Wenn ein europäisches Unternehmen einen E-Mail-Dienst beauftragt, fragt es selten, welchem Recht dieser Dienst unterliegt. Es fragt nach Preis, Speicherplatz und ob er mit Outlook funktioniert. Dabei ist genau das die Frage, die alles Weitere bestimmt, denn Daten leben nicht nur an einem Ort: Sie leben unter einer Jurisdiktion. Im letzten Jahrzehnt ist deutlich geworden, dass beides nicht zusammenfallen muss.
Zwei verschiedene Grammatiken
Die europäische Rechtstradition denkt Souveränität in Begriffen des Territoriums. Das Recht gilt für das, was innerhalb der Grenzen geschieht, und die DSGVO hat diese Logik erweitert: Die Daten der Europäer reisen geschützt und dürfen die Union nur in Länder verlassen, die gleichwertige Garantien bieten.
Die amerikanische Tradition geht von einem anderen Prinzip aus. Der Anknüpfungspunkt ist nicht der Boden, sondern die Person: die Staatsangehörigkeit und vor allem die Kontrolle. Ein in den Vereinigten Staaten gegründetes oder von einem amerikanischen Unternehmen kontrolliertes Unternehmen bleibt amerikanischem Recht unterworfen, wo immer es tätig ist und wo immer es speichert, was es speichert. Das ist weder eine Anomalie noch ein Manöver. So versteht dieses System seine eigene Autorität.
Solange sich die beiden Welten nicht berührten, war der Unterschied Lehrbuchstoff. Seit die gesamte Wirtschaft auf Servern lebt, ist er das zentrale Problem der europäischen digitalen Souveränität.
Wie das amerikanische Modell globale Reichweite erlangte
Der Wendepunkt war der Oktober 2001. Nach dem 11. September erweiterte der Patriot Act die Befugnisse der Nachrichtendienste erheblich, mit einem impliziten Grundsatz, der die folgenden zwei Jahrzehnte prägen sollte: In Fragen der nationalen Sicherheit hat der Zugang zu Informationen Vorrang vor formalen Einwänden.
Was folgte, war entscheidender als der Patriot Act selbst. 2008 ermächtigte Section 702 des FISA zur Erfassung der Kommunikation von Nicht-US-Personen außerhalb der Vereinigten Staaten bei amerikanischen elektronischen Dienstanbietern zu Zwecken der Auslandsaufklärung. Ohne dass die Betroffenen benachrichtigt werden und ohne dass ihnen Rechtsmittel zur Verfügung stehen, die mit denen in Europa vergleichbar wären.
Beachten Sie die Konstruktion. Das Gesetz schützt Ausländer nicht aus Versehen weniger. Es schützt sie absichtlich weniger, denn der Vierte Verfassungszusatz ist ein Recht der Amerikaner.
2013: das Jahr, in dem die Debatte aufhörte, technisch zu sein
Im Juni 2013 zeigten die Enthüllungen von Edward Snowden das wahre Ausmaß der Überwachungsprogramme. Doch erst im Oktober wurde aus der Expertendebatte eine diplomatische Krise: Dokumente deuteten darauf hin, dass die NSA das Mobiltelefon von Angela Merkel überwacht hatte. Die Reaktion der Kanzlerin ging in den europäischen Wortschatz ein, „Ausspähen unter Freunden, das geht gar nicht“, und die Verstimmung zwischen Berlin und Washington hielt jahrelang an.
Ehrlichkeit im Detail ist wichtig. Das deutsche Ermittlungsverfahren wurde 2015 schließlich eingestellt, weil sich aus den verfügbaren Dokumenten nicht beweisen ließ, wo und wie die Abhörmaßnahme stattgefunden hatte. Bewiesen wurde nicht die Straftat. Bewiesen wurde die Asymmetrie. Eine europäische Regierung stellte fest, dass sie die Vertraulichkeit ihrer eigenen Kommunikation nicht kontrollierte und keine Instrumente hatte, um dagegen vorzugehen.
