Datensouveränität ist die Frage, die eine IT-Leitung am Freitagnachmittag gestellt bekommt: „Marketing will ein neues KI-Tool ausprobieren - ist das okay?“ Dahinter steckt ein Anbietervertrag, den niemand gelesen hat, ein AVV, der auf eine US-Mutter verweist, und ein stiller Transfer von Kundennamen auf einen Server in Virginia. Dieser Erklärtext holt den Begriff aus der Hochglanzbroschüre: was Datensouveränität wirklich heißt, wie sie sich von Residenz unterscheidet, fünf konkrete Beispiele, was sie kostet und wie das fertige KI-Team von Superkind eure Daten in Outlook, Teams oder Slack unter eurer Kontrolle hält - gehostet in Europa.
Das Wichtigste in Kürze
Datensouveränität ist Kontrolle, nicht Speicherort - wer verarbeitet die Daten, unter welcher Rechtsordnung, ob sie damit trainiert werden und wer die Schlüssel hält. EU-Hosting allein ist keine Souveränität.
Residenz und Souveränität sind nicht dasselbe - ein US-Anbieter in Frankfurt fällt immer noch unter den US CLOUD Act. Ein souveränes Setup schließt ausländische Zugriffsmöglichkeiten per Design aus.
Hol dir ein fertiges KI-Team - Superkind bringt Tool-Scout, Vertrags-Hüter und Audit-Vorbereiter mit. Sie laufen automatisch bei neuen Tool-Anfragen, neuen Subunternehmer-Meldungen und nach Zeitplan. Kostenlos starten mit unbegrenzten Nutzern, oder eigene bauen.
Behalt die Kontrolle, halt die Daten in Europa - in Europa gehostet, DSGVO-konform, am EU AI Act ausgerichtet, kein Training mit euren Daten. Du entscheidest, welche Schritte eine Freigabe brauchen.
Souveränität hat echte Kosten, nicht nur Lizenzpreise - das souveräne Tool, Migration von einem US-Anbieter, laufende AVVs und Audit-Nachweise. Superkind: kostenlos starten, Business ab 50 EUR/Monat für das ganze Unternehmen. Sovereign-Cloud-Aufpreise werden oft mit 10-15 Prozent über Public Cloud genannt. Stand: Oktober 2026.
Dein KI-Team für Datensouveränität im Alltag
Was ist Datensouveränität?
Datensouveränität ist die Kontrolle, die eine Organisation (oder ein Land) über ihre Daten behält: wer sie verarbeitet, unter welchen Gesetzen, wer gezwungen werden kann, sie herauszugeben, ob sie das Modell eines anderen trainieren und wann sie gelöscht werden. Es ist eine Frage von Rechtsordnung und Kontrolle, nicht nur von Speicherort: Ein US-Anbieter, der eure Daten in Frankfurt speichert, bleibt unter dem US CLOUD Act (18 U.S.C. § 2713) unabhängig vom Serverstandort erreichbar9. Ein Beispiel für Datensouveränität ganz praktisch ist Superkind: ein KI-Team, das eure Aufgaben in Outlook, Teams oder Slack liest und sie in DATEV, SAP Business One, HubSpot und Personio erledigt - in Europa gehostet und verarbeitet, DSGVO-konform, ohne Modelltraining mit euren Daten.
Der Ein-Satz-Test
Frag „wer kann gezwungen werden, diese Daten an eine Regierung herauszugeben, die nicht unsere ist - und unter welchem Gesetz?“ Wenn die Antwort wegen des Firmensitzes des Anbieters eine ausländische Rechtsordnung enthält, habt ihr Residenz, nicht Souveränität.
Warum das Wort jetzt wichtig ist: Der EU AI Act (Verordnung (EU) 2024/1689) ist ab 2. August 2026 vollständig anwendbar, frühere Teile gelten bereits2,3. Der EU Data Act (Verordnung (EU) 2023/2854) gilt seit September 2025 und verschärft den Datenwechsel zwischen Anbietern4. Mehr als 350 Dienste tragen Stand 2025 ein Gaia-X-Label, und der C5-Katalog des BSI ist in Deutschland die faktische Basis für Cloud-Sicherheitsnachweise5,6. Für Teams in Deutschland und der EU ist Souveränität kein Strategiepapier mehr - sondern eine Einkaufsfrage bei jeder neuen SaaS-Anmeldung.
