Europäische Daten-Souveränität zwischen Recht und Wirklichkeit
Warum Europa mehr als Regulierung braucht, um digitale Handlungsfähigkeit zu sichern
Souveränität ist in Europa längst kein abstraktes politisches Schlagwort mehr. Die europäische Debatte um digitale und datenbezogene Souveränität hat in den vergangenen Jahren deutlich an Intensität gewonnen. Spätestens seit der verstärkten Digitalisierung staatlicher Aufgaben, der zunehmenden Verlagerung zentraler Prozesse in Cloud-Infrastrukturen und einer angespannten geopolitischen Lage ist deutlich geworden, dass Fragen der Datenverarbeitung weit über technische oder rechtliche Detailprobleme hinausgehen. Sie berühren grundlegende Aspekte staatlicher Handlungsfähigkeit, wirtschaftlicher Wettbewerbsfähigkeit und gesellschaftlichen Vertrauens.
Unter Datensouveränität wird dabei kontextbezogen die Befähigung europäischer Unternehmen und Organisationen verstanden, Daten unabhängig, sicher und unter Beachtung rechtlicher Vorgaben zu erzeugen, zu verarbeiten, zu speichern und zu teilen.¹ Dennoch wird der Begriff häufig verkürzt verstanden. Nicht selten reduziert sich die Diskussion auf den physischen Speicherort von Daten oder auf formale Fragen der DSGVO-Compliance. Diese Sichtweise greift jedoch zu kurz. Europäische Datensouveränität meint nicht die vollständige Autarkie von globalen Märkten oder Technologien, sondern die Möglichkeit, inforfierte, selbstbestimmte und reversible Entscheidungen über digitale Infrastrukturen, Datenflüsse und technologische Abhängigkeiten zu treffen. Entscheidend ist damit nicht allein, wo Daten liegen, sondern wer ihre Verarbeitung steuert und unter welchen Bedingungen Alternativen realistisch nutzbar sind.
Insbesondere die anhaltende Abhängigkeit europäischer Staaten und Institutionen von außereuropäischen Technologieanbietern verdeutlicht die geopolitische Dimension dieser Herausforderung. Zentrale Infrastrukturen, Kommunikationssysteme und kritische Verwaltungsprozesse basieren in Teilen auf Plattformen und Diensten, die außerhalb des europäischen Rechtsraums entwickelt und betrieben werden. Damit stellen sich nicht nur Fragen des Datenschutzes, sondern auch der Transparenz, der Kontrollierbarkeit und der tatsächlichen Durchsetzbarkeit europäischer Standards. Diese strukturellen Abhängigkeiten treffen auf eine zunehmend volatile sicherheitspolitische Lage. Geopolitische Konflikte, hybride Bedrohungen und wirtschaftliche Rivalitäten erhöhen den Druck auf Staaten, Verwaltungen und Unternehmen, ihre digitale Handlungsfähigkeit zu sichern. Parallel dazu macht die wachsende Zahl leistungsfähiger Cyberangriffe deutlich, dass digitale Systeme längst selbst zum Angriffsziel geworden sind.
Datensouveränität wird damit nicht allein zu einer technischen oder organisatorischen Anforderung, sondern zu einem strategischen Faktor für Resilienz, Rechtssicherheit und Wettbewerbsfähigkeit. Rechtskonforme, verschlüsselte und nachvollziehbare digitale Prozesse sind kein optionales Qualitätsmerkmal mehr, sondern eine strukturelle Voraussetzung, um Vertrauen in digitale Technologien auch unter Krisenbedingungen aufrechterhalten zu können.
Ein starker europäischer Rechtsrahmen …
Die europäische Regulierung des digitalen Raums entwickelt sich mit hoher Geschwindigkeit und nimmt im internationalen Vergleich über zahlreiche Technologiebereiche hinweg eine federführende Rolle ein. In den vergangenen Jahren sind zahlreiche und in sich verzahnte Regelwerke in Kraft getreten, die die Frage europäischer Datensouveränität maßgeblich prägen: Neben der Datenschutz-Grundverordnung adressieren der Digital Markets Act (DMA), der Digital Services Act (DSA), die NIS-2-Richtlinie sowie der Data Act (DA) unterschiedliche Aspekte von Marktstruktur, Sicherheit, Resilienz und Datenkontrolle. Diese Regelungsarchitektur ist geeignet, faire Wettbewerbsbedingungen zu begünstigen, systemische Risiken zu begrenzen und digitale Abhängigkeiten – insbesondere von marktbeherrschenden Anbietern – strukturell zu reduzieren.
