Datenhoheit bedeutet, dass Dein Unternehmen seine Daten unabhängig vom Anbieter lokalisieren, einsehen, verwalten, vollständig exportieren, löschen, sichern und in ein anderes System übertragen kann. Prüfen lässt sich die Hoheit über Daten anhand von Zugängen, Verträgen, Exporten, Backups und einem praktisch durchführbaren Anbieterwechsel.
In meiner Arbeit mit KMU zeigt sich fehlende Datenhoheit häufig erst bei einem Relaunch oder Systemwechsel. Dann fehlen beispielsweise der Zugang zur Domain, ein vollständiger Datenexport, Mediendateien, Weiterleitungen oder die technische Dokumentation. Solche Lücken erhöhen Aufwand, Kosten und Ausfallrisiken.
Datenhoheit ist die nachweisbare Fähigkeit, mit den eigenen Daten unabhängig vom bisherigen Anbieter weiterzuarbeiten.
Datenhoheit anhand von sechs Kontrollbereichen prüfen
Eine belastbare Datenkontrolle im Unternehmen umfasst sechs Bereiche. Für jeden Bereich sollte es einen konkreten Nachweis geben.
1. Speicherort kennen
Du solltest wissen, wo Deine Daten gespeichert und verarbeitet werden. Dazu gehören das Land, der Hosting-Anbieter, eingesetzte Unterauftragnehmer und mögliche Kopien in Analyse-, Support- oder Sicherungssystemen.
Als Nachweis dient eine dokumentierte Übersicht der Speicherorte, Auftragsverarbeiter und Sicherungssysteme. Die allgemeine Aussage „Hosting in der Cloud“ reicht dafür nicht aus.
2. Zugriff selbst kontrollieren
Dein Unternehmen benötigt einen eigenen administrativen Hauptzugang. Die Zugriffsrechte dürfen nicht ausschließlich bei einem externen Dienstleister oder einem ehemaligen Mitarbeiter liegen.
Definierte Rollen und Berechtigungen trennen Administration, Redaktion, Technik und Analyse. Als Nachweise dienen eine aktuelle Benutzerliste, dokumentierte Verantwortlichkeiten und ein Verfahren, mit dem Zugänge eingerichtet, geändert und entzogen werden.
3. Daten vollständig exportieren
Ein Datenexport ist nur dann brauchbar, wenn er vollständig und weiterverarbeitbar ist. Ein vollständiger Export umfasst neben sichtbaren Texten auch Medien, Metadaten, Beziehungen zwischen Datensätzen, Sprachvarianten, Kategorien, Benutzerzuordnungen und technische Kennungen.
Offene Exportformate wie CSV, JSON oder XML erleichtern die Datenportabilität. Ein proprietäres Archiv, das nur der bisherige Anbieter lesen kann, ermöglicht dagegen keinen verlässlichen Systemwechsel.
4. Datenlöschung steuern
Du solltest nachvollziehen können, welche Daten gelöscht werden, wer die Datenlöschung auslöst und wann Kopien aus Produktivsystemen, Papierkörben und Backups entfernt werden. Gesetzliche Aufbewahrungspflichten müssen dabei berücksichtigt werden.
Als Nachweise dienen dokumentierte Löschfristen, ein geregelter Löschprozess und eine Bestätigung nach Vertragsende. Ein deaktiviertes Benutzerkonto ist noch keine vollständige Löschung.
5. Eigene Backups nutzen können
Backups stärken Deine Datenhoheit nur, wenn Du darauf zugreifen und eine Wiederherstellung durchführen kannst. Eine Sicherung, die ausschließlich beim bisherigen Anbieter liegt, schützt möglicherweise vor einem technischen Defekt, aber nicht zuverlässig vor einer Insolvenz, einem Konflikt oder einer kurzfristigen Vertragsbeendigung.
Prüfbar wird die Sicherung durch regelmäßige, dokumentierte Backups, eine getrennte Aufbewahrung und einen getesteten Wiederherstellungsprozess. Dein Unternehmen muss aus der Sicherung wieder arbeitsfähig werden können.
6. Anbieterwechsel praktisch ermöglichen
Der deutlichste Nachweis für Datenhoheit ist ein praktisch durchführbarer Anbieterwechsel. Dafür brauchst Du geeignete Schnittstellen, eine dokumentierte APIEine API einfach erklärt: Eine API ist eine standardisierte Programmierschnittstelle, über die zwei Softwaresysteme Daten oder Funktionen austauschen. Die Langform Application Programming Interface beschreibt... Klicken und mehr erfahren, verständliche Exportwege, klare Fristen und eine geregelte Übergabe.
