Digitale Souveränität.Beginnt bei der Infrastruktur.

Was digitale Souveränität wirklich bedeutet

Digitale Souveränität bedeutet, technische und organisatorische Entscheidungen über Daten, Systeme und Abhängigkeiten selbst treffen zu können. Dazu gehört mehr als ein Serverstandort in Europa. Entscheidend sind ebenso Betreiber, Rechtsraum, administrative Zugriffe, Unterauftragnehmer, Verschlüsselung, Schlüsselkontrolle und die Möglichkeit, Daten und Anwendungen wieder zu exportieren.

Eine Organisation ist deshalb nicht automatisch souverän, nur weil eine Cloud-Region mit „Europa“ bezeichnet ist. Sie muss nachvollziehen können, wo Daten verarbeitet werden, welche Unternehmen Zugriff erhalten, welche Rechtsordnungen gelten und wie sie den Anbieter wechseln kann.

Warum KI-Videoanalyse besondere Anforderungen stellt

KI-Videoanalyse verarbeitet je nach Anwendungsfall Videoströme, Bilder, Ereignisse und Metadaten. Darauf können Menschen, Fahrzeuge, Kennzeichen oder andere personenbezogene Informationen erkennbar sein. Außerdem entstehen technische Konfigurationen, Nutzerkonten, Protokolle und Alarmhistorien.

Deshalb reicht es nicht, nur den Speicherort aufgezeichneter Videos zu betrachten. Auch Vorschaubilder, Backups, Supportzugriffe, Telemetrie und Modellmetadaten gehören in die Datenflussanalyse. Je genauer diese Wege dokumentiert sind, desto belastbarer lassen sich Datenschutz, Informationssicherheit und Betrieb organisieren.

Datenstandort ist wichtig, aber nicht ausreichend

Der physische Standort beantwortet zunächst nur eine Frage: In welchem Rechenzentrum liegen oder entstehen Daten? Für eine souveräne Architektur müssen jedoch weitere Ebenen hinzukommen.

• Betreiber: Welches Unternehmen betreibt Plattform und Infrastruktur?
• Rechtsraum: Welchen gesetzlichen Verpflichtungen unterliegt der Anbieter?
• Zugriffe: Wer kann administrativ auf Systeme, Backups oder Schlüssel zugreifen?
• Unterauftragnehmer: Welche weiteren Unternehmen sind technisch beteiligt?
• Datenwege: Durch welche Netze, Regionen und Dienste fließen Informationen?
• Exit: Lassen sich Daten, Konfigurationen und Schnittstellen kontrolliert migrieren?

Erst das Zusammenspiel dieser Punkte schafft nachweisbare Kontrolle. Ein europäischer Speicherort kann sinnvoll sein, ersetzt aber keine Prüfung von Vertrag, Konzernstruktur und tatsächlichen Betriebswegen.

Schrems II und internationale Datentransfers

Der Europäische Gerichtshof erklärte 2020 im Urteil C-311/18, bekannt als Schrems II, den damaligen EU-US Privacy Shield für ungültig. Gleichzeitig blieben Standardvertragsklauseln grundsätzlich ein zulässiges Transferinstrument. Allerdings müssen Verantwortliche prüfen, ob das Schutzniveau im konkreten Empfängerland tatsächlich gewährleistet werden kann.

Der Europäische Datenschutzausschuss empfiehlt dafür eine strukturierte Prüfung der Transfers und gegebenenfalls ergänzende technische, vertragliche oder organisatorische Maßnahmen. Dazu können starke Verschlüsselung, kontrollierte Schlüssel, Pseudonymisierung und eng begrenzte Zugriffe gehören.

Was sich mit dem EU-US Data Privacy Framework geändert hat

Seit Juli 2023 besteht eine neue Angemessenheitsentscheidung für das EU-US Data Privacy Framework. Dadurch können personenbezogene Daten an teilnehmende und zertifizierte US-Unternehmen übermittelt werden. Das bedeutet jedoch nicht, dass jede Nutzung eines US-Dienstes automatisch abgedeckt ist.

Verantwortliche müssen weiterhin prüfen, welcher Anbieter, welche konkrete Leistung und welche Empfänger beteiligt sind. Gehört ein Empfänger nicht zum Framework, kommen andere Instrumente wie Standardvertragsklauseln und zusätzliche Maßnahmen in Betracht. Deshalb sollte ein Beitrag zur digitalen Souveränität weder pauschal Entwarnung geben noch jede US-Cloud pauschal als unzulässig darstellen.

Was der CLOUD Act für die Anbieterwahl bedeutet

Der US-amerikanische CLOUD Act stellt klar, dass Anbieter unter US-Gerichtsbarkeit unter bestimmten Voraussetzungen zur Herausgabe elektronischer Daten verpflichtet werden können, die sich in ihrem Besitz, Gewahrsam oder ihrer Kontrolle befinden. Der physische Speicherort allein beendet diese Zuständigkeitsfrage daher nicht.

Das bedeutet nicht, dass Behörden beliebig auf jede europäische Cloud zugreifen können. Dennoch ist die Betreiberjurisdiktion ein eigener Risikofaktor, der neben Speicherort, Verschlüsselung und Verträgen bewertet werden muss. Eine belastbare Entscheidung dokumentiert diese Faktoren, statt sich nur auf das Etikett einer Region zu verlassen.

Die Schweiz im europäischen Datenschutzrahmen

Die Europäische Kommission bestätigte 2024, dass die Schweiz weiterhin ein angemessenes Datenschutzniveau für aus der EU übermittelte personenbezogene Daten bietet. Damit können Datenübermittlungen aus der EU in die Schweiz grundsätzlich auf dieser Angemessenheitsentscheidung beruhen.

