Digitale Souveränität

Start › IT-Recht › Digitale Souveränität

Digitale Souveränität heißt für Unternehmen und Behörden: die Kontrolle über Daten, Systeme und Anbieterbeziehungen behalten und bei Bedarf wechseln können. Rechtlich ist das kein eigenes Gesetz, sondern eine Frage von Verträgen, Datenschutz, IT-Sicherheit und Vergabe. Wir beraten Unternehmen und öffentliche Auftraggeber, die Abhängigkeiten von einzelnen Anbietern verringern wollen.

Worum es rechtlich geht

• Datenhoheit: Wer hat Zugriff auf Ihre Daten, auch ausländische Behörden?
• Wechselfähigkeit: Können Sie Anbieter wechseln, ohne Daten und Funktionen zu verlieren?
• Kontrolle über Software: Haben Sie Quellcode, Rechte und Know-how, um Systeme weiterzubetreiben?
• Resilienz: Läuft der Betrieb weiter, wenn ein Anbieter ausfällt, Preise erhöht oder Leistungen einstellt?

Drittstaatenzugriff: DSGVO, Data Privacy Framework und CLOUD Act

Übermittlungen personenbezogener Daten in Drittländer sind nur nach Art. 44 ff. DSGVO zulässig. Nach dem Schrems-II-Urteil des EuGH (C-311/18) gilt für zertifizierte US-Unternehmen seit Juli 2023 der Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Das EuG hat ihn am 3. September 2025 bestätigt (T-553/23); über das Rechtsmittel (C-703/25 P) hat der EuGH noch nicht entschieden. Unabhängig davon können US-Behörden nach dem CLOUD Act von US-Anbietern Daten auch aus europäischen Rechenzentren verlangen. Ein EU-Serverstandort allein löst dieses Problem nicht; maßgeblich sind Gesellschaftsstruktur, Schlüsselverwaltung und Vertragsgestaltung.

Der Data Act verpflichtet Anbieter von Datenverarbeitungsdiensten seit dem 12. September 2025, über die Rechtsordnung ihrer Infrastruktur und über Schutzmaßnahmen gegen rechtswidrigen staatlichen Zugriff aus Drittstaaten zu informieren (Art. 28, 32 Data Act).

Wechselfähigkeit und Lock-in

Der Data Act schafft erstmals einen gesetzlichen Anspruch auf Anbieterwechsel bei Cloud-Diensten: höchstens zwei Monate Kündigungsfrist, Unterstützung beim Wechsel, Datenexport in gängigen Formaten und ab dem 12. Januar 2027 keine Wechselentgelte mehr. Für Software ohne Cloud-Bezug bleibt die Wechselfähigkeit Vertragssache: Rechte am Quellcode, Escrow, offene Schnittstellen und Dokumentation müssen vereinbart werden. Der Digital Markets Act verpflichtet außerdem Torwächter zu Interoperabilität und Datenportabilität. Mehr unter Data Act und DMA.

IT-Sicherheit als Souveränitätsfrage

Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Besonders wichtige und wichtige Einrichtungen müssen Risiken auch in der Lieferkette steuern, und das Bundesinnenministerium kann den Einsatz kritischer Komponenten bestimmter Hersteller untersagen. Für Finanzunternehmen verlangt DORA eine Konzentrationsrisikoanalyse und Ausstiegsstrategien für IKT-Drittdienstleister. Hersteller unterliegen seit dem 11. September 2026 den Meldepflichten des Cyber Resilience Act.

Öffentliche Hand: Open Source und souveräne Cloud

Bund und Länder setzen zunehmend auf Open-Source-Lösungen und souveräne Cloud-Angebote; einige Länder haben Open Source in Strategien oder Gesetzen verankert. Für Vergabestellen stellt sich die Frage, wie Souveränitätskriterien rechtssicher in Leistungsbeschreibung und Zuschlagskriterien aufgenommen werden, ohne Bieter unzulässig zu diskriminieren. Die EVB-IT bieten dafür Ansatzpunkte, reichen aber allein nicht aus.

Typische Mandate

• Souveränitäts- und Exit-Prüfung bestehender Cloud- und Softwareverträge
• Transfer Impact Assessments und Bewertung von CLOUD-Act-Risiken
• Vertragsgestaltung für souveräne Cloud-Angebote, Schlüsselverwaltung und Datenlokalisierung
• Ausschreibungen mit Souveränitätskriterien, Open-Source-Strategien
• Exit-Planung nach DORA und NIS2

So gehen wir vor

1. Bestandsaufnahme: kritische Systeme, Anbieter, Datenkategorien und Vertragslaufzeiten.
2. Risikobewertung: Drittstaatenzugriff, Wechselkosten, Abhängigkeit von Einzelpersonen oder -anbietern.
3. Maßnahmen: Nachverhandlung, Exit-Klauseln, Escrow, Verschlüsselung mit eigener Schlüsselhoheit, Alternativanbieter.
4. Dokumentation für Aufsicht, Prüfer und Geschäftsleitung.

Häufige Fragen

Reicht ein Rechenzentrum in Deutschland für die Datenhoheit?

Nicht, wenn der Anbieter einer US-Muttergesellschaft untersteht. Dann bleiben Zugriffsverlangen nach US-Recht möglich. Technische Maßnahmen wie eigene Schlüsselverwaltung können das Risiko verringern.

Ist Open Source automatisch souverän?

Open Source verbessert die Wechselfähigkeit, weil der Code verfügbar ist. Souverän wird der Betrieb aber erst, wenn auch Know-how, Support und Weiterentwicklung gesichert sind.

Was bringt der Data Act für Cloud-Kunden?

Einen gesetzlichen Wechselanspruch mit kurzen Fristen und den Wegfall von Wechselentgelten ab dem 12. Januar 2027.

Verwandte Themen

• Cloud Computing
• Datentransfer in Drittländer
• Open Source
• NIS2
• Vergaberecht
• Data Act