Reisedaten können mehr über ein Unternehmen verraten, als auf den ersten Blick erkennbar ist. Warum bei geschäftskritischen Daten nicht nur der Speicherort zählt und digitale Datensouveränität auch für das Geschäftsreisemanagement relevant wird.
Es beginnt mit einer Hotelbuchung. Zwei Nächte Frankfurt, ein Termin in München, anschließend drei Tage Wien. Für sich genommen sind das einzelne Reiseinformationen. In der Summe können daraus Muster entstehen.
Wer Reisedaten eines Unternehmens über einen längeren Zeitraum auswertet, kann möglicherweise Rückschlüsse auf geschäftliche Aktivitäten, relevante Märkte oder die Reisetätigkeit bestimmter Personengruppen ziehen. Hinzu kommen personenbezogene Buchungs-, Kontakt- und Zahlungsinformationen.
Reisedaten sind deshalb mehr als die Grundlage für Buchung und Abrechnung. Sie sind Teil der Unternehmensdaten und sollten auch so geschützt und kontrolliert werden.
Der Server steht in Europa. Das Recht nicht unbedingt.
Wo Daten gespeichert und verarbeitet werden, ist eine wichtige Frage. Aber nicht die einzige.
Ebenso zählt, wer die zugrunde liegende Infrastruktur betreibt, welchem Rechtsraum ein Anbieter unterliegt und wer unter welchen Voraussetzungen auf die Daten zugreifen kann. Ein Serverstandort innerhalb der Europäischen Union bedeutet deshalb nicht automatisch, dass ausschließlich europäische rechtliche Rahmenbedingungen relevant sind.
Das zeigt die Diskussion um extraterritoriale Rechtsvorschriften. Der US CLOUD Act etwa kann unter bestimmten rechtlichen Voraussetzungen die Herausgabe von Daten durch Unternehmen ermöglichen, die US-amerikanischem Recht unterliegen. Und zwar auch dann, wenn sich die Daten außerhalb der USA befinden.
Im Juni 2025 wurde genau diese Frage bei einer Anhörung vor dem französischen Senat am Beispiel eines internationalen Cloud-Anbieters diskutiert. Die Debatte macht vor allem eines deutlich: Physischer Speicherort, Betreiberstruktur und rechtliche Zuständigkeit gehören bei der Bewertung einer Infrastruktur zusammen betrachtet.
Daraus folgt für Unternehmen keine Entscheidung für oder gegen einen bestimmten Markt oder Anbieter. Es geht darum, die eigenen Abhängigkeiten zu kennen und bewusst bewerten zu können.
Datensouveränität geht über Datenschutz hinaus
Datenschutz und Datensouveränität hängen eng zusammen, meinen aber nicht dasselbe.
Datenschutz regelt, unter welchen Voraussetzungen personenbezogene Daten verarbeitet werden dürfen und wie sie zu schützen sind. Datensouveränität fragt weiter: Wie nachvollziehbar bleiben Datenverarbeitung, Zugriffsrechte und technologische Abhängigkeiten innerhalb eines geschäftskritischen Prozesses?
Konkret heißt das: Wo werden Daten verarbeitet? Wer kann auf sie zugreifen? Welchen rechtlichen Rahmenbedingungen unterliegen die beteiligten Anbieter? Und von welchen externen Technologien und Infrastrukturen hängt ein geschäftskritischer Prozess ab?
Auch die europäische Regulierung greift Teile dieser Fragen auf. Der EU Data Act adressiert unter anderem Anforderungen an Datenverarbeitungsdienste. NIS2 erhöht die Anforderungen an Cybersicherheit und Risikomanagement für Unternehmen in ihrem jeweiligen Anwendungsbereich. Für internationale Datentransfers gelten wiederum eigene rechtliche Rahmenbedingungen.
Entscheidend ist am Ende weniger eine einzelne Regulierung als die Fähigkeit eines Unternehmens, seine Datenströme und technologischen Abhängigkeiten nachvollziehen zu können.
Warum das gerade im Geschäftsreisemanagement relevant ist
Hotelprozesse enden längst nicht mehr mit der Reservierungsbestätigung.