Dein KI-Team für Datensouveränität im Alltag
Superkind ist der KI-Mitarbeiter, dem euer Team in Outlook, E-Mail, Microsoft Teams, Slack oder der Superkind-Web-App schreibt, und er erledigt die Aufgabe in euren Programmen über 1.500+ Integrationen wie DATEV, SAP Business One, HubSpot, Personio, lexoffice und SharePoint. In Europa gehostet und verarbeitet, DSGVO-konform, am EU AI Act ausgerichtet, kein Training mit euren Daten. Für Programme ohne API - abas ERP, RA-MICRO, SAP GUI, Lexware Desktop - arbeitet Superkind nativ im Browser oder im Desktop-Client via Computer Use, innerhalb eurer eigenen Infrastruktur. Diese drei Mitarbeiter sind sofort einsatzbereit; pass sie an oder bau dir eigene.
Du fängst nicht bei null an: Superkind bringt fertige KI-Mitarbeiter mit, die euch jeden Tag helfen, die Kontrolle über eure Daten zu behalten. Sie laufen automatisch im Hintergrund, ausgelöst von einer neuen Tool-Anmeldung, einem neuen Vertrag oder einem monatlichen Zeitplan, und du entscheidest, welche Schritte auf deine Freigabe warten. Nimm sie direkt, pass sie an oder bau dir eigene.
Tool-Scout
KI-Mitarbeiter für Schatten-IT und Tool-Freigaben
Teams melden sich jede Woche für neue SaaS-Tools an - eine Transkriptions-App, ein Design-Tool, noch ein KI-Chat - und Daten laufen aus dem Unternehmen raus, bevor die IT davon hört. Der Tool-Scout beobachtet das IT-Sammelpostfach und die Kreditkartenabrechnung, liest den öffentlichen AVV und die Datenschutzseite jedes Anbieters und markiert Hosting-Region, Subunternehmer und ob der Anbieter mit Kundendaten trainiert. Alles, was eure Regeln reißt, wartet in Teams auf die IT.
+ 1.700 weitereVertrags-Hüter
KI-Mitarbeiter für Datenverträge mit Anbietern
Auftragsverarbeitungsverträge liegen in SharePoint, laufen still ab, und Subunternehmer ändern sich, ohne dass es jemand bemerkt. Der Vertrags-Hüter überwacht den AVV-Ordner und die Subunternehmer-Seite jedes Anbieters, meldet Verlängerungen 90 Tage vorher, zieht neue Subunternehmer aus den öffentlichen Mitteilungen und legt den Unterschied in eurem Company Brain ab. Für alles, was Daten in ein neues Land verschiebt, fragt er dich in Outlook, bevor er abnickt.
+ 1.700 weitereAudit-Vorbereiter
KI-Mitarbeiter für Compliance-Nachweise
Jedes Audit verlangt die gleichen Nachweise - Berechtigungen, Datenflussdiagramme, Incident-Protokolle, DSFAs, TOMs nach Art. 32 DSGVO - und jemand verbringt zwei Wochen damit, sie zusammenzusuchen. Der Audit-Vorbereiter zieht sie jeden Monat aus SharePoint, dem Ticketsystem und dem Company Brain, füllt die wiederkehrende Vorlage und legt das Nachweispaket in einen geteilten Ordner. Neue Lücken erscheinen in Slack, damit das Team sie schließt, bevor der Prüfer sie sieht.
+ 1.700 weitere
Jeder Mitarbeiter ist sofort einsatzbereit. Oder bau dir deinen eigenen auf der Plattform.
Sicher ab Werk
Jede Aufgabe oben läuft in Europa, mit euren Regeln und eurer Freigabe, wo ihr sie wollt. AVVs, Subunternehmer-Listen, Audit-Nachweise und Anbieterprüfungen - nichts davon trainiert externe Modelle.
