Datensouveränität in Europa: Warum Open-Source- und Self-Hosted-DXPs entscheidend sind

Einleitung

Die Europäische Union erhöht den Druck auf Unternehmen und Organisationen, die Auswahl, Bereitstellung und Governance ihrer digitalen Technologien grundlegend zu überdenken.

Für Teams, die eine Digital Experience Platform (DXP) in Europa evaluieren, ist Datensouveränität längst keine einfache Frage des Speicherorts mehr. Datensouveränität berührt heute fundamentale Fragen zu Cloud-Abhängigkeiten, Plattform-Eigentum, Anbieterkontrolle, rechtlichen Zuständigkeiten, Software-Transparenz und langfristiger Portabilität.

Das ist für alle Organisationen von Bedeutung, die digitale Erlebnisse in Europa aufbauen – insbesondere in regulierten Branchen, im öffentlichen Sektor und in Bereichen, in denen Kontrolle und Auditierbarkeit unverzichtbar sind.
 

Was ist Datensouveränität?

Datensouveränität bezeichnet das Prinzip, dass Daten den Gesetzen, Governance-Anforderungen und Zugriffskontrollen derjenigen Jurisdiktion unterliegen, in der sie erhoben, gespeichert, verarbeitet oder aufgerufen werden.

Für europäische Organisationen bedeutet dies meist, dass sensible Daten, personenbezogene Daten, Kundendaten, Finanzdaten und andere geschäftskritische Informationen im Einklang mit europäischen Datenschutzbestimmungen, lokalen Gesetzen, internen Richtlinien und den Erwartungen der Kunden an den Datenschutz verwaltet werden müssen.

Datensouveränität ist jedoch nicht nur eine Compliance-Frage, sondern eine architektonische Entscheidung.
 

Warum Datensouveränität von mehr als nur dem Standort abhängt

Eine Plattform kann Daten innerhalb Europas speichern und dennoch abhängig sein von:
 

• Einem außereuropäischen Cloud-Anbieter

• Einer proprietären SaaS-Architektur

• Einem ausländischen Mutterkonzern

• Einer vom Anbieter kontrollierten Infrastruktur

• Quellgeschlossener Software, die nicht überprüft oder angepasst werden kann

• Service-Level-Agreements (SLAs), die die Transparenz bezüglich Speicherung und Verarbeitung einschränken

Jeder dieser Faktoren kann Souveränitätsrisiken bergen, selbst wenn grundlegende Anforderungen an die Datenresidenz erfüllt erscheinen.
 

Deshalb betrifft Datensouveränität nicht nur Rechtsabteilungen. Sie ist eine kritische Erwägung für IT-, Sicherheits-, Beschaffungs- und Digital-Teams, die sensible Daten schützen und gleichzeitig die Kontrolle über ihre Plattformen behalten müssen.
 

Datenresidenz vs. Datensouveränität

Datenresidenz und Datensouveränität weisen zwar Überschneidungen auf, sind jedoch nicht identisch.
 

Datenresidenz konzentriert sich darauf, wo Daten gespeichert werden

Datenresidenz bezieht sich auf den physischen Standort, an dem Daten gespeichert werden. Beispielsweise kann eine Organisation vorschreiben, dass Kundendaten ausschließlich in einem Rechenzentrum innerhalb der EU verbleiben.

Dies ist ein wichtiger Baustein einer Compliance-Strategie, beantwortet jedoch nicht alle Fragen der Souveränität.

Die Datenlokalisierung geht noch einen Schritt weiter und verlangt, dass bestimmte Daten das jeweilige Land oder die Region nicht verlassen dürfen. Solche Vorgaben basieren häufig auf Gesetzen zur Datensouveränität und zum Datenschutz.
 

Datensouveränität konzentriert sich darauf, wer die Daten und die Plattform kontrolliert

Datensouveränität stellt weitergehende Fragen:
 

• Wer kontrolliert die Plattform?

• Wer kann auf die Daten zugreifen?

