Wie funktioniert Datenresidenz?
Datenresidenz ergibt sich aus Infrastrukturentscheidungen: in welche Cloud-Region Sie deployen, wo Ihr Datenbankanbieter seine Cluster betreibt, wo Backups und Read Replicas landen. Dabei verliert man leicht den Überblick – ein mandantenfähiges SaaS repliziert Kundendatensätze womöglich über Regionen hinweg, und jeder Unterauftragsverarbeiter in der Kette fügt einen weiteren möglichen Standort hinzu. Wenn Sie die Länder, die Ihre Daten durchlaufen, nicht benennen können, kennen Sie Ihre Datenresidenz nicht.
Verlangt die DSGVO Datenresidenz in der EU?
Nein. Die DSGVO schreibt nicht vor, dass personenbezogene Daten in der EU bleiben. Kapitel V (Art. 44–50) regelt Übermittlungen in Drittländer und sieht rechtmäßige Wege vor – Angemessenheitsbeschlüsse, Standardvertragsklauseln, verbindliche interne Datenschutzvorschriften. Umgekehrt macht ein EU-Server für sich genommen noch nicht konform: Ein Anbieter, dessen Muttergesellschaft ausländischen Offenlegungsgesetzen unterliegt, kann die Lage auch bei EU-Datenresidenz verkomplizieren. Datenresidenz ist eine Variable in einer DSGVO-Bewertung, nicht das Urteil.
Wie verändert Self-Hosting die Datenresidenz?
Datenresidenz ist dann keine Verhandlung mit dem Anbieter mehr, sondern eine Deployment-Entscheidung. Wenn Sie die Plattform selbst betreiben, wählen Sie das Land, den Anbieter und den Ort der Backups – Datenresidenz wird zu einer Zeile in Ihrer Infrastrukturkonfiguration. Diese Kontrolle ist ein großer Teil der Argumente für Self-Hosting unter der DSGVO und allgemeiner dafür, Ihre Kundendaten selbst zu besitzen.
Warum ist Datenresidenz für ein kleines Team wichtig?
Weil Käufer danach fragen. Sicherheitsfragebögen, Einkaufsabteilungen großer Unternehmen und datenschutzsensible Märkte wollen eine einzeilige Antwort auf „Wo werden unsere Daten gespeichert?“. Ein kleines Team, das mit einer benannten Region antworten kann – statt eine Liste von Unterauftragsverarbeitern weiterzuleiten –, bringt diese Gespräche schneller zum Abschluss. Die Datenresidenz früh festzulegen, ist zudem günstig; eine Produktionsdatenbank später zwischen Rechtsordnungen umzuziehen, ist es nicht.