Was ist Datensouveränität?

Datensouveränität ist der Grundsatz, dass Daten dem Recht und der Governance des Landes unterliegen, in dem sie erhoben oder gespeichert werden. Wo Ihre Daten physisch liegen und unter wessen Rechtsraum sie fallen, entscheidet darüber, welche Behörde auf sie zugreifen kann, welche Datenschutzregeln gelten und was Sie mit ihnen rechtlich tun dürfen. Mit dem Wechsel auf globale Cloud-Plattformen hörte das auf, ein Detail der Verwaltung zu sein: Ein in Frankfurt erzeugter Datensatz, der auf Servern in Virginia liegt, kann dem Recht zweier Länder zugleich unterliegen, bisweilen einem widersprüchlichen.

Datensouveränität zählt, weil Cloud Computing die Verbindung zwischen dem Ort der Nutzung und dem Ort der Speicherung aufgelöst hat, während die Regulierung sie wieder festzurrte. Gesetze wie die DSGVO begrenzen, wohin personenbezogene Daten gelangen dürfen; geopolitische Sorgen über den Zugriff fremder Regierungen treiben Staaten und Unternehmen zu „souveräner“ Infrastruktur; und ein wachsender Flickenteppich nationaler Lokalisierungsregeln macht die Frage „wo genau liegen diese Daten, und wessen Recht gilt für sie?“ zugleich zu einem Thema von Compliance, Sicherheit und Architektur. Sie zu beantworten setzt voraus zu wissen, wo jeder Datensatz liegt, und das ist eine Fähigkeit der Data Governance.

Datensouveränität im Überblick

Datensouveränität ist der Gedanke, dass digitale Daten an die Rechtsordnung des Landes gebunden sind, in dem sie liegen oder aus dem sie stammen. Die zentrale Folge ist die des Rechtsraums: Wer Daten in einem Land speichert, bringt sie unter das Recht dieses Landes, möglicherweise einschließlich des Rechts dieser Regierung, Zugriff zu erzwingen. Für eine multinationale Organisation heißt das, dass ein einziger logischer Datenbestand mehreren, sich überlagernden und gelegentlich widersprechenden Rechtsordnungen unterliegen kann.

Ihre prägenden Merkmale:

• An den Rechtsraum gebunden - Es geht im Kern darum, wessen Recht gilt, nicht bloß darum, wo Daten gespeichert sind.
• Ortsabhängig - Der physische und rechtliche Ort der Daten entscheidet, welche Regeln und Zugriffsrechte an ihnen haften.
• Mehrschichtig - Dieselben Daten können dem Recht des Speicherorts, des Erhebungsorts und des Sitzlandes der verantwortlichen Organisation unterliegen.
• Zunehmend vorgeschrieben - Immer mehr Rechtsräume verlangen gesetzlich, dass bestimmte Daten ihre Grenzen nicht verlassen.

Souveränität, Haltung, Lokalisierung

Diese drei Begriffe werden regelmäßig synonym gebraucht, meinen aber Verschiedenes, und der Unterschied zählt für Compliance wie für Architektur.

• Datenresidenz (Data Residency) ist der Ort, an dem Daten physisch gespeichert sind, eine fachliche oder technische Wahl. Eine EU-Cloud-Region für Ihre Datenbank zu wählen ist eine Entscheidung über die Datenresidenz.
• Datenlokalisierung ist eine Rechtspflicht, dass bestimmte Daten innerhalb der Landesgrenzen bleiben müssen. Sie ist Datenresidenz, gesetzlich vorgeschrieben.
• Datensouveränität ist der weiteste Begriff: wessen Recht für die Daten gilt, einschließlich der Frage, welche Regierung Zugriff erzwingen kann. Daten können in einem Land liegen und trotzdem für eine fremde Regierung nach deren Recht erreichbar sein, und genau diese Spannung adressiert Souveränität.

Praktisch heißt das: Eine lokale Cloud-Region zu wählen garantiert für sich genommen noch keine Souveränität, weil das Recht des Heimatlandes des Anbieters die Daten weiterhin erreichen kann. Diese Lücke versuchen Angebote für eine „souveräne Cloud“ zu schließen.

