In einer Welt, in der Künstliche Intelligenz (KI) immer mehr Daten verarbeitet, wird die Frage der Datensouveränität zu einem zentralen Thema. Für Deutschland bedeutet das nicht nur, dass sensible Informationen nicht in fremde Hände geraten dürfen, sondern auch, dass Unternehmen und Verwaltung die Kontrolle darüber behalten, wo und nach welchem Recht ihre Daten verarbeitet werden. Der Aufstieg globaler Hyperscaler wie Amazon Web Services (AWS), Microsoft Azure und Google Cloud hat die Landschaft verändert. Europa setzt dem Initiativen wie Gaia‑X und europäische Anbieter wie die Open Telekom Cloud entgegen – und die Hyperscaler reagieren mit eigenen „Sovereign Cloud“‑Angeboten. In diesem Beitrag beleuchten wir die geopolitischen Hintergründe, den Stand von Gaia‑X, verschiedene Cloud‑Modelle im Vergleich, Anwendungsbeispiele und die Herausforderungen für Unternehmen im Jahr 2026.

Geopolitische Hintergründe und die Notwendigkeit von Datensouveränität

Die zunehmende Digitalisierung hat die Welt in ein Netzwerk aus Datenflüssen verwandelt, das über Grenzen hinweg verläuft. Für Deutschland bedeutet dies, dass sensible Daten – von Gesundheitsinformationen bis hin zu industriellen Betriebsdaten – nicht nur in der EU, sondern auch in den USA, China oder Russland verarbeitet werden können. Diese „Geopatriation“ von Daten hat in den letzten Jahren zu politischen Spannungen geführt, insbesondere im Kontext von Datenschutzgesetzen wie der DSGVO und den US‑Sicherheitsgesetzen (z. B. CLOUD Act). Für deutsche Unternehmen und die öffentliche Verwaltung ist es daher entscheidend, dass Daten innerhalb des europäischen Rechtsrahmens bleiben und nicht von ausländischen Anbietern kontrolliert werden. Datensouveränität bedeutet hier also nicht nur die Kontrolle über die Daten selbst, sondern auch die Gewährleistung, dass die Verarbeitung und Speicherung unter den Bedingungen der EU‑Datenschutzbestimmungen erfolgen.

Gaia‑X – Vision, Labels und aktueller Stand

Gaia‑X wurde 2020 von Deutschland und Frankreich angestoßen und ist heute eine europäische Vereinigung mit Sitz in Brüssel. Gaia‑X betreibt selbst keine Cloud, sondern definiert Regeln und Prüfverfahren für vertrauenswürdige Cloud‑ und Datendienste. Kern ist das „Compliance Document“ mit drei optionalen Label‑Stufen, die in Transparenz, Datenschutz, Sicherheit, Interoperabilität und europäischer Kontrolle aufeinander aufbauen. Bei Stufe 2 muss ein Anbieter die Option bieten, alle Kundendaten ausschließlich in der EU bzw. im EWR zu speichern und zu verarbeiten, bei Stufe 3 muss er das grundsätzlich tun. Ein Label ersetzt allerdings keine eigene DSGVO‑Prüfung – es dokumentiert überprüfbar, welche Kriterien ein Dienst erfüllt.

Sovereign Cloud – Open Telekom Cloud, AWS Outposts und die AWS European Sovereign Cloud

