unterschrift per E-Mail stellen, und ein seriöser Anbieter beantwortet sie in wenigen Tagen schriftlich. Seit dem 12. September 2025 verpflichtet der Data Act Cloud-Anbieter bereits, einen Teil der Antworten auf ihrer Website zu veröffentlichen.

Es sind die Fragen, die wir selbst stellen, bevor wir ein Tool einführen, und die wir weiter unten für Rangee beantworten.

Rechtlich

1. Welche Gesellschaft unterzeichnet den Vertrag, und wo ist sie eingetragen? Lesen Sie die Nutzungsbedingungen, nicht die Startseite.
2. Wem gehört diese Gesellschaft? Eine deutsche Tochter eines US-Konzerns unterliegt für die Daten, die sie kontrolliert, weiter dem US-Recht.
3. Können Sie mir die vollständige Liste Ihrer Unterauftragsverarbeiter mit Land schicken? Hosting, Backups, E-Mail, Support, Zahlung, KI: Jeder zählt.
4. Was tun Sie, wenn eine ausländische Behörde meine Daten anfordert? Suchen Sie nach der Zusage, unbegründete Anfragen anzufechten und Sie zu informieren, soweit das Gesetz es erlaubt.

Betrieblich

5. In welchen Ländern stehen Ihre Rechenzentren, Backups eingeschlossen? Backups liegen oft woanders als der Produktivbetrieb.
6. Wer kann auf meine Daten zugreifen, aus welchen Ländern und in welchen Fällen? Support, Ingenieure, Dienstleister.

Technisch

7. Sind meine Daten im Ruhezustand und bei der Übertragung verschlüsselt, und wer hält die Schlüssel? Eine vage Antwort sagt hier viel.
8. Werden meine Daten zum Training eines KI-Modells genutzt, und wo läuft dieses Modell? Eine KI-Funktion kann Ihre Daten an einen Unterauftragsverarbeiter senden, den Sie nicht kannten.

Reversibilität

9. Kann ich alle meine Daten, Anhänge eingeschlossen, in einem offenen Format kostenlos exportieren? Testen Sie es während der Probephase.
10. Was geschieht mit meinen Daten bei Vertragsende, und wie schnell werden sie gelöscht? Der Auftragsverarbeitungsvertrag (AVV, Artikel 28 DSGVO) muss es regeln.

Diese Fragen helfen auch beim Lesen eines Vergleichs. In unserem Vergleich europäischer Airtable-Alternativen zählt die Spalte „Land des Anbieters“ so viel wie der Preis; unser Vergleich kostenloser Lagerverwaltungssoftware zeigt ebenso, wo jeder Anbieter seine Daten hostet.

Und Rangee?

Hier unsere Antworten auf die zehn Fragen, kurz gefasst. Rangee wird von einer Gesellschaft französischen Rechts herausgegeben. Der Inhalt Ihrer Datenbanken liegt in einem Rechenzentrum in der Europäischen Union, bei Hostinger International Limited, laut ihren Nutzungsbedingungen einer zyprischen Gesellschaft. Das KI-Modell des intelligenten Imports läuft in der EU.

Auch eine ehrliche Kette hat Grenzen, und wir nennen sie. Die Zahlung läuft über Stripe, einen US-Konzern: Stripe verarbeitet Ihre Rechnungsdaten (Name, Adresse, Zahlungsmittel), nicht den Inhalt Ihrer Datenbanken. Und wie jedes Unternehmen unterliegen wir französischen und europäischen Anordnungen.

Wir versprechen nicht, jedem Gesetz zu entgehen: Das kann niemand. Wir versprechen, was sich prüfen lässt: ein Anbieter französischen Rechts, Datenbanken in der EU, benannte Unterauftragsverarbeiter. Zu den Kosten vergleicht unsere Preisübersicht für No-Code-Datenbanken Rangee mit anderen Tools, europäisches Hosting inklusive.

Wenn Sie sehen möchten, was aus einer Tabelle in einem in Europa gehosteten Tool wird, treten Sie der Beta von Rangee bei: Der Free-Tarif läuft nicht ab, und Leser zahlen nie.