Kapitel VI des EU Data Act verpflichtet Anbieter von Datenverarbeitungsdiensten dazu, bestimmte vorkommerzielle, gewerbliche, technische, vertragliche und organisatorische Wechselhindernisse zu beseitigen. Die Verordnung gilt grundsätzlich seit dem 12. September 2025, enthält aber Übergangsregeln und besondere Anwendungszeitpunkte. Die Primärquelle ist im Quellenverzeichnis verlinkt.
Datenhoheit, Datenschutz und Dateneigentum unterscheiden
Die Begriffe beantworten unterschiedliche rechtliche, technische und organisatorische Fragen:
- Datenschutz regelt insbesondere den rechtmäßigen Umgang mit personenbezogenen Daten. Dazu gehören Rechtsgrundlagen, Informationspflichten, Sicherheitsmaßnahmen und Rechte betroffener Personen.
- Datenhoheit beschreibt Deine praktische und organisatorische Kontrolle über Daten, Systeme, Zugänge, Exporte, Sicherungen und Wechselmöglichkeiten.
- Dateneigentum ist nicht pauschal mit dem Eigentum an einer beweglichen Sache vergleichbar. Bei Daten können Datenschutzrechte, Urheberrechte, Datenbankrechte, Geschäftsgeheimnisse, Verträge und Nutzungsrechte gleichzeitig relevant sein.
- Digitale Souveränität beschreibt die umfassendere technologische und organisatorische Selbstbestimmung. Sie schließt neben Daten auch Technologien, Kompetenzen, Prozesse und Infrastruktur ein.
Die DSGVOGDPR steht für General Data Protection Regulation und bezeichnet dasselbe EU-Regelwerk, das auf Deutsch Datenschutz-Grundverordnung oder kurz DSGVO heißt. Zwischen GDPR und DSGVO besteht... Klicken und mehr erfahren gewährt betroffenen Personen unter anderem ein Auskunftsrecht und unter festgelegten Voraussetzungen ein Recht auf Löschung personenbezogener Daten. Artikel 20 regelt außerdem die Übertragung bestimmter bereitgestellter personenbezogener Daten in einem strukturierten, gängigen und maschinenlesbaren Format, sofern die gesetzlichen Voraussetzungen erfüllt sind.
Diese Betroffenenrechte sind in der DSGVO nicht als allgemeines Eigentumsrecht an Daten ausgestaltet. DSGVO-Konformität und Datenhoheit sind deshalb nicht dasselbe. Ein Dienst kann datenschutzrechtliche Anforderungen erfüllen und trotzdem durch unvollständige Exporte, fehlende Schnittstellen oder anbietergebundene Zugänge Abhängigkeiten erzeugen.
Was umfasst die Datenhoheit einer Website?
Die Datenhoheit einer Website betrifft weit mehr als sichtbare Texte und Bilder. Für eine belastbare Kontrolle solltest Du sowohl die technischen Zugänge als auch InhalteContent umfasst alle gezielt veröffentlichten digitalen Inhalte auf Websites, in Shops, in Social-Media-Kanälen, in Newslettern und in anderen digitalen Umgebungen. Wenn Du wissen willst,... Klicken und mehr erfahren, Rechte und Betriebsdaten prüfen.
Zugänge und technische Kontrolle
- Domain und DNS: Ist Dein Unternehmen als Domaininhaber eingetragen und hat es Zugriff auf Registrar und DNS-Verwaltung?
- Administrationskonten: Besitzt Dein Unternehmen einen eigenen Hauptzugang mit ausreichenden Rechten?
- Hosting: Sind Speicherorte, Vertragskonten und technische Verantwortlichkeiten dokumentiert?
- Backups: Kannst Du Sicherungen herunterladen und in einer anderen Umgebung wiederherstellen?
- Technische Dokumentation: Sind Hosting, DNS, Schnittstellen, Abhängigkeiten und BetriebsabläufeGeschäftsprozesse sind wiederholbare Abläufe aus Aufgaben, Verantwortlichkeiten und Übergaben, die in einem Unternehmen ein konkretes Ergebnis erzeugen. Ein Geschäftsprozess beginnt mit einem Auslöser, führt... Klicken und mehr erfahren nachvollziehbar beschrieben?
