Datenresidenz

Bei Cloud-Diensten liegen Daten nicht mehr im eigenen Serverraum, sondern in Rechenzentren des Anbieters, oft verteilt auf mehrere Standorte. Datenresidenz beantwortet die Frage, in welchem Land oder welcher Region diese Rechenzentren liegen. Viele Unternehmen verlangen eine Speicherung innerhalb der EU, manche Auftraggeber oder Branchen auch innerhalb eines bestimmten Landes.

Die DSGVO schreibt nicht generell vor, dass personenbezogene Daten in der EU bleiben müssen. Übermittlungen in Drittländer sind aber nur unter Bedingungen zulässig, etwa auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission oder von Standardvertragsklauseln.

Wie Datenresidenz umgesetzt wird

• Regionenwahl: Bei Plattformen wie Microsoft Azure wählt das Unternehmen beim Anlegen einer Ressource die Region. Bei vielen SaaS-Diensten bestimmt das bei der Einrichtung angegebene Land den Speicherort.
• Mehr als der Speicherort: Zu prüfen sind auch Verarbeitung, Datensicherungen, Replikation, Support-Zugriffe, Protokolldaten und eingesetzte Subunternehmer.
• Vertragliche Zusagen: Speicherorte und Unterauftragsverarbeiter werden in der Vereinbarung zur Auftragsverarbeitung und ihren Anlagen festgehalten. Manche Anbieter geben zusätzliche Zusagen, Daten innerhalb der EU zu verarbeiten.
• Technische Ergänzung: Verschlüsselung mit selbst verwalteten Schlüsseln kann die Kontrolle über die Daten erhöhen.

Typische Beispiele

• Eine Organisation im Gesundheits- oder Sozialbereich verlangt, dass Klientendaten ausschließlich in der EU gespeichert werden.
• Eine Ausschreibung fordert einen Nachweis über den Datenstandort aller eingesetzten Cloud-Dienste.
• Vor dem Einsatz eines KI-Dienstes wird geprüft, wo Eingaben verarbeitet werden und ob sie für das Training von Modellen verwendet werden.

Worauf Unternehmen achten sollten

• Daten klassifizieren: Nicht alle Daten brauchen dieselben Vorgaben. Eine Einstufung nach Schutzbedarf erleichtert Entscheidungen.
• Gesamten Datenweg betrachten: Neben dem Speicherort auch Backups, Support und Subunternehmer prüfen.
• Rechtsraum des Anbieters bedenken: Gesetze des Herkunftslandes, etwa der US CLOUD Act, können Anbieter unter Umständen zur Herausgabe von Daten verpflichten, auch wenn diese in Europa gespeichert sind.
• Dokumentieren: Datenstandorte im Verzeichnis der Verarbeitungstätigkeiten und in der IT-Dokumentation festhalten.

Abgrenzung

Datenresidenz beschreibt nur den Ort. Datensouveränität geht weiter und meint die Kontrolle darüber, wer auf Daten zugreifen kann und welchem Recht sie unterliegen.

Dieser Eintrag ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.