Thought Leadership
Digitale Souveränität endet nicht bei Cloud: Auch das oft übersehene Consent-Management entscheidet darüber, wer die Kontrolle über europäische Nutzerdaten behält.
Die Menschen in Deutschland sehnen sich nach mehr digitaler Unabhängigkeit. Das zeigt eine aktuelle Bitkom-Befragung: Für 93 Prozent ist Deutschland bei digitalen Technologien zu abhängig vom Ausland, 99 Prozent wünschen sich mehr digitale Souveränität. Mehr als jeder Dritte hat deshalb bereits bewusst einen europäischen Anbieter gewählt.
Die Debatte konzentriert sich bislang vor allem auf Cloud-Infrastrukturen, KI-Anwendungen und Halbleiter. Dabei gerät jedoch häufig ein Bereich aus dem Blick, der täglich über den Umgang mit Nutzerdaten entscheidet: das Consent-Management. Wer über digitale Souveränität spricht, sollte deshalb nicht nur die großen Plattformen betrachten, sondern auch die Systeme, die Datenflüsse auf Websites steuern und dokumentieren.
Consent-Daten sind mehr als ein Cookie-Banner
Eine Consent-Management-Plattform protokolliert für jeden Besucher, wann und wofür eine Einwilligung erteilt wurde. Diese Daten dienen als Nachweis der Zustimmung und dokumentieren das Nutzerverhalten. Verwaltet werden sie vom Betreiber der Plattform. Unterliegt dieser dem US-Rechtsraum, kann der CLOUD Act greifen und US-Behörden unter bestimmten Voraussetzungen Zugriff auf die Daten ermöglichen, selbst wenn diese auf Servern in Europa gespeichert sind. Entscheidend ist daher nicht allein, wo die Daten liegen, sondern auch, welchem Rechtsraum der Anbieter unterliegt.
Datentransfers bleiben ein Rechtsrisiko
Die DSGVO verlangt freie, informierte und nachweisbare Einwilligungen. Gleichzeitig steht die rechtliche Grundlage für Datentransfers in die USA seit Jahren auf einem unsicheren Fundament. Der Europäische Gerichtshof kippte 2015 Safe Harbor und 2020 mit dem Schrems-II-Urteil auch das Privacy Shield. Nun wird bereits der Nachfolger, das EU-US Data Privacy Framework, erneut gerichtlich überprüft (Case C-703/25 P). Eine Entscheidung wird frühestens Ende 2026 erwartet. Sollte auch dieser Rechtsrahmen für unzulässig erklärt werden, wäre es die dritte gescheiterte Grundlage für Datentransfers zwischen der EU und den USA innerhalb von zehn Jahren. Unternehmen, die Einwilligungen über US-Plattformen verwalten, tragen dieses Risiko selbst. Wie bereits nach dem Fall des Privacy Shields müssten sie dann Übermittlungsinstrumente wie Standardvertragsklauseln einsetzen.
Drei Fragen, die Unternehmen jetzt klären sollten
Wer Datenschutz oder Marketing-Technologie verantwortet, sollte bei der Auswahl einer Consent-Plattform drei Fragen klären:
1. Wo werden die Daten gespeichert?
Entscheidend ist nicht nur der Firmensitz des Anbieters, sondern auch das Rechenzentrum, in dem die Consent-Datensätze gespeichert werden.
2. Wer kann auf die Daten zugreifen?
Der CLOUD Act kann auch dann relevant sein, wenn ein europäischer Anbieter zu einem US-Konzern gehört oder von diesem kontrolliert wird. Auch die Eigentümer- und Konzernstruktur sollte deshalb geprüft werden.
3. Welche Garantien sind vertraglich festgelegt?
Verbindlich ist, was schriftlich vereinbart wurde. Unternehmen sollten prüfen, welche Regelungen zu Datenzugriff, Datenübermittlung und Verantwortlichkeiten im Vertrag festgehalten sind. Mündliche Zusicherungen bieten gegenüber Aufsichtsbehörden keinen rechtlichen Schutz.
Der Wechsel ist oft weniger aufwendig als erwartet
Europäische Plattformen unterstützen dieselben technischen Standards wie viele internationale Anbieter, darunter das IAB Transparency & Consent Framework (TCF), den Google Consent Mode v2 oder Server-Side Tagging. Bei der Auswahl spielen häufig Fragen zu Datenschutz, Datenzugriff und Rechtsraum eine größere Rolle als einzelne Funktionen.
Laut Bitkom halten 55 Prozent der Befragten einen Wechsel zu europäischen Anbietern für aufwendig. Bei Consent-Lösungen fällt der Aufwand in der Praxis oft geringer aus. Viele Plattformen unterstützen dieselben Standards und Integrationen, sodass bestehende Setups häufig mit überschaubaren Anpassungen übernommen werden können. Je nach Ausgangslage lässt sich eine Migration innerhalb weniger Tage umsetzen.
Wer die Consent-Infrastruktur betreibt, steuert die Datenflüsse
Welche Daten erhoben und weitergegeben werden dürfen, entscheidet sich durch jede Einwilligung. Somit spielt die Consent-Infrastruktur eine zentrale Rolle bei der Steuerung dieser Datenflüsse.
Liegt diese Infrastruktur bei einem europäischen Anbieter, bleiben Kontrolle und Verantwortung innerhalb des europäischen Rechtsraums. Wird sie über außereuropäische Plattformen abgewickelt, verlagert sich ein Teil dieser Kontrolle nach außen.
Fazit
Digitale Souveränität entscheidet sich also nicht nur bei Rechenzentren, Cloud-Verträgen oder KI-Systemen. Sie zeigt sich auch in den alltäglichen Entscheidungen darüber, wer Daten verarbeitet, verwaltet und kontrolliert.
Consent-Management mag im Vergleich zu anderen Infrastrukturthemen unscheinbar wirken. Für Unternehmen ist es dennoch eine strategische Entscheidung. Denn sie bestimmt, unter welchen rechtlichen Rahmenbedingungen Einwilligungsdaten verwaltet werden und wer die Kontrolle über einen zentralen Teil der eigenen Datenflüsse behält.
