Markus Begerow
Datensouveränität gehört zu den meistgenannten Schlagworten in Politik, Verwaltung und Wirtschaft. Gleichzeitig bleibt oft unklar, was darunter in der Praxis tatsächlich zu verstehen ist. Zwar entstehen neue Gesetze, strategische Konzepte und ethische Leitlinien. Im operativen Alltag zeigt sich jedoch ein anderes Bild: Daten verbleiben in isolierten Systemen, werden manuell übertragen und über proprietäre Plattformen verarbeitet. Dabei geht die Kontrolle über ihre Nutzung, Weitergabe und Verwertung zunehmend verloren. Zwischen Anspruch und Umsetzung klafft eine Lücke...
Deutsche Unternehmen bewegen sich in einem Umfeld, in dem Datenschutz, Compliance und Governance einen besonders hohen Stellenwert haben. Zugleich fehlen in vielen Organisationen durchgängige technische Konzepte, eine breite Datenkompetenz und ein klares Zielbild für eine souveräne Dateninfrastruktur. Datensouveränität bleibt deshalb häufig ein strategischer Anspruch, der in Leitlinien und Transformationsprogrammen verankert ist, im operativen Alltag jedoch nur teilweise erreicht wird.
Dieser Beitrag versteht Datensouveränität nicht als abstraktes Schlagwort, sondern als konkrete unternehmerische Gestaltungsaufgabe. Er zeigt, warum sie weder allein durch rechtliche Vorgaben noch ausschließlich durch neue Technologien hergestellt werden kann. Entscheidend ist vielmehr das Zusammenspiel von Governance, Architektur, Prozessen und Kompetenzen. Denn ohne wirksame Kontrolle über die eigenen Daten lassen sich weder vertrauenswürdige KI-Anwendungen aufbauen noch nachhaltige digitale Geschäftsmodelle und neue Formen der Wertschöpfung entwickeln.
Was bedeutet Datensouveränität wirklich?
Datensouveränität wird häufig mit Datenschutz oder Datensicherheit gleichgesetzt. Diese Gleichsetzung ist bequem, aber falsch. Datenschutz adressiert den rechtmäßigen Umgang mit personenbezogenen Daten, Datensicherheit den Schutz vor Verlust, Manipulation oder unbefugtem Zugriff. Datensouveränität geht weiter.
Im Kern beschreibt Datensouveränität die Fähigkeit von Individuen, Organisationen oder Staaten, bewusst und kontrolliert über Daten zu verfügen. Dazu gehören mehrere Dimensionen:
- die Kontrolle darüber, welche Daten erhoben werden,
- wo und wie diese Daten gespeichert sind,
- zu welchem Zweck sie verarbeitet werden,
- wer Zugriff auf sie hat,
- und unter welchen Bedingungen sie weitergegeben oder ausgewertet werden.
Datensouveränität ist damit kein statischer Zustand, sondern ein fortlaufender Prozess. Sie setzt Transparenz voraus: über Datenquellen, Datenstände, Transformationen und Nutzungszusammenhänge. Ohne diese Transparenz bleibt Kontrolle eine Illusion.
Besonders relevant ist die Unterscheidung zwischen individueller und organisationaler Datensouveränität. Während sich erstere auf Bürgerinnen und Bürger bezieht, etwa im Kontext von Gesundheits- oder Mobilitätsdaten, betrifft letztere Unternehmen, Behörden und Institutionen. Gerade hier zeigt sich, dass formale Zuständigkeit nicht automatisch faktische Kontrolle bedeutet. Wer Daten zwar besitzt, sie aber technisch nicht versteht oder nicht eigenständig verarbeiten kann, ist nicht souverän, sondern abhängig.
Datensouveränität ist somit weniger eine Frage des Eigentums als eine Frage der Handlungsfähigkeit. Sie entsteht dort, wo Daten nachvollziehbar strukturiert, technisch beherrscht und strategisch genutzt werden können.