• Welche Gesetze gelten für den Software-Anbieter und den Infrastruktur-Provider?

• Ist das System auditierbar?

• Kann die Organisation die Plattform unabhängig betreiben oder migrieren, wenn sich die Anforderungen ändern?

• Liegt die Kontrolle über die Verschlüsselungscodes bei der Organisation oder beim Anbieter?

• Berücksichtigt die Cloud-Strategie die rechtlichen Verpflichtungen in allen Ländern, in denen die Organisation tätig ist?

Diese Unterscheidung wird immer wichtiger. Eine in der EU gehostete Infrastruktur löst nicht automatisch alle umfassenden Souveränitätsfragen.

Wenn eine Plattform rein cloudbasiert, proprietär oder an die Roadmap eines Anbieters gebunden ist, bleibt die Kontrolle über die langfristige Governance der eigenen digitalen Umgebung eingeschränkt.
 

Wie Datensouveränität bestimmt wird

Datensouveränität wird durch ein Zusammenspiel mehrerer Faktoren bestimmt: den physischen Speicherort, den Standort der verarbeitenden Teams, die Eigentümerstruktur des Anbieters, die beteiligten Cloud-Provider, den rechtlichen Datenzugriff sowie die anwendbaren Gesetze.

Der Speicherort ist somit nur der Ausgangspunkt. Organisationen müssen verstehen, wie ihre Plattform über verschiedene Regionen, Cloud-Umgebungen, Rechenzentren und Betriebsprozesse hinweg funktioniert.

Warum die europäische Technologiesouveränität DXP-Entscheidungen verändert

Am 3. Juni 2026 hat die Europäische Kommission das Paket für europäische Technologiesouveränität vorgeschlagen, um die digitale Autonomie Europas zu stärken und strategische Abhängigkeiten von externen Technologieanbietern zu reduzieren.

Das Paket umfasst mehrere Schlüsselinitiativen, die einen Wandel bei der Bewertung digitaler Infrastrukturen einläuten:
 

• Der Cloud and AI Development Act, der sich auf die Stärkung von Europas Cloud- und KI-Infrastruktur, die Ausweitung der Rechenzentrumskapazität und die Verringerung der Abhängigkeit von nicht-europäischen Cloud-Anbietern konzentriert.

• Der Chips Act 2.0, der sich auf die Stärkung des europäischen Halbleiter-Ökosystems und die Verringerung von Lieferkettenabhängigkeiten bei der Hardware konzentriert, auf die digitale Dienste angewiesen sind.

• Die EU Open Source Strategy, die Open-Source-Software als Möglichkeit fördert, Transparenz, Auditierbarkeit, Portabilität und Unabhängigkeit von geschlossenen, anbieterkontrollierten Plattformen zu verbessern.
   

Souveränität wird zum Design-Prinzip

Bei der Auswahl einer DXP entwickelt sich Souveränität von einer vertraglichen Anforderung zu einem zentralen Architektur- und Design-Prinzip.

Organisationen müssen über reine Anbieterversprechen hinausprüfen, ob ihre Technologie-Architektur ausreichende Kontrolle bietet über:

• Infrastruktur

• Bereitstellung (Deployment)

• Software-Transparenz

• Datenzugriff

• Auditierbarkeit

• Langfristige Portabilität

• Data Governance

• Datenschutz

• Cybersicherheitsrisiken

Dies erhöht den Druck auf Plattformen, die ausschließlich auf Hyperscaler oder proprietäre Cloud-Modelle setzen.

In regulierten Branchen und bei öffentlichen Ausschreibungen geht es längst nicht mehr nur darum, ob Daten in Europa gehostet werden können, sondern ob die Organisation die Plattform nach ihren eigenen Regeln steuern kann.
 

Warum reine Cloud-DXP-Modelle Souveränitätsrisiken erzeugen können

Cloudbasierte Software bietet unbestreitbare Vorteile: Sie vereinfacht den Betrieb, beschleunigt das Deployment und entlastet interne IT-Teams.

