Datensouveränität: Was der Begriff für Kommunen wirklich bedeutet

Mehr als Datenschutz

In fast jedem Gespräch mit einer Verwaltung fällt inzwischen dasselbe Wort: Datensouveränität. Manchmal kommt es vom Datenschutzbeauftragten, manchmal aus dem Rat, manchmal von der IT. Gemeint ist dabei nicht immer dasselbe. Genau das macht die Diskussion schwierig.

Deshalb hier der Versuch einer klaren Einordnung. Was steckt hinter dem Begriff, warum wird gerade jetzt so viel darüber gesprochen und welche Fragen sollte eine Kommune ihrem Softwareanbieter tatsächlich stellen.

Das Wichtigste in Kürze

• Datenschutz und Datensouveränität sind nicht dasselbe: Datenschutz klärt, ob Daten rechtmäßig verarbeitet werden. Datensouveränität klärt, wer dauerhaft die Kontrolle über Daten, Zugriffe und Abhängigkeiten behält.
• Für Kommunen sind fünf Punkte entscheidend: Datenstandort, Rechtsstandort des Anbieters, technische Zugriffe, Zugriffe aus Drittstaaten und Exit-Möglichkeiten.
• Ein Serverstandort in Deutschland allein reicht nicht aus, wenn Anbieter oder Muttergesellschaft einer anderen Rechtsordnung unterliegen.
• Seit 2026 kann digitale Souveränität ausdrücklich in öffentlichen Vergaben berücksichtigt werden. Gleichzeitig stärkt der EU Data Act die Möglichkeiten zum Anbieterwechsel.

Was ist der Unterschied zwischen Datenschutz und Souveränität?

Datenschutz fragt, ob eine Verarbeitung rechtmäßig ist. Ob es eine Rechtsgrundlage gibt, ob ein Vertrag zur Auftragsverarbeitung vorliegt, ob gelöscht wird, wenn gelöscht werden muss.

Souveränität fragt etwas anderes, nämlich wer die Kontrolle behält. Für eine Verwaltung zerfällt das in vier Fragen:

1. Wem gehören die Daten und wer entscheidet über ihre Verwendung?
2. Wer kann faktisch auf sie zugreifen? Nicht wer darf, sondern wer kann.
3. Welchem Recht unterliegt der Anbieter und wer kann ihn zur Herausgabe zwingen?
4. Bleibt die Verwaltung handlungsfähig, wenn der Anbieter ausfällt, verkauft wird oder die Konditionen ändert?

Die letzte Frage wird oft übersehen, ist aber die, um die es im Alltag am häufigsten geht. Dabei will kaum eine Kommune ihre Software selbst betreiben, das wäre weder realistisch noch wirtschaftlich. Es geht um etwas Nüchterneres. Man will wissen, dass man mit seinen Daten gehen könnte, wenn man müsste.

Digitale Souveränität ist nun auch im Vergaberecht aufgenommen

Seit Juli 2026 ist Souveränität ein Vergabekriterium

Lange war das Thema eine Haltungsfrage. Das hat sich geändert. Mit dem Vergabebeschleunigungsgesetz ist digitale Souveränität zum 1. Juli 2026 in das Vergaberecht aufgenommen worden. Nach § 58 Abs. 2 Nr. 4 VgV darf sie ausdrücklich als Zuschlagskriterium gewertet werden. Die Gesetzesbegründung nennt dabei konkret die Lokalisierung von Daten, die Nachvollziehbarkeit und Kontrolle von Datenverarbeitungsvorgängen sowie den Einsatz offener Systeme. Nach § 128 Abs. 2 GWB kann Souveränität außerdem als dauerhafte Ausführungsbedingung in den Vertrag geschrieben werden.

Für Vergabestellen ist das eine spürbare Erleichterung. Bisher musste begründet werden, warum der Serverstandort überhaupt eine Rolle spielen darf. Jetzt steht es im Gesetz.

Dass das Thema angekommen ist, zeigen auch die Zahlen. In einer forsa-Umfrage unter 1.296 Bürgermeisterinnen und Bürgermeistern vom Juli 2026 messen 88 Prozent einem Anbieter- und Serverstandort in Deutschland oder der EU eine hohe Bedeutung bei.

Warum ist der Serverstandort allein nicht ausreichend?