- In Europa gehostet und verarbeitet
- DSGVO-konform
- Ausgerichtet am EU AI Act
- Kein Training mit deinen Daten
- AVV über das Trust Center
Schick Superkind deine erste Aufgabe
Kostenlos starten in Outlook, Teams oder Slack. Halt die Daten ab der ersten Nachricht in Europa.
Von der ersten Aufgabe zur eigenen App
Mit Superkind wächst Datensouveränität mit dem Team. Vier Stufen am vertrauten Beispiel:
- 1
In Minuten startklar
Kostenlos anmelden, den ersten Anbieter-AVV aus Outlook an Superkind schicken und zusehen, wie der Tool-Scout ihn liest, Hosting-Region und Subunternehmer von der Anbieterseite zieht und das Ergebnis ablegt. Keine Schulung, kein Projekt.
- 2
Aus Aufgaben werden Abläufe
Was du einmal erklärt hast, läuft weiter: „Prüf bei jeder neuen Tool-Anfrage Hosting, AVV und Modelltraining - geh unseren Regeln nach freigeben, melde alles andere an die IT.“ Routineprüfungen laufen von allein; die Ausnahmen warten auf deine Freigabe.
- 3
Lernt ab Tag 1 mit
Jede Aufgabe macht Superkind schlauer. Eure Anbieter, AVVs, Subunternehmer-Listen, Incident-Historie und wer was freigibt bleiben in eurem Company Brain - und gehen nie verloren, auch wenn jemand das Unternehmen verlässt.
- 4
Deine eigene App, ohne neu anzufangen
Wenn es komplexer wird, baust du eigene Lösungen, Apps mit eigenen Oberflächen und zusätzliche Integrationen auf dem, was Superkind schon weiß - ein Anbieterregister, ein Incident-Log, eine DSFA-Werkbank, deine eigene Super App. Selbst gebaut oder mit uns. Alles gehört euch.
So funktioniert Datensouveränität
Fünf Teile machen aus „wir sind in der EU“ echte Kontrolle. Die Teile sehen von Anbieter zu Anbieter gleich aus; was sich unterscheidet, ist, wo jeder Teil sitzt und wer die Schlüssel hält.
- Hosting- und Verarbeitungsort - wo die Server laufen und wo temporäre Daten (Logs, Caches, Modell-Prompts) verarbeitet werden. EU-Hosting ist das notwendige Fundament, nicht die ganze Antwort.
- Rechtsordnung des Anbieters - das Land, unter dessen Gesetzen der Anbieter selbst lebt. Eine US-Mutter mit EU-Tochter bleibt US-Zwangsmaßnahmen wie dem CLOUD Act unterworfen; ein EU-Anbieter mit EU-Sitz nicht9.
- Zugriffskontrolle und Schlüssel - wer die Daten entschlüsseln kann, wer sich als Administrator anmeldet und ob Support-Mitarbeiter in anderen Regionen Live-Inhalte sehen. Kundenverwaltete Schlüssel und EU-only-Admin-Zugriff verengen das.
- Verträge und Nachweise - ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, eine aktuelle Subunternehmer-Liste, ein BSI-C5- oder ISO-27001-Bericht und für KI ein Nutzungsnachweis nach EU AI Act. Das ist, was Prüfer oder der oder die Datenschutzbeauftragte sehen will1,5.
- Nutzung eurer Daten für Modelltraining - ob eure Prompts, Dokumente, Rechnungen und Kundendaten in das Foundation-Modell eines Dritten fließen. Ein souveränes Setup ist „kein Training mit euren Daten“ schriftlich.
Datensouveränität vs. digitale Souveränität vs. KI-Souveränität
Digitale Souveränität ist die breitere Eigenschaft - ein Land oder Unternehmen bleibt frei von Abhängigkeit von einem einzelnen ausländischen Anbieter über Chips, Clouds und Software hinweg. Datensouveränität ist eine Schicht davon: Kontrolle über die Daten selbst. KI-Souveränität ist die neueste Schicht: Kontrolle über die Modelle, die eure Daten verarbeiten, über die Trainingsdaten dahinter und wo die Inferenz läuft. Zur KI-Schicht siehe unseren ausführlichen Beitrag zu Sovereign AI für den Mittelstand.