Parallel dazu entfalten sie ihre Wirkung weit über abstrakte Marktregulierung hinaus. Sie haben bereits heute – und perspektivisch noch stärker – tiefgreifende Auswirkungen auf die Gestaltung digitaler Prozesse in der öffentlichen Verwaltung, im Gesundheitswesen und in anderen regulierten Branchen. Digitale Systeme müssen künftig nicht nur effizient und funktional, sondern zugleich resilient, nachvollziehbar und rechtlich kontrollierbar ausgestaltet sein. Datensouveränität wird damit zu einer verbindlichen Gestaltungsanforderung für Organisationen, nicht zu einer freiwilligen Zusatzoption.
Besonders der Data Act zielt darauf ab, bestehende Wechselbarrieren bei Cloud- und Datenverarbeitungsdiensten abzubauen. ² Vorgaben zur Datenportabilität, zu interoperablen Schnittstellen sowie zu transparenten und fairen Vertragsbedingungen sollen sicherstellen, dass Nutzer:innen ihre Daten und Prozesse künftig leichter zwischen Anbietern verlagern können. Damit wird erstmals versucht, digitale Souveränität nicht nur politisch zu postulieren, sondern regulatorisch durchsetzbar zu machen.
… mit begrenzter Wirkung in der Praxis
Gleichwohl zeigt sich, dass rechtliche Vorgaben allein keine souveränen Entscheidungen garantieren. Selbst dort, wo Wechsel theoretisch möglich sind, fehlt es in der Praxis häufig an Markttransparenz und Vergleichbarkeit. Viele europäische Anbieter sicherer, resilienter und datenschutzfreundlicher digitaler Dienste sind im Markt und insbesondere im Beschaffungsprozess kaum sichtbar. Vergabe- und Auswahlentscheidungen orientieren sich daher nicht selten an etablierten Marktakteuren, deren Lösungen als vermeintlich „bewährt“ gelten – auch wenn dies langfristige Abhängigkeiten nach sich zieht.
Diese Diskrepanz zwischen rechtlichem Anspruch und praktischer Umsetzung führt dazu, dass digitale Souveränität häufig im Beschaffungsprozess scheitert – nicht im Gesetzbuch. Entscheidungen werden unter Zeit-, Kosten- oder Komplexitätsdruck getroffen, ohne dass verfügbare Alternativen systematisch geprüft werden können. Datenschutz, IT-Sicherheit und Resilienz werden dann zwar berücksichtigt, jedoch meist erst, nachdem zentrale Weichenstellungen bereits erfolgt sind.
Hinzu kommt, dass formale Rechtskonformität nicht automatisch mit tatsächlicher Kontrolle über digitale Prozesse einhergeht. Viele Organisationen erfüllen datenschutzrechtliche Anforderungen, indem sie europäische Rechenzentren nutzen, Auftragsverarbeitungsverträge abschließen oder technische Schutzmaßnahmen implementieren. Gleichzeitig verbleibt die strategische Kontrolle über zentrale digitale Prozesse häufig bei wenigen marktbeherrschenden Technologieanbietern, deren Plattformen tief in Arbeitsabläufe, Kommunikationsstrukturen und Geschäftsprozesse integriert sind. Datensouveränität erweist sich vor diesem Hintergrund weniger als einmal erreichter Zustand, sondern als fortlaufende Aufgabe digitaler Prozessverantwortung. Organisationen müssen daher nicht nur prüfen, ob eine Lösung aktuell rechtmäßig eingesetzt werden kann, sondern auch, welche Abhängigkeiten sie langfristig begründet. Dazu gehören Fragen der Interoperabilität, der Datenportabilität, der Update- und Lizenzlogiken sowie der Fähigkeit, Systeme auch im Krisen- oder Wechselfall weiter betreiben zu können.
