Datensouveränität

Woher der Begriff kommt und wo er normiert ist

Datensouveränität ist ein politisch geprägter Begriff. Er wurde in Europa breit gebräuchlich, nachdem die Rechtsprechung des Gerichtshofs der Europäischen Union zweimal hintereinander die Grundlage für Datenübermittlungen in die Vereinigten Staaten aufgehoben hatte und damit sichtbar wurde, dass der Sitz des Betreibers über den Zugriff mitentscheidet. Im Sprachgebrauch überlappt er sich mit digitaler Souveränität, die zusätzlich Fragen der technologischen Abhängigkeit umfasst.

Eine Legaldefinition gibt es nicht. Die Datenschutz-Grundverordnung kennt den Begriff nicht. Sie regelt in Kapitel V, unter welchen Bedingungen personenbezogene Daten in ein Drittland übermittelt werden dürfen, und der Gerichtshof hat in der Rechtssache C-311/18 entschieden, dass Standardvertragsklauseln allein nicht genügen, wenn das Recht des Ziellandes einen gleichwertigen Schutz verhindert. Der Europäische Datenschutzausschuss hat dazu ein schrittweises Prüfverfahren veröffentlicht.

Auf der anderen Seite stehen Vorschriften, die den Zugriff begründen: Nach 18 U.S. Code Paragraf 2713, eingefügt durch den CLOUD Act, können Anbieter im US-Rechtsraum zur Herausgabe verpflichtet werden, unabhängig davon, wo die Daten gespeichert sind. FISA Section 702 richtet sich an Anbieter elektronischer Kommunikationsdienste im selben Rechtsraum. Genau diese Konstellation ist der Grund, warum die Ortsfrage die Zugriffsfrage nicht beantwortet.

Woraus sich die Antwort zusammensetzt

Die Frage nach der Datensouveränität zerfällt in sechs Einzelfragen. Jede davon hat eine überprüfbare Antwort, und erst zusammen ergeben sie ein Bild.

• Rechtsform und Sitz des Vertragspartners. Wer ist der Verantwortliche im Vertrag, in welchem Register steht er, welchem Recht unterliegt er?
• Beteiligungsverhältnisse. Gehört der Anbieter zu einem Konzern mit Mutter in einem Drittland? Eine europäische Tochter ändert die Konzernzugehörigkeit nicht.
• Unterauftragsverarbeiter. Wer ist tatsächlich beteiligt, mit welchem Sitz und für welchen Zweck? Diese Liste steht im Verzeichnis nach Art. 30 und ist der ehrlichste Teil jeder Prüfung.
• Verarbeitungsorte je Schritt. Speicher, Index, Einbettungen, Modellaufruf, Protokolle, Support. Siehe Datenresidenz.
• Vertragsgrundlage für Drittlandtransfers. Angemessenheitsbeschluss, Standardvertragsklauseln, ergänzende Maßnahmen? Und für welche Verarbeitung genau?
• Umgang mit behördlichen Anfragen. Gibt es einen dokumentierten Ablauf, wird der Kunde informiert, soweit das zulässig ist?

Eine Antwort, die diese sechs Punkte nicht bedient, ist keine Aussage über Datensouveränität, sondern ein Werbeversprechen. Das gilt für jeden Anbieter, auch für den, dessen Website Sie gerade lesen.

Welche Betriebsmodelle es gibt

• Globaler Anbieter mit europäischer Region: technisch ausgereift und breit verfügbar. Die Konzernzugehörigkeit bleibt bestehen, die Zugriffsfrage wird über Verträge und ergänzende Maßnahmen adressiert.
• Souveräne Betriebsmodelle: Betrieb durch eine lokale Gesellschaft, teils mit getrenntem Personal und getrennter Verwaltung. Die Konstruktionen unterscheiden sich erheblich, entscheidend ist, wer administrativ Zugriff hat.
• Europäischer Anbieter mit eigener Infrastruktur: Sitz, Betrieb und Recht fallen zusammen. Zu prüfen bleiben die Unterauftragsverarbeiter, denn Zahlungsabwicklung, Fehlerüberwachung und Telefonie stammen selten aus demselben Haus.
• Betrieb im eigenen Rechenzentrum: die weitreichendste Kontrolle und der höchste laufende Aufwand. Für Sprachmodelle bedeutet es zusätzlich, Modelle selbst zu betreiben und aktuell zu halten.