Inhalte, Daten und Rechte
- Inhaltsdatenbank: Lassen sich Seiten, Beiträge, Leistungen, Standorte, Kategorien und Beziehungen vollständig exportieren?
- Mediendateien: Sind Originalbilder, Dokumente, Videos, Dateinamen, Alternativtexte und Zuordnungen verfügbar?
- URLs und Weiterleitungen: Können bestehende Adressen und Weiterleitungsregeln bei einem CMS-Wechsel übernommen werden?
- Metadaten und strukturierte Daten: Bleiben Seitentitel, Beschreibungen, Sprachbeziehungen und maschinenlesbare Angaben erhalten?
- Formular- und Analysedaten: Ist geklärt, wo Anfragen und Messdaten liegen, wer darauf zugreifen darf und wann die Daten gelöscht werden?
- Quellcode und Nutzungsrechte: Ist vertraglich geregelt, welchen Code und welche Nutzungsrechte Dein Unternehmen erhält?
Bei der Auswahl eines CMS für Dein KMU sollte diese Prüfung Teil der Beschaffung sein. Bedienung und Gestaltung sind wichtig, reichen ohne kontrollierbare Datenbasis aber nicht aus.
Vendor-Lock-in: Abhängigkeiten beim Systemwechsel
Ein Vendor-Lock-in liegt vor, wenn der Wechsel zu einem anderen Anbieter technisch, organisatorisch oder finanziell unverhältnismäßig erschwert wird. Nicht jede Zusammenarbeit mit externen Fachleuten führt zu einem problematischen Lock-in. Kritisch wird die Abhängigkeit, wenn Dein Unternehmen ohne Zustimmung oder Spezialwissen des bisherigen Anbieters nicht mehr handlungsfähig ist.
Technische Warnzeichen
- proprietäre Formate ohne dokumentierte Konvertierung,
- fehlende oder stark eingeschränkte Schnittstellen,
- eine API ohne vollständige Exportmöglichkeit,
- Exporte ohne Medien, Metadaten oder Datenbeziehungen,
- Backups, die sich weder herunterladen noch extern wiederherstellen lassen.
Organisatorische und vertragliche Warnzeichen
- Domain und DNS liegen im persönlichen Konto des Anbieters,
- Dein Unternehmen besitzt keinen administrativen Hauptzugang,
- Gebühren für Export und Übergabe sind hoch oder nicht klar geregelt,
- Dokumentation und geregelte Verantwortlichkeiten fehlen,
- Vertragsklauseln verzögern einen geordneten Wechsel unnötig.
Eine Website ohne laufende Kernlizenz und mit geregelten Rechten kann Abhängigkeiten reduzieren. Entscheidend sind die konkrete Vertragsgestaltung, eigene Zugänge, vollständige Exporte, Nutzungsrechte, Dokumentation und Wiederherstellbarkeit.
KMU-Prüfliste für Datenhoheit vor Vertragsabschluss
Mit den folgenden Ja-Nein-Fragen kannst Du ein Website-, Cloud- oder Softwaresystem vor dem Kauf bewerten. Mehrere ungeklärte Antworten sind ein Grund, konkrete Nachweise einzufordern.
Daten, Zugänge und Sicherung
- Speicherort: Kennst Du die Länder, Rechenzentren und Unterauftragnehmer, die an der Verarbeitung beteiligt sind?
- Hauptzugang: Erhält Dein Unternehmen einen eigenen administrativen Zugang?
- Berechtigungen: Lassen sich Rollen und Berechtigungen getrennt und nachvollziehbar verwalten?
- Vollständigkeit: Umfasst der Export Inhalte, Medien, Metadaten, Beziehungen, Sprachversionen und technische Kennungen?
- Format: Werden offene, strukturierte und maschinenlesbare Exportformate bereitgestellt?
- Backups: Kannst Du Sicherungen herunterladen, getrennt aufbewahren und wiederherstellen?
- Löschung: Sind Löschfristen, Sicherungskopien und die Datenlöschung nach Vertragsende geregelt?
Wechsel, Kosten und Notfallvorsorge
- Kosten: Ist ein vollständiger Datenexport ohne unerwartete Zusatzkosten möglich?
- Schnittstellen: Gibt es eine dokumentierte API oder eine andere geeignete Schnittstelle?
- Domain: Läuft die Domain auf Dein Unternehmen und besitzt Du Zugriff auf Registrar und DNS?
- Übergabe: Sind Umfang, Fristen, Verantwortliche und Kosten einer technischen Übergabe vereinbart?
