Digitale Souveränität in der Kommune — was sie konkret bedeutet

„Digitale Souveränität“ steht inzwischen in fast jeder Digitalstrategie von Bund, Ländern und Kommunen. In der Praxis bleibt der Begriff oft unscharf — und wird gerne mit „DSGVO-konform“ gleichgesetzt. Das greift zu kurz. Souveränität beschreibt nicht, ob eine Datenverarbeitung erlaubt ist, sondern wer faktisch über die Daten verfügt: Wer kann sie einsehen, wer kann den Dienst abschalten, wer bestimmt über Preise und Funktionsumfang, und wie kommt eine Kommune wieder heraus. Für die rund 1,6 Millionen Beschäftigten bei deutschen Kommunen (Statistisches Bundesamt, Personal des öffentlichen Dienstes 2024) sind das keine abstrakten Fragen — sie entscheiden darüber, welche Werkzeuge im Rathaus, im Bauhof und im Außendienst überhaupt eingesetzt werden dürfen. Dieser Beitrag ordnet den Begriff ein und macht ihn für die Praxis prüfbar.

Was bedeutet digitale Souveränität für eine Kommune?

Digitale Souveränität heißt: Die Kommune behält die Kontrolle über ihre Daten, ihre Systeme und ihre Handlungsfähigkeit — auch dann, wenn sich Anbieter, Preise oder politische Rahmenbedingungen ändern.

Der Begriff hat drei Ebenen, die sich in der Praxis oft vermischen. Erstens die Datenebene: Wo liegen die Daten, welchem Rechtsraum unterliegen sie, wer hat technisch Zugriff. Zweitens die Technologieebene: Wie abhängig ist die Verwaltung von einem einzelnen Anbieter, dessen Roadmap und dessen Preisgestaltung. Drittens die Handlungsebene: Kann die Kommune ihre Aufgaben auch dann erfüllen, wenn ein Dienst ausfällt, teurer wird oder aus politischen Gründen nicht mehr verfügbar ist.

Für eine Verwaltung ist damit nicht gemeint, alles selbst zu betreiben. Souveränität heißt nicht Autarkie, sondern Wahlfreiheit: bewusst entscheiden zu können, welche Abhängigkeiten man eingeht — und diese Entscheidung später revidieren zu können, ohne dass Daten oder Prozesse verloren gehen. Genau diese Rückholbarkeit unterscheidet eine souveräne Beschaffung von einer, die nur formal datenschutzkonform ist.

Warum reicht „DSGVO-konform“ als Kriterium nicht mehr aus?

Weil die DSGVO regelt, ob eine Verarbeitung rechtlich zulässig ist — nicht, wer im Ernstfall tatsächlich auf die Daten zugreifen kann.

Ein Dienst kann Auftragsverarbeitungsvertrag, Verzeichnis von Verarbeitungstätigkeiten und Standardvertragsklauseln vollständig erfüllen und trotzdem in einer Struktur betrieben werden, in der die Kommune keine faktische Kontrolle hat. Datenschutzkonformität ist eine Mindestanforderung, kein Unterscheidungsmerkmal — jeder ernsthafte Anbieter erfüllt sie.

Souveränität setzt eine Ebene tiefer an und fragt nach der tatsächlichen Verfügungsgewalt: Welchem Konzern gehört der Anbieter? Welchem Recht unterliegt die Muttergesellschaft? Welche Subunternehmer sind eingebunden, und in welchen Ländern sitzen sie? Können Administratoren des Anbieters technisch auf Inhalte zugreifen? Was passiert mit den Daten, wenn der Vertrag endet? Diese Fragen beantwortet ein Datenschutzhinweis nicht — sie gehören in die Anbieterprüfung und in die Ausschreibung. Wer nur „DSGVO-konform“ abfragt, bekommt von allen Bietern ein Ja und hat kein Kriterium gewonnen.

Welche Rolle spielt der US CLOUD Act?

Der CLOUD Act verpflichtet US-Anbieter, US-Behörden Zugriff auf Daten zu gewähren — unabhängig davon, in welchem Land diese Daten gespeichert sind.

Der Clarifying Lawful Overseas Use of Data Act von 2018 ist der Kern des Problems, das mit europäischem Hosting allein nicht gelöst wird. Er gilt für Unternehmen, die US-Recht unterliegen — also auch für europäische Tochtergesellschaften US-amerikanischer Konzerne. Ein Rechenzentrum in Frankfurt ändert daran nichts, wenn die Konzernmutter in den USA sitzt.

Dazu kommt die instabile Rechtslage beim Datentransfer: Der Europäische Gerichtshof hat mit dem Schrems-II-Urteil (Rechtssache C-311/18, Juli 2020) das damalige Privacy Shield für ungültig erklärt. Der Nachfolger, das EU-US Data Privacy Framework, steht seit seinem Inkrafttreten unter juristischer Beobachtung. Für eine Kommune bedeutet das ein Planungsrisiko: Eine Beschaffungsentscheidung, deren Rechtsgrundlage von einem einzelnen Angemessenheitsbeschluss abhängt, kann durch ein Urteil binnen Monaten in Frage stehen. Ein Anbieter, der vollständig europäischem Recht unterliegt, hat dieses Risiko strukturell nicht.

Woran erkennen Sie eine souveräne Plattform?

An vier prüfbaren Punkten: Wo die Daten liegen, wem der Betreiber gehört, welche KI-Modelle im Hintergrund laufen — und wie Sie wieder herauskommen.

