Digitale Souveränität: fünf europäische Alternativen für einen souveränen Stack
Steffen Rosenögger, Gründer von CapmeAktualisiert am 1. November 2026
Digitale Souveränität in vier prüfbaren Fragen, dazu fünf europäische Alternativen für Chat, Doku, Aufgaben, Video und Diagramme, daran geprüft.
Kurz gefasst
- Mach bei jedem Anbieter einmal den Export, bevor du von ihm abhängst. Kein Siegel wie „EU-gehostet“ sagt dir, ob der Ausstieg klappt.
- Von den fünf halten nur selbst gehostete Docs und Element die gesamte Verarbeitung auf deinen eigenen Servern.
Digitale Souveränität heißt: Ein Unternehmen kann für jedes Tool sagen, wer es betreibt und welches Recht diesen Betreiber zwingen kann, wo die Daten liegen, was die EU verlässt und wie es seine Daten wieder herausbekommt. In einem souveränen Stack beantwortet jedes Tool alle vier Fragen; ein EU-Rechenzentrum klärt nur die zweite. Je eine europäische Alternative pro Ebene, geprüft an den Seiten der Anbieter: Excalidraw für Diagramme, Element auf Matrix für Chat, Docs aus La Suite numérique für Dokumentation, MeisterTask für Aufgaben und Capme für Video.
Die Videoebene kommt von uns: Im Trust Center von Capme steht, wo Aufnahmen liegen und welche Unterauftragsverarbeiter beteiligt sind. Oder probier den kostenlosen Recorder: Die Aufnahme bleibt im Browser.
Was heißt digitale Souveränität für ein Unternehmen?
Für ein Unternehmen läuft digitale Souveränität auf vier Fragen pro Tool hinaus. Datensouveränität ist der engere Teil: wo die Daten liegen (Datenresidenz) und wer zur Herausgabe gezwungen werden kann.
- Wer betreibt es, und welches Recht kann den Betreiber zwingen?Das Unternehmen, mit dem du den Vertrag schließt, egal wo seine Server stehen. Impressum und Nutzungsbedingungen nennen es.
- Wo liegen die Daten?Eine Region, die im AVV oder auf der Sicherheitsseite steht, am besten auch im Produkt sichtbar.
- Welche Unterauftragsverarbeiter sehen sie, und was verlässt die EU?Eine Liste mit Rechtsträgern, Ländern, der Übermittlungsgrundlage pro Eintrag und einer Frist für Änderungen. E-Mail, Zahlung und Support bringen oft den Eintrag mit, an dem „EU-gehostet“ scheitert.
- Wie kommst du wieder heraus?Offene Formate, ein Export, den du selbst startest oder anforderst, und eine Frist nach Vertragsende zum Abholen.
Ende-zu-Ende-Verschlüsselung, bei der die Schlüssel nie beim Anbieter landen, entschärft die ersten drei Fragen stark: Der Anbieter hat nichts Lesbares herauszugeben. Das klappt bei Chat und geteilten Zeichnungen. Video, Dokumente und Aufgabenboards muss der Dienst verarbeiten, dort entscheiden Betreiber, Region und Ausstieg.
Ein Team aus fünf Leuten ohne sensible Daten und ohne Kunden aus dem öffentlichen Sektor kommt meist mit Frage 1 und 4 aus.
Warum reicht ein EU-Rechenzentrum nicht für Datensouveränität?
Der CLOUD Act erlaubt US-Behörden, von einem Kommunikations- oder Cloud-Anbieter unter US-Jurisdiktion Daten in seinem Besitz, Gewahrsam oder seiner Kontrolle zu verlangen, gleich ob sie in den USA oder im Ausland liegen (18 U.S.C. § 2713). Nach Artikel 48 DSGVO wird ein Urteil oder eine Behördenentscheidung von außerhalb der EU, die eine Übermittlung oder Offenlegung personenbezogener Daten verlangt, nur anerkannt oder vollstreckt, wenn sie auf einer internationalen Übereinkunft beruht, unbeschadet anderer Übermittlungsgründe nach Kapitel V. Ein US-betriebenes Tool mit EU-Rechenzentrum kann zwischen beide geraten.
