Datensouveränität im öffentlichen Sektor: Warum wir auf Self-Hosting setzen

Ich komme aus Halle. Die Linien der Straßenbahn, die Haltestellen, die Wege durch die Stadt kenne ich, seit ich denken kann. Als die Stadtwerke Halle uns mit dem Neubau der städtischen Mobilitäts-App beauftragten, war das für mich deshalb mehr als ein Projekt. Gerade weil mir dieses Projekt so nah ist, ist mir dabei etwas klar geworden, das heute durch fast jede öffentliche Ausschreibung läuft, an der wir arbeiten: Datensouveränität. Und meine Überzeugung ist deutlich – wer die Daten einer Kommune verwaltet, trägt Verantwortung, die man nicht leichtfertig an einen US-Konzern abgeben sollte.

Was öffentliche Träger heute fordern

Wenn ich heute Vergabeunterlagen lese, merke ich, wie sehr sich das verschoben hat. Vor ein paar Jahren war „Serverstandort Deutschland" ein nettes Extra. Heute ist Datensouveränität eine harte Anforderung – und sie entscheidet darüber, mit welcher Technologie man überhaupt antreten darf.

In einer aktuellen Website-Vergabe stand es fast wörtlich im Leistungsverzeichnis: Die interaktive Karte solle „Open Source und DSGVO-konform" sein, der Newsletter über eine „europäische Lösung" laufen. Klingt unscheinbar, ist aber eine technische Vorentscheidung. Übersetzt heißt das: kein Google Maps, sondern OpenStreetMap. Kein Mailchimp, sondern eine europäische oder selbst betriebene Alternative. Kein Stack, der irgendwo eine stille Verbindung in die USA aufbaut.

Das Muster zieht sich durch fast alle Vergaben, die uns über den Tisch gehen:

• Serverstandort Deutschland oder EU, ohne Datentransfer in Drittländer
• Open-Source-Technologie statt Lizenzabhängigkeiten
• Zertifiziertes Hosting nach ISO/IEC 27001 und BSI C5
• Saubere Auftragsverarbeitung und nachvollziehbare Datenflüsse
• Barrierefreiheit nach BITV 2.0, EN 301 549 und WCAG 2.1 AA

In einer mobilitätsnahen Ausschreibung wurde sogar der deutsche eTicket-Standard verbindlich vorgeschrieben – Souveränität also nicht nur beim Hosting, sondern bis hinunter auf die Ebene der Branchenstandards.

Was auf dem Spiel steht

Mein Eindruck aus den Gesprächen: Den Verantwortlichen ist längst klar, dass es hier nicht um Datenschutz-Formalismus geht. Wer die digitale Infrastruktur einer Kommune auf US-Cloud-Dienste stützt, gibt auf drei Ebenen Kontrolle ab.

Rechtlich: Gesetze wie der US CLOUD Act können amerikanische Anbieter zur Herausgabe von Daten verpflichten – auch dann, wenn die Server physisch in Europa stehen. Die Rechtsgrundlage für den Datentransfer wurde in der Vergangenheit bereits zweimal gekippt. Wer darauf baut, baut auf wackeligem Grund.

Technisch: Datenstandort, Update-Zyklen, Schnittstellen – alles fremdbestimmt. Eine eingestellte Funktion oder eine Preiserhöhung trifft die Kommune ohne Vorwarnung.

Strategisch: Ohne Exit-Strategie wird jeder Anbieterwechsel zur teuren Migration. Aus Abhängigkeit wird Dauerzustand.

Das ist der Punkt, an dem ich klar Position beziehe: Bequemlichkeit ist hier ein schlechter Ratgeber. Was im ersten Jahr günstig und einfach aussieht, wird später zur Falle.

Das Beispiel „Mein HALLE Unterwegs"

Genau diese Überzeugung haben wir beim Neubau der Halle-App in Architektur übersetzt. Der Anlass für den Neubau war übrigens kein Drama: Das bestehende System war schlicht in die Jahre gekommen – technisch wie bei UX und Design. Solche Plattformen haben ihren Lebenszyklus, und irgendwann lohnt sich ein sauberer Neuanfang mehr als das nächste Update auf altem Fundament.

Eine Entscheidung möchte ich besonders herausheben, weil sie zeigt, dass Souveränität und Wirtschaftlichkeit kein Widerspruch sind: die Kartenlösung. Die alte Variante lief über ein kommerzielles Lizenzmodell mit laufenden Gebühren. Mit dem Wechsel auf selbst gehostetes OpenStreetMap fallen diese Kosten komplett weg – und gleichzeitig liegen Daten und Kartenmaterial vollständig bei uns, ohne Verbindung in die USA oder andere Drittländer. Souveräner und günstiger. Das ist die Art von Entscheidung, die ich gern treffe.

Heute wird „Mein HALLE Unterwegs" vollständig in Deutschland gehostet, betrieben und gepflegt von uns – mit eigener Echtzeit-Fahrzeugortung statt Drittanbieter-Tracking.

Eine Blaupause, kein Glücksfall

Das Wichtigste an diesem Projekt: Es lässt sich wiederholen. Was ein anderer öffentlicher Träger für eine vergleichbare Lösung braucht, ist kein Geheimnis, sondern ein klares Architekturmuster:

• OpenStreetMap als Kartenbasis statt proprietärer Kartendienste
• Selbst gehostete Infrastruktur in Deutschland, zertifiziert nach ISO 27001 und BSI C5
• Ein Open-Source-CMS für die Inhaltspflege
• Europäische Lösungen für Newsletter, Analytics und Consent-Management
• Bei Mobilitätsprojekten: eigene Echtzeit-Datenverarbeitung statt Drittanbieter-Tracking

Kein einziger dieser Bausteine schafft eine Drittland-Abhängigkeit. Und genau das ist meine Kernbotschaft: Datensouveränität ist keine Frage von Glück oder gutem Willen, sondern von Architekturentscheidungen, die man von Anfang an trifft – oder eben nicht.