Diese prozessorientierte Sicht auf Datensouveränität wird zunehmend auch regulatorisch eingefordert. Mit dem Digital Operational Resilience Act (DORA) und dem Data Act (DA) rücken sogenannte Exit-Strategien ausdrücklich in den Fokus: Organisationen sind nicht mehr nur gehalten, Risiken abstrakt zu bewerten, sondern müssen bereits in der Design- und Beschaffungsphase berücksichtigen, wie sie im Ernstfall Abhängigkeiten von einzelnen digitalen Lösungen kontrolliert reduzieren oder beenden können. Gefordert sind belastbare und getestete Ausstiegskonzepte, die unter anderem klare Verantwortlichkeiten, Notfallressourcen sowie regelmäßige Tabletop- oder Exit-Tests umfassen. Der Data Act verpflichtet Anbieter von Cloud- und Datenverarbeitungsdiensten, den Wechsel zu anderen Anbietern oder zu On-Premise-Lösungen technisch und organisatorisch zu ermöglichen. Damit wird der Ausstieg aus bestehenden Vertrags- und Plattformbindungen erstmals zu einem rechtlich relevanten Bestandteil. Digitale Souveränität zeigt sich somit nicht erst im Normalbetrieb, sondern insbesondere in der tatsächlichen Möglichkeit, Abhängigkeiten kontrolliert und ohne Funktionsverlust aufzulösen.
Beschaffung als Schlüsselfaktor digitaler Souveränität
Ein zentrales Hindernis auf dem Weg zu mehr europäischer Datensouveränität sind dabei technologische Lock-in-Effekte. Proprietäre Schnittstellen, fehlende offene Standards, gebündelte Produkt- und Lizenzmodelle oder hohe Migrationskosten führen dazu, dass einmal getroffene Entscheidungen kaum noch revidierbar sind. Der Anbieterwechsel bleibt damit häufig zwar theoretisch möglich, praktisch jedoch kaum umsetzbar – mit unmittelbaren Auswirkungen auf Resilienz und langfristige digitale Handlungsfreiheit.
Gerade im öffentlichen Sektor, aber auch in großen Unternehmen, werden zentrale Weichen für digitale Souveränität bereits im Beschaffungsprozess gestellt – häufig lange bevor Datenschutz- oder Sicherheitsaspekte im Detail geprüft werden. Mangels transparenter Übersichten über den europäischen Anbietermarkt führen neue Bedarfe nicht selten zu individuellen Neuentwicklungen oder zur Fortführung bestehender Anbieterbindungen, anstatt vorhandene europäische Lösungen systematisch zu berücksichtigen – oftmals zulasten der digitalen Souveränität.
Dies unterläuft das Ziel, digitale Wertschöpfung und Kontrolle in Europa zu stärken und hat zudem strukturelle Folgen: Abhängigkeiten werden verfestigt, während die Fähigkeit zur souveränen Steuerung digitaler Prozesse abnimmt. Datenschutz und Informationssicherheit geraten in eine defensive Rolle, obwohl sie eigentlich integrale Bestandteile strategischer Entscheidungsprozesse sein müssten.
Markttransparenz als fehlendes Bindeglied
Souveräne digitale Entscheidungen setzen voraus, dass verfügbare Optionen bekannt, bewertbar und zugänglich sind. Genau hier besteht derzeit eine zentrale Lücke. Es fehlt an strukturierten, vertrauenswürdigen Übersichten über europäische Anbieter und technologische Kompetenzen, die es ermöglichen, konkrete Bedarfe mit bestehenden Lösungen abzugleichen. Die Folge ist eine systematische Unsichtbarkeit europäischer Wertschöpfung im digitalen Bereich – mit der Konsequenz, dass vorhandene Alternativen in Beschaffungs- und Entscheidungsprozessen häufig unberücksichtigt bleiben.
Vor diesem Hintergrund gewinnen europäische Initiativen an Bedeutung, die genau an dieser Schnittstelle zwischen Markt, Regulierung und Praxis ansetzen möchten. Die Europäische Wertschöpfungsallianz Cybersicherheit und Resilienz (kurz: EUCRA)³ verfolgt beispielsweise das Ziel, ein smartes Register für digitale und cybersichere Technologien aufzubauen, um die bestehende Vielfalt europäischer IT-Lösungen sichtbar zu machen und Bedarfe von Beschaffenden mit vorhandenen Angeboten zusammenzuführen.⁴ Ziel ist es dabei, digitale Wertschöpfung in Europa systematisch zu stärken und Organisationen in Wirtschaft, Verwaltung und Gesellschaft in die Lage zu versetzen, informierte und souveräne Entscheidungen über den Einsatz digitaler Technologien zu treffen. Digitale Souveränität wird hierbei nicht als Autarkie verstanden, sondern als Fähigkeit, auf Augenhöhe zu kooperieren und selbstbestimmt darüber zu entscheiden, wo und unter welchen Bedingungen Daten verarbeitet werden.
