Datensouveränität

Was bedeutet Datensouveränität?

Datensouveränität heißt nicht, alle Daten im eigenen Keller zu speichern. Gemeint ist Kontrolle: Ein Unternehmen kann jederzeit drei Fragen beantworten. Wo liegen unsere Daten, bei welchem Anbieter und in welchem Rechtsraum? Wer darf darauf zugreifen und wofür? Und können wir sie vollständig und in brauchbarer Form wieder mitnehmen? Mit dem Einsatz von KI hat das Thema an Gewicht gewonnen, weil Firmenwissen heute in großen Mengen an Sprachmodelle fließt: Angebote, Kalkulationen, E-Mails, Handbücher, Projektberichte. Ein Large Language Model (LLM) verarbeitet alles, was eingegeben wird. Souverän ist ein Betrieb dann, wenn er bewusst entscheidet, welche Daten ins Modell gehen, ob Eingaben gespeichert oder zum Training verwendet werden und wo das Rechenzentrum steht.

Der wichtigste Nachbarbegriff ist der Datenschutz. Die DSGVO schützt personenbezogene Daten, also Informationen über Kunden, Beschäftigte oder Bewerber. Datensouveränität geht weiter: Sie umfasst auch Kalkulationen, Konstruktionszeichnungen, Rezepturen, Preislisten und Prozesswissen. Diese Daten haben keinen Personenbezug, sind für den Betrieb aber oft wertvoller als die Kundenkartei. Ein Auftragsverarbeitungsvertrag (AVV) regelt den datenschutzrechtlichen Teil der Zusammenarbeit mit einem Anbieter. Ob Sie bei einer Kündigung Ihre gesamte Historie in einem offenen Format zurückbekommen, beantwortet er nicht automatisch.

Auch zu weiteren Begriffen lohnt die Abgrenzung. Eine Datenstrategie legt fest, welche Daten ein Unternehmen wofür nutzen will; Datensouveränität sorgt dafür, dass es darüber auch tatsächlich verfügen kann. Digitale Souveränität ist der weitere Begriff und schließt Software, Infrastruktur und eigene Kompetenzen ein; Datensouveränität ist ihr Kern. Datensicherheit wiederum, also Verschlüsselung, Zugriffsschutz und Backups, ist eine technische Voraussetzung, sagt aber nichts darüber, was ein Anbieter mit den Daten tun darf.

Rechtlich spielen mehrere Ebenen hinein. Anbieter mit Sitz in den USA unterliegen US-Recht, nach dem Behörden unter bestimmten Voraussetzungen die Herausgabe von Daten verlangen können, auch wenn diese auf Servern in der EU liegen. Das macht US-Dienste nicht unbrauchbar; für die Übermittlung personenbezogener Daten besteht seit 2023 mit dem EU-US Data Privacy Framework eine Grundlage. Es bedeutet aber, dass ein Serverstandort in Frankfurt allein noch keine Souveränität herstellt. Auf EU-Ebene stärkt der Data Act, der seit September 2025 gilt, die Position der Kunden, unter anderem durch Vorgaben, die den Wechsel zwischen Cloud-Anbietern erleichtern sollen. Für den Mittelstand ist das Ziel daher nicht Abschottung, sondern Wahlfreiheit. Dieser Eintrag ist eine praktische Einordnung, keine Rechtsberatung.

Datensouveränität kurz erklärt: die wichtigsten Punkte

• Speicherort und Rechtsraum sind bekannt: Für jedes System ist klar, in welchem Land die Server stehen und welchem Recht der Anbieter unterliegt.
• Nutzungsrechte sind begrenzt: Eingaben und Dokumente werden nicht zum Training fremder Modelle verwendet, vertraglich ausgeschlossen und in den Kontoeinstellungen geprüft.
• Zugriffe werden gesteuert: Das Unternehmen bestimmt, welche Mitarbeitenden, Dienstleister und KI-Systeme welche Daten sehen dürfen.
• Daten bleiben portabel: Ein vollständiger Export in offenen Formaten ist jederzeit möglich und die Voraussetzung dafür, einen Anbieter zu wechseln.
• Modelle sind austauschbar: Die KI-Architektur ist so aufgebaut, dass sich das Sprachmodell wechseln lässt, ohne die eigene Wissensbasis neu aufzubauen.

