Was ist Datensouveränität?

Datensouveränität ist der Grundsatz, dass Daten den Gesetzen des Landes oder der Rechtsordnung unterliegen, die sie regiert. In der Praxis bedeutet das zu wissen – und steuern zu können –, welche Regierung Zugriff auf Ihre Daten erzwingen könnte, welche Gerichte über sie entscheiden könnten und welche Aufsichtsbehörde Sie dafür in die Verantwortung nimmt.

Entscheidend ist diese Unterscheidung: Souveränität ist eine Frage der Rechtszuständigkeit, nicht bloß der Geografie. Daten in einem Rechenzentrum im eigenen Land zu speichern, entzieht sie nicht schon dadurch dem Zugriff einer ausländischen Regierung, denn maßgeblich ist häufig die Rechtsordnung, die für den Betreiber des Dienstes gilt, und nicht der Boden, auf dem die Server stehen. Die Anforderungen unterscheiden sich stark je nach Branche und Land – das Folgende ist daher eine Orientierung und keine Rechtsberatung.

Datensouveränität, Datenresidenz und Datenlokalisierung

Diese drei Begriffe werden im Anbietermarketing synonym verwendet, beschreiben aber Unterschiedliches – und sie zu vermischen ist der häufigste Weg zu einem falschen Sicherheitsgefühl.

• Datenresidenz beschreibt, wo Daten physisch liegen. Das ist eine technische und vertragliche Entscheidung: Sie wählen eine Region, und Ihr Anbieter speichert Ihre Daten dort.
• Datenlokalisierung ist eine rechtliche Pflicht, dass bestimmte Daten innerhalb der Landesgrenzen bleiben müssen. Sie wird durch Vorschriften auferlegt und nicht gewählt.
• Datensouveränität beschreibt, welches Recht gilt und wer letztlich Zugriff erzwingen kann. Sie hängt von der Rechtsordnung des Betreibers und davon ab, wer die Schlüssel hält – genauso wie vom Standort.

Residenz ist damit ein Bestandteil von Souveränität, kein Ersatz dafür. Sie können eine Residenzzusage und ein Lokalisierungsgesetz vollständig erfüllen und dennoch keine Souveränität haben, wenn das Unternehmen, das den Speicher betreibt, einem ausländischen Gericht Rede und Antwort schuldet.

Warum der Standort allein keine Souveränität schafft

Das deutlichste Beispiel ist der US CLOUD Act. Er erlaubt US-Behörden, einen der US-Rechtsordnung unterliegenden Anbieter zur Herausgabe von Daten zu verpflichten, die er besitzt oder kontrolliert – unabhängig davon, in welchem Land diese Daten liegen. Eine europäische Tochtergesellschaft, die ein europäisches Rechenzentrum betreibt, entzieht sich dieser Reichweite nicht zwangsläufig, wenn die Konzernmutter in den USA sitzt.

Für den Anbieter entsteht dadurch ein echter Konflikt und keine einfache Wahl. Einer CLOUD-Act-Anordnung zu folgen, kann einen Verstoß gegen EU-Recht bedeuten; sie zu verweigern, kann Konsequenzen in den USA nach sich ziehen. Die Organisation, deren Daten es sind, trägt die Folgen dieses Konflikts, ohne seine Lösung zu steuern.

Zwei Faktoren verändern das Bild wesentlich. Der erste ist, wer den Dienst betreibt: Infrastruktur, die Sie selbst betreiben oder die eine ausschließlich Ihrer eigenen Rechtsordnung unterliegende Stelle betreibt, beseitigt den Weg ausländischen Zwangs. Der zweite ist, wer die Verschlüsselungsschlüssel hält: Kann der Betreiber Ihre Daten nicht entschlüsseln, ergibt eine erzwungene Herausgabe Geheimtext statt lesbarer Informationen.

Die Vorschriften hinter der Datensouveränität

Souveränität wurde durch eine Reihe konkreter rechtlicher Entwicklungen von einer politischen Debatte zu einer Beschaffungsanforderung.

DSGVO und die Übermittlungsfrage. Die DSGVO beschränkt Übermittlungen personenbezogener Daten aus der EU heraus, sofern kein gleichwertiges Schutzniveau gewährleistet ist. 2020 erklärte der Gerichtshof der EU im als Schrems II bekannten Urteil den EU-US-Datenschutzschild für ungültig, weil das US-Überwachungsrecht diese Gleichwertigkeit nicht bot. Der Nachfolger, das EU-US-Datenschutzrahmenwerk, wurde 2023 verabschiedet und im September 2025 vom Gericht der EU bestätigt; ein Rechtsmittel beim Gerichtshof ist Mitte 2026 noch anhängig. Transatlantische Übermittlung bleibt rechtlich praktikabel, aber nicht endgültig geklärt – weshalb viele Organisationen ihre Abhängigkeit strukturell verringert haben.

Der EU Data Act. Seit dem 12. September 2025 anwendbar, gibt er Kunden von Cloud- und Datenverarbeitungsdiensten gesetzliche Rechte auf Anbieterwechsel und technische Unterstützung bei der Datenportierung und adressiert den unrechtmäßigen Zugriff von Drittstaatsregierungen auf nicht personenbezogene Daten. Wechselgebühren sind ab dem 12. Januar 2027 vollständig verboten. Praktisch wird Anbieterbindung damit zu einem Compliance-Thema und nicht nur zu einem kommerziellen.