Wenn eine DXP jedoch ausschließlich über eine vom Anbieter kontrollierte Cloud-Umgebung verfügbar ist, verlieren Organisationen an Einfluss auf die zugrundeliegende Infrastruktur, rechtliche Risiken und das Betriebsmodell.
 

Häufige Souveränitätsherausforderungen bei reinen Cloud-Plattformen

Eine reine Cloud-DXP kann für Organisationen mit strengen Souveränitätsanforderungen Risiken mit sich bringen:

• Bindung an einen bestimmten Hyperscaler oder ein vorgegebenes Hosting-Modell (Vendor-Lock-in).

• Rechtliche Abhängigkeiten durch die Eigentümerstruktur des Anbieters.

• Eingeschränkte Auditierbarkeit über vertragliche Zusicherungen hinaus.

• Mangelnde Portabilität bei einem Wechsel des Infrastruktur-Anbieters.

• Abhängigkeit von Produkt-Roadmaps, Preismodellen und Bereitstellungsstrategien des Anbieters.

• Geringe Transparenz bezüglich der exakten Speicherorte im länderübergreifenden Betrieb.

Diese Faktoren wiegen schwer, wenn Organisationen strengen Beschaffungsregeln, Sicherheitsstandards oder branchenspezifischen Vorgaben unterliegen.

Ein Anbieter kann die Datenresidenz in der EU garantieren und Kunden dennoch die Kontrolle über tieferliegende Ebenen des Systems vorenthalten.
 

Die Wahl des Cloud-Anbieters ist Teil der Souveränität

Für viele globale Unternehmen gehören Cloud-Storage und Cloud-Computing zum Betriebsalltag. Die Frage ist nicht, ob Cloud-Dienste genutzt werden sollen, sondern ob Organisationen Cloud-Provider und -Umgebungen wählen können, die zu ihren Souveränitäts-, Compliance- und Betriebsanforderungen passen.

Eine AWS-Datensouveränitätsstrategie kann beispielsweise die Wahl der Region, Datenverschlüsselung, Zugriffskontrollen und vertragliche Garantien umfassen. Diese Maßnahmen sind sinnvoll, müssen jedoch in ein umfassendes Souveränitätsmodell eingeordnet werden, das auch Eigentümerstrukturen, Rechtsprechungen und Portabilität berücksichtigt.

Souveräne Cloud-Ansätze sind hilfreich, ersetzen aber nicht die Kontrolle auf Anwendungs- und Plattformebene.
 

Warum die Eigentümerstruktur des Anbieters für die Datensouveränität wichtig ist

Die Eigentümerstruktur von Software-Anbietern ist ein zentraler Bestandteil der Souveränitätsdebatte.

Contentful galt beispielsweise lange als fest im europäischen Technologiemarkt verankert. Die Ankündigung der Übernahme von Contentful durch Salesforce zeigt jedoch, warum sich Unternehmen bei ihrer Souveränitätsstrategie nicht allein auf den Gründungsort, den Hauptsitz oder die Markenhistorie verlassen können.

Wie Drupal-Gründer und Acquia-Mitbegründer Dries Buytaert erklärt, ist Salesforce ein US-amerikanisches Unternehmen und unterliegt US-Gesetzen wie dem CLOUD Act. Mit dem Vollzug der Übernahme unterliegt somit auch Contentful US-amerikanischem Recht. „Für Regierungen, öffentliche Institutionen und regulierte Branchen“, so Buytaert, „offenbart sich hier eine harte Wahrheit: Dass ein Anbieter heute europäisch ist, ist keine Garantie dafür, dass er es auch morgen bleibt.“
 

Die Identität des Anbieters kann sich im Laufe der Zeit ändern

Eigentumsverhältnisse, kommerzielle Ausrichtungen und Bereitstellungsoptionen ändern sich.

Ein Anbieter, der heute den europäischen Souveränitätsprioritäten entspricht, kann künftig strukturell völlig neu bewertet werden müssen.