Datensouveränität in der Praxis

• Unternehmens-GPT im Ingenieurbüro: Ein Büro will Projektberichte, Prüfnotizen und alte Angebote über ein Unternehmens-GPT durchsuchbar machen. Die Wissensbasis liegt bei einem europäischen Hoster, das Sprachmodell ist per Schnittstelle mit vertraglich ausgeschlossenem Training angebunden. Über Retrieval Augmented Generation (RAG) erhält das Modell je Anfrage nur den passenden Ausschnitt. Wechselt das Büro später das Modell, bleibt die Wissensbasis unverändert.
• Kalkulationen im Chat-Assistenten: Ein Metallbaubetrieb stellt fest, dass Mitarbeitende Kalkulationen und Kundenanfragen in private Gratiskonten kopieren, ein klassischer Fall von Schatten-KI (Shadow AI). Die Geschäftsführung stellt auf einen Teamtarif mit ausgeschaltetem Training um und legt in einer KI-Nutzungsrichtlinie fest, welche Datenarten dort erlaubt sind und welche nicht.
• Wechsel des CRM-Anbieters: Ein Dienstleister will nach einer Preiserhöhung kündigen und merkt, dass der Export nur eine Kontaktliste liefert, ohne Gesprächsnotizen, Angebotsverlauf und Anhänge. Beim neuen Anbieter lässt er sich deshalb vor Vertragsschluss einen vollständigen Export mit Musterdaten vorführen und hält das Format im Vertrag fest.

Woran Sie gelebte Datensouveränität erkennen

1. Für jedes System mit Firmendaten ist dokumentiert, wer der Anbieter ist, wo die Daten liegen und welche Unterauftragnehmer beteiligt sind.
2. In allen genutzten KI-Diensten ist geprüft, dass Eingaben nicht zum Training verwendet werden, und der Nachweis ist abgelegt.
3. Ein vollständiger Datenexport wurde mindestens einmal tatsächlich getestet, statt nur im Prospekt versprochen.
4. Es gibt eine einfache Einteilung der Daten in Schutzklassen, etwa öffentlich, intern und vertraulich, und eine Regel, welche Klasse in welches Werkzeug darf.
5. Kein einzelner Anbieter kann den Betrieb durch Ausfall, Preiserhöhung oder geänderte Bedingungen lahmlegen, ohne dass es einen Plan B gibt.

Typische Fehler

• Serverstandort mit Souveränität verwechseln: „Unsere Daten liegen in Deutschland“ reicht nicht, wenn der Anbieter fremdem Recht unterliegt oder Eingaben für eigene Zwecke nutzt.
• Abschottung statt Steuerung: Aus Sorge wird KI ganz verboten, und die Mitarbeitenden nutzen sie dann privat, ohne jede Kontrolle.
• Wissen im Werkzeug statt im Unternehmen: Prompts, Assistenten und Dokumente werden nur in einer Plattform gepflegt, sodass jeder Anbieterwechsel einem Neubeginn gleichkommt.
• Nur personenbezogene Daten im Blick: Der Datenschutz ist geprüft, während Kalkulationen, Konstruktionsdaten und Preislisten ungeregelt in externe Dienste fließen.

Mein Bezug

Ich baue in unseren eigenen Firmen genau die Systeme, über die ich hier schreibe: ein Firmengehirn, digitale Mitarbeiter und ein KI-Betriebssystem, das beides zusammenhält. Dabei habe ich gelernt, dass Datensouveränität vor allem eine Architekturentscheidung ist: Das Wissen gehört in eine eigene, strukturierte Basis, das Sprachmodell ist ein austauschbares Werkzeug. Wie wir das aufbauen, beschreibe ich im Beitrag Ein Betriebssystem für den Betrieb. Als zertifizierter KI-Manager und BAFA-akkreditierter Berater begleite ich Betriebe in Rostock, Mecklenburg-Vorpommern und Norddeutschland dabei, ihre Werkzeuglandschaft vor dem KI-Einsatz zu sortieren: welche Daten wo liegen, welche in welche KI dürfen und wie Systeme so aufgebaut werden, dass ein Anbieterwechsel möglich bleibt. Die abschließende rechtliche Prüfung gehört zum Datenschutzbeauftragten oder Anwalt – ich sorge dafür, dass alle Fakten dafür auf dem Tisch liegen.