- Notfall: Bleibt Dein Unternehmen bei Insolvenz oder Ausfall des Anbieters handlungsfähig?
- Test: Kannst Du vor Vertragsabschluss einen beispielhaften Export prüfen?
Mein Rat aus über 20 Jahren Webpraxis: Lass Dir nicht nur zeigen, wie Daten in ein System gelangen. Prüfe auch, wie vollständig sie wieder herauskommen. Ein Testexport liefert dafür einen belastbareren Nachweis als eine allgemeine Zusage im Verkaufsgespräch.
Praxisbeispiel: Datenhoheit vor und nach einem CMS-Wechsel
Vorher: Die Website funktioniert, aber die Kontrolle fehlt
Ein typisches KMU bemerkt fehlende Kontrolle erst beim geplanten Relaunch. Der bisherige Dienstleister besitzt den Domainzugang, im CMSEin Content Management System (CMS) ist eine Software, mit der Du digitale Inhalte erstellen, bearbeiten, organisieren und veröffentlichen kannst, ohne jede Änderung direkt programmieren... Klicken und mehr erfahren gibt es nur ein eingeschränktes Redaktionskonto und der Export enthält Texte, aber keine Bilder, Weiterleitungen oder SEO-Metadaten. Eine technische Dokumentation fehlt.
Ein CMS-Wechsel erfordert unter diesen Bedingungen zusätzliche manuelle Arbeit. Gleichzeitig steigen die Risiken für Datenverluste, fehlerhafte Weiterleitungen und sinkende Sichtbarkeit.
Übergang: Erst sichern, dann migrieren
Ein geordneter Wechsel beginnt mit einer Bestandsaufnahme, nicht mit der Kündigung. Eine vollständige Inhaltsinventur der Website schafft dafür eine nachvollziehbare Grundlage.
- Domain, DNS und alle administrativen Zugänge sichern.
- Seiten, Beiträge, Leistungen und strukturierte Datensätze erfassen.
- Originalbilder, Dokumente und weitere Medien herunterladen.
- URL-Struktur und bestehende Weiterleitungen dokumentieren.
- Metadaten, strukturierte DatenWas sind strukturierte Daten? Strukturierte Daten beziehen sich auf Daten, die in einem standardisierten Format organisiert sind, sodass sie leicht von Suchmaschinen und anderen... Klicken und mehr erfahren und Sprachbeziehungen sichern.
- Formular- und Analysedaten datenschutzgerecht behandeln.
- Den vollständigen Export in einer Testumgebung prüfen.
- Backups getrennt aufbewahren und die Wiederherstellung testen.
- Das neue System aufbauen und die Migration fachlich kontrollieren.
- Altvertrag und Altsystem erst nach erfolgreicher Prüfung beenden.
Nachher: Das Unternehmen bleibt handlungsfähig
Nach einem geordneten Wechsel besitzt das Unternehmen die Domainzugänge, einen administrativen Hauptzugang, dokumentierte Rollen, vollständige Exporte und wiederherstellbare Backups. URLs, Weiterleitungen, Medien und Metadaten bleiben erhalten. Der neue Anbieter arbeitet auf einer dokumentierten technischen Grundlage.
Datenhoheit bedeutet nicht, dass Du jede technische Aufgabe selbst erledigen musst. Sie bedeutet, dass Du den Dienstleister wechseln kannst, ohne den Zugriff auf geschäftskritische Daten und Systeme zu verlieren.
Datenhoheit als Bestandteil eines digitalen Fundaments
btlabs Core ist ein Beispiel dafür, wie eine zentrale Inhaltsbasis verschiedene digitale Ausgabekanäle versorgen kann. Unternehmenswissen soll dadurch nicht ausschließlich in einer einzelnen Bedienoberfläche gebunden sein. Der Überblick zu btlabs Core beschreibt den grundlegenden Ansatz; die Funktionsübersicht dokumentiert die einzelnen Bereiche.
Ein technisches Konzept ersetzt weder eine rechtliche Prüfung noch klar geregelte interne Prozesse. Datenhoheit entsteht durch das Zusammenspiel von Vertrag, Zugängen, Exportfähigkeit, Sicherung, Dokumentation und geregelter Zusammenarbeit.
Fragen und Antworten zur Datenhoheit
Bedeutet Hosting in der EU automatisch Datenhoheit?
Nein. Ein Speicherort in der EU kann für den DatenschutzDatenschutz schützt personenbezogene Daten natürlicher Personen vor unrechtmäßiger Verarbeitung, Missbrauch und Kontrollverlust. Datenschutz für KMU bedeutet deshalb: Du entscheidest bewusst, welche Daten Du erhebst,... Klicken und mehr erfahren und die Risikobewertung relevant sein, belegt aber noch keine vollständigen Exporte, eigenen Zugänge, nutzbaren Backups oder einen möglichen Anbieterwechsel. Speicherort und praktische Kontrolle müssen getrennt geprüft werden.
Ist eine DSGVO-konforme Lösung automatisch datenhoheitlich?
Nein. Datenschutz regelt vor allem die rechtmäßige Verarbeitung personenbezogener Daten. Datenhoheit beschreibt dagegen Deine tatsächliche Kontrolle über Daten, Zugänge, Exporte, Sicherungen und Wechselmöglichkeiten.
Habe ich nach der DSGVO Anspruch auf den Export aller Unternehmensdaten?
Nein, nicht pauschal. Das Recht auf Datenübertragbarkeit nach Artikel 20 DSGVO betrifft bestimmte personenbezogene Daten, die eine betroffene Person bereitgestellt hat, sofern die gesetzlichen Voraussetzungen erfüllt sind. Der Export sämtlicher Website-, Produkt- oder Unternehmensdaten muss zusätzlich technisch und vertraglich geregelt werden.
Reicht ein herunterladbares Backup als Nachweis für Datenhoheit?
Ein Backup ist ein wichtiger Nachweis, reicht allein aber nicht aus. Du musst wissen, welche Daten enthalten sind und ob eine Wiederherstellung ohne den bisherigen Anbieter möglich ist. Ein dokumentierter Wiederherstellungstest schafft Klarheit.
Wer muss Daten nach einem Anbieterwechsel löschen?
Die Verantwortlichkeiten ergeben sich aus der jeweiligen Rolle, dem Vertrag und den geltenden gesetzlichen Pflichten. Vereinbare schriftlich, welche Produktivdaten, Kopien und Backups wann gelöscht werden und wie die Löschung bestätigt wird. Gesetzliche Aufbewahrungspflichten können einer sofortigen Löschung einzelner Daten entgegenstehen.
Was passiert mit meinen Daten bei einer Anbieterinsolvenz?
Ohne eigene Exporte, Zugänge und Sicherungen kann eine Insolvenz den Zugriff erheblich erschweren. Reduziere das Risiko durch externe Backups, eine aktuelle Dokumentation, eigene Domainkonten und vertraglich geregelte Herausgabe- und Übergabepflichten.
Welche Rolle spielt ein Auftragsverarbeitungsvertrag?
Ein Auftragsverarbeitungsvertrag regelt die Verarbeitung personenbezogener Daten durch einen Auftragsverarbeiter und ist ein wichtiger Bestandteil des Datenschutzes. Für Datenhoheit brauchst Du darüber hinaus klare Regelungen zu Exportformaten, Übergabe, Schnittstellen, Backups, Löschung und Vertragsende.
Wie erkenne ich Datenhoheit vor dem Kauf einer Software?
Verlange einen Testexport, eine Beschreibung der Rollen und Berechtigungen sowie Informationen zu Speicherorten, API, Backups und Löschfristen. Fordere außerdem einen schriftlichen Ablauf für den Anbieterwechsel an. Konkrete Nachweise sind aussagekräftiger als allgemeine Flexibilitätsversprechen.
Muss ich für Datenhoheit alle Systeme selbst betreiben?
Nein. Du kannst Hosting, Wartung und Entwicklung an Fachleute übertragen und trotzdem die Kontrolle behalten. Entscheidend sind eigene Zugänge, klare Verantwortlichkeiten, nutzbare Exporte, unabhängige Sicherungen und eine geregelte Übergabe.
Fazit: Datenhoheit sichert die Handlungsfähigkeit
Datenhoheit reduziert technische, organisatorische und wirtschaftliche Abhängigkeiten. Die Hoheit über Daten schafft eine faire Grundlage für die Zusammenarbeit mit externen Fachleuten, weil Dein Unternehmen bei einem notwendigen Wechsel handlungsfähig bleibt.
Wenn Speicherort, Zugriffsrechte, Datenexport, Datenlöschung, Backups, Schnittstellen und Anbieterwechsel nachvollziehbar geregelt sind, besitzt Dein Unternehmen eine belastbare Grundlage für den langfristigen Betrieb seiner digitalen Systeme.