Bei langfristigen Entscheidungen gilt: Die rechtliche Zuständigkeit hängt nicht nur vom Speicherort der Daten ab, sondern auch vom Mutterkonzern, dem Betriebsmodell und den Infrastruktur-Beziehungen.

Dies bedeutet nicht, dass jeder US-Bezug unverhältnismäßige Risiken birgt, aber Souveränität muss auf struktureller Kontrolle statt auf Markenversprechen basieren.
 

Der CLOUD Act ist Teil der Evaluierung

Für europäische Organisationen spielt der US CLOUD Act eine wesentliche Rolle in Souveränitätsüberlegungen, da er US-amerikanische Unternehmen zur Herausgabe von Daten verpflichten kann – selbst wenn diese außerhalb der USA gespeichert sind.

Nicht jeder Anbieter mit US-Bezug führt zum gleichen Risiko. Entscheidend ist zu verstehen, welche Gesetze greifen, wie behördliche Auskunftsersuche gehandhabt werden und ob die Systemarchitektur genügend Eigenkontrolle bietet, um interne Richtlinien und das Kundenvertrauen zu wahren.

Warum Open Source für die Datensouveränität wichtig ist

Open Source garantiert nicht automatisch Datensouveränität. Organisationen benötigen weiterhin passende Governance-, Infrastruktur- und Sicherheitsstrukturen.

Open Source bietet jedoch ein solides Fundament, indem die Abhängigkeit von geschlossenen, herstellergesteuerten Plattformen reduziert wird.
 

Open Source gibt Organisationen mehr Transparenz und Kontrolle

Mit Open-Source-Software haben Organisationen erweiterte Möglichkeiten:
 

• Die Funktionsweise der Plattform detailliert zu überprüfen

• Den Quellcode zu auditieren

• Die Software an spezifische Anforderungen anzupassen

• Die Plattform in der Umgebung zu betreiben, die am besten zum eigenen Governance-Modell passt

• Die Abhängigkeit von der geschlossenen Architektur eines einzelnen Anbieters zu verringern

• Die Kontrolle zu behalten, wenn sich rechtliche Rahmenbedingungen oder Cloud-Strategien ändern

Diese Transparenz ist entscheidend, wenn Souveränität mehr erfordert als vertragliche Zusagen.

Open Source fungiert somit als strategische Kontrollschicht zur Vermeidung von Vendor-Lock-in.

Warum Self-Hosted-Bereitstellung wichtig ist

Open Source ist nur ein Teil der Antwort. Ebenso wichtig ist die Flexibilität bei der Bereitstellung (Deployment).

Eine Software kann quelloffen sein – wenn sie jedoch nur in der Cloud des Anbieters betrieben werden kann, bleibt die Kontrolle über den laufenden Betrieb eingeschränkt.
 

Self-Hosting gibt Organisationen mehr Kontrolle über die gesamte Umgebung

Eine On-Premise- oder Self-Hosted-Bereitstellung gibt Organisationen die direkte Kontrolle über die Infrastruktur ihrer digitalen Erlebnisse zurück.

Anstatt an ein geschlossenes Cloud-Modell gebunden zu sein, bestimmen Teams selbst, wo die Plattform läuft, welche Infrastruktur genutzt wird und wie Sicherheits- und Compliance-Vorgaben umgesetzt werden.

Ein Self-Hosted-Modell unterstützt Organisationen dabei:

• EU-basierte Infrastrukturen oder Rechenzentren gezielt auszuwählen

• Abhängigkeiten von einzelnen Hyperscalern oder SaaS-Anbietern zu reduzieren

• Eigene Sicherheits-, Monitoring- und Zugriffsrichtlinien anzuwenden

• Die Kontrolle über Updates, Integrationen und Betriebszyklen zu behalten

• Die Portabilität bei regulatorischen Änderungen zu wahren

• Verschlüsselungsverfahren und Key-Management selbst zu steuern

• Unnötigen Datenverkehr über verschiedene Regionen hinweg zu vermeiden

Die Möglichkeit zum Self-Hosting ist kein technisches Detail, sondern eine strategische Option für nachhaltige Anpassungsfähigkeit.
 

