Warum der Standort im deutschsprachigen Markt so häufig gefragt wird
Ausschreibungen, Betriebsräte, Aufsichtsbehörden und Großkunden fragen nach dem Verarbeitungsstandort, und zwar nicht nur aus datenschutzrechtlichen Gründen. Es geht auch um Betriebssicherheit, um die Frage, welches Recht auf einen Vertrag anwendbar ist, um die Erreichbarkeit im Streitfall und um die Erwartung, dass ein Dienst auch bei politischen Verwerfungen nutzbar bleibt. Wer die Frage nur als Datenschutzfrage behandelt, beantwortet sie unvollständig.
Drei Fragen, die oft zu einer verkürzt werden
- Wo liegen die Daten im Ruhezustand? Das ist der Speicherort, und darauf zielt die Regionsauswahl in der Verwaltungsoberfläche.
- Von wo aus wird zugegriffen? Fernwartung, Support in anderen Zeitzonen, Fehleranalyse, Telemetrie und Auswertungen sind Verarbeitungen, auch wenn die Daten physisch liegen bleiben.
- Welchen Rechtsordnungen unterliegen der Anbieter und die mit ihm verbundenen Gesellschaften? Rechtsordnungen, denen ein Anbieter unterliegt, können Zugriffsbefugnisse vorsehen, die unabhängig vom Speicherort wirken.
Eine Regionsangabe beantwortet nur die erste Frage. Die beiden anderen stehen im Vertrag oder nirgends.
Was zur Datenresidenz mitgehört
Häufig übersehen werden Sicherungskopien und deren Standorte, Ausweichrechenzentren für den Katastrophenfall, Protokoll- und Metadaten, die Inhalte von Support-Tickets, Auswertungs- und Trainingsumgebungen sowie die Unterauftragnehmer des Anbieters für Auslieferungsnetze, E-Mail-Versand, Telefonie oder Ticketsysteme. Die eigentliche Anwendung liegt in der gewünschten Region, und der Versanddienstleister für Benachrichtigungen liegt woanders.
Ein Standort ist kein Compliance-Nachweis
Ein Rechenzentrum in Deutschland macht eine Verarbeitung nicht rechtmäßig. Rechtsgrundlage, Auftragsverarbeitung nach Art. 28, Informationspflichten, Betroffenenrechte, Löschung und technisch-organisatorische Maßnahmen nach Art. 32 sind unabhängig vom Standort zu prüfen und zu dokumentieren. Ebenso wenig belegt ein Zertifikat oder ein Testat eines Anbieters die Rechtmäßigkeit Ihrer Verarbeitung: Es beschreibt den geprüften Bereich des Anbieters, nicht Ihre Konfiguration und nicht Ihre Zwecke. Werden Daten in Drittländer übermittelt, sind geeignete Garantien erforderlich; welches Instrument im Einzelfall trägt, ist rechtlich zu prüfen.
Vertragliche Verankerung
| Regelungspunkt | Warum er gebraucht wird |
|---|---|
| abschließende Liste der Verarbeitungsstandorte | macht aus einer Marketingaussage eine überprüfbare Zusage |
| Standorte der Sicherungskopien und Ausweichstandorte | Sicherungen wandern häufig in andere Regionen |
| Regelung für Fernzugriffe zu Support und Wartung | Zugriff ist Verarbeitung, auch ohne Datenverlagerung |
| Zustimmungs- oder Widerspruchsrecht bei neuen Unterauftragnehmern und Standorten | Änderungen bleiben sonst unbemerkt |
| Information über behördliche Zugriffsersuchen, soweit rechtlich zulässig | Voraussetzung für eine eigene Reaktion |
| Rückgabe und Löschung nach Vertragsende einschließlich Sicherungen | ohne diese Regelung endet der Ausstieg unvollständig |
| Ort der Schlüsselverwaltung | entscheidet, wer die Daten technisch lesbar machen kann |
Souveränitätsangebote nüchtern betrachtet
Angebote, die mit Begriffen wie souverän, europäisch oder national beworben werden, unterscheiden sich erheblich. Prüfen Sie vier Punkte statt des Etiketts: Wer ist die Betreibergesellschaft und welchem Recht unterliegt sie, wie sind die Eigentums- und Beherrschungsverhältnisse, wo liegt die Schlüsselverwaltung und wie weit reicht der Zugriff des Supports. Diese vier Antworten sagen mehr als jede Produktbezeichnung.
Die wiederkehrenden Versäumnisse
- Die Regionsauswahl gilt als abschließende Antwort auf die Standortfrage.
- Sicherungen und Ausweichstandorte werden nicht mitgeprüft.
- Unterauftragnehmer für Randfunktionen bleiben unbekannt.
- Der Standort wird als Ersatz für die datenschutzrechtliche Prüfung behandelt.
- Standortzusagen stehen in der Präsentation, nicht im Vertrag.