Datensouveränität

Was bedeutet Datensouveränität?

Datensouveränität bezeichnet die Fähigkeit einer Organisation, selbst zu bestimmen, wo ihre Daten liegen, wer darauf zugreift, wie sie verarbeitet und unter welchen Bedingungen sie weitergegeben werden. Der Schwerpunkt liegt auf der aktiven Steuerung, nicht auf der Abwehr. Es geht nicht darum, Daten zu schützen, sondern darum, jederzeit über sie verfügen zu können.

Drei Begriffe werden dabei regelmäßig verwechselt. Datensicherheit meint den technischen Schutz vor Verlust und unbefugtem Zugriff. Datenschutz regelt den rechtlichen Umgang mit personenbezogenen Daten. Datenhoheit setzt darüber an und umfasst zusätzlich die Freiheit, Daten zu exportieren, den Anbieter zu wechseln und die Verarbeitung nach eigenen Regeln zu gestalten. Sie ist damit eine Säule der digitalen Souveränität, die denselben Anspruch auf Software und Betrieb ausdehnt.

Woran sie in der Praxis scheitert

Der Verlust geschieht selten durch einen Vorfall, sondern durch Gewöhnung. Daten sammeln sich in einem Format, das nur eine Anwendung liest, Auswertungen sind nur über die Oberfläche des Anbieters möglich, und ein vollständiger Export ist nicht vorgesehen oder kostenpflichtig.

Ohne Datenhoheit wird jeder Anbieterwechsel zum Projekt mit offenem Ausgang, weil erst im Ernstfall klar wird, welche Daten überhaupt herauszulösen sind. Dasselbe gilt bei einem Ausfall oder einer Insolvenz des Anbieters, wo die Frist meist nicht selbst bestimmt wird. Die Gegenüberstellung mit der Datenportabilität behandelt der Beitrag zu Datensouveränität und Datenportabilität.

Drei Ebenen der Steuerung

Der Anspruch entscheidet sich auf drei Ebenen gleichzeitig. Rechtlich zählt, welcher Rechtsordnung der Anbieter untersteht, denn der Standort eines Rechenzentrums bindet ihn allein nicht. Vertraglich zählt, welche Rechte an Beständen, Dokumentation und Zugängen ausdrücklich zugesichert sind.

Technisch zählt, ob sich die Bestände vollständig und in brauchbarer Form herauslösen lassen. Fehlt eine der drei Ebenen, tragen die anderen beiden nicht. Für Behörden wiegt das schwerer als für Unternehmen, weil Bürgerdaten und Verwaltungsverfahren nicht von der Mitwirkung eines einzelnen Konzerns abhängen dürfen.

Technische Voraussetzungen

In der Softwareentwicklung entscheidet sich die Frage an wenigen Architekturpunkten, die früh festgelegt werden und später kaum noch zu ändern sind. Offene Formate wie JSON, CSV und Standard-SQL statt herstellereigener Ablagen, dokumentierte Schnittstellen für jeden Datenbestand, ein vollständiger Export als reguläre Funktion und eine Abstraktionsschicht, die den Wechsel des Datenbanksystems offenhält.

Bei Individualsoftware kommt der Quellcode hinzu. Gehört er samt Dokumentation und Zugängen dem Auftraggeber, bleibt auch die Verarbeitungslogik im eigenen Zugriff und nicht nur der Datenbestand.