Best Practices zur Datensouveränität bei der DXP-Evaluierung

Die Einhaltung von Datensouveränitätsvorgaben erfordert das Zusammenspiel rechtlicher, technischer und operationaler Entscheidungen.

Bewährte Best Practices für die DXP-Evaluierung:
 

Speicherorte, Verarbeitung und Zugriffe kartieren

Organisationen sollten genau erfassen, wo Daten gespeichert, verarbeitet und übertragen werden und wer Zugriff darauf hat (Kundendaten, personenbezogene Daten, Finanzdaten, operative Inhalte).
 

Cloud-Strategie an Souveränitätsanforderungen ausrichten

Eine souveränitätsorientierte Cloud-Strategie bewertet neben Kosten und Performance auch Datenstandorte, Rechenzentren, Dienstleister, SLAs, Verschlüsselung und Portabilität.
 

Sicherheitskontrollen einsetzen, die den Datenschutz stärken

Datensicherheit ist ein Kernbestandteil von Souveränität. Evaluieren Sie Zugriffskontrollen, Verschlüsselung, Audit-Trails und die Möglichkeit zur Verwaltung eigener Verschlüsselungscodes.
 

Flexibilität bei sich ändernden Rahmenbedingungen wahren

Gesetze verändern sich kontinuierlich. Eine Plattform mit hoher Bereitstellungsflexibilität, Auditierbarkeit und Datenkontrolle erleichtert die Anpassung an neue regulatorische Vorgaben.

Operationale Souveränität bedeutet, die digitale Infrastruktur praktisch steuern und anpassen zu können, ohne an ein einziges Anbietermodell gebunden zu sein.
 

Wie Liferay DXP Organisationen unterstützt, die Kontrolle zu behalten

Liferay DXP ist eine Open-Source-Software für Unternehmen und Organisationen, die flexible, sichere und skalierbare digitale Erlebnisse benötigen. Das Open-Source-Fundament bietet höhere Transparenz und Kontrolle als geschlossene, proprietäre Systeme.

Darüber hinaus bietet Liferay DXP maximale Bereitstellungsflexibilität zur Einhaltung strenger Sicherheits- und Compliance-Anforderungen.
 

Self-Hosted-Bereitstellung

Mit der Self-Hosted-Option betreiben Teams Liferay DXP auf der eigenen Infrastruktur oder in einer frei wählbaren Cloud-Umgebung.

Dies garantiert volle Kontrolle über den Betriebsstandort, die Governance und die Sicherheitsarchitektur.
 

Liferay Cloud Native Experience

Mit Liferay Cloud Native Experience können Organisationen Liferay DXP auf ihrer eigenen Cloud-Infrastruktur betreiben und skalieren.

Dies ermöglicht eine moderne Betriebsführung, ohne die Kontrolle über die Umgebung abzugeben.
 

Eine flexible Basis für digitale Unternehmensanwendungen

Mit Liferay DXP lassen sich vielfältige Lösungen aufbauen und verwalten:

• Unternehmens-Websites

• Kundenportale

• Partnerportale

• Intranets

• E-Commerce-Lösungen

• Self-Service-Portale

• Content-Musterwelten

• Workflow-gestützte Anwendungen

Und das ohne Zwang zu einem reinen Cloud-Betriebsmodell.

Liferay DXP bietet europäischen Organisationen die Freiheit, genau das Bereitstellungsmodell zu wählen, das zu ihren Sicherheits-, Compliance- und Infrastrukturanforderungen passt.
 

Schlüsselfragen zur DXP-Evaluierung unter Souveränitätsaspekten

Stellen Sie bei der Plattformauswahl folgende Fragen:
 

Plattform-Kontrolle

• Kann die Plattform Self-Hosted betrieben werden?

• Handelt es sich um Open-Source- oder Closed-Source-Software?

• Können eigene Teams den Code prüfen, auditieren und anpassen?

