Data Residency

Wenn du ein Foto in eine Cloud hochlädst, verschwindet es nicht ins Nichts. Es landet auf einer Festplatte in einem großen Gebäude voller Computer, einem sogenannten Rechenzentrum. Dieses Gebäude steht an einem konkreten Ort: in Frankfurt, in Irland, in Virginia oder in Singapur. Data Residency ist der Fachbegriff für genau diese Frage: In welchem Land liegen die Daten körperlich? Für Privatleute ist das meist egal. Für Unternehmen, Krankenhäuser und Behörden ist es eine rechtliche Vorgabe, die sie einhalten müssen.

Warum der Standort einer Festplatte juristisch zählt

Daten unterliegen dem Recht des Landes, in dem sie gespeichert sind. Liegt eine Patientenakte auf einem Server in Deutschland, gilt deutsches und europäisches Recht. Liegt dieselbe Akte auf einem Server in Texas, kommen zusätzlich amerikanische Gesetze ins Spiel. Ein Beispiel ist der US-amerikanische CLOUD Act. Er verpflichtet US-Unternehmen unter bestimmten Bedingungen, Daten an Behörden herauszugeben, auch wenn diese Daten im Ausland liegen.

Für europäische Firmen ist das ein echtes Problem. Die Datenschutz-Grundverordnung, kurz DSGVO, verlangt ein hohes Schutzniveau für persönliche Daten. Ein Zugriff durch fremde Geheimdienste passt schlecht dazu. Deshalb haben Gerichte in den vergangenen Jahren mehrere Abkommen zum Datentransfer in die USA gekippt. Unternehmen reagieren darauf, indem sie Daten von vornherein in Europa halten.

Dazu kommt ein wirtschaftlicher Aspekt. Wer öffentliche Aufträge gewinnen will, muss oft nachweisen, dass keine Daten das Land verlassen. Für Anbieter von KI-Diensten ist das ein Verkaufsargument geworden. Sie werben damit, dass Anfragen an ihre Modelle ausschließlich in europäischen Rechenzentren verarbeitet werden.

Von der Region-Auswahl bis zum Schlüsselbund

Große Cloud-Anbieter teilen ihre Rechenzentren in sogenannte Regionen ein, etwa « Europe West » oder « US East ». Beim Anlegen eines Speicherplatzes wählt man eine Region aus. Ab diesem Moment bleiben die Daten technisch an diesen Ort gebunden. Sicherungskopien werden dann ebenfalls nur innerhalb der Region angelegt, nicht auf einem anderen Kontinent.

Das allein reicht aber selten. Denn der Support-Mitarbeiter, der ein Problem behebt, sitzt vielleicht in Indien und sieht die Daten auf seinem Bildschirm. Fachleute nennen so etwas Zugriff, im Unterschied zur reinen Speicherung. Deshalb kombiniert man Data Residency oft mit Verschlüsselung: Die Daten werden so verwürfelt, dass nur der Kunde selbst den passenden Schlüssel besitzt. Ohne diesen Schlüssel ist der Inhalt für jeden anderen unlesbar.

Ein häufiger Irrtum ist, Data Residency mit Datenschutz gleichzusetzen. Ein Server in Deutschland macht schlecht gesicherte Daten nicht sicher. Der Standort regelt nur, welches Recht greift und wer theoretisch Zugriff verlangen kann. Verwandt, aber strenger ist der Begriff Datensouveränität: Er verlangt zusätzlich, dass der Betreiber selbst keiner fremden Rechtsordnung unterliegt.

Wo der Begriff in Verträgen und Schlagzeilen auftaucht

Am häufigsten liest man von Data Residency in Meldungen über neue Rechenzentren. Wenn Microsoft, Google oder OpenAI eine europäische Region ankündigen, geht es meist genau darum. Die Anbieter wollen Kunden gewinnen, die aus rechtlichen Gründen bisher nicht buchen konnten. Auch Projekte wie Gaia-X, eine europäische Cloud-Initiative, drehen sich um dieses Thema.

Im Alltag begegnet dir der Begriff in den Datenschutzhinweisen von Apps und Onlineshops. Dort steht oft ein Satz wie: « Ihre Daten werden auf Servern innerhalb der Europäischen Union verarbeitet. » Schulen, die Lernplattformen einsetzen, müssen diesen Nachweis von ihrem Anbieter verlangen. Mehrere Bundesländer haben Software genau deshalb verboten oder wieder erlaubt.

Für Anleger ist Data Residency ein Kostenfaktor. Rechenzentren in jedem größeren Markt zu bauen, ist teuer und bindet Kapital über Jahre. Gleichzeitig eröffnet es Märkte, die sonst verschlossen blieben. Wer Quartalszahlen von Cloud-Konzernen liest, findet die Investitionen in neue Regionen deshalb regelmäßig als eigenen Posten.