Datensouveränität vs. Residenz, Hosting-Ort und Datenschutz
Vier Begriffe, vier verschiedene Fragen. Die meisten Anbieterseiten verwischen sie absichtlich, deshalb hilft eine kurze Tabelle.
| Aspekt | Datensouveränität | Datenresidenz | Hosting-Ort | Datenschutz (DSGVO) |
|---|---|---|---|---|
| Welche Frage beantwortet sie? | Wer kontrolliert die Daten, unter welchem Recht? | In welchem Land werden sie gespeichert? | In welchem Rechenzentrum stehen die Server? | Werden personenbezogene Daten rechtmäßig verarbeitet? |
| Umfang | Rechtsordnung + Verarbeitung + Schlüssel + Training | Nur Speicherland | Ein Rechenzentrum | Nur personenbezogene Daten, EU-weit |
| Erreichbar für ausländische Behörden? | Nein, wenn der Anbieter in der EU sitzt | Ja, wenn der Anbieter aus den USA kommt (CLOUD Act)9 | Wie Residenz | Nicht ihre Frage |
| Wichtige Referenz | Gaia-X, EU Data Act, EU AI Act | Vertragsklausel | Statusseite des Anbieters | DSGVO (Verordnung (EU) 2016/679)1 |
| Allein ausreichend? | Deckt die anderen drei, wenn es so gebaut ist | Nein - verhindert keinen Auslandszugriff | Nein - nur Infrastruktur | Nein - deckt keine Rechtsordnung |
Der ehrliche Haken: Souveränität ist nicht binär. Ein Lohnsystem mit Mitarbeiterdaten unter DSGVO hat eine höhere Latte als ein Marketing-Analytics-Tool mit aggregierten Zahlen. Sinnvoll ist, Tools nach den Daten einzustufen, die sie berühren, und die Souveränitätslatte pro Klasse zu setzen - nicht eine Regel für alles.
„KI bietet enorme Chancen für Unternehmen, unabhängig von Größe oder Branche. Die größte Gefahr ist, KI schlicht zu ignorieren und den Zug zu verpassen.“
- Dr. Ralf Wintergerst, Präsident des Bitkom10
Beispiele: fünf Souveränitäts-Setups, Superkind zuerst
Fünf konkrete Stellen, an denen Datensouveränität am Montagmorgen entschieden wird. Das europäische Beispiel kommt zuerst.
1. Superkind: KI-Mitarbeiter, die die Daten in Europa halten
Daniel leitet einen Anbieter-AVV aus Outlook weiter. Superkind liest das Dokument, zieht Hosting-Region und Subunternehmer heraus, prüft sie gegen eure Regeln und legt das Ergebnis in SharePoint ab. Bei jeder neuen Tool-Anfrage macht der Tool-Scout dasselbe automatisch. In Europa gehostet und verarbeitet, DSGVO-konform, am EU AI Act ausgerichtet, kein Training mit euren Daten, AVV über das Trust Center. Siehe die Lösungsseiten zum KI-Sachbearbeiter und zu Compliance-Zertifikate.
2. Gaia-X-gelabelte Sovereign Cloud (IONOS, T-Systems, OVHcloud)
Gaia-X ist kein Cloud-Anbieter - es ist ein Regelwerk, das bestehende Anbieter nach Souveränitäts-, Interoperabilitäts- und Transparenzkriterien zertifiziert6. Stand 2025 tragen mehr als 350 Dienste das Label. Für Workloads, bei denen die Infrastruktur selbst souverän sein muss (regulierte Branchen, öffentliche Verwaltung, Gesundheit), kombinieren Teams einen Anbieter mit EU-Sitz, ein Gaia-X-Label und oft ein BSI-C5-Testat obendrauf5,6.