• Sind Bereitstellungsoptionen langfristig garantiert?

• Unterstützt die Plattform den Kontrollerhalt bei sich ändernden Anforderungen?
   

Infrastruktur und Hosting

• Können Infrastruktur-Anbieter und Regionen frei gewählt werden?

• Besteht eine Abhängigkeit von einem spezifischen Hyperscaler oder proprietären Cloud-Modell?

• Können Cloud-Anbieter nach Compliance- und Souveränitätskriterien ausgewählt werden?

• Ist eine Plattform-Migration bei Bedarf möglich?

• Kann die Plattform mehrregionale Szenarien ohne Souveränitätsrisiken bedienen?
   

Rechtliche Rahmenbedingungen und Governance

• Welchem Recht unterliegen der Anbieter und dessen Muttergesellschaft?

• Welcher Jurisdiktion unterliegt der Infrastruktur-Provider?

• Welche Gesetze gelten in den jeweiligen Zielmärkten?

• Wie reagiert der Anbieter auf behördliche Auskunftsersuchen?

• Bietet der Anbieter echte architektonische Kontrolle oder nur Zusagen zur Datenresidenz?

• Wie unterstützt die Plattform die langfristige Datensouveränität?
   

Digitale Erlebnisse auf eigener Infrastruktur aufbauen

Die europäische Agenda zur Technologiesouveränität verdeutlicht: Organisationen benötigen die Hoheit über ihre kritischen Technologie-Stacks zurück.

Bei Digital Experience Plattformen reicht reine Datenresidenz nicht mehr aus. Gefragt sind Flexibilität, Code-Transparenz, Unabhängigkeit und langfristige Portabilität.

Liferay DXP basiert auf Grundsätzen, die diesen Anforderungen entsprechen:

• Open-Source-Transparenz

• Flexibilität bei der Bereitstellung

• Sicherheit und Skalierbarkeit für Unternehmen

• Erweitbarkeit

• Infrastrukturkontrolle

• Langfristige Portabilität

• Volle Kontrolle über Daten und Deployment-Entscheidungen

Erfahren Sie, wie die Bereitstellung von Liferay DXP Ihrer Organisation dabei helfen kann, digitale Erlebnisse auf einer Infrastruktur aufzubauen, die Sie kontrollieren.

Häufig gestellte Fragen (FAQ)
 

Gibt es in den USA Gesetze zur Datensouveränität?

In den USA gibt es kein einzelnes bundesweites Gesetz zur Datensouveränität im Sinne eines Datenlokalisierungsgesetzes. Regelungen verteilen sich auf Bundesgesetze, Datenschutzgesetze der Bundesstaaten und branchenspezifische Vorgaben.

Für europäische Unternehmen ist entscheidend, ob ein Anbieter der US-Jurisdiktion unterliegt, da dies behördliche Datenzugriffe (z. B. über den CLOUD Act) auch bei Speicherung außerhalb der USA ermöglichen kann.
 

Was ist ein Beispiel für Datensouveränität?

Ein typisches Beispiel ist eine europäische Behörde, die vorschreibt, dass Bürgerdaten ausschließlich innerhalb der EU gespeichert, verarbeitet und verwaltet werden dürfen.

Echte Datensouveränität prüft darüber hinaus die Eigentümerstruktur des Software-Anbieters, die anwendbaren Gesetze des Cloud-Providers, Zugriffsberechtigungen sowie die Auditierbarkeit und Migrationsfähigkeit des Systems.
 

Was ist das Grundprinzip der Datensouveränität?

Das Grundprinzip der Datensouveränität besagt, dass Daten der rechtlichen, operationalen und organischen Kontrolle derjenigen Organisation oder Jurisdiktion unterliegen müssen, die die Verantwortung dafür trägt.

In der Praxis setzt dies voraus, dass nicht nur der Speicherort bekannt ist, sondern auch Transparenz und Kontrolle über Plattform, Betrieb, Zugriffe und Gesetze gewährleistet sind.