Smarte Register digitaler Dienste könnten in diesem Zusammenhang einen wichtigen Beitrag leisten, indem sie relevante Informationen zu technischen Eigenschaften, Sicherheits- und Resilienzmerkmalen sowie zur Interoperabilität digitaler Lösungen transparent und vergleichbar bereitstellen. Auf dieser Grundlage können öffentliche wie private Entscheidungsträger:innen Bedarfe systematisch mit am Markt verfügbaren Lösungen abgleichen und digitale Souveränität bereits in frühen Phasen von Planung und Beschaffung berücksichtigen. Zugleich unterstützen solche Instrumente die Umsetzung regulatorischer Anforderungen an Exit-Strategien, Wechselpflichten und digitale Resilienz, indem Alternativen frühzeitig identifizierbar werden und Lock-in-Risiken bereits im Vorfeld reduziert werden. Datensouveränität rückt damit aus dem Bereich abstrakter Zielsetzungen in den Bereich konkreter organisatorischer Praxis.
1 Vgl. Beise, „Datensouveränität und Datentreuhand“, RDi 2021, 597 (598) oder Denga, „Digitale Souveränität durch Datenprivatrecht?“, GRUR 2022, 1113
(1113 ff.).
2 Siehe beispielsweise Metzger, „Datenschutz oder Datenzugang? Neuausrichtung des europäischen Datenrechts nach dem Data Act“, NJW 2025, 2729 für einen Überblick.
3 European Value Creation Alliance (EUCRA)
4 Die Plattform befindet sich derzeit im Aufbau. Der Start soll im Laufe des Jahres erfolgen. Eine unverbindliche Vorregistrierung für interessierte Organisationen ist unter https://tinyurl.com/5n7c7bdb möglich. (zuletzt abgerufen am 09.03.2026)
Fazit
Datensouveränität im Zusammenspiel
von Recht, Technik und Markt
Europäische Datensouveränität ist keine Frage der Abschottung, sondern der Entscheidungsfreiheit. Europa verfügt heute über den rechtlichen Rahmen, die technologischen Fähigkeiten und eine vielfältige Anbieterlandschaft, um digitale Abhängigkeiten zu reduzieren und Kontrolle über zentrale Daten- und Prozessstrukturen zurückzugewinnen. Ausschlaggebend ist jedoch nicht allein das Vorhandensein dieser Voraussetzungen, sondern ihre Verbindung in der praktischen Umsetzung.
Entscheidend sind dabei Transparenz über verfügbare europäische Alternativen, realistische Wechsel- und Exit-Optionen sowie die frühzeitige Berücksichtigung von Datenschutzanforderungen. Denn es geht nicht um einen Mangel an Lösungen: Für nahezu alle digitalen Bedarfe existieren leistungsfähige Angebote in Europa. Die entscheidende Frage ist vielmehr, ob diese Potenziale sichtbar gemacht, vergleichbar aufbereitet und tatsächlich in Entscheidungen einbezogen werden. Datensouveränität entsteht dort, wo Organisationen in der Lage sind, Alternativen bewusst zu wählen, Abhängigkeiten zu steuern und digitale Strukturen langfristig anpassungsfähig zu gestalten.
Europas digitale Zukunft wird daher nicht allein davon bestimmt werden, wo Daten gespeichert sind, sondern auch davon, wie konsequent Kontrolle, Steuerbarkeit und Verantwortung über digitale Prozesse wahrgenommen werden. Datensouveränität wird so zu dem, was sie sein sollte: keine abstrakte Vision, sondern eine praktische Voraussetzung für Vertrauen, Sicherheit und nachhaltige Wettbewerbsfähigkeit – und damit ein zentraler Maßstab europäischer Gestaltungsfreiheit im digitalen Zeitalter.