Hier liegt der häufigste Denkfehler. Benannt wird er von einer Stelle, die es wissen muss. Das Zentrum für Digitale Souveränität der Öffentlichen Verwaltung schreibt in seinem Kriterienpapier, dass häufig außer Acht gelassen wird, dass der Rechtsstandort ausländischer Unternehmen einen Zugriff auf IT-Infrastruktur auch in der EU im Prinzip zulässt.

Im Klartext heißt das, ein Rechenzentrum in Frankfurt schützt nicht, wenn der Vertragspartner einer fremden Rechtsordnung unterliegt. Entscheidend ist nicht nur, wo die Daten liegen, sondern wer sie im Zweifel herausgeben müsste. Genau deshalb reicht es nicht, auf einen Serverstandort in Deutschland zu verweisen. Den bieten inzwischen fast alle an.

Welche fünf Fragen sollte eine Kommune jedem Cloud-Anbieter stellen?

Aus der Praxis heraus lassen sich die relevanten Punkte auf fünf Fragen eindampfen. Sie funktionieren bei jeder Software, nicht nur bei uns.

• Wo liegen unsere Daten physisch? Konkreter Standort, nicht nur die Angabe EU.
• Wer ist unser Vertragspartner und welchem Recht unterliegt er? Hier lohnt der Blick auf Muttergesellschaft und Eigentümerstruktur, nicht nur auf den Firmensitz.
• Wer kann außer uns technisch auf die Daten zugreifen? Administratoren, Support, Subunternehmer, Rechenzentrumsbetreiber. Wird ein solcher Zugriff protokolliert.
• Was passiert, wenn eine Behörde aus einem Drittstaat Zugriff verlangt? An wen könnte sich eine solche Anordnung überhaupt richten.
• Wie kommen wir wieder raus? In welchem Format bekommen wir unsere Daten, wie lange dauert das, was kostet es.

Datenschutz ist mehr als nur Serverstandort

Die fünfte Frage hat seit Kurzem eine gesetzliche Grundlage. Der EU Data Act verpflichtet Anbieter von Cloud-Diensten seit dem 12. September 2025, einen Anbieterwechsel aktiv zu ermöglichen. Ab dem 12. Januar 2027 darf dafür kein Entgelt mehr verlangt werden.

Wie factro dazu steht

Wir beantworten diese Fragen gern konkret: factro wird in Bochum entwickelt und betrieben, von einem inhabergeführten deutschen Unternehmen. Es gibt keine ausländische Muttergesellschaft und keinen Investor im Hintergrund. Vertragspartner ist die Schuchert Managementberatung GmbH & Co. KG, Gerichtsstand ist Deutschland.

• Datenstandort: Die Daten werden ausschließlich im Interxion Data Center Campus FRA-1 in Frankfurt am Main gespeichert.
• Zertifizierung: Das eingesetzte Rechenzentrum ist nach ISO/IEC 27001 zertifiziert.
• Übertragung: Die Datenübertragung erfolgt TLS-verschlüsselt.
• Backups: Sicherungen erfolgen auf geografisch getrennten Systemen.
• Berechtigungen: Die Rechte innerhalb der eigenen Cloud werden vom Kunden selbst vergeben.
• Auftragsverarbeitung: Ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO wird bereitgestellt.
• Datenexport: Daten können in einem maschinenlesbaren Format exportiert werden.
• Löschung: Die Löschung der eigenen Cloud kann selbst angestoßen werden.

Was behauptet factro ausdrücklich nicht?

Zum Schluss eine Einordnung, die selten in solchen Texten steht: Digitale Souveränität im Sinne der Bundesverwaltung meint auch quelloffene Software und die Möglichkeit zum Eigenbetrieb. Das leistet factro nicht. Wir behaupten es auch nicht.Wenn wir bei factro über Souveränität sprechen, meinen wir vor allem Souveränität im laufenden Betrieb einer Kommune:

• Wo liegen die Daten?
• Wer kann auf sie zugreifen?
• Welchem Recht unterliegt der Vertragspartner?
• Welche Abhängigkeit entsteht?
• Wie können die Daten wieder exportiert werden?

Auf diese Fragen geben wir Dir eine belastbare Antwort. Falls Dir das nicht reicht, stelle die fünf Fragen oben einfach unserem Wettbewerb.