Datensouveränität beginnt mit einem Ziel
Unternehmen benötigen in der Regel keine neue Datenplattform, weil sie eine Datenplattform besitzen möchten. Sie benötigen eine Lösung, weil beispielsweise:
- Managementberichte zu spät oder mit widersprüchlichen Zahlen vorliegen,
- Mitarbeitende Informationen aus unterschiedlichen Systemen manuell zusammentragen,
- regulatorische Nachweise nur mit erheblichem Aufwand erstellt werden können,
- KI-Anwendungen auf unvollständige oder nicht ausreichend dokumentierte Daten zugreifen,
- zentrale Prozesse von einzelnen Softwareanbietern abhängig sind,
- Daten zwischen Abteilungen, Unternehmen oder Behörden nicht verlässlich ausgetauscht werden können.
Datensouveränität zeigt sich deshalb nicht im Besitz einer bestimmten Infrastruktur. Sie zeigt sich in der Fähigkeit, einen geschäftlichen Anwendungsfall kontrolliert, nachvollziehbar und unabhängig betreiben zu können.
Ein Unternehmen ist dann souverän, wenn es weiß:
- welche Daten für einen Prozess benötigt werden,
- woher diese Daten stammen,
- wie ihre Qualität sichergestellt wird,
- wer sie verwenden darf,
- wie Entscheidungen zustande kommen,
- welche Abhängigkeiten von Dienstleistern bestehen,
- und wie der Anwendungsfall auch bei veränderten Rahmenbedingungen weiterbetrieben werden kann.
Damit wird Datensouveränität zu einer Frage der operativen Handlungsfähigkeit. Doch wie sehen mögliche Use Cases aus?
Use Case 1: Verlässliche Unternehmenssteuerung
Ein typischer Ausgangspunkt ist das Unternehmensreporting. In vielen Unternehmen existieren mehrere Versionen derselben Kennzahl. Vertrieb, Controlling und Geschäftsführung arbeiten mit unterschiedlichen Datenständen. Berichte werden aus verschiedenen Systemen exportiert, in Tabellen zusammengeführt und manuell korrigiert.
Das eigentliche Problem ist hier nicht das fehlende Dashboard. Das Problem ist, dass nicht eindeutig geklärt ist:
- Welche Kennzahl ist verbindlich?
- Aus welchen Quellen wird sie berechnet?
- Welche fachlichen Regeln gelten?
- Wer trägt die Verantwortung für ihre Qualität?
- Kann die Entstehung eines Ergebnisses nachvollzogen werden?
Unser Ziel ist deshalb nicht zunächst die Einführung eines weiteren Reporting-Tools. Wir schaffen eine belastbare Grundlage, auf der relevante Kennzahlen konsistent, reproduzierbar und nachvollziehbar bereitgestellt werden. Der geschäftliche Nutzen besteht in schnelleren Entscheidungen, weniger Abstimmungsaufwand und einer verlässlichen Sicht auf das Unternehmen.
Use Case 2: Prozesse automatisieren, ohne Kontrollevrlust!
Viele Organisationen möchten administrative und operative Prozesse automatisieren. Häufig beginnen solche Vorhaben jedoch mit der Auswahl eines Tools, bevor der Prozess selbst ausreichend verstanden wurde. Das führt dazu, dass bestehende Ineffizienzen lediglich digitalisiert werden.
Wir betrachten deshalb zunächst den gesamten Ablauf in einem Unternehmen und klären:
- Wo entstehen Informationen?
- Welche Entscheidungen werden getroffen?
- Welche Ausnahmen gibt es?
- Welche Daten werden manuell übertragen?
- An welchen Stellen entstehen Medienbrüche?
- Welche Kontrollen müssen erhalten bleiben?
Erst anschließend wird entschieden, welche Teile automatisiert werden können.
Datensouveränität bedeutet in diesem Zusammenhang, dass das Unternehmen die fachlichen Regeln des Prozesses weiterhin versteht und verändern kann. Eine Automatisierung darf nicht dazu führen, dass zentrale Entscheidungslogiken ausschließlich in einer externen Plattform verborgen sind. Der Use Case ist dann erfolgreich, wenn der Prozess schneller und wirtschaftlicher wird, ohne Transparenz, Anpassungsfähigkeit oder Verantwortlichkeit zu verlieren.
Use Case 3: KI für die Wissensarbeit einsetzen
Unternehmen möchten KI nutzen, um Dokumente auszuwerten, Wissen schneller zugänglich zu machen, Kundenanfragen zu bearbeiten oder Mitarbeitende bei Entscheidungen zu unterstützen. Die zentrale Frage lautet jedoch nicht: Welches Sprachmodell sollen wir einsetzen?
