Digitale Souveränität heißt für eure Organisation: Ihr könnt eure digitale Infrastruktur selbst gestalten und behaltet die Kontrolle darüber. Dazu gehören nachvollziehbare Datenwege, passende Zugriffsrechte und die Möglichkeit, den Anbieter zu wechseln. Dieser Leitfaden zeigt, wo NGOs, Verbände, Stiftungen und Kommunen von einzelnen Anbietern abhängig werden, welche rechtlichen Risiken daraus entstehen und nach welchen Kriterien ihr Software und Cloud-Dienste auswählt.
Ein Leitfaden der wechange eG · Lesezeit: 8 Min. · Stand: Oktober 2026
Das Wichtigste in Kürze
Digitale Souveränität beschreibt die Fähigkeit einer Organisation, über ihre Daten, ihre Software und deren Betrieb selbst zu entscheiden und diese Entscheidungen später ändern zu können. In der Fachdebatte gehören dazu Wahlfreiheit und Wechselfähigkeit: Ihr könnt zwischen Alternativen wählen und einen Anbieterwechsel auch praktisch umsetzen. Prüfen lässt sich das auf vier Ebenen:
Vollständige Unabhängigkeit erreicht kaum eine Organisation. Entscheidend ist, eure Abhängigkeiten zu kennen und sie dort zu verringern, wo sie euch am meisten schaden könnten.
Für gemeinwohlorientierte Organisationen wiegen Abhängigkeiten aus vier Gründen besonders schwer.
Viele Organisationen arbeiten mit Microsoft 365, Google Workspace, Slack oder Zoom. Diese SaaS-Angebote sind ausgereift und weit verbreitet. Zwei Abhängigkeiten solltet ihr trotzdem kennen: den möglichen Zugriff von US-Behörden und die Bindung an einen Anbieter.
Der CLOUD Act von 2018 verpflichtet Anbieter, die US-Recht unterliegen, Daten auf Anordnung von US-Behörden herauszugeben, auch wenn die Daten außerhalb der USA gespeichert sind. Microsoft speichert und verarbeitet die Daten von Kund:innen aus der EU für Microsoft 365 innerhalb einer sogenannten EU-Datengrenze (EU Data Boundary), mit einigen dokumentierten Ausnahmen. Ob das eine Herausgabe an US-Behörden ausschließt, beantwortete der Direktor für öffentliche und rechtliche Angelegenheiten von Microsoft France am 10. Juni 2025 unter Eid vor dem französischen Senat: Er könne es nicht garantieren, vorgekommen sei es aber noch nie.
Der Speicherort allein entscheidet also nicht darüber, wer zugreifen kann. Informationssicherheit und Souveränität sind dabei zwei verschiedene Fragen: Ein Dienst kann gut gegen Angriffe geschützt sein und trotzdem fremdem Recht unterliegen.
Je stärker eure Dateien, Konten, Arbeitsprozesse und Integrationen an einen Dienst gebunden sind, desto aufwendiger wird ein Wechsel. Diese Bindung an einen Anbieter heißt Vendor Lock-in. Sie schwächt eure Verhandlungsposition, wenn sich Preise oder Lizenzbedingungen ändern. Ein Beispiel: Microsoft hat im Mai 2025 angekündigt, die Spende von Microsoft 365 Business Premium für gemeinnützige Organisationen einzustellen. Bestehende Kund:innen verlieren sie bei der Verlängerung ab dem 1. Juli 2025.
Seit dem 12. September 2025 gilt der EU Data Act. Sein Kapitel VI verpflichtet Anbieter von Cloud-Diensten, Hindernisse beim Wechsel abzubauen. Verträge müssen Mindestregeln für den Wechsel enthalten, SaaS-Anbieter müssen eure Daten über offene Schnittstellen in einem gängigen, maschinenlesbaren Format exportierbar machen, und ab dem 12. Januar 2027 dürfen Anbieter für den Wechsel keine Gebühren mehr verlangen.
Quellen, abgerufen am 09.10.2026: CLOUD Act (18 U.S.C. § 2713), Microsoft zur EU-Datengrenze, Protokoll des französischen Senats vom 10.06.2025, TechSoup zur Ankündigung von Microsoft vom 14.05.2025, Europäische Kommission zum Data Act.
Ob ein Angebot zu euren Anforderungen passt, klärt ihr am besten mit konkreten Fragen. Lasst euch die Antworten schriftlich geben und dokumentiert eure Auswahlentscheidung.
Ihr müsst nicht alles auf einmal umstellen. Diese vier Schritte helfen, die wichtigsten Abhängigkeiten zuerst anzugehen.