3. Microsoft 365 EU Data Boundary
Microsoft betreibt eine EU Data Boundary, die die Verarbeitung von Kundendaten für Microsoft 365, Dynamics 365, Power Platform und die meisten Azure-Dienste in der EU und EFTA hält. Das ist Residenz mit Kontrollen, keine Souveränität: Microsoft bleibt ein US-Unternehmen und damit vom CLOUD Act erfasst, unabhängig von der EU Data Boundary9,11. Viele Mittelstandsteams akzeptieren das für Office-Dokumente und wählen für Workloads mit hohem Risiko (Kundendaten, HR, Finanzen, KI) EU-Anbieter.
4. Souveräner KI-Stack (Mistral, Aleph Alpha, Nebius EU)
Ein in der EU entstandenes Modell auf in der EU betriebener Inferenz-Infrastruktur - Mistral oder Aleph Alpha über einen europäischen Anbieter ausgeliefert - gibt euch KI-Souveränität auf Datensouveränität obendrauf. Sinnvoll, wenn schon der Inhalt eines einzelnen Prompts sensibel ist (M&A, juristische Entwürfe, Patientennotizen). Abwägungen: ein dünnerer Modell-Katalog als die US-Frontier, höhere Kosten pro Token bei geringem Volumen. Mehr zum Bild siehe Sovereign AI für den Mittelstand.
5. Gemeinsame Datenräume (Catena-X, Manufacturing-X, Mobility Data Space)
Branchen-Datenräume - Catena-X für die Automobilindustrie, Manufacturing-X für die Industrie, der Mobility Data Space für die Logistik - bauen auf der International-Data-Spaces-Referenzarchitektur auf7. Jeder Teilnehmer bleibt datensouverän über seine eigenen Daten und teilt sie unter Nutzungsregeln, die mit den Daten reisen. Der Mechanismus skaliert auf Lieferanten, die sonst niemals Rohdaten herausgeben würden.
Was Datensouveränität kostet
Drei echte Kostenblöcke stecken hinter jedem Souveränitätsprogramm. Die Tabelle unten listet, was jeder Anbieter auf seiner eigenen Preisseite veröffentlicht. Keine Kaufempfehlung.
| Kostenblock | Übliche Größenordnung | Was es treibt |
|---|---|---|
| Souveränes KI-Tool (Superkind) | Kostenlos starten; Business ab 50 EUR/Monat für das ganze Unternehmen | Umfang der Aufgaben und Credits, keine Plätze |
| Sovereign-Cloud-Aufpreis | ~10-15% über Standard-Public-Cloud (laut Marktberichten) | Dedizierte EU-Infrastruktur, Gaia-X-Label, C5-Nachweise |
| Migration von einem US-Anbieter | Einmaliger Projektpreis (variiert stark) | Datenexport, Re-Integration, Schulung |
| Audit und Nachweise (C5, ISO 27001, DSFA) | Laufend, je nach Umfang | Prüfer, interne Vorbereitung, Dokumentenpflege |
| AVV- und Rechtsprüfung | Laufend intern + externe Beratung am Rand | Zahl der Anbieter, Tempo der Subunternehmer-Änderungen |
Was Superkind kostet
Stand: Oktober 2026. Preise zzgl. MwSt., für das ganze Unternehmen mit unbegrenzten Nutzern.
- Free - 0 EUR, einmalig bis zu 150 EUR Startguthaben. Keine Kreditkarte, kein Verkaufsgespräch, jede Funktion und jede Verbindung, in der EU gehostet.
- Business - ab 50 EUR pro Monat für 25.000 Credits. 100 EUR für 50.000 Credits ist die beliebte Stufe, dann 200 EUR und 500 EUR. Nie ein Preis pro Platz, nicht genutzte Credits übertragen sich einen Monat, eigene Apps enthalten, monatlich kündbar.
- Enterprise - individueller Preis für euer Volumen, dedizierter Support mit SLA, SSO/SCIM und Audit-Log, AVV und Hilfe beim Security-Review, Zahlung per Rechnung.
