Digitale Souveränität für Privatpersonen: Was sie bedeutet und was Sie konkret tun können

Kurz gesagt. Digitale Souveränität heißt für Privatpersonen: Sie können sagen, wo Ihre Daten liegen, wer sie lesen kann und was passiert, wenn ein Anbieter seine Preise, Bedingungen oder seine Meinung ändert. Es heißt nicht, alles selbst zu betreiben. Es heißt, die eigenen Abhängigkeiten zu kennen und sie bewusst zu wählen.

Was ist digitale Souveränität, einfach erklärt?

Der Begriff stammt aus der Politik: Staaten wollen die Kontrolle über ihre eigene Infrastruktur und ihre Daten behalten. Für Einzelne lässt er sich auf drei Fragen herunterbrechen, die Sie tatsächlich beantworten können:

• Wo liegt es? Bei welcher Firma, in welchem Land, auf welchem Gerät liegen Ihre Notizen, Ihre Leseliste, Ihre Fotos?
• Wer kann es lesen? Der Anbieter, dessen Mitarbeitende, eine Behörde, die den Anbieter zur Herausgabe verpflichten kann – oder nur Sie?
• Können Sie gehen? Können Sie alles mitnehmen, in einem Format, das andere Programme öffnen, und zwar an dem Tag, an dem Sie es wollen?

Wenn Sie alle drei Fragen für das beantworten können, was Ihnen wichtig ist, sind Sie darüber souverän. Die ehrliche Antwort lautet bei den meisten heute: „keine Ahnung“. Das lässt sich ändern, und zwar Schritt für Schritt statt auf einmal.

Warum das jetzt wichtig ist: fünf Entwicklungen

1. Ein Rechenzentrum in der EU macht aus einer US-Firma keine europäische. Der US-amerikanische CLOUD Act erlaubt es US-Behörden, von Anbietern mit Sitz in den USA Daten zu verlangen, die diese kontrollieren – gleichgültig, wo sie gespeichert sind. Wie sich das mit der DSGVO verträgt, ist umstritten: Europäische Anwaltsorganisationen haben argumentiert, dass die Herausgabe personenbezogener Daten aus der EU auf eine solche Anordnung hin gegen die DSGVO verstoßen würde. Juristisch ausgeführt wird der Konflikt etwa bei Linklaters, Cleary Gottlieb und in der Einschätzung des CCBE (alle englisch). Die praktische Lehre: „In der EU gehostet“ sagt Ihnen, wo der Server steht, nicht, wessen Recht darauf zugreifen kann.

2. Die rechtliche Grundlage für Datenübermittlungen in die USA steht weiter zur Überprüfung. Übermittlungen personenbezogener Daten an zertifizierte US-Unternehmen stützen sich derzeit auf das EU-US Data Privacy Framework. Seine beiden Vorgänger, Safe Harbor und Privacy Shield („Schrems II“, 2020), hat der Europäische Gerichtshof gekippt. Im September 2025 wies das Gericht der EU eine Klage gegen den neuen Angemessenheitsbeschluss ab; der Kläger legte Berufung ein, und das Verfahren (Rechtssache C-703/25 P) ist nach unserem Kenntnisstand noch anhängig (WilmerHale, Digital Policy Alert, beide englisch). Heute gilt der Rahmen. Ob das so bleibt, können Einzelne nicht beeinflussen – genau darum geht es.

3. Der Wechsel des Cloud-Anbieters wird zum Recht. Der EU Data Act gilt seit dem 12. September 2025. Anbieter von Cloud-Diensten müssen einen Wechsel mit höchstens zwei Monaten Kündigungsfrist ermöglichen, dürfen bis Januar 2027 nur ihre eigenen Kosten für den Wechsel berechnen und ab dem 12. Januar 2027 gar keine Wechselentgelte mehr verlangen (Latham & Watkins, McCann FitzGerald, beide englisch). Diese Regeln richten sich an Kunden von Cloud- und Infrastrukturdiensten, nicht an Ihre Lese-App. Sie zeigen aber die Richtung: Übertragbarkeit ist die Grundlage, kein Entgegenkommen. Für personenbezogene Daten kennt die DSGVO ohnehin das Recht auf Datenübertragbarkeit (Art. 20).