Das ist jedoch nicht die richtige Frage, da viele Kundenanfragen auch mit älteren Sprachmodellen beantwortet werden können, entscheidender ist vielmehr:
- Auf welches Wissen darf die KI zugreifen?
- Welche Quellen gelten als verbindlich?
- Wie aktuell sind die Informationen?
- Wie werden vertrauliche Daten geschützt?
- Können Antworten auf ihre Quellen zurückgeführt werden?
- Wer prüft Ergebnisse in kritischen Fällen?
- Wie wird mit fehlerhaften oder widersprüchlichen Informationen umgegangen?
Ein KI-Assistent für interne Richtlinien benötigt andere Kontrollen als ein System zur Kundenkommunikation oder eine Anwendung zur Unterstützung fachlicher Entscheidungen.
Wir entwickeln KI-Anwendungsfälle daher aus dem jeweiligen Geschäftsprozess heraus. Technologie ist dabei ein Mittel zum Zweck. Der eigentliche Wert entsteht durch eine verlässliche Wissensbasis, klare Verantwortlichkeiten und nachvollziehbare Entscheidungen.
Datensouveränität entscheidet somit darüber, ob KI lediglich beeindruckende Ergebnisse produziert oder dauerhaft als vertrauenswürdiges Arbeitsmittel eingesetzt werden kann.
Use Case 4: Regulatorische Anforderungen effizient erfüllen
Datenschutz, der AI Act, der Data Act und branchenspezifische Anforderungen werden häufig als zusätzliche Belastung wahrgenommen. Der Aufwand entsteht jedoch oftmals nicht allein durch die Regulierung, sondern durch fehlende Transparenz über Daten und Prozesse.
Können Datenquellen, Verarbeitungsschritte und Verantwortlichkeiten nicht nachvollzogen werden, müssen Nachweise im Einzelfall manuell rekonstruiert werden.
Ein souveräner Ansatz verbindet Compliance deshalb unmittelbar mit dem operativen Prozess. Dokumentation, Zugriffsrechte, Qualitätskontrollen und Freigaben werden nicht nachträglich ergänzt, sondern von Beginn an berücksichtigt.
Dadurch entstehen konkrete Vorteile:
- Prüfungen können schneller vorbereitet werden.
- Verantwortlichkeiten lassen sich eindeutig zuordnen.
- Risiken werden frühzeitig sichtbar.
- Nachweise entstehen möglichst aus dem laufenden Prozess.
- Neue regulatorische Anforderungen können leichter umgesetzt werden.
Compliance wird damit nicht zum Gegenpol von Innovation, sondern zu einem Qualitätsmerkmal digitaler Leistungen.
Use Case 5: Finanz- und Kryptotransaktionen aufbereiten
Besonders anschaulich wird das Thema bei digitalen Vermögenswerten und Kryptotransaktionen. Nutzerinnen und Nutzer können Vermögenswerte eigenständig verwalten und über verschiedene Plattformen, Wallets und Protokolle transferieren. Gleichzeitig müssen Transaktionshistorien für steuerliche, bilanzielle oder regulatorische Zwecke vollständig rekonstruiert werden. Der Besitz der privaten Schlüssel allein schafft deshalb noch keine praktische Souveränität.
Entscheidend ist, ob Transaktionen:
- vollständig erfasst,
- verschiedenen Wallets und Plattformen zugeordnet,
- fachlich klassifiziert,
- nach einheitlichen Regeln bewertet,
- und für Dritte nachvollziehbar dokumentiert werden können.
Wer ausschließlich auf einen einzelnen Auswertungsanbieter vertraut, ohne die zugrunde liegenden Daten und Berechnungslogiken zu verstehen, verlagert einen wesentlichen Teil der Kontrolle nach außen. Der konkrete Use Case besteht daher nicht in der Einführung einer Blockchain-Technologie. Er besteht darin, eine belastbare und prüfbare Transaktionshistorie herzustellen.
Use Case 6: Daten sicher mit Partnern austauschen
Viele neue Geschäftsmodelle setzen voraus, dass Daten über Unternehmensgrenzen hinweg genutzt werden. Hersteller benötigen Betriebsdaten von Maschinen, Lieferanten tauschen Qualitätsinformationen aus und öffentliche Stellen müssen Informationen zwischen verschiedenen Zuständigkeiten bereitstellen.