Am 10. Juni 2025 fragte ein Untersuchungsausschuss des französischen Senats Anton Carniaux von Microsoft France unter Eid, ob er garantieren könne, dass Daten französischer Bürger, die Microsoft über die UGAP anvertraut wurden, nie auf Anordnung der US-Regierung an diese gehen, ohne dass die französischen Behörden ausdrücklich zustimmen. Seine Antwort laut Protokoll des Senats: „Nein, ich kann es nicht garantieren, aber, noch einmal, es ist noch nie vorgekommen“ (übersetzt).
Viele Übermittlungen an US-Anbieter stützen sich auf das EU-US Data Privacy Framework, dessen zwei Vorgänger der Gerichtshof gekippt hat (C-362/14, 6. Oktober 2015; C-311/18, 16. Juli 2020). Wir halten es für sinnvoll, den Stack jetzt aufzubauen: Fällt das Framework im Rechtsmittelverfahren, laufen die Tools weiter, die nie darauf gebaut haben. Capmes einziger DPF-Eintrag, das Support-Postfach, hat zusätzlich Standardvertragsklauseln. Der Artikel beschreibt Gesetz und Produkt und ist keine Rechtsberatung.
Welche europäischen Tools ersetzen den üblichen US-Stack, Ebene für Ebene?
Jede Wahl stützt sich nur auf die verlinkten Seiten ihres Anbieters (Stand 1. November 2026).
Welches Diagramm-Tool? Excalidraw
Excalidraw tritt an die Stelle von Miro und ist Open Source unter MIT-Lizenz (Lizenz), du kannst es also selbst betreiben. Im kostenlosen Editor auf excalidraw.com wird ein geteilter Link im Browser verschlüsselt, und der Schlüssel steht im Teil der URL nach dem #, den der Browser nie an den Server schickt (Excalidraw zur Verschlüsselung). Excalidraw+ ist ein anderer Fall: Die Nutzungsbedingungen nennen die Excalidraw s.r.o. in Brünn (Bedingungen), laut AVV setzt es Unterauftragsverarbeiter außerhalb des EWR ein, auch in den USA, mit Standardvertragsklauseln (AVV von Excalidraw+).
Welches Chat-Tool? Element auf Matrix
Element auf Matrix ersetzt Slack oder Teams, und im Chat schützt vor allem die Verschlüsselung. Matrix ist ein offenes Protokoll, und laut Datenschutzerklärung von Element kann niemand bei Element oder seinen Auftragsverarbeitern verschlüsselte Daten lesen (Datenschutzerklärung). Mit der Element Server Suite betreibst du den Server selbst (Element Server Suite). Den gehosteten Dienst betreiben die Element Creations Limited in London und ihre Tochtergesellschaften (Unternehmensangaben); gehostete Kunden wählen den Standort, bei AWS (Datenschutzerklärung). Die Verschlüsselung muss in jedem wichtigen Raum an sein, und der Server sieht weiterhin, wer in welchem Raum ist.
Welches Doku-Tool? Docs aus La Suite numérique
Docs von La Suite numérique ist ein Open-Source-Editor anstelle von Notion oder Confluence (Repository). Selbst gehostet gehören Betreiber, Region und Backups dir, und der Ausstieg ist deine eigene Datenbank. Gehostete Doku-Tools zeigen, warum die erste Frage vor der zweiten kommt: Slite speichert Produktionsdaten in Belgien bei Google Cloud (Sicherheitsseite), die Rechtsseite nennt aber die Slite, Inc. aus Delaware als Betreiber des Dienstes (rechtliche Informationen).