Der Fall, der die Frage endgültig klärte
Der entscheidende Beweis kam über das gewöhnliche Recht, ohne Skandal. Im Dezember 2013 verlangte ein amerikanischer Durchsuchungsbeschluss von Microsoft die Herausgabe des Inhalts eines E-Mail-Kontos. Das Unternehmen stellte fest, dass die Nachrichten in einem Rechenzentrum in Dublin lagen, und verweigerte die Herausgabe mit einem einfachen Argument: Ein Beschluss aus den Vereinigten Staaten reicht nicht bis zu einem Server in Irland. 2016 gab ihm das Berufungsgericht recht.
Es hielt zwei Jahre. Im März 2018 verabschiedete der Kongress den CLOUD Act, der amerikanische Anbieter verpflichtet, Daten in ihrem Besitz, ihrer Verwahrung oder unter ihrer Kontrolle herauszugeben, unabhängig davon, ob sich diese Daten innerhalb oder außerhalb des Staatsgebiets befinden. Ein neuer Beschluss wurde nach dem neuen Gesetz erlassen, Microsoft kam ihm nach, und der Supreme Court erklärte den Fall für erledigt.
Die Lehre ist eindeutig und nach wie vor aktuell: ein Rechenzentrum in Europa zu bauen ändert nichts an der Jurisdiktion dessen, der es betreibt. Der physische Standort der Server ist eine Antwort auf die falsche Frage.
Die europäische Antwort, dreimal unzureichend
Auf europäischer Seite war die versuchte Lösung immer dieselbe: ein politisches Abkommen, das die Vereinigten Staaten zum sicheren Ziel für Daten erklärt.
Safe Harbor fiel 2015 mit dem Urteil Schrems I. Das Privacy Shield, das es ersetzte, fiel 2020 mit Schrems II, als der Europäische Gerichtshof zu dem Schluss kam, dass die amerikanische Überwachungsgesetzgebung den europäischen Bürgern weder gleichwertige Garantien noch wirksame Rechtsbehelfe bietet. Das dritte Abkommen, das Data Privacy Framework von 2023, beruhte auf einem wesentlichen Element: der Existenz von Verwaltungsbehörden, die von der amerikanischen Exekutive unabhängig sind.
Im Juni 2026 wurde dieses Element entfernt. Die Entscheidung des US Supreme Court in der Sache Trump v. Slaughter beendete die Unabhängigkeit der Federal Trade Commission, und die Anfechtung des Abkommens, von vielen bereits als künftiges „Schrems III“ bezeichnet, ist erneut im Gange.
Drei Abkommen, drei Schwächen derselben Art. Nicht wegen Bösgläubigkeit derer, die sie ausgehandelt haben, sondern weil kein politisches Abkommen zwei unvereinbare Definitionen von Souveränität miteinander versöhnen kann.
Was das für Entscheidungsträger bedeutet
Für ein europäisches Unternehmen oder eine öffentliche Einrichtung ist die praktische Schlussfolgerung weniger dramatisch, als sie scheint, und besser umsetzbar.
Die Frage an einen Anbieter lautet nicht, wo die Server stehen. Sie lautet: welchem Recht die Gesellschaft unterliegt, die sie betreibt, und wer sie kontrolliert. Wenn die Antwort ein amerikanisches oder ein von ihm kontrolliertes Unternehmen einschließt, hängt die Compliance der Organisation von der Gültigkeit eines internationalen Abkommens ab, das bereits zweimal gefallen ist und zum dritten Mal angefochten wird.
Lautet die Antwort ein europäisches Unternehmen, in europäischem Eigentum und ausschließlich europäischem Recht unterworfen, verschwindet die Frage. Nicht, weil jemand mehr verspricht, sondern weil es kein zweites Recht gibt, das Zugriff beansprucht.
Für Berufe mit Verschwiegenheitspflicht ist die Überlegung noch direkter. Ein Anwalt, ein Arzt oder ein Verwaltungsbeamter haftet nicht nur für das, was er offenlegt. Er haftet für die Architektur, die er gewählt hat, um aufzubewahren, was nicht offengelegt werden darf.
Digitale Souveränität ist keine Fahne. Sie bedeutet, genau zu wissen, wem die Infrastruktur, die die Informationen Ihrer Organisation hält, Rechenschaft schuldet.