Glossar · Datenschutz-Konzept Datenresidenz (Data Residency)
Eine vertragliche und technische Verpflichtung, dass Daten physisch innerhalb einer bestimmten Jurisdiktion (typischerweise EU/EWR) gespeichert werden. Unterschieden von der Datensouveränität: Residenz betrifft, wo Daten liegen, nicht wer rechtliche Reichweite darüber hat. Ein Anbieter mit US-Mutter, der EU-Datenresidenz anbietet, unterliegt weiterhin dem CLOUD Act.
## Das Konzept
**Datenresidenz** ist eine — meist vertragliche — Zusage des Anbieters, dass Kundendaten physisch innerhalb einer definierten Jurisdiktion gespeichert werden, meistens der EU oder dem EWR. Sie ist häufig Teil eines Auftragsverarbeitungsvertrags gemäß DSGVO Art. 28 und ist die Antwort, die die meisten Anbieter geben, wenn ein europäischer Kunde fragt: Wo sind unsere Daten?
## Warum Residenz keine Souveränität ist
Datenresidenz und **Datensouveränität** sind verwandte, aber unterschiedliche Konzepte, und sie als austauschbar zu behandeln, ist ein häufiger und teurer Fehler.
- **Datenresidenz** beantwortet: *Wo werden die Daten physisch gespeichert?*
- **Datensouveränität** beantwortet: *Wer hat rechtliche Reichweite, um Offenlegung oder Zugang zu den Daten zu erzwingen, unabhängig davon, wo sie sich befinden?*
Ein Anbieter mit Hauptsitz in den USA kann sich aufrichtig verpflichten, europäische Kundendaten ausschließlich in einem Rechenzentrum in Frankfurt zu speichern. Diese Zusage ist technisch real. Sie verhindert jedoch nicht, dass US-Behörden den Anbieter zwingen, diese in Frankfurt gehosteten Daten gemäß dem **CLOUD Act** oder **FISA Section 702** offenzulegen.
Der Europäische Gerichtshof hat dies in Schrems II (2020) ausdrücklich klargestellt: Vertragsklauseln, Verschlüsselung und Residenzverpflichtungen beseitigen das Risiko einer extraterritorialen rechtlichen Reichweite nicht, wenn die rechtliche Muttergesellschaft des Anbieters einer ausländischen Jurisdiktion mit obligatorischen Offenlegungsbefugnissen unterliegt.
## Was Residenz tatsächlich leistet
Datenresidenz ist nicht wertlos — sie adressiert mehrere reale Risiken:
1. **Latenz und Leistung** — Daten, die physisch näher an den Nutzern liegen, performen besser.
2. **Regionale regulatorische Rahmenwerke** — einige EU-Mitgliedstaaten haben nationale Datenlokalisierungsvorschriften (öffentlicher Sektor, Gesundheit, Verteidigung), die eine Speicherung im Inland verlangen.
3. **Einige DSGVO-Verpflichtungen** — Kapitel-V-Übermittlungsregeln werden einfacher, wenn die Daten den EWR nicht verlassen.
4. **Vertragsdurchsetzbarkeit** — ein Anbieter, der EU-Residenz verspricht, kann vertraglich daran gebunden werden, und Verstöße sind einklagbar.
Sie adressiert nur nicht das Problem der CLOUD Act / FISA 702-Belastung — das erfordert *Souveränität*, keine Residenz.
## Das Muster der EU-Region bei Cloud-Anbietern
Jeder große US-Cloud-Anbieter vermarktet inzwischen EU-Regionen:
- AWS EU (Frankfurt, Paris, Stockholm, Mailand, Zürich, Irland, Spanien)
- Microsoft Azure Europe (Amsterdam, Dublin, Paris, Zürich, Mailand, Berlin, Frankfurt)
- Google Cloud Europe (Belgien, Niederlande, Finnland, Frankfurt, Paris, Madrid, Mailand, Warschau, Zürich)
Jede davon ist eine Zusage zur Datenresidenz, keine Garantie zur Datensouveränität. Die Muttergesellschaft — Amazon.com Inc., Microsoft Corporation, Alphabet Inc. — ist in den USA gegründet. Die CLOUD-Act-Verpflichtung folgt dem Konzernmuttermaßstab, nicht dem physischen Serverstandort.
Selbst Microsofts EU Data Boundary (2023-2024 ausgerollt, 2026 weiter erweitert) — eine echte technische Leistung, die eine breitere Reihe von Verarbeitungen auf EU-Regionen begrenzt — bleibt eine Residenzverpflichtung. Sie reduziert die tägliche operative Belastung, entfernt aber die strukturelle CLOUD-Act-Reichweite nicht.
## Souveräne Cloud vs. reine Residenz
Zwei Kategorien europäischer Cloud-Angebote adressieren die Souveränitätsfrage, nicht nur die Residenz:
1. **Französische Cloud-de-Confiance-Zertifizierung** — SecNumCloud + Qualification-SecNumCloud, verlangt, dass der Betreiber unter ausschließlichem EU-Eigentum und -Kontrolle steht. Bleu (Joint Venture von Orange + Capgemini rund um Microsoft) und S3NS (Google + Thales) zielen darauf ab, aber ihre Struktur mit US-Technologiepartnern bleibt umstritten.
2. **Wirklich in der EU ansässige Anbieter** — Hetzner (Deutschland), Scaleway (Frankreich), OVHcloud (Frankreich), Infomaniak (Schweiz), Bunny.net (Slowenien), UpCloud (Finnland). Diese sind auf Konzernmutter-Ebene strukturell EU.
## Wie der Unterschied in der Praxis bewertet werden kann
Wenn ein Anbieter DSGVO-konforme EU-Datenresidenz vermarktet, sind die nützlichen Folgefragen:
1. Wo ist die rechtliche Muttergesellschaft gegründet? (Delaware oder in der EU?)
2. Ist die Mutter an einer US-Börse gelistet und reicht sie daher SEC-Offenlegungen ein?
3. Gibt es US-Tochtergesellschaften in der Konzernkette, die gezwungen werden könnten, EU-Daten unter dem CLOUD Act herauszugeben?
4. Wie ist die Reaktion, wenn ein US National Security Letter eintrifft — und wie ist die Reaktion, wenn dem Anbieter nicht gestattet wird offenzulegen, dass ein NSL eingetroffen ist?
Für wirklich sensible Workloads — regulierte Gesundheitsdaten, Finanztransaktionsdaten, verteidigungsnahe Informationen, öffentliche Bürgerdaten — bilden nur bejahende Antworten auf Frage 1 und verneinende Antworten auf Frage 3 einen bedeutsamen Schutz. Datenresidenz allein ist unzureichend.
## Fazit
Datenresidenz ist ein nützliches und häufig notwendiges Kontrollinstrument, aber sie mit Datensouveränität gleichzusetzen ist der häufigste Kategorienfehler bei der europäischen Anbieterbeschaffung. Wenn Ihr Compliance-Beauftragter 'die Daten liegen in Frankfurt' als Antwort auf die CLOUD-Act-Belastung akzeptiert, haben Sie Residenz, keine Souveränität — und unter den regulatorischen Bedingungen von 2026 (NIS2, DORA, sektorspezifische Regeln) reicht das möglicherweise nicht mehr aus.
War das hilfreich?
Danke für Ihr Feedback!