Die Open Telekom Cloud (OTC) ist ein Beispiel für einen europäischen Cloud‑Dienst: Die Public Cloud der Deutschen Telekom basiert auf OpenStack und wird aus Rechenzentren in Deutschland und den Niederlanden betrieben. Da Betreiber und Infrastruktur europäisch sind, unterliegt sie nicht dem US‑CLOUD Act. Ganz anders AWS Outposts: Hier steht AWS‑Hardware zwar im eigenen Rechenzentrum, betrieben und verwaltet wird sie aber weiterhin von AWS – einem US‑Unternehmen, für das der CLOUD Act gilt. Outposts löst also vor allem Latenz‑ und Datenlokalitätsfragen, nicht die Rechtsfrage. Mit der AWS European Sovereign Cloud, die im Januar 2026 in Brandenburg an den Start ging, geht AWS einen Schritt weiter: eine physisch und logisch getrennte Infrastruktur, betrieben von einer deutschen Gesellschaft mit Personal aus der EU. Ob diese Konstruktion US‑Behördenzugriffe rechtlich vollständig ausschließt, ist allerdings umstritten. Für Unternehmen heißt das: OTC bietet die klarste europäische Kontrolle, die Hyperscaler‑Angebote mehr Dienste und Skalierung – mit unterschiedlich hohem Prüfaufwand bei der Datensouveränität.

Anwendungsbeispiele: Datenräume und souveräne KI‑Projekte

Ein reales Beispiel für souveränen Datenaustausch ist Catena‑X, der Datenraum der Automobilindustrie, der auf den Prinzipien von Gaia‑X aufbaut. Hersteller und Zulieferer tauschen darüber Daten etwa zu Lieferketten, CO₂‑Fußabdrücken oder Teilerückverfolgung aus, ohne die Kontrolle darüber abzugeben, wer welche Daten zu welchem Zweck nutzen darf – eine wichtige Voraussetzung auch für gemeinsame KI‑Anwendungen. Ein typisches (hier fiktives) Szenario aus dem Gesundheitswesen: Ein Klinikverbund will KI‑gestützte Diagnosemodelle auf Patientendaten trainieren und betreibt dafür die Verarbeitung bei einem europäischen Anbieter mit Datenhaltung ausschließlich in Deutschland. So lassen sich DSGVO‑Anforderungen und die Erwartungen von Patienten leichter erfüllen als bei einem Anbieter, der US‑Recht unterliegt.

Herausforderungen und Lösungsansätze: Recht, Technik, Kosten

Trotz der Fortschritte im Bereich der souveränen Cloud gibt es weiterhin Herausforderungen, die Unternehmen im Jahr 2026 bewältigen müssen. Rechtlich erfordert die Einhaltung der DSGVO zusätzliche Prüfungen – etwa Transfer‑Folgenabschätzungen bei Anbietern aus Drittstaaten –, die mit administrativem Aufwand verbunden sind. Technisch stellt die Interoperabilität zwischen verschiedenen Cloud‑Anbietern eine Herausforderung dar, insbesondere wenn KI‑Modelle auf Daten aus mehreren Quellen trainiert werden sollen; hier setzen Datenraum‑Standards wie die von Gaia‑X und der International Data Spaces Association an. Auf Kostenebene sind souveräne Cloud‑Lösungen oft teurer als die Angebote der Hyperscaler, da sie weniger Skaleneffekte nutzen. Unternehmen müssen daher eine Kosten‑Nutzen‑Analyse durchführen. Ein möglicher Lösungsansatz sind „Hybrid‑Cloud‑Strategien“, bei denen kritische Daten in souveränen Clouds verarbeitet werden, während weniger sensible Daten bei globalen Hyperscalern liegen.

Fazit

Die Datensouveränität in der KI‑Ära ist für Deutschland ein strategisches Thema mit politischer wie wirtschaftlicher Dimension. Gaia‑X liefert mit seinen Labels und Datenraum‑Standards den Regelrahmen, europäische Anbieter wie die Open Telekom Cloud und die neuen Sovereign‑Cloud‑Angebote der Hyperscaler liefern die Infrastruktur – mit unterschiedlich starker rechtlicher Unabhängigkeit von den USA. Datenräume wie Catena‑X zeigen, dass souveräner Datenaustausch in der Praxis funktioniert. Für 2026 gilt: Wer Datensouveränität ernst nimmt, sollte Anbieter nicht nur nach Standort, sondern auch nach Betreiber und anwendbarem Recht auswählen.