Keines dieser Modelle ist grundsätzlich richtig. Die Wahl hängt davon ab, welche Daten verarbeitet werden und welchen Aufwand eine Organisation tragen kann und will.

Wie Nexoria das umsetzt

Nexoria beantwortet die sechs Fragen offen und ohne Superlativ. Vertragspartner ist die Nexoria Systems UG (haftungsbeschränkt) mit Sitz in Kelkheim, eingetragen beim Amtsgericht Königstein im Taunus. Zum Betrieb gilt: Die Plattform läuft ohne Public-Cloud-Infrastruktur wie AWS, Azure oder Google Cloud. Dateien, Index, Suche und Antwortaufbereitung laufen auf dedizierten Servern in deutschen Rechenzentren. Website und Dashboard werden ebenfalls in Deutschland gehostet.

Zum Modellanbieter: Die Antwortgenerierung nutzt Mistral AI mit Sitz in Paris, EU. Die Verarbeitungskette der Kernplattform bleibt in der EU.

Zum US-Bezug gilt der freigegebene Wortlaut: Für Hosting, Datenbanken und KI-Modelle der Kernplattform ist kein US-Rechtssubjekt an der Verarbeitung beteiligt. Dazu gehört bei jeder Wiedergabe die Einschränkung: Die technische Fehlerüberwachung läuft über Sentry mit Sitz in den USA, ohne Zugriff auf Dokumentinhalte, namentlich benannt im Verzeichnis nach Art. 30. Die E-Mail-Integration über Microsoft Graph API und Gmail API greift nur bei aktiver Integration.

Die vollständige Kette der Unterauftragsverarbeiter mit Sitz, Zweck und vertraglicher Grundlage steht im Verzeichnis der Verarbeitungstätigkeiten. Zum Datenschutzrahmen: Nexoria ist auf die Anforderungen der Verordnung (EU) 2016/679 (DSGVO) ausgelegt. Auftragsverarbeitungsvertrag nach Art. 28, Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 und Datenschutz-Folgenabschätzung nach Art. 35 sind öffentlich einsehbar.

Wo die Grenzen liegen

• Die Angaben zur DSGVO sind nicht als Zertifikat oder Prüfsiegel zu verstehen. Es gibt keine Zertifizierungsstelle, die DSGVO-Konformität bescheinigt. Die Aussage ist eine Selbstauskunft mit öffentlich einsehbarem Unterbau.
• Nexoria ist weder nach ISO 27001 noch nach SOC 2 zertifiziert, ein Zertifizierungsverfahren ist derzeit nicht terminiert.
• Drei Unterauftragsverarbeiter sind US-Rechtssubjekte und stehen auf Standardvertragsklauseln, zwei davon nur bei aktiver E-Mail-Integration. Diese Namen stehen im Verzeichnis nach Art. 30 und werden hier nicht weggelassen.
• Ob eine bestimmte ausländische Zugriffsnorm auf eine bestimmte Verarbeitung anwendbar ist, ist eine rechtliche Bewertung und keine Produkteigenschaft. Die Einschätzung von Nexoria dazu steht mit ihrer Einschränkung auf der Seite Security, sie ersetzt keine eigene Prüfung.

Wer die Ortsfrage von der Zugriffsfrage trennen will, findet die Ortsseite unter Datenresidenz. Die vollständige Einordnung mit allen Verarbeitungsschritten steht unter Security, die Fragen aus Beschaffungsprozessen beantwortet die Due-Diligence-FAQ.