Datenresidenz

Ausführliche Erklärung

Datenresidenz beschreibt die geografische Lage der Server oder Rechenzentren, auf denen Unternehmensdaten physisch liegen. Dieser Begriff hat in den vergangenen Jahren massiv an Bedeutung gewonnen, da der Speicherort maßgeblich darüber entscheidet, welches Recht anwendbar ist und welche staatlichen Stellen potenziell Zugriff auf diese Daten haben können. Ein Rechenzentrum in Frankfurt unterliegt deutschem und europäischem Recht, während ein Server in den USA zusätzlich von US-Vorschriften wie dem CLOUD Act betroffen sein kann.

Für KMU in Österreich und Deutschland ist Datenresidenz vor allem im Zusammenhang mit der DSGVO relevant. Die DSGVO selbst schreibt nicht vor, dass personenbezogene Daten innerhalb der EU gespeichert werden müssen. Sie regelt jedoch streng, wie Daten in Drittländer außerhalb der EU bzw. des Europäischen Wirtschaftsraums übermittelt werden dürfen. Jede Übermittlung in ein Drittland erfordert einen rechtlichen Mechanismus: entweder einen Angemessenheitsbeschluss der EU-Kommission, Standardvertragsklauseln oder andere geeignete Garantien. Bei der Auswahl von Cloud-Diensten, SaaS-Anbietern oder externen Dienstleistern sollten Sie daher wissen, wo Ihre Daten tatsächlich gespeichert werden.

Wichtig ist die Unterscheidung zu verwandten Begriffen: Datenresidenz meint nur den Speicherort, während Datensouveränität darüber hinaus die rechtliche Kontrolle und Zugriffsrechte auf die Daten umfasst. Ein Beispiel: Auch wenn Daten in einem EU-Rechenzentrum liegen, kann ein außereuropäischer Cloud-Anbieter aufgrund seiner Konzernstruktur oder nationaler Gesetze zum Zugriff verpflichtet sein. Datenresidenz ist somit eine notwendige, aber nicht hinreichende Bedingung für DSGVO-Konformität.

Beim Einsatz von Cloud-Diensten sollten Sie im Vertrag bzw. Service Level Agreement festlegen, in welchen Regionen Ihre Daten gespeichert werden dürfen. Viele moderne Cloud-Anbieter ermöglichen die Wahl des Rechenzentrums-Standorts. Prüfen Sie außerdem, ob auch Support-Zugriffe aus Drittländern erfolgen können, denn bereits der Fernzugriff auf in der EU gespeicherte Daten kann nach Ansicht der europäischen Datenschutzbehörden einen Drittlandtransfer darstellen.