Buchungsinformationen können mit Zahlungs- und Abrechnungsprozessen, Reporting, Travel-&-Expense-Systemen und weiteren Unternehmensprozessen verbunden sein. Das vereinfacht Abläufe und hält Daten konsistent. Gleichzeitig wächst die Bedeutung der zugrunde liegenden Daten- und Infrastrukturarchitektur.
Travel Management und Einkauf fragen deshalb nicht mehr nur, welche Inhalte und Konditionen eine Buchungsplattform bietet. Auch die Verarbeitung der entstehenden Daten wird zum Auswahlkriterium.
Datenschutz und Compliance schauen auf Rechtsraum und Zugriffsmöglichkeiten. Die IT betrachtet Schnittstellen, Informationssicherheit und technologische Abhängigkeiten. Und die Geschäftsführung will wissen, wie kontrollierbar ein geschäftskritischer Prozess langfristig bleibt.
Datensouveränität wird damit zum gemeinsamen Thema mehrerer Unternehmensbereiche.
Drei Fragen, die Unternehmen stellen sollten
Eine souveräne Datenstrategie beginnt nicht mit einem bestimmten Produkt oder einem Zertifikat. Sie beginnt mit Transparenz.
Wo werden unsere Daten verarbeitet? Der physische Standort bleibt ein wesentliches Kriterium. Unternehmen sollten wissen, in welchen Ländern und Rechtsräumen geschäftskritische Daten verarbeitet werden.
Wer kann auf die Daten zugreifen? Neben dem Standort zählt, welche Unternehmen und Personen administrativen Zugriff auf Systeme und Daten haben können und welchen rechtlichen Rahmenbedingungen sie unterliegen.
Welche technologischen Abhängigkeiten bestehen? Geschäftskritische Prozesse können von Plattformen, Cloud-Infrastrukturen, Schnittstellen und weiteren Technologieanbietern abhängen. Je transparenter diese Abhängigkeiten sind, desto besser lassen sich die damit verbundenen Risiken und die Resilienz geschäftskritischer Prozesse bewerten.
Diese Fragen gehören nicht allein in die IT. Sie betreffen ebenso Einkauf, Datenschutz, Compliance und Unternehmensführung.
Wie ehotel Datensouveränität umsetzt
ehotel setzt bei seiner Technologiearchitektur auf eine unabhängige europäische Infrastruktur. Die Server stehen in Berlin und damit ausschließlich in Deutschland. Die eingesetzten Rechenzentrumsbetreiber unterliegen europäischem Recht.
Damit beantwortet ehotel die zentralen Fragen der Datensouveränität klar: Die Daten werden in Deutschland verarbeitet. Administrative Zugriffe auf Produktionssysteme erfolgen nicht durch Personal außerhalb Europas. Systemkritische Abhängigkeiten von außereuropäischen Cloud-Infrastrukturen werden vermieden.
Dabei geht es nicht nur um die einzelne Hotelbuchung. Buchung, Payment, Abrechnung und Reporting können Teil eines durchgängigen Hotelprozesses sein. Je enger diese Prozesse vernetzt sind, desto wichtiger wird eine nachvollziehbare Daten- und Infrastrukturarchitektur.
Für Travel Management schafft das Transparenz. Datenschutz, Compliance und IT können zentrale Fragen zu Datenhaltung, Zugriffen und technologischen Abhängigkeiten nachvollziehbar bewerten. Und für die Geschäftsführung wird Datensouveränität zu einem konkreten Bestandteil des technologischen Risikomanagements.
Die entscheidende Frage
Datensouveränität beginnt nicht bei der Datenschutzerklärung. Sie beginnt bei der Frage, wo geschäftskritische Daten verarbeitet werden, wer darauf zugreifen kann und welchen rechtlichen sowie technologischen Abhängigkeiten die zugrunde liegende Infrastruktur unterliegt.
Die Wahl einer Buchungsplattform ist deshalb nicht allein eine Frage von Hotelangebot, Funktionalität und Preis. Sie betrifft auch Datenschutz, Compliance, IT, Einkauf und unternehmerisches Risikomanagement.
Wessen Daten sind das eigentlich? Die Antwort sollte für jedes Unternehmen eindeutig sein: Es sind Ihre Daten. Und sie sollten es bleiben.