4. Dienste verschwinden. Mozilla kündigte im Mai 2025 an, Pocket am 8. Juli 2025 abzuschalten; danach gab es eine reine Exportphase, die später bis zum 6. November 2025 verlängert wurde (9to5Mac, Vice, beide englisch). Wer bis dahin nichts exportiert hatte, verlor seine gespeicherten Artikel. Worauf es bei einem Ersatz ankommt, steht im Ratgeber zur Pocket-Alternative.

5. Die öffentliche Hand macht es vor. Das Land Schleswig-Holstein ersetzt in seiner Verwaltung schrittweise Microsoft-Software durch Open-Source-Lösungen („Digital Souveräner Arbeitsplatz“), angefangen bei E-Mail und Büroanwendungen; Mecklenburg-Vorpommern hat eine Zusammenarbeit vereinbart (Berichte: PC-WELT, CIO). Das geht langsam und nicht ohne Kritik, und Microsoft wird nicht komplett abgelöst. Wenn eine Landesverwaltung ihren Kurs Schritt für Schritt ändern kann, schaffen Sie das mit einer Leseliste auch.

Souveränität ist eine Leiter, kein Schalter

„Souverän oder nicht“ ist die falsche Frage. Besser: Wie weit nach oben wollen Sie bei welcher Art von Daten?

Stufe	So sieht es aus	Sie sind geschützt vor
0 · Standard	Alles in der Cloud eines Anbieters, nie einen Export versucht	Nichts: Der Anbieter entscheidet
1 · Ausstiegsplan	Sie haben einmal exportiert und wissen, dass das Format anderswo aufgeht	einer Abschaltung (der Fall Pocket)
2 · Eigene Konten	Eigener API-Schlüssel, eigenes Speicherkonto, kein gebündelter Zwischenhändler	Preis- und Bedingungsänderungen eines Bündelangebots
3 · Eigener Speicher	Daten auf einem Server oder Laufwerk, das Sie kontrollieren, in offenen Formaten	einem Anbieter, der die einzige Kopie hält
4 · Verschlüsselt, Schlüssel bei Ihnen	Was Ihr Gerät verlässt, ist verschlüsselt; nur Sie haben den Schlüssel	dem Speicheranbieter und jedem, der ihn zur Herausgabe zwingen kann
5 · Lokale Rechenleistung	Modelle und Werkzeuge laufen auf Ihrem eigenen Rechner	dem KI-Anbieter, der Ihre Inhalte sieht

Kaum jemand steht bei allem auf Stufe 5, und niemand muss das. Eine Leseliste und ein privates Tagebuch brauchen nicht dieselbe Stufe. Nützlich ist die Gewohnheit, zu wissen, auf welcher Stufe was liegt.

Local-first: die Ingenieursidee hinter „meine Daten gehören mir“

2019 veröffentlichten Forschende des Labors Ink & Switch den Aufsatz „Local-first software“, der dem Ganzen einen Namen gab. Zu den sieben Idealen zählen: Arbeit wartet nicht auf einen Server, das Netz ist optional, Ihre Daten sind auch „in Jahrzehnten“ noch nutzbar, selbst wenn die Firma hinter der Software weg ist, Sicherheit und Datenschutz sind der Normalfall (ein Server mit Kopien speichert nur verschlüsselte Daten, die er nicht lesen kann), und Sie behalten die letzte Kontrolle (Ink & Switch, 2019, englisch). Als Checkliste taugt das für jedes Werkzeug, auf das Sie sich verlassen: Gegen welches der sieben Ideale verstößt es?

Checkliste für ein Wochenende

1. Abhängigkeiten auflisten. Für Notizen, Leseliste, Passwörter, Fotos und KI-Werkzeuge: Welche Firma, welches Land, welches Format?
2. Einen Export testen. Nicht „kann ich exportieren?“, sondern „ich habe exportiert und die Datei in einer zweiten App geöffnet“. Am besten bei dem, was Sie am meisten vermissen würden.
3. Offene Formate bevorzugen. Markdown, Klartext, JSON, EPUB, Standarddateien für Kalender und Kontakte. Sie überleben Apps.
4. Eigenen Speicher wählen. Ein Nextcloud-Server (selbst betrieben oder bei einem europäischen Anbieter), ein S3-kompatibler Speicher, für den Sie selbst das Konto führen, oder einfach ein Ordner, den Syncthing oder Ihr Sync-Client ohnehin zwischen den Geräten abgleicht.
5. Verschlüsseln, bevor es das Gerät verlässt. Die Frage an jede Synchronisierung und jedes Backup: Wer hat den Schlüssel? Lautet die Antwort „der Anbieter“, kann der Anbieter mitlesen.
6. Festlegen, wie Ihre KI erreicht wird. Eigener API-Schlüssel (Abrechnung nach Nutzung, Anbieterwechsel in einer Minute), ein Modell auf dem eigenen Rechner oder ein gebündeltes Abo. Jede Variante ist eine Stufe der Leiter.
7. Ein Backup haben, das Sie wiederhergestellt haben. Ein Backup, das Sie nie zurückgespielt haben, ist eine Hoffnung. Spielen Sie es einmal auf einem anderen Gerät ein.