Zur Förderung bleibe ich ehrlich: Für Datensouveränität als solche gibt es kein eigenes Förderprogramm. Geschieht die Bestandsaufnahme als Teil einer Beratung, in der Prozesse analysiert, ein KI-Konzept erarbeitet und Regeln für den Betrieb entwickelt werden, kann der beratende Anteil über die BAFA-Beratungsförderung bezuschusst werden – in Mecklenburg-Vorpommern und den übrigen neuen Bundesländern mit 80 Prozent, höchstens 2.800 Euro je Beratung. Die Umsetzung selbst ist darüber nicht gefördert. Die Richtlinie wurde bis zum 31. Dezember 2028 verlängert; für Anträge ab dem 1. Januar 2027 gelten geänderte Bedingungen. Alle Details stehen in meinem Beitrag BAFA verlängert die Förderung von Unternehmensberatungen.

Verwandte Begriffe

• Auftragsverarbeitungsvertrag (AVV)
• Datenstrategie
• Unternehmens-GPT
• Schatten-KI (Shadow AI)
• KI-Nutzungsrichtlinie
• Large Language Model (LLM)
• Firmengehirn
• KI-Verordnung (AI Act)

Weiterführende Beiträge

• ChatGPT und Co. datenschutzkonform nutzen: Was Unternehmen bei KI und DSGVO wirklich beachten müssen
• KI in Europa: Warum der Mittelstand nicht im Modellbau, sondern in der Anwendung gewinnt
• Unternehmens-GPT: Was ein eigener KI-Assistent mit Firmenwissen kann – und was er kostet
• Modell-Wirrwarr 2026: Welches KI-Modell braucht ein Mittelständler wirklich?
• 5,6 Milliarden Euro für ein Rechenzentrum vor Rostocks Haustür

Häufige Fragen zu Datensouveränität

Was ist Datensouveränität?

Datensouveränität ist die Fähigkeit eines Unternehmens, selbst über Speicherort, Verarbeitung und Nutzung seiner Daten zu bestimmen. Dazu gehört, jederzeit zu wissen, bei welchem Anbieter und in welchem Rechtsraum die Daten liegen, wer darauf zugreifen darf und ob man sie vollständig wieder mitnehmen kann. Beim KI-Einsatz kommt die Frage hinzu, ob Eingaben zum Training fremder Modelle verwendet werden.

Was ist der Unterschied zwischen Datensouveränität und Datenschutz?

Datenschutz schützt die personenbezogenen Daten von Menschen, Datensouveränität sichert die Kontrolle eines Unternehmens über alle seine Daten. Die DSGVO regelt also, wie Sie mit Kunden- und Mitarbeiterdaten umgehen dürfen. Datensouveränität umfasst zusätzlich Kalkulationen, Konstruktionsdaten, Preislisten oder Rezepturen, also Betriebswissen ohne Personenbezug.

Kann ich ChatGPT und andere US-KI-Dienste nutzen und trotzdem datensouverän bleiben?

Ja, wenn Sie bewusst steuern, welche Daten unter welchen Bedingungen hineingehen. Das heißt: ein Geschäftstarif mit Auftragsverarbeitungsvertrag, vertraglich ausgeschlossenes Training und eine klare Regel, welche Daten dort tabu sind. Für besonders vertrauliches Wissen kann ein europäischer Anbieter oder ein selbst betriebenes Modell die bessere Wahl sein.

Wie verhindere ich, dass meine Firmendaten zum KI-Training verwendet werden?

Indem Sie einen Tarif nutzen, der das Training mit Ihren Eingaben vertraglich ausschließt, und die entsprechende Einstellung im Konto prüfen. Bei vielen Geschäfts- und API-Zugängen ist das der Standard, bei kostenlosen Privatkonten häufig nicht. Legen Sie den Nachweis ab und regeln Sie in einer Nutzungsrichtlinie, dass Firmendaten nur in freigegebene Konten gehören.

Wie fängt ein mittelständisches Unternehmen mit Datensouveränität an?

Mit einer Bestandsaufnahme aller Systeme, in denen Firmendaten liegen. Für jedes System wird festgehalten, wer der Anbieter ist, wo die Daten gespeichert werden, ob sie zum Training genutzt werden und wie ein vollständiger Export funktioniert. Danach teilen Sie Ihre Daten in Schutzklassen ein und legen fest, welche davon in welche KI-Werkzeuge dürfen.