Dabei treffen unterschiedliche Interessen aufeinander:
- Daten sollen nutzbar sein.
- Geschäftsgeheimnisse müssen geschützt bleiben.
- Zugriffe müssen begrenzt werden.
- Nutzungszwecke müssen nachvollziehbar sein.
- Verantwortlichkeiten dürfen nicht verloren gehen.
Datensouveränität bedeutet hier nicht, Daten grundsätzlich zurückzuhalten. Sie bedeutet, Daten unter klar definierten Bedingungen nutzbar zu machen. Ein erfolgreicher Anwendungsfall schafft deshalb sowohl wirtschaftlichen Nutzen als auch Vertrauen zwischen den beteiligten Parteien.
Mein persönliche Sichtweise
Aus meiner Sicht ist Datensouveränität keine theoretische Forderung und auch kein rein europäisches Abgrenzungsprojekt. Sie ist eine zentrale Voraussetzung dafür, dass Unternehmen im digitalen Zeitalter dauerhaft handlungsfähig bleiben.
Dabei geht es nicht darum, sämtliche Daten ausschließlich selbst zu speichern oder externe Anbieter grundsätzlich zu vermeiden. Entscheidend ist vielmehr, dass ein Unternehmen jederzeit versteht, welche Daten es besitzt, woher sie stammen, wie sie verarbeitet werden und nach welchen Regeln daraus Entscheidungen entstehen.
Besonders im Zusammenhang mit künstlicher Intelligenz wird diese Frage immer wichtiger. Unternehmen können leistungsfähige KI-Modelle einsetzen, wenn die zugrunde liegenden Daten jedoch unvollständig, widersprüchlich oder nicht nachvollziehbar sind, bleiben auch die Ergebnisse der KI unsicher. Gute KI beginnt deshalb nicht mit der Auswahl des neuesten Modells, sondern mit einer belastbaren Daten- und Wissensbasis.
Datensouveränität bedeutet für mich vor allem, Kontrolle über die eigene Wertschöpfung zu behalten. Wer Geschäftsprozesse, Entscheidungslogiken und Datenstrukturen vollständig an einzelne Plattformanbieter auslagert, schafft möglicherweise kurzfristig Effizienz, erhöht aber langfristig seine Abhängigkeit.
Gerade deutsche Unternehmen sollten Datenschutz, Compliance und Governance deshalb nicht ausschließlich als Belastung betrachten. Richtig umgesetzt können sie zu einem Qualitäts- und Vertrauensmerkmal werden. Dafür müssen rechtliche Anforderungen, technische Architektur, klare Verantwortlichkeiten und Datenkompetenz jedoch gemeinsam gedacht werden.
Mein Fazit lautet daher: Datensouveränität zeigt sich nicht darin, welche Technologie ein Unternehmen einsetzt. Sie zeigt sich darin, ob das Unternehmen seine Daten versteht, seine Prozesse kontrolliert und auch unter veränderten technischen oder regulatorischen Bedingungen eigenständig handeln kann.
Quellen
- Begerow, M. Datensouveränität - das unentdeckte Land. Wirtsch Inform Manag 18, 7–15 (2026). https://doi.org/10.1365/s35764-026-00598-1
- Begerow, M.; Goram, M.; Höcker, B. (2026): Data & Analytics für Einsteiger. Der praktische Leitfaden für Ausbildung, Studium und Beruf. 1. Aufl. Seattle, WA: Amazon.
- Bitkom e. V. (2026): Cloud Report 2026. Status Quo & Trends in Wirtschaft und Politik. Berlin: Bitkom e. V.
https://doi.org/10.64022/2026-cloud-report-2026 - Europäische Kommission (2020): Eine europäische Datenstrategie. Mitteilung der Kommission an das Europäische Parlament, den Rat, den Europäischen Wirtschafts- und Sozialausschuss und den Ausschuss der Regionen, COM(2020) 66 final. Brüssel. https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:52020DC0066
- Feth, D.; Polst, S. (2023): Benutzerfreundliche Umsetzung von Datensouveränität in Digitalen Ökosystemen. Kaiserslautern: Fraunhofer-Institut für Experimentelles Software Engineering IESE. Quelle; https://www.iese.fraunhofer.de/content/dam/iese/publikation/digitale-oekosysteme-datensouveraenitaet-fraunhofer-iese.pdf