- Was Credits kaufen - eine Frage kostet 10-50 Credits, eine Aufgabe 50-500 Credits und ein Lauf eines eigenen Agenten 1.000-5.000 Credits. 100 EUR decken bis zu 1.000 Aufgaben oder 5.000 Fragen.
Datenschutz und EU-Hosting
Ein Souveränitätsprogramm mit KI berührt personenbezogene Daten nach DSGVO (Art. 6 und 28) und fällt für jede Person, die es nutzt, unter Art. 4 EU AI Act zur KI-Kompetenz1,2. Mit Superkind bleiben die Daten von der ersten Aufgabe an in Europa, und die Nachweise, die ein Prüfer verlangt, liegen in eurem Company Brain statt auf einem geteilten Laufwerk. Keine Rechtsberatung.
So fängst du mit Datensouveränität an
Du brauchst kein Beratungsmandat und keine Fünf-Jahres-Strategie. Eine Liste, ein Tool, eine Woche.
Deine erste Woche mit Datensouveränität
- Liste jedes SaaS-Tool, das Kunden-, Mitarbeiter- oder Lieferantendaten hat - eine geteilte Tabelle mit Anbieter, Hosting-Region, AVV ja/nein
- Markier jedes als hoch (Kunden- oder HR-Daten), mittel (operativ) oder niedrig (öffentlich) nach Risiko
- Nimm ein Tool mit hohem Risiko und ersetz es in den nächsten 30 Tagen durch ein EU-Pendant
- Meld dich kostenlos auf app.superkind.ai an (bis zu 150 EUR Startguthaben) und lass den Tool-Scout den nächsten Anbieter-AVV für dich prüfen
- Einigt euch schriftlich auf eine Regel: „Jedes neue SaaS-Tool mit personenbezogenen Daten braucht EU-Hosting, einen AVV und eine ‘kein Training mit unseren Daten’-Klausel, bevor es live geht“
- Leg Anbieterregister, AVVs und Nachweise an einen Ort (euer Company Brain), damit Audits keine zwei Wochen mehr kosten
Fazit
Datensouveränität ist kein Slogan auf einer Sovereign-Cloud-Broschüre. Sie ist die Summe aus vier Entscheidungen, die ihr bei jedem neuen Tool trefft: wo die Daten liegen, unter welcher Rechtsordnung der Anbieter lebt, wer die Schlüssel hält und ob jemand damit trainiert. Der nützliche nächste Schritt ist klein. Nimm ein Tool mit echten Kunden- oder Mitarbeiterdaten, öffne die Integrationsliste, starte Superkind kostenlos auf app.superkind.ai und lass den nächsten AVV für dich prüfen. In einer Woche habt ihr eine Basis und ein Tool mit hohem Risiko unter Kontrolle - mit 1.500+ Integrationen und den Daten verarbeitet in Europa.
Häufige Fragen
Datensouveränität ist die Kontrolle, die eine Organisation (oder ein Land) über ihre Daten behält: wer sie verarbeitet, unter welchen Gesetzen, wer gezwungen werden kann, sie herauszugeben, ob sie das Modell eines anderen trainieren und wann sie gelöscht werden. Wo der Server steht, zählt weniger als unter welcher Rechtsordnung der Anbieter lebt. Ein US-Anbieter, der eure Daten in Frankfurt speichert, bleibt unter dem US CLOUD Act erreichbar.
Residenz ist nur der physische Ort der Speicherung („die Daten bleiben in der EU"). Souveränität fragt, wer sie kontrolliert: die Rechtsordnung des Anbieters, ob Support-Mitarbeiter in einem anderen Land sie lesen können, ob eure Daten Modelle Dritter trainieren und wer die Schlüssel hält. EU-Residenz ohne Souveränität bleibt für ausländische Zugriffsanordnungen angreifbar, die beiden Begriffe sind also nicht austauschbar.