Für die meisten Aufgaben gibt es Open-Source-Lösungen, die ihr selbst betreiben oder bei einem Dienstleister in der EU betreiben lassen könnt. In diesem Überblick stellen wir auch unsere Software UniteOS vor.
| Angebot | Einsatzbereich | Wann ihr es prüfen solltet |
|---|---|---|
| openDesk | Office- und Kollaborationssuite des Zentrums für Digitale Souveränität (ZenDiS) mit Textverarbeitung, E-Mail, Kalender, Chat, Dateiablage, Videokonferenz und Projektmanagement | Wenn ihr als Verwaltung oder öffentliche Stelle eure Büroarbeit insgesamt umstellen wollt |
| Nextcloud | Dateien, Office, Kommunikation und Kalender, auch auf eigenen Servern | Wenn die gemeinsame Arbeit an Dokumenten im Mittelpunkt steht |
| Element auf Basis von Matrix | Verschlüsselte Kommunikation in Chats und Räumen, selbst betrieben oder gehostet | Wenn ihr vor allem einen sicheren Messenger für eure Organisation braucht |
| UniteOS von wechange | Community und Zusammenarbeit in Gruppen, auch mit Partner:innen von außen | Wenn viele Gruppen, Ehrenamtliche oder Partnerorganisationen an einem gemeinsamen Ort zusammenarbeiten sollen und wechange den Betrieb übernehmen soll |
Anbieterquellen, abgerufen am 09.10.2026: openDesk, Nextcloud, Element.
Als Genossenschaft entwickeln wir die Open-Source-Software UniteOS von wechange und betreiben damit seit 2016 Community- und Kollaborationsplattformen mit Hosting in der EU: die offene Plattform wechange.de und Plattformen für Verbände, Kommunen und Stiftungen. Unsere Erfahrungen damit fließen in diesen Leitfaden ein.
UniteOS steht unter der AGPL, einer Copyleft-Lizenz. Wer eine veränderte Version als Netzwerkdienst bereitstellt, muss den Nutzer:innen dieses Dienstes den zugehörigen Quellcode zum Download anbieten. Der Quellcode ist öffentlich auf GitHub, ihr könnt ihn prüfen und anpassen. Grundsätzlich lässt sich eine Plattform damit auch selbst oder mit einem anderen Dienstleister weiterbetreiben. Wie aufwendig ein Wechsel ist, hängt von Daten, Konfiguration und Betrieb ab.
Ihr legt fest, welche Gruppen es gibt und wer worauf zugreifen darf. Verträge, eingebundene Dienste und Aufbewahrungsregeln gehen wir vor dem Start mit euch durch.
Ein Beispiel ist MokWi, die Plattform der KielRegion. Dort arbeiten Engagierte aus der Region zusammen, ohne Zugang zur internen IT der KielRegion zu brauchen. Kim Strupp, die das Projekt bei der KielRegion leitet, sagt dazu: „Unsere interne IT ist ein Hochsicherheitstrakt. Die Plattform ist die Schleuse nach draußen.“
Die Einrichtung einer Plattform mit UniteOS kostet einmalig ab 9.000 Euro, Hosting und Betrieb beginnen bei 450 Euro im Monat. Weil es keine Lizenz pro Kopf gibt, steigt der Preis nicht automatisch, wenn mehr Menschen mitmachen. Einzelheiten stehen bei den Preisen von UniteOS. Wie wir Datenschutz und Betrieb umsetzen, beschreiben die Seiten zur DSGVO-konformen Plattform und zum Open-Source-Hosting nach DSGVO.
Beginnt mit einer Bestandsaufnahme und konkreten Fragen an Anbieter. So könnt ihr entscheiden, welche Abhängigkeiten ihr zuerst verringern wollt. Offene Software, offene Standards, Hosting in der EU und ein Anbieter, der auf langfristige Zusammenarbeit setzt, erleichtern euch die nächsten Schritte.
Der Hostingstandort ist ein Baustein. Prüft zusätzlich Betreiber, Dienstleister, Verträge, Zugriffsmöglichkeiten, Software und die Bedingungen eines Wechsels.
Er ermöglicht Einblick in die Software und unabhängige Prüfungen. Für den tatsächlichen Betrieb und einen Wechsel benötigt ihr weiterhin technische Ressourcen und Planung.
Klärt, welche Daten in welchen Formaten übernommen werden, welche Konfigurationen ihr benötigt und wer den künftigen Betrieb übernimmt. Haltet Aufwand und vereinbarte Leistungen fest.
Erzählt uns, wer zusammenarbeiten soll und was ihr dafür braucht. In einem Gespräch zeigen wir euch, wie eine passende Plattform aussehen kann.