Was AI Summary Helper dazu beiträgt – und was nicht

Wir entwickeln AI Summary Helper, eine Browser-Erweiterung, die Webseiten, PDFs und Videos zusammenfasst und eine Leseliste führt. Wir versuchen, die Leiter innerhalb eines Werkzeugs begehbar zu machen. Was das konkret heißt, einschließlich der Grenzen:

• Ihre Bibliothek bleibt auf Ihrem Gerät. Artikel, Zusammenfassungen, Markierungen und Notizen liegen lokal in Ihrem Browser. Für die Kernfunktionen gibt es kein Konto (Datenschutzerklärung).
• Sie wählen, wie die KI erreicht wird. Eigener Schlüssel bei einem Anbieter Ihrer Wahl (warum das wichtig ist), ein lokales Modell mit Ollama, bei dem der Seiteninhalt Ihren Rechner nie verlässt, oder unser optionaler gehosteter Dienst. Mit einem lokalen Modell braucht die Zusammenfassung selbst gar kein Netz.
• Sync und Backup auf Ihrem eigenen Speicher. Nextcloud oder ein anderer WebDAV-Server, ein S3-kompatibler Speicher oder ein Ordner auf Ihrem Computer (Schritt für Schritt). In verschlüsselten Orten wird alles in Ihrem Browser verschlüsselt (AES-256-GCM, Schlüssel aus Ihrer Passphrase), bevor es das Gerät verlässt, und Sie bekommen einen Wiederherstellungsschlüssel. Der Speicheranbieter sieht nur unlesbare Dateien.
• Veröffentlichen auf der eigenen Website. Ein lesbarer Ort schreibt einfache Dateien und auf Wunsch eine Viewer-Seite für Ihre eigene Website, nur für die Artikel, die Sie markieren. Notizen und Volltexte bleiben draußen, solange Sie sie nicht freigeben.
• Eine EU-Option für den gehosteten Dienst. Nutzen Sie unseren optionalen gehosteten Dienst, schickt der Schalter „Prefer EU servers“ (EU-Server bevorzugen) in den Einstellungen Ihre Anfragen nur an EU-Endpunkte des Modellanbieters, nie an einen Ausweichweg anderswo. Modelle sind gekennzeichnet als EU company (EU-Unternehmen, z. B. Mistral mit Sitz in Paris) oder EU servers (EU-Region eines US-Konzerns), denn das ist nicht dasselbe. Modelle ohne EU-Route bleiben wählbar, sind aber markiert, und die Auswahl Auto wählt sie bei eingeschaltetem Schalter nie.
• Ihre KI-Apps auf Ihrem Computer. Optional können KI-Desktop-Apps Ihre Bibliothek über eine lokale Verbindung lesen, ohne dass etwas über unsere Server läuft (so funktioniert das, englisch).
• Open Source. Der Code ist auf GitHub öffentlich, damit sich prüfen lässt, was wir hier behaupten.

Was nicht gelingt. Ehrlichkeit ist wichtiger als eine glatte Geschichte:

