Datenresidenz und -lokalisierung: Es ist wichtig, wo Ihre Daten gespeichert sind

Als Russlands Föderaler Dienst für die Überwachung der Kommunikation LinkedIn im Jahr 2016 sperrte, weil es russische Benutzerdaten nicht auf Servern im Land gespeichert hatte, war das ein Weckruf für globale Technologieunternehmen. Seitdem haben sich die Anforderungen an die Datenlokalisierung auf über 60 Länder ausgeweitet, und der Trend beschleunigt sich. Im Jahr 2025 verabschiedete Indien Regeln, die die Speicherung bestimmter Kategorien personenbezogener Daten ausschließlich innerhalb der indischen Grenzen vorschreiben, und der neue EU-Rahmen zur Datensouveränität verändert die Art und Weise, wie selbst europäische Unternehmen über Cloud-Infrastruktur denken.

Für grenzüberschreitend tätige Unternehmen – dazu zählen alle Unternehmen mit einer Website, einer SaaS-Anwendung oder einem E-Commerce-Shop, der internationale Kunden bedient – ​​ist es keine technische Kuriosität mehr, zu verstehen, wo sich Daten physisch befinden. Es ist ein Compliance-Gebot.

Wichtige Erkenntnisse

• Über 60 Länder haben mittlerweile irgendeine Form von Datenlokalisierungsanforderungen, die von weichen Präferenzen bis hin zu harten Vorschriften reichen
• Anforderungen an die Datenresidenz wirken sich auf die Auswahl der Cloud-Region, Backup-Strategien und die Disaster-Recovery-Architektur aus
• Die Unterscheidung zwischen Datenlokalisierung (muss lokal gespeichert werden), Datenresidenz (kann überall gespeichert werden, muss aber über eine lokale Kopie verfügen) und Datensouveränität (vorbehaltlich lokaler Gesetze) ist von entscheidender Bedeutung
• Grenzüberschreitende Übertragungsmechanismen (SCCs, BCRs, Angemessenheitsentscheidungen) ermöglichen den internationalen Datenfluss unter bestimmten Bedingungen

---

Schlüsselkonzepte verstehen

Drei verwandte, aber unterschiedliche Konzepte bestimmen, wo Daten gespeichert und verschoben werden können.

Definitionen

Datenlokalisierung: Eine gesetzliche Anforderung zur Speicherung und/oder Verarbeitung von Daten innerhalb der Grenzen eines bestimmten Landes. Die Daten dürfen das Land überhaupt nicht oder nur unter strengen Auflagen verlassen. Beispiel: Das russische Bundesgesetz 242-FZ verlangt, dass personenbezogene Daten russischer Staatsbürger in Datenbanken in Russland gespeichert werden.

Datenspeicherort: Der geografische Ort, an dem Daten gespeichert werden. Der Datenspeicherort kann eine vertragliche Verpflichtung sein (der Kunde verlangt, dass Daten in einer bestimmten Region gespeichert werden) und keine gesetzliche Anforderung. Die Daten können an anderer Stelle verarbeitet werden, solange sich der Primärspeicher am angegebenen Ort befindet.

Datensouveränität: Der Grundsatz, dass Daten den Gesetzen und Governance-Strukturen des Landes unterliegen, in dem sie erfasst oder gespeichert werden. Selbst wenn sich Daten physisch in Land A befinden, können sie den Gesetzen von Land B unterliegen, wenn sie den Bürgern von Land B gehören (wie bei der extraterritorialen Reichweite der DSGVO).

Warum es für die Cloud-Infrastruktur wichtig ist

Wenn Sie Daten in AWS us-east-1 speichern, befinden sich diese Daten physisch in Virginia, USA, und unterliegen US-amerikanischem Recht (einschließlich potenziellem Zugriff gemäß dem CLOUD Act). Wenn diese Daten EU-Bürgern gehören, müssen Sie einen angemessenen Schutz gemäß DSGVO gewährleisten. Wenn es sich um russische Staatsbürger handelt, verstoßen Sie möglicherweise gegen das russische Datenlokalisierungsgesetz, unabhängig davon, welche Schutzmaßnahmen Sie ergriffen haben.

---

Länderspezifische Datenresidenzregeln

Land-zu-Daten-Residency-Regeln

---

Strategie zur Auswahl der Cloud-Region

Die Auswahl der richtigen Cloud-Regionen ist eine der wirkungsvollsten Entscheidungen für die Einhaltung der Datenresidenz. Wenn Sie es richtig machen, ist Compliance in Ihre Architektur integriert. Wenn Sie etwas falsch machen, drohen Ihnen kostspielige Neuarchitekturen oder behördliche Strafen.

Architekturmuster für mehrere Regionen

Muster 1: Einzelne Region (einfach)

Alle Daten werden in einer Cloud-Region gespeichert. Am einfachsten zu verwalten, schränkt jedoch Ihre Fähigkeit ein, globale Kunden mit geringer Latenz zu bedienen, und erfüllt möglicherweise nicht die Lokalisierungsanforderungen, wenn Sie Kunden in Ländern mit strengen Lokalisierungsvorschriften haben.

Am besten geeignet für: Unternehmen, die hauptsächlich in einem Land oder einer Region tätig sind und anderswo keine strengen Lokalisierungsanforderungen haben.

Muster 2: Regionale Hubs (ausgewogen)

Bereitstellung in 2–4 strategischen Regionen, die eine geografische Abdeckung bieten und gleichzeitig die betriebliche Komplexität beherrschbar halten:

Am besten geeignet für: Die meisten internationalen Unternehmen. Bietet gute Latenz, regulatorische Abdeckung und überschaubare Komplexität.

Muster 3: Bereitstellung pro Land (maximale Compliance)

Bereitstellung in jedem Land mit strengen Lokalisierungsanforderungen. Höchste Compliance, aber höchste Betriebskosten und Komplexität.

Am besten geeignet für: Stark regulierte Branchen (Banken, Gesundheitswesen, Regierung), die in Ländern mit strengen Lokalisierungsvorschriften (Russland, China, Indien) tätig sind.

Verfügbarkeit der Cloud-Anbieterregion

---

Grenzüberschreitende Datenübertragungsmechanismen

Trotz Anforderungen an die Datenresidenz sind für den Geschäftsