Was ist Datenlokalisierung?

Datenlokalisierung ist die Rechtspflicht, bestimmte Daten innerhalb der Grenzen eines Landes oder einer Region zu speichern und mitunter auch dort zu verarbeiten. Anders als eine Vorliebe dafür, wo Daten liegen, ist die Lokalisierung eine Vorschrift: Für die Daten, die sie erfasst, ist das Verlassen des Rechtsraums nicht erlaubt. Sie ist eine der stärksten Einschränkungen, die eine Aufsichtsbehörde dem Betrieb einer Dateninfrastruktur auferlegen kann.

Lokalisierungsgesetze haben sich ausgebreitet, seit Regierungen Daten als Sache des nationalen Interesses, des Datenschutzes und der Sicherheit behandeln. Für jede Organisation, die über Grenzen hinweg arbeitet, machen sie aus „Wo dürfen diese Daten liegen?“ eine Frage der Compliance mit Rechtskraft dahinter, und ein Fehler kann Bußgelder bedeuten, blockierten Betrieb oder beides.

Was Datenlokalisierung bedeutet

Eine Vorschrift zur Datenlokalisierung sagt im Kern: Diese Kategorie von Daten darf hier nicht weg. Manche Vorschriften verlangen nur die Speicherung innerhalb der Grenze. Strengere verlangen, dass auch die Verarbeitung vor Ort geschieht, die Daten also nicht einmal vorübergehend zur Berechnung ins Ausland gehen dürfen. Die strengsten verbieten jede Kopie, jede Sicherung und jede Übermittlung außerhalb des Rechtsraums.

Was die Lokalisierung auslöst, ist unterschiedlich. Oft hängt es am Schutzbedarf oder an der strategischen Bedeutung der Daten: personenbezogene Daten der eigenen Bevölkerung, Gesundheitsakten, Finanz- und Zahlungsdaten, staatliche Daten und Daten rund um kritische Infrastruktur. Der gemeinsame Nenner: Eine Regierung entscheidet, dass bestimmte Informationen zu wichtig sind, um unter der Kontrolle eines anderen Landes zu liegen.

Lokalisierung, Datenresidenz und Souveränität

Diese drei bilden eine Familie, und die Lokalisierung ist die mit der Rechtskraft:

• Datenresidenz ist eine Wahl, wo Daten gespeichert werden. Eine Organisation entscheidet sich dafür, Daten in einer EU-Region zu halten.
• Datenlokalisierung ist eine Pflicht, die diese Wahl erzwingt. Ein Gesetz schreibt vor, dass die Daten im Land bleiben, und nimmt damit die Möglichkeit, sie anderswo zu speichern.
• Datensouveränität handelt davon, wessen Recht für die Daten gilt, sobald sie irgendwo liegen. Lokalisierung kann Souveränität stützen, doch Daten im Land zu halten entzieht sie nicht automatisch dem Zugriff fremden Rechts, wenn der Betreiber unter ausländischer Kontrolle steht.

Kurz: Die Lokalisierung diktiert die Datenresidenz, und beide zahlen auf die Souveränität ein, ohne sie zu garantieren. Der US CLOUD Act erinnert daran, dass selbst lokal gespeicherte Daten erreichbar sind, wenn das Unternehmen, das sie hält, einer ausländischen Regierung Rechenschaft schuldet.

Wo Datenlokalisierung gilt

Lokalisierung ist keine einzelne Vorschrift, sondern ein Flickenteppich, der sich nach Land und Branche stark unterscheidet. Am häufigsten tragen diese Kategorien Lokalisierungspflichten:

• Daten des öffentlichen Sektors und des Staates, die viele Länder auf inländischer Infrastruktur verlangen.
• Gesundheits- und Behandlungsakten, die oft strengen Regeln zur Speicherung im Land unterliegen.
• Finanz- und Zahlungsdaten, bei denen Aufsichtsbehörden für ihre Kontrolle lokale Speicherung oder Verarbeitung verlangen können.
• Daten aus Telekommunikation und kritischer Infrastruktur, die als Fragen der nationalen Sicherheit behandelt werden.

In der EU schreibt die DSGVO keine pauschale Lokalisierung vor, sie beschränkt jedoch die Übermittlung personenbezogener Daten aus der EU heraus, und Regeln einzelner Mitgliedstaaten oder Branchen können strengere Vorgaben für das Inland ergänzen. Anderswo reichen die nationalen Gesetze von eng umrissen bis umfassend. Die praktische Folge: Ein multinationales Unternehmen kann nicht davon ausgehen, dass eine Speicherstrategie für jeden Markt passt.

Wie Sie Datenlokalisierung erfüllen

Compliance ruht darauf, Ihre Daten zu kennen und zu steuern, wo sie laufen:

• Wissen, was Sie halten und wo. Erfasste Daten können Sie nicht im Land halten, wenn Sie nicht wissen, welche Daten erfasst sind und wo sie derzeit liegen. Ein vollständiges Verzeichnis ist der Ausgangspunkt.
• Nach Kategorie und Schutzbedarf klassifizieren. Lokalisierungsregeln zielen auf bestimmte Datenarten. Die Klassifizierung sagt Ihnen, welcher Datenbestand unter welche Regel fällt.
• Die Flüsse verfolgen. Daten liegen selten still. Zu verstehen, wohin sie sich bewegen, in Sicherungen, in Analysen oder zu Dritten, ist unerlässlich, um zu belegen, dass sie nie eine verbotene Grenze überschreiten.
• Innerhalb der Grenze betreiben. Lokalisierung zu erfüllen heißt, Systeme im geforderten Rechtsraum betreiben zu können, über eine Cloud in der Region oder über On-Premises.

Wie Dawiso hilft

Dawiso liefert das kuratierte Fundament, das die Compliance bei der Lokalisierung voraussetzt, und dazu die Flexibilität im Betrieb, um sie einzuhalten.

• Ihre Datenlandschaft kennen. Der Datenkatalog bildet ab, welche Daten es in den Systemen gibt, damit Sie erkennen, was unter Lokalisierungsregeln fällt.
• Klassifizierung, mit der Sie arbeiten können. Die Klassifizierung markiert die Kategorien, auf die Lokalisierungsgesetze zielen: personenbezogen, finanziell, gesundheitsbezogen.
• Flüsse, die Sie belegen können. Die interaktive Data Lineage zeigt, wohin Daten sich bewegen, sodass Sie nachweisen können, dass erfasste Daten in ihrer Grenze bleiben.
• Im richtigen Rechtsraum betreiben. Dawiso läuft in einer Private Cloud in Ihrem eigenen Tenant oder vollständig On-Premises, sodass die Plattform selbst innerhalb der vom Gesetz geforderten Grenzen liegen kann.

Die Lokalisierung steht neben Datenresidenz und Souveränität als Teil derselben Frage, vertieft in Europäische Datensouveränität und der Datenkatalog.

Fazit

Datenlokalisierung ist die Rechtspflicht, bestimmte Daten innerhalb der Landesgrenzen zu halten, und sie ist die Vorschrift, die ein Ergebnis für die Datenresidenz erzwingt. Am häufigsten trifft sie Daten aus dem öffentlichen Sektor, dem Gesundheitswesen, dem Finanzwesen und der kritischen Infrastruktur, und sie unterscheidet sich stark von Land zu Land. Sie zu erfüllen läuft darauf hinaus, zu wissen, welche Daten Sie halten, sie zu klassifizieren, ihre Flüsse zu verfolgen und im geforderten Rechtsraum betreiben zu können, Fähigkeiten, die ein kuratierter Datenkatalog und ein flexibler Betrieb zusammen liefern.