• Die Erweiterung läuft in einem Browser, den ein US-Konzern herstellt. Ein lokales Modell nimmt den KI-Anbieter aus dem Spiel, nicht den Browser.
• Die meisten gehosteten KI-Anbieter sind US-Unternehmen. Nutzen Sie einen mit eigenem Schlüssel, geht der zusammengefasste Seitentext an ihn. Nur ein lokales Modell hält ihn vollständig auf Ihrem Rechner.
• Unser optionaler gehosteter Dienst läuft mit Server und Datenbank bei IONOS in Deutschland. Ihr Text geht von dort aber über OpenRouter, ein US-Unternehmen, an einen Modellanbieter weiter. Der EU-Schalter bindet die Server des Modells an die EU; er ändert nicht, wem die Unternehmen gehören. Sehen Sie den gehosteten Dienst als Komfort mit EU-Option, nicht als die souveräne Wahl: Dafür nehmen Sie einen eigenen Schlüssel oder ein lokales Modell.
• Der Verschlüsselungsschlüssel eines Sync-Ortes liegt in Ihrem Browserprofil, damit die Synchronisierung im Hintergrund laufen kann. Wer Zugriff auf Ihr entsperrtes Profil hat, könnte ihn nutzen. Der Speicheranbieter sieht weiterhin, wie viele Dateien es gibt, wie groß sie sind und wann sie sich ändern.
• Das Verschlüsselungskonzept ist offen, wurde aber nicht unabhängig geprüft (kein Audit).
• Ein lesbarer (veröffentlichter) Ort ist nicht verschlüsselt. Das ist sein Zweck, und die Einstellungen sagen es deutlich.

Häufige Fragen

Reicht es, wenn meine Daten in der EU liegen?

Das hilft bei Antwortzeiten und manchen Rechtsfragen, entscheidet aber nicht, wer den Zugriff erzwingen kann: Das hängt vom Rechtsraum des Unternehmens ab, nicht nur vom Standort des Servers. Verschlüsselung mit Schlüsseln, die Sie selbst halten, ändert mehr als eine Postleitzahl.

Ist ein europäisches KI-Modell dasselbe wie ein Modell auf EU-Servern?

Nein. Ein Unternehmen mit Sitz in Europa, etwa Mistral in Paris, unterliegt dem EU-Recht und dem nationalen Recht. Das Modell eines US-Konzerns in einer EU-Region steht zwar physisch in Europa, das Unternehmen dahinter bleibt aber amerikanisch – das ist der CLOUD-Act-Punkt von oben. Beides kann vernünftig sein, keines ist eine Garantie. Deshalb kennzeichnen wir beides getrennt. Prüfen Sie die aktuellen Bedingungen und das Hosting des Anbieters, denn Partnerschaften und Geldgeber ändern sich.

Muss ich selbst hosten, um souverän zu sein?

Nein. Selbst hosten ist ein Weg zu den Stufen 3 und 4. Ein europäischer Anbieter oder ein Speicher unter Ihrem eigenen Konto mit Verschlüsselung auf Ihrer Seite bringt Sie mit viel weniger Aufwand weit.

Sind lokale KI-Modelle gut genug, um Artikel zusammenzufassen?

Für Zusammenfassungen gewöhnlicher Artikel sind mittelgroße offene Modelle auf einem aktuellen Laptop brauchbar. Qualität und Tempo hängen von Hardware und Modell ab. Am ehrlichsten ist es, eins an der eigenen Lektüre auszuprobieren.

Genügt Verschlüsselung allein?

Nein. Sie schützt Inhalte vor dem Speicheranbieter, aber nicht vor einer schwachen Passphrase, einem kompromittierten Gerät oder Metadaten wie Dateigrößen und Zeitpunkten. Eine zufällige Passphrase aus mehreren Wörtern und ein sicher aufbewahrter Wiederherstellungsschlüssel sind das praktische Minimum.

Was, wenn das Werkzeug verschwindet, das ich nutze?

Dafür ist der Exporttest da. Liegen Ihre Daten in offenen Formaten auf Speicher, den Sie kontrollieren, ist der schlimmste Fall ein Wechsel der App, nicht der Verlust der Daten.

Quellen

• Linklaters: U.S. CLOUD Act and GDPR, is the cloud still safe? (englisch)
• Cleary Gottlieb: U.S. CLOUD Act's potential impact on the GDPR (englisch)
• eucrim: CCBE assesses the US CLOUD Act (englisch)
• WilmerHale: European Court of Justice to review challenge to the EU-US Data Privacy Framework (englisch)
• Latham & Watkins: EU Data Act switching requirements (englisch)
• McCann FitzGerald: EU Data Act, switching cloud provider (englisch)
• 9to5Mac: Mozilla announces shutdown of Pocket (englisch)
• Ink & Switch: Local-first software (Onward! 2019) (englisch)
• PC-WELT: Schleswig-Holstein, Open Source statt Microsoft

Rechtliche und politische Einzelheiten ändern sich. Dies ist eine allgemeine Information und keine Rechtsberatung; prüfen Sie den aktuellen Stand anhand der Quellen.