Diese vier Fragen lassen sich jedem Anbieter stellen und schriftlich beantworten:

1. Hosting und Rechtsraum. In welchem Land stehen die Server, wer betreibt das Rechenzentrum, gibt es Replikate oder Backups außerhalb der EU? Ein konkreter Rechenzentrumsbetreiber ist eine belastbare Antwort, „in der EU“ allein nicht.
2. Eigentümerstruktur des Betreibers. Wem gehört das Unternehmen, welchem Recht unterliegt es, gibt es US-Muttergesellschaften oder Investoren mit Durchgriffsrechten?
3. KI-Komponenten. Immer mehr Plattformen binden Sprachmodelle ein. Entscheidend ist, welche Modelle das sind und wo sie betrieben werden — sonst verlassen Inhalte über die KI-Funktion den Rechtsraum, den man beim Hosting gerade abgesichert hat.
4. Exit-Fähigkeit. Welche Daten bekommen Sie in welchen Formaten heraus, wie lange dauert ein Export, und was passiert mit den Daten nach Vertragsende? Ohne belastbare Antwort ist jede Souveränitätszusage nur eine Momentaufnahme.

Wie bringen Sie Souveränität in die Vergabe?

Indem Sie sie als überprüfbare Kriterien formulieren statt als Absichtserklärung — und Nachweise verlangen, nicht Selbstauskünfte.

Der häufigste Fehler in Ausschreibungen ist die Formulierung „Der Anbieter muss DSGVO-konform sein.“ Das bejaht jeder Bieter, und die Vergabestelle steht ohne Differenzierung da. Prüfbare Kriterien sehen anders aus: Benennung des Rechenzentrumsbetreibers und Standorts, Auflistung aller Subunternehmer mit Sitzland, Angabe der eingesetzten KI-Modelle und ihres Betriebsorts, Beschreibung des Datenexports mit Formaten und Fristen, Angaben zur Eigentümerstruktur des Anbieters.

Sinnvoll ist außerdem, Souveränität nicht nur als Ausschlusskriterium, sondern als gewichtetes Zuschlagskriterium zu führen. Dann konkurrieren Anbieter nicht nur über den Preis, sondern auch darüber, wie belastbar sie diese Fragen beantworten. Und der praktische Nebeneffekt: Wer die Antworten einmal schriftlich vorliegen hat, kann sie gegenüber Personalrat, Datenschutzbeauftragten und IT-Sicherheitsbeauftragten direkt verwenden — drei Gremien, die diese Fragen ohnehin stellen werden.

Wo fangen Kommunen praktisch an?

Am besten dort, wo heute die größte Lücke klafft — meist bei der internen Kommunikation der operativen Bereiche.

Der Umstieg auf souveräne Lösungen wird häufig als Großprojekt gedacht: Office-Suite, E-Mail, Fachverfahren, alles auf einmal. Das ist der sicherste Weg, dass nichts passiert. Realistischer ist ein abgegrenzter Bereich mit hohem Leidensdruck und geringem Migrationsaufwand. In vielen Kommunen ist das die interne Kommunikation von Bauhof, Kita, Feuerwehr und Außendienst — dort läuft die Abstimmung heute oft über private Messenger-Gruppen, also über eine Lösung, die weder dienstlich noch souverän ist. Wie sich das ablösen lässt, beschreibt der Beitrag Dienstliche Kommunikation statt privatem WhatsApp; den größeren Rahmen zieht Deutsche Alternative zu Microsoft Teams & Office.

Kibi Connect setzt genau hier an: Die Plattform wird von der Weslink GmbH in Coesfeld entwickelt und ausschließlich in deutschen Rechenzentren (Hetzner) betrieben; die integrierten KI-Funktionen laufen auf europäischen Modellen, die in der EU gehostet werden. Damit ist ein Bereich abgedeckt, der über 40 % der Beschäftigten betrifft — ohne dass dafür die gesamte IT-Landschaft angefasst werden muss.

Prüfliste für die Anbieterauswahl

• Standort und Betreiber des Rechenzentrums namentlich benannt — nicht nur „EU“
• Eigentümerstruktur des Anbieters offengelegt, keine Durchgriffsrechte aus Drittstaaten
• Vollständige Liste der Subunternehmer inklusive Sitzland
• Eingesetzte KI-Modelle benannt, Betriebsort in der EU
• Datenexport in gängigen Formaten zugesichert, mit Frist und Umfang
• Löschkonzept nach Vertragsende schriftlich fixiert
• AVV, Rollen- und Rechtekonzept, SSO-Anbindung verfügbar
• Souveränitätskriterien als gewichtetes Zuschlagskriterium in der Ausschreibung

Fazit: Souveränität ist eine Frage der Verfügungsgewalt, nicht des Serverstandorts

Ein deutsches Rechenzentrum ist eine notwendige, aber keine hinreichende Bedingung — entscheidend ist, wer über Daten und Dienst tatsächlich verfügt. Für Kommunen bedeutet das, die Anbieterprüfung um vier Fragen zu erweitern: Rechtsraum, Eigentümerstruktur, KI-Komponenten und Exit-Fähigkeit. Wer diese Punkte in die Ausschreibung schreibt und Nachweise verlangt, trifft eine Entscheidung, die auch nach dem nächsten Urteil des Europäischen Gerichtshofs Bestand hat. Und wer klein anfängt — bei der internen Kommunikation der operativen Teams — bekommt schnelle Ergebnisse, statt auf ein Großprojekt zu warten.

Wie Verwaltung, Bauhof und Außendienst dabei auf einer gemeinsamen Plattform zusammenfinden, lesen Sie unter Mitarbeiter-Plattform für Kommunen.

Jetzt kostenlos testen | Demo buchen | Preise ansehen