Warum das zählt

Datensouveränität ist aus mehreren zusammenlaufenden Gründen von einem Nischenthema zum Mainstream geworden:

• Konzentration in der Cloud. Eine Handvoll globaler Anbieter hostet einen Großteil der Daten der Welt, oft außerhalb der EU, was Fragen nach dem Zugriff fremder Regierungen aufwirft.
• Regulatorischer Druck. Die DSGVO und Branchenregeln begrenzen die grenzüberschreitende Übermittlung personenbezogener Daten und machen den Ort rechtlich folgenreich.
• Geopolitik. Staaten behandeln Daten zunehmend als strategisch und drängen auf „souveräne“ Infrastruktur und digitale Eigenständigkeit.
• Widersprechende Gesetze. Eine Organisation kann nach dem Recht eines Landes zum Schutz von Daten und nach dem eines anderen zu deren Herausgabe verpflichtet sein, eine ohne sorgfältige Platzierung der Daten unauflösbare Zwickmühle.

Die Gesetze dahinter

Mehrere Rechtsinstrumente prägen Datensouveränität in der Praxis:

• Kapitel V DSGVO - Begrenzt die Übermittlung personenbezogener Daten aus der EU und dem EWR und lässt sie nur mit Garantien zu, etwa Angemessenheitsbeschlüssen oder Standardvertragsklauseln (SCC).
• Schrems II (2020) - Das Urteil des Europäischen Gerichtshofs, das den EU-US-Privacy-Shield für ungültig erklärte und die Prüfung von Übermittlungen in Länder mit weitreichenden staatlichen Überwachungsbefugnissen verschärfte.
• US CLOUD Act - Erlaubt US-Behörden, Anbieter mit Sitz in den USA zur Herausgabe von Daten zu zwingen, die sie kontrollieren, auch wenn diese im Ausland gespeichert sind. Das ist das Musterbeispiel für die Spannung um Souveränität.
• Nationale Lokalisierungsgesetze - Eine wachsende Zahl von Ländern verlangt, dass bestimmte Datenkategorien (Gesundheit, Finanzen, Verwaltung) im Inland gespeichert werden.

Zusammen erklären sie den Aufstieg europäischer Datengrenzen-Zusagen und souveräner Cloud-Architekturen: Organisationen versuchen sicherzustellen, dass sowohl die Daten als auch die rechtliche Kontrolle über sie im beabsichtigten Rechtsraum bleiben.

Datensouveränität erreichen

Souveränität lässt sich nicht behaupten, sie muss belegt werden. Und Kontrolle über Daten, die Sie nicht finden, klassifizieren oder nachverfolgen können, lässt sich nicht belegen. Damit wird Data Governance zur praktischen Grundlage jeder Souveränitätsstrategie:

• Ein Datenkatalog inventarisiert jeden Datenspeicher und die Region, in der er liegt. Das ist die Voraussetzung für jede Aussage über Souveränität.
• Datenklassifizierung erkennt, welche Daten personenbezogen, sensibel oder lokalisierungspflichtig sind, damit Kontrollen dort greifen, wo das Gesetz es verlangt.
• Data Lineage verfolgt, wie Daten über Systeme und Regionen wandern, und legt Übermittlungen offen, die sonst gegen Regeln zur Datenresidenz oder Lokalisierung verstoßen würden.
• Entscheidungen über die Bereitstellung, einschließlich einer flexiblen, regionsbewussten Bereitstellung, halten sowohl die Daten als auch ihre Governance im beabsichtigten Rechtsraum.

Genau hier stützt Dawiso eine Souveränitätsstrategie: eine gesteuerte Karte der gesamten Datenlandschaft, also welche Daten es gibt, was sie enthalten und wo sie liegen, damit eine Organisation belegen und nicht nur behaupten kann, dass die richtigen Daten im richtigen Rechtsraum unter dem richtigen Recht liegen. Die Architektur entscheidet, wo Daten liegen; Governance ist das, womit Sie es wissen und zeigen. Dieselbe Karte trägt auch die Übermittlungs-Compliance nach DSGVO und die Resilienzanforderungen von DORA und NIS2.

Fazit

Datensouveränität ist die Einsicht, dass Daten nie wirklich „in der Cloud“ sind: Sie sind immer irgendwo, unter dem Recht von irgendjemandem. Je stärker Regulierung und Geopolitik dieses Irgendwo Jahr für Jahr aufwerten, desto besser kommen die Organisationen zurecht, die sofort und belegbar sagen können, wo jeder Datenbestand liegt und wessen Regeln für ihn gelten. Diese Antwort ist kein Architekturdiagramm, sondern ein lebendes, gesteuertes Inventar der Datenlandschaft. Souveränität ist ein rechtlicher Begriff, aber gewonnen oder verloren wird sie an der Qualität Ihrer Data Governance.