Was ist Datenresidenz?
Datenresidenz beschreibt, in welchem Land oder welcher Region Daten physisch liegen und verarbeitet werden. Die DSGVO verwendet den Begriff nicht; sie regelt die Übermittlung personenbezogener Daten in Drittländer. Nach Art. 44 der Verordnung (EU) 2016/679 (DSGVO) ist jede solche Übermittlung nur unter den Bedingungen ihres Kapitels V zulässig. Den Rahmen dafür beschreibt der DSGVO-Leitfaden.
Welche Daten und Zugriffe gehören zur Standortfrage?
Zur Datenresidenz gehören alle Orte, an denen Daten eines Dienstes liegen oder bearbeitet werden, nicht nur die Region der Produktivdaten:
- Sicherungskopien und Ausweichrechenzentren für den Katastrophenfall;
- Protokoll-, Telemetrie- und Metadaten;
- Inhalte von Support-Tickets und deren Anhänge;
- Auswertungs-, Test- und Trainingsumgebungen;
- Unterauftragnehmer für Randfunktionen wie Auslieferungsnetze, E-Mail-Versand, Telefonie oder Ticketsysteme.
Hinzu kommt der Zugriffsort. Fernwartung, Support aus anderen Zeitzonen und Fehleranalyse sind Verarbeitungen, auch wenn die Daten physisch am Ort bleiben: Art. 4 Nr. 2 DSGVO zählt das Abfragen ausdrücklich zur Verarbeitung. Eine Regionsangabe in der Verwaltungsoberfläche sagt über beides nichts.
Datenresidenz, Datenlokalisierung, Datensouveränität: drei Begriffe, drei Fragen
| Begriff | Beantwortet die Frage | Wer entscheidet |
|---|---|---|
| Datenresidenz | Wo liegen die Daten geografisch? | der Kunde, im Rahmen der Regionen, die der Anbieter anbietet |
| Datenlokalisierung | Müssen die Daten in einem bestimmten Gebiet bleiben? | Gesetz- oder Vertragsgeber; es ist eine Auflage, keine Option |
| Datensouveränität | Welchem Recht unterliegen die Daten, und wer kann darauf zugreifen? | die Rechtsordnungen, denen Anbieter und verbundene Gesellschaften unterliegen |
Eine Zusage zum Speicherort lässt die beiden anderen Zeilen offen.
Warum belegt ein Standort in Deutschland keine DSGVO-Konformität?
Ein Rechenzentrum in Deutschland macht eine Verarbeitung nicht rechtmäßig. Rechtsgrundlage, Auftragsverarbeitung nach Art. 28 DSGVO, Informationspflichten, Löschung und Betroffenenrechte sind unabhängig vom Standort zu prüfen. Dasselbe gilt für die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Ein Zertifikat oder Testat des Anbieters beschreibt dessen geprüften Bereich, nicht Ihre Konfiguration und nicht Ihre Zwecke.
Werden personenbezogene Daten in ein Drittland übermittelt, greift Kapitel V. Ohne Angemessenheitsbeschluss der Kommission nach Art. 45 DSGVO braucht eine Übermittlung geeignete Garantien nach Art. 46 oder, in Einzelfällen, eine Ausnahme nach Art. 49. Geeignete Garantien sind nach Art. 46 Abs. 2 Buchst. c etwa die von der Kommission erlassenen Standarddatenschutzklauseln. Welches Instrument im Einzelfall trägt, ist rechtlich zu prüfen.
Was Art. 28 DSGVO für Standortzusagen schon vorgibt
Ein Teil der Standortfragen ist im Vertrag zur Auftragsverarbeitung bereits angelegt:
| Regelungspunkt | Anknüpfung in Art. 28 DSGVO | Zusätzlich im Vertrag festlegen |
|---|---|---|
| Übermittlung in Drittländer | Abs. 3 Buchst. a: Verarbeitung nur auf dokumentierte Weisung, auch für Drittlandübermittlungen | abschließende Liste der Speicher- und Zugriffsstandorte |
| neue Unterauftragsverarbeiter | Abs. 2: Genehmigung; bei allgemeiner Genehmigung Information über Änderungen und Einspruchsmöglichkeit | Standort jedes Unterauftragsverarbeiters, auch für Randfunktionen |
| Vertragsende | Abs. 3 Buchst. g: Löschung oder Rückgabe nach Wahl des Verantwortlichen | Einbeziehung der Sicherungskopien, Frist und Nachweis |
| Überprüfung | Abs. 3 Buchst. h: Informationen zum Nachweis, Überprüfungen einschließlich Inspektionen | Auskunft über die tatsächlich genutzten Standorte |
| Schlüsselverwaltung | keine ausdrückliche Regelung | Ort der Schlüsselverwaltung und Kreis der Berechtigten |
| behördliche Zugriffsersuchen | keine ausdrückliche Regelung | Information, soweit rechtlich zulässig |
Zwölf Fragen an den Anbieter vor Vertragsschluss
Die Standortfrage lässt sich nicht aus einer Produktseite beantworten. Diese zwölf Fragen eignen sich als Anlage zu einer Ausschreibung:
- In welchen Ländern liegen die Produktivdaten, abschließend aufgezählt?
- In welchen Ländern liegen die Sicherungskopien, und wo liegt der Ausweichstandort?
- Wo liegen Protokoll-, Telemetrie- und Metadaten?
- Wo liegen die Inhalte von Support-Tickets und deren Anhänge?
- Aus welchen Ländern greifen Support, Betrieb und Fehleranalyse zu?
- Welche Unterauftragnehmer sind beteiligt, auch für Randfunktionen, und wo sitzen sie?
- Welche Gesellschaft betreibt den Dienst, welchem Recht unterliegt sie, und wem gehört sie?
- Wo liegt die Schlüsselverwaltung, und wer kann die Daten lesbar machen?
- Werden Inhalte für Auswertung, Fehlerreproduktion oder Modelltraining genutzt, und wo?
- Wie erfahren Sie von neuen Standorten und Unterauftragnehmern, und wie widersprechen Sie?
- Wie informiert der Anbieter über behördliche Zugriffsersuchen, soweit das zulässig ist?
- Was geschieht am Vertragsende mit Daten und Sicherungen, in welcher Frist und mit welchem Nachweis?
Bei Diensten mit Auswertungs- oder Modellkomponenten kann der Ort der Ausführung vom Speicherort abweichen. Die Antwort auf Frage 9 gehört deshalb in den Vertrag.
Standort und Personenbezug je Dienst im Asset-Register
Rizzqo führt den Standort am einzelnen Asset. Jedes unterstützende Asset, etwa eine SaaS-Anwendung, ein Cloud-Dienst oder ein Dienstleister, trägt sein Land und eine namentlich verantwortliche Person.
Das Kennzeichen für personenbezogene Daten erbt jedes unterstützende Asset von den primären Assets, die es trägt, und Rizzqo zeigt an, von welchen. Welche Dienste personenbezogene Daten verarbeiten und in welchem Land sie liegen, ist damit eine Abfrage im Asset-Register. Für die Plattform selbst gilt: Rizzqo hostet Ihre Instanz in Ihrem Land.