Nein. Die DSGVO verlangt rechtmäßige Verarbeitung, Betroffenenrechte, einen AVV (Art. 28) und eine Grundlage für Drittlandtransfers (Kapitel V); der Hosting-Ort ist ein Baustein, nicht das Ziel. Ein souveränes Setup fügt hinzu: wer die Schlüssel hält, unter welcher Rechtsordnung der Anbieter lebt, was passiert, wenn eine ausländische Behörde fragt, und ob eure Daten Modelle Dritter trainieren. Superkind deckt all das ab: in Europa gehostet und verarbeitet, DSGVO-konform, am EU AI Act ausgerichtet, kein Modelltraining mit euren Daten, AVV über das Trust Center.
Superkind ist der KI-Mitarbeiter, dem euer Team in Outlook, Teams, Slack oder der Web-App schreibt. Er erledigt die Aufgabe in euren Programmen über 1.500+ Integrationen wie DATEV, SAP Business One, HubSpot, Personio, lexoffice und SharePoint - und arbeitet in Programmen ohne API nativ via Computer Use, innerhalb eurer eigenen Infrastruktur. Alles wird in Europa gehostet und verarbeitet, DSGVO-konform, am EU AI Act ausgerichtet, ohne Modelltraining mit euren Daten. KI-Modelle von OpenAI, Anthropic, Mistral und Google werden in Europa verarbeitet.
Ja. Der CLOUD Act (2018) erlaubt US-Behörden, einen US-Cloud-Anbieter zur Herausgabe von Daten zu zwingen, die er verwahrt oder kontrolliert - unabhängig vom Speicherort. EU-Regionen und Verschlüsselung at rest heben diesen Zugriff nicht auf, solange der Anbieter die Schlüssel hält oder den Dienst betreibt. Die Wahl eines EU-Anbieters mit Sitz und Verarbeitung in Europa beseitigt diese Angriffsfläche. Keine Rechtsberatung.
Drei echte Kostenblöcke gehören dazu: das souveräne Tool, die Migration und die laufenden Nachweise (AVVs, Audits, DSFAs). Stand Oktober 2026 startet Superkind kostenlos mit einmalig bis zu 150 EUR Startguthaben, ohne Kreditkarte; Business ab 50 EUR pro Monat für das ganze Unternehmen mit unbegrenzten Nutzern - nie ein Preis pro Platz. Ein vollständiger Gaia-X-gelabelter Sovereign-Cloud-Stack liegt laut Marktberichten oft 10-15 Prozent über einer Standard-Public-Cloud, Migration nicht eingerechnet. Preise zzgl. MwSt.
Macht eine Liste: welche SaaS-Tools haben Kunden-, Mitarbeiter- oder Lieferantendaten, wo verarbeitet sie jedes einzelne und habt ihr einen AVV. Nehmt ein Tool mit hohem Risiko (ein KI-Tool, eure Meeting-Notizen, CRM-Add-ons) und löst es durch ein EU-Pendant ab. Gebt Superkind die erste Aufgabe - „prüf den AVV von diesem Anbieter und sag mir, wo die Daten verarbeitet werden" - aus Outlook, Teams oder Slack. In einer Woche habt ihr eine Basis und ein Tool unter Kontrolle, ohne Berater.
Quellen
- EUR-Lex - Verordnung (EU) 2016/679 (DSGVO), Art. 28 und Kapitel V
- EUR-Lex - Verordnung (EU) 2024/1689 (EU AI Act), Volltext
- EU AI Act - Implementation Timeline
- EU Data Act - Verordnung (EU) 2023/2854
- BSI - Cloud Computing Compliance Criteria Catalogue (C5)
- Gaia-X - European Association for Data and Cloud
- International Data Spaces Association (IDSA)
- BMWK - Projekt Gaia-X und Datenräume
- US Code - Clarifying Lawful Overseas Use of Data Act (CLOUD Act, 18 U.S.C. § 2713)
- Bitkom - Durchbruch bei Künstlicher Intelligenz (Dr. Ralf Wintergerst)
- Orrick - Data Localization and the Sovereign Cloud: EU Cloud Regulations Explained
Schick Superkind deine erste Aufgabe.
Kostenlos starten in Outlook, Teams oder Slack, in Europa gehostet. Oder lass dir in 30 Minuten zeigen, wie Datensouveränität in euren Systemen läuft.