Was ist Datenresidenz (Data Residency)?

Datenresidenz (Data Residency) bezeichnet den physischen, geografischen Ort, an dem eine Organisation ihre Daten speichert und verarbeitet. Sie beantwortet eine trügerisch schlichte Frage: In welchem Land stehen eigentlich die Server, auf denen Ihre Daten liegen? Für immer mehr Unternehmen ist das kein Detail der Infrastruktur mehr, sondern eine Entscheidung für die Geschäftsführung, getrieben von Regulierung, Kundenvertrauen und Geopolitik.

Die Datenresidenz wird häufig mit zwei benachbarten Begriffen verwechselt, mit Datensouveränität und Datenlokalisierung, dabei ist sie der engste der drei. Bei der Datenresidenz geht es um den Ort. Bei der Souveränität geht es darum, wessen Recht für die Daten gilt. Bei der Lokalisierung geht es um eine Rechtspflicht, Daten an einem bestimmten Ort zu halten. Wer diese Unterscheidung sauber trifft, bekommt eine Datenplattform, die einer Aufsichtsbehörde standhält, statt einer, die nur so aussieht.

Was Datenresidenz bedeutet

Die Datenresidenz beschreibt, wo Daten ruhen. Ein Unternehmen mit Sitz in Deutschland legt Kundendaten vielleicht in einem Frankfurter Rechenzentrum ab, Analysedaten in einer EU-Cloud-Region und Sicherungen an einem zweiten europäischen Standort. Jede dieser Festlegungen ist eine Entscheidung über die Datenresidenz. Fragt ein Kunde oder eine Aufsichtsbehörde „Wo liegen unsere Daten?“, dann ist die Antwort eine Antwort über die Datenresidenz: ein Land, eine Region, ein konkretes Rechenzentrum.

Zum breiten Thema wurde die Datenresidenz, weil zwei Dinge gleichzeitig geschahen. Cloud-Plattformen machten es mühelos, Daten an jedem Ort der Welt zu speichern, oft ohne dass der Kunde den Ort genau kannte. Und die Aufsicht, beginnend mit der DSGVO, machte Ort und Bewegung von Daten zu einer Frage der Compliance mit spürbaren Bußgeldern. Das Ergebnis: Organisationen müssen heute angeben und belegen, wo ihre Daten liegen.

Datenresidenz, Souveränität und Lokalisierung

Diese drei Begriffe werden synonym verwendet, und genau dort entstehen die Fehler. Sie beschreiben Verschiedenes:

• Datenresidenz sagt, wo Daten gespeichert sind. Das ist eine Tatsache der Geografie. „Unsere Daten liegen in einer EU-Region“ ist eine Aussage über die Datenresidenz.
• Datensouveränität sagt, wessen Recht für die Daten gilt. Das ist eine Tatsache über Rechtsraum und Kontrolle. Daten können in der EU liegen und dennoch fremdem Recht unterliegen, wenn das betreibende Unternehmen in ausländischem Besitz ist.
• Datenlokalisierung ist eine Rechtspflicht, dass bestimmte Daten die Landesgrenzen nicht verlassen dürfen. Sie ist eine Vorschrift, die ein Ergebnis für die Datenresidenz erzwingt.

Die entscheidende Falle ist die Annahme, die Datenresidenz bringe Souveränität mit sich. Das tut sie nicht. Ein Anbieter mit Sitz in den USA kann Ihre Daten in Frankfurt speichern (Datenresidenz in der EU) und dennoch nach dem US CLOUD Act zur Herausgabe gezwungen werden (keine EU-Souveränität). Datenresidenz ist für Souveränität notwendig, für sich allein aber nie hinreichend.

Warum Datenresidenz zählt

Drei Kräfte machen aus der Datenresidenz eine echte Entscheidung statt einer technischen Randnotiz.

Compliance. Vorschriften interessieren sich zunehmend dafür, wo Daten liegen. Die DSGVO beschränkt die Übermittlung personenbezogener Daten aus der EU heraus, sofern keine besonderen Garantien greifen. Branchenregeln im Finanzwesen, im Gesundheitswesen und im öffentlichen Sektor gehen oft weiter. Wer nicht sagen kann, wo regulierte Daten liegen, kann auch keine Compliance nachweisen.

Vertrauen. Unternehmenskunden, gerade in Europa, fragen Anbieter heute vor der Unterschrift, wo ihre Daten liegen werden. Eine klare Aussage zur Datenresidenz („Ihre Daten bleiben in der EU“) ist zur Anforderung im Wettbewerb geworden, kein Extra mehr.

Leistung und Kontinuität. Die Datenresidenz wirkt auch auf Latenz und Ausfallsicherheit. Daten, die nahe bei den Nutzern und Anwendungen liegen, die sie abrufen, sind schneller erreichbar, und die Wahl des Orts prägt die Planung für Notfallwiederherstellung und Geschäftskontinuität.

Wie Sie die Datenresidenz steuern

Steuerung beginnt damit, zu wissen, wo Ihre Daten tatsächlich liegen, und das ist in einer Multi-Cloud-Landschaft schwerer, als es klingt. Die praktischen Schritte:

• Erfassen Sie jeden Datenspeicher. Was Sie nicht sehen, können Sie nicht steuern. Ein vollständiges Verzeichnis der Systeme und ihrer Betriebsorte ist das Fundament.
• Klassifizieren Sie nach Schutzbedarf. Nicht alle Daten tragen dieselben Pflichten zur Datenresidenz. Wer weiß, welche Datenbestände personenbezogen oder reguliert sind oder Geschäftsgeheimnisse enthalten, weiß auch, wo die Vorgaben am stärksten wirken.
• Wählen Sie eine Bereitstellung, die Sie kontrollieren. Die Datenresidenz ist nur so belastbar wie Ihre Möglichkeit, den Betriebsort eines Systems festzulegen. Ein Betrieb in Ihrer eigenen Cloud-Region oder On-Premises gibt Ihnen unmittelbare Kontrolle, statt der Voreinstellung eines Anbieters zu vertrauen.
• Trennen Sie Datenresidenz von Souveränität. Klären Sie nicht nur, wo die Daten liegen, sondern auch, wer das System betreibt und nach welchem Recht, damit eine Aussage zur Datenresidenz in der EU auch als Aussage zur Souveränität trägt.

Wie Dawiso hilft

Dawiso liefert die zwei Fähigkeiten, auf denen die Steuerung der Datenresidenz beruht: ein kuratiertes Bild Ihrer Datenlandschaft und eine Bereitstellung, die Sie festlegen.

• Wissen, wo Ihre Daten liegen. Der Datenkatalog bildet ab, welche Daten es in Ihren Systemen gibt, damit Sie Fragen zur Datenresidenz beantworten statt zu raten.
• Wissen, wie schutzbedürftig sie sind. Die Klassifizierung markiert personenbezogene und regulierte Daten, damit der Aufwand für die Datenresidenz dorthin geht, wo die Regeln wirklich gelten.
• Dort betreiben, wo Sie es brauchen. Dawiso läuft in einer Private Cloud in Ihrem eigenen EU-Tenant oder vollständig On-Premises, sodass die Plattform selbst Ihre Vorgaben zur Datenresidenz einhält, statt gegen sie zu arbeiten.
• Datenresidenz und Souveränität zusammen. Weil Dawiso in europäischem Besitz ist und in Ihrer Umgebung laufen kann, trägt eine Entscheidung für die Datenresidenz in der EU auch als Entscheidung für EU-Souveränität. Diesen Zusammenhang vertiefen wir in Europäische Datensouveränität und der Datenkatalog.

Fazit

Die Datenresidenz sagt, wo Ihre Daten physisch liegen, und sie ist zu einer Entscheidung über Compliance, Vertrauen und Leistung geworden statt zu einer Nebensache. Doch sie ist nur einer von drei verwandten Begriffen: Für sich allein bringt sie weder Souveränität, noch erfüllt sie Vorgaben zur Lokalisierung. Steuern Sie sie, indem Sie wissen, wo Ihre Daten liegen und wie schutzbedürftig sie sind, und indem Sie eine Bereitstellung wählen, die Sie selbst verantworten, damit „Unsere Daten bleiben in der EU“ eine Aussage ist, die Sie belegen können.