Branchenspezifische Regelwerke. Für Finanzdienstleister gilt DORA, für kritische Infrastrukturen NIS2, für Gesundheitsdaten in den USA HIPAA, und öffentliche Stellen vieler Länder arbeiten mit nationalen Cloud-Richtlinien, die zulässige Rechtsordnungen festlegen.

Wie Organisationen Datensouveränität erreichen

Souveränität ist ein Architekturergebnis und kein Zertifikat – und sie entsteht in der Regel aus vier Bausteinen.

• Wählen Sie die Rechtsordnung des Betreibers, nicht nur die Region. Fragen Sie, welche juristische Person die Infrastruktur kontrolliert und welchen Gerichten sie unterliegt. Genau das beantworten Residenzzusagen nicht.
• Halten Sie Ihre eigenen Schlüssel. Verschlüsselung im Ruhezustand trägt nur dann zur Souveränität bei, wenn die Schlüssel außerhalb der Speicherplattform liegen, unter Ihrer Kontrolle, in einem Schlüsselverwaltungssystem, das Sie betreiben. Andernfalls kann der Betreiber Klartext herausgeben.
• Halten Sie die Daten auf Infrastruktur, die Sie kontrollieren. Selbst betriebener Speicher in den eigenen Räumen nimmt den Zwang gegenüber Dritten vollständig aus der Gleichung – deshalb wählen regulierte und öffentliche Organisationen ihn weiterhin für ihre sensibelsten Daten.
• Sichern Sie einen echten Ausgang. Souveränität, die man nicht verlassen kann, ist fragil. Prüfen Sie, ob Daten in einem offenen, nutzbaren Format exportiert werden können und ob Portabilität vertraglich zugesichert und nicht bloß angekündigt ist.

Diese Bausteine ergänzen Datenschutzmaßnahmen wie S3 Object Lock und WORM-Aufbewahrung – sie ersetzen sie nicht. Jene regeln, ob Daten verändert werden können, nicht, wer sie sehen darf.

Datensouveränität und ARTESCA

Scality ARTESCA ist Software, die Sie auf Ihren eigenen Standardservern, in Ihrem Rechenzentrum und Ihrer Rechtsordnung betreiben. Es gibt keinen dritten Betreiber, der Ihre Daten hält, und keine ausländische Konzernmutter, die zur Herausgabe verpflichtet werden könnte – denn die Stelle, die die Infrastruktur kontrolliert, sind Sie.

Daten im Ruhezustand werden mit AES-256 verschlüsselt, und die Schlüssel werden über einen externen, KMIP-kompatiblen Schlüsselverwaltungsserver verwaltet, statt auf dem Speichersystem selbst zu liegen. Diese Trennung macht die Verschlüsselung für Souveränität überhaupt erst wirksam: Die Plattform hält Geheimtext, und Sie halten das Mittel, ihn zu lesen.

Da ARTESCA eine standardmäßige S3-kompatible Schnittstelle bietet, laufen Anwendungen und Backup-Software, die für Public-Cloud-Objektspeicher geschrieben wurden, unverändert weiter. Organisationen können sensible Workloads aus einer von einem ausländischen Anbieter betriebenen Cloud herausnehmen, ohne sie neu zu schreiben – und dies mit Unveränderlichkeit über S3 Object Lock verbinden, sodass dieselben Daten sowohl souverän als auch gegen Ransomware geschützt sind.

Häufige Fragen zur Datensouveränität

Ist Datensouveränität dasselbe wie Datenresidenz?

Nein. Residenz beschreibt, wo Daten physisch gespeichert werden; Souveränität beschreibt, welche Gesetze für sie gelten und wer Zugriff erzwingen kann. Sie können eine Residenzanforderung vollständig erfüllen und dennoch keine Souveränität besitzen, wenn der Betreiber des Dienstes einer ausländischen Rechtsordnung unterliegt.

Schützt die Speicherung in der EU vor dem Zugriff der US-Regierung?

Nicht für sich allein. Nach dem US CLOUD Act kann ein der US-Rechtsordnung unterliegender Anbieter zur Herausgabe von Daten verpflichtet werden, die er kontrolliert – unabhängig vom Speicherort. Diese Abhängigkeit zu verringern hängt von der Rechtsordnung des Betreibers und davon ab, wer die Schlüssel hält.

Löst Verschlüsselung das Thema Datensouveränität?

Nur wenn Sie die Schlüssel kontrollieren. Kann der Speicheranbieter Ihre Daten entschlüsseln, kann er zur Herausgabe lesbarer Daten verpflichtet werden. Liegen die Schlüssel in einem von Ihnen betriebenen Schlüsselverwaltungssystem, ergibt eine erzwungene Herausgabe Geheimtext.

Was ist eine souveräne Cloud?

Eine Bereitstellung, bei der Infrastruktur, Betreiber und Support-Personal sämtlich einer einzigen gewählten Rechtsordnung unterliegen, ohne Abhängigkeit von ausländischen Anbietern. Selbst betriebene Infrastruktur erreicht dasselbe Ergebnis unmittelbar.

Welche Vorschriften treiben Souveränitätsanforderungen?

Vor allem die DSGVO mit ihren Beschränkungen internationaler Übermittlungen, die Wechsel- und Zugriffsbestimmungen des EU Data Act sowie Branchenregelwerke wie DORA für Finanzdienstleister, NIS2 für kritische Infrastrukturen und HIPAA für US-Gesundheitsdaten.