Warum der Standort der Datenverarbeitung allein nicht genügt – und was der US CLOUD Act für europäische Kundendaten bedeutet.
Digitale Souveränität bedeutet, dass eine Organisation die Kontrolle über ihre Daten, Systeme und Abhängigkeiten behält. Für KI- und Softwareanbieter ist das mehr als ein Standort-Versprechen: Es geht um die Frage, welchem Rechtsraum die Daten tatsächlich unterliegen.
Der US CLOUD Act verpflichtet US-Unternehmen, auf Anordnung Daten herauszugeben – auch dann, wenn diese physisch in einem europäischen Rechenzentrum liegen. Ein Server in Frankfurt schützt also nicht automatisch vor außereuropäischem Zugriff, wenn der Betreiber ein US-Konzern oder dessen Tochter ist.
Für echte Souveränität zählt deshalb die gesamte Lieferkette: Wer betreibt die Infrastruktur, wem gehört das Unternehmen, welche Subprozessoren sind eingebunden? Das KI-Manifest (EU) adressiert genau diese Punkte mit den Grundsätzen „Keine Drittstaaten-Zugriffe" und „Souveräne Vorlieferanten".
Praktisch heißt das: Führen Sie eine dokumentierte Subprozessorenliste, prüfen Sie die Eigentümerstruktur Ihrer Dienstleister und legen Sie offen, welchem Recht Ihre Datenverarbeitung unterliegt. Diese Offenheit ist der glaubwürdigste Nachweis von Souveränität.