Trotzdem bleibt jeder Verantwortliche für Zweck, Erforderlichkeit, Sicherheit und Transparenz seiner Verarbeitung zuständig. Auch ein Rechenzentrum in der Schweiz macht einen konkreten Einsatz nicht automatisch rechtskonform. Datenminimierung, Zugriffskontrolle und nachvollziehbare Löschung bleiben erforderlich.

Wie eine souveräne Visual-AI-Architektur aufgebaut wird

Digitale Souveränität beginnt bereits bei der Architekturentscheidung. Je nach Risiko und Betriebsmodell kann die Analyse am Edge, auf einem lokalen Server, in einer privaten Cloud oder in einer hybriden Umgebung erfolgen. Dabei sollte nicht das technisch bequemste Modell automatisch gewinnen, sondern das Modell, das Schutzbedarf und Prozess am besten verbindet.

Sieben Bausteine für nachweisbare Kontrolle

1. Dateninventar: Videoströme, Bilder, Ereignisse, Metadaten und Protokolle erfassen.
2. Datenflussplan: Quellen, Verbindungen, Speicherorte und Empfänger dokumentieren.
3. Rollenmodell: Rechte nach Aufgabe begrenzen und regelmäßig überprüfen.
4. Verschlüsselung: Transport, Speicherung und Schlüsselverwaltung getrennt planen.
5. Aufbewahrung: Fristen je Datentyp festlegen und Löschung technisch durchsetzen.
6. Betriebsnachweise: Zugriffe, Änderungen, Updates und Vorfälle protokollieren.
7. Exit-Plan: Export, Migration und kontrollierte Beendigung vor Vertragsabschluss klären.

Edge, On-Premise, Private Cloud oder Hybrid?

Eine Edge-Analyse verarbeitet Daten nah an der Kamera und kann Übertragungen reduzieren. On-Premise-Systeme geben Organisationen viel direkte Kontrolle, verlangen jedoch eigenes Know-how für Updates, Sicherheit und Verfügbarkeit. Eine Private Cloud kann zentrale Skalierung mit klar definierten Datenstandorten verbinden.

Hybride Modelle verteilen Aufgaben gezielt. Beispielsweise kann die Videoanalyse lokal laufen, während nur reduzierte Ereignismetadaten zentral verarbeitet werden. Daher ist nicht ein Bereitstellungsmodell grundsätzlich souveräner als alle anderen. Entscheidend ist, ob Datenwege, Zuständigkeiten und Abhängigkeiten zum Schutzbedarf passen.

Wie Synaedge Datensouveränität umsetzt

Synaedge plant Visual-AI-Systeme als Edge-, On-Premise-, Cloud- oder Hybrid-Architektur. Dadurch kann die Bereitstellung an Datenschutz, Leistung, Integration und Betriebsverantwortung angepasst werden. Die technische Grundlage erlaubt einen Betrieb unabhängig von Hyperscalern. Wo Daten tatsächlich verarbeitet werden und wer Zugriff erhält, wird für das jeweilige Projekt vereinbart.

Dabei bleibt auch eine europäische Infrastruktur kein Ersatz für Governance. Deshalb gehören Netzwerksegmentierung, minimale Rechte, Mehrfaktor-Authentisierung, Audit-Protokolle, Monitoring und geregelte Aufbewahrung zum technischen Konzept. Mehr dazu beschreibt unsere Seite zu Cybersecurity und Datensouveränität.

Welche Fragen Unternehmen vor der Auswahl stellen sollten

Eine Anbieterprüfung sollte konkrete Antworten erzeugen. Marketingbegriffe allein reichen nicht. Verantwortliche sollten mindestens folgende Fragen schriftlich klären:

• Wo werden Primärdaten, Metadaten, Backups und Protokolle verarbeitet?
• Welche Rechtsträger und Unterauftragnehmer sind beteiligt?
• Wer besitzt administrative Rechte und wer kontrolliert die Schlüssel?
• Welche Daten verlassen den definierten Rechtsraum?
• Wie werden Supportzugriffe freigegeben und protokolliert?
• Welche Fristen und Löschmechanismen gelten?
• Wie funktioniert der Anbieterwechsel ohne Verlust von Daten und Konfigurationen?

Fazit: Souveränität ist eine Architektureigenschaft

Digitale Souveränität entsteht nicht durch ein einzelnes Zertifikat oder einen Standortaufkleber. Sie entsteht, wenn eine Organisation ihre Datenwege kennt, Zugriffe kontrolliert, Abhängigkeiten bewertet und zwischen geeigneten Betriebsmodellen wählen kann.

Für KI-Videoanalyse ist diese Kontrolle besonders wichtig, weil sensible Bilddaten, Ereignisse und operative Prozesse zusammenkommen. Eine europäisch kontrollierte Infrastruktur kann Risiken und Komplexität reduzieren. Rechtskonformität entsteht jedoch erst durch die Verbindung aus Architektur, Governance, Verträgen und einem klar dokumentierten Zweck.

Für Einsätze in der EU sind die DSGVO und die einschlägigen nationalen Vorschriften zu prüfen. Bei Polizeibehörden kann das besondere Datenschutzrecht für die Strafverfolgung massgeblich sein. Schweizer Vorgaben sind ergänzend als eigener Rechtsrahmen zu betrachten. Ereignisbasierte Verarbeitung ist nicht automatisch anonym. Einen aktuellen Überblick bietet unser Beitrag zu Datenschutz und EU AI Act.