Welches Aufgaben-Tool? MeisterTask
MeisterTask löst Boards in Asana oder Trello ab; sein Impressum nennt die MeisterLabs GmbH in Vaterstetten bei München (Impressum). Laut Sicherheitsseite stehen die Server in einem nach ISO 27001 zertifizierten Rechenzentrum in Deutschland, und MeisterTask selbst ist nach ISO 27001:2022 zertifiziert (Sicherheitsseite).
Welches Video-Tool? Capme
Capme Meetings ist die Plattform gegen Status-Meetings, anstelle von Loom und dem Wochentermin: Referenten nehmen ihr Agenda-Thema im Browser auf, alle anderen sehen die Aufnahmen an, und wer in einem Meeting nur zuschaut, zahlt nichts. Der kostenlose Recorder unter capme.app/studio nimmt Bildschirm, Kamera oder beides auf, und die Aufnahme bleibt in diesem Browser. Auf Gerät speichern lädt die Datei herunter, ohne sie hochzuladen; vorher bestätigst du deine E-Mail-Adresse.
Laut unserem Code, Stand 1. November 2026, entscheiden die bezahlten Pläne, wo gehostetes Video liegt. Solo und Team nutzen EU-Hosting, gespeichert in Deutschland und Schweden und weltweit vom nächsten Knoten ausgeliefert; Aufnahmen bleiben standardmäßig 12 Monate. Bei Business und Enterprise trägt der Inhaber des Workspace unter Daten im Abschnitt Speicher Endpunkt, Bucket und Zugangsschlüssel ein und klickt auf Verbindung testen. Danach laden Browser direkt in deinen Bucket hoch und spielen daraus ab. Die Testphase von Business enthält den eigenen Bucket und läuft 14 Tage ohne Kreditkarte; die Zahlen stehen auf der Preisseite.
Das Trust Center nennt alle 6 Unterauftragsverarbeiter, und der AVV kündigt Änderungen dreißig Tage vorher an. Zwei Einträge reichen über die EU hinaus: Bunny.net speichert Video in Deutschland und Schweden und nutzt Standardvertragsklauseln für Auslieferungsknoten außerhalb der EU; das Support-Postfach läuft über Google Workspace, dessen Übermittlungen an die US-Mutter auf dem Data Privacy Framework und Standardvertragsklauseln beruhen. Zum Ausstieg holt sich jeder seine eigenen Aufnahmen über Video herunterladen. Für alles auf einmal sagt der AVV einen kostenlosen Export der Videos zu, auf Anfrage auch die Metadaten als JSON oder CSV; nach Ende eines Plans bleiben dir 30 Tage, um die Aufnahmen abzuholen. Capme hat kein ISO 27001 oder SOC 2, noch keinen unabhängigen Penetrationstest und keine Ende-zu-Ende-Verschlüsselung. Ist Ende-zu-Ende-Verschlüsselung Pflicht, schick die Datei über einen verschlüsselten Matrix-Raum.
| Ebene | Betreiber | Wo die Daten liegen | Ende-zu-Ende verschlüsselt | Zertifikat |
|---|---|---|---|---|
| Diagramme: Excalidraw | Du, selbst gehostet; Excalidraw s.r.o., Brünn, für Excalidraw+ | Dein Server; Excalidraw+ mit US-Unterauftragsverarbeitern | Geteilte Links auf excalidraw.com | Nicht geprüft |
| Chat: Element | Du, selbst gehostet; Element Creations Limited, London | Dein Server oder ein gewählter AWS-Standort | Ja, in verschlüsselten Räumen | Nicht geprüft |
| Doku: La Suite numérique | Du, selbst gehostet | Dein Server | Nein | Deine Sache |
| Aufgaben: MeisterTask | MeisterLabs GmbH, Vaterstetten | Rechenzentrum in Deutschland | Nein | ISO 27001 |
| Video: Capme | Capme Digital GmbH, Düsseldorf; nur gehostet | Browser bei Free; EU-Hosting; eigener Bucket bei Business | Nein | Keins |
Bei Frage 3 trennen sich die fünf: Selbst gehostet listen Docs und Element nur deine eigenen Server; das gehostete Element läuft bei AWS; Excalidraw+ hat Unterauftragsverarbeiter in den USA; MeisterTask nennt keinen Hosting-Anbieter; bei Capme reichen zwei Einträge über die EU hinaus.
Wie führst du einen souveränen Stack in einer Woche ein?
Kopier dieses Blatt einmal pro Tool; so bleibt etwas, das dein Datenschutzbeauftragter lesen kann.
| Frage | Wo nachsehen | Notieren |
|---|---|---|
| 1. Betreiber und Recht | Impressum, Bedingungen | Vertragspartner, Land, Lesedatum |
| 2. Datenort | AVV, Sicherheitsseite, Admin-Einstellungen | Region, Backup-Region |
| 3. Unterauftragsverarbeiter | Liste, Änderungsklausel im AVV | Jeder Eintrag außerhalb der EU und seine Grundlage |
| 4. Ausstieg | Exportmenü, Rückgabeklausel im AVV | Format, Testexport gemacht (ja/nein), Datum |
- Tag 1: Notier, was jedes heutige Tool enthält. Eine Zeile pro Tool: Art der Daten, Betreiber, Übermittlungsgrundlage.
- Tag 2: Füll für jeden Ersatz ein Prüfblatt aus. Bleibt ein Feld leer, frag beim Anbieter nach, bevor du weitermachst.
- Tag 3: Fang mit Video an. Nimm ein wiederkehrendes Status-Meeting, gib jedem Thema einen Referenten und eine Frist, und alle anderen sehen die aufgenommene Agenda an. In der Testphase verbindet der Inhaber den eigenen Bucket vor der ersten Aufnahme unter Daten → Speicher.
- Tag 4 und 5: Zieh Chat und Doku um und exportier aus jedem alten Tool, bevor du es abschaltest.
- Vor dem Start: Hol den Betriebsrat dazu. Führst du ein Tool ein, das objektiv geeignet ist, Verhalten oder Leistung zu überwachen, bestimmt der Betriebsrat mit (§ 87 Abs. 1 Nr. 6 BetrVG; BAG, 1 ABR 7/15, 13. Dezember 2016). Halte von jedem Anbieter die Beschreibung bereit, was das Tool aufzeichnet.
Fang mit der Videoebene an
14 Tage, unbegrenzt viele Referenten, keine Kreditkarte benötigt.
Häufig gestellte Fragen
- Gibt es eine selbst gehostete Slack-Alternative?
- Ja: Die Element Server Suite betreibt Matrix-Chat auf deinen eigenen Servern; Betreiber, Region und Ausstieg liegen bei dir.
- Darf ein Cloud-Anbieter für den Wechsel Geld verlangen?
- Nach dem EU Data Act, anwendbar seit 12. September 2025, haben Cloud-Kunden ein Recht auf Wechsel (Art. 23 und 25). Bis zum 12. Januar 2027 darf ein Anbieter dafür höchstens die Kosten berechnen, die unmittelbar mit dem Wechsel zusammenhängen, ab diesem Tag nichts mehr (Art. 29).
- Reicht ein europäischer Betreiber auf der EU-Region einer US-Cloud?
- Es beantwortet Frage 1 und 2. Die US-Cloud wird zum Unterauftragsverarbeiter, den der CLOUD Act erreichen kann (18 U.S.C. § 2713). Ein C5-Testat hilft: Laut BSI soll der Prüfbericht Subdienstleister, Lage der Rechenzentren und Umgang mit Ermittlungsanfragen staatlicher Stellen nennen. Ob du das Risiko trägst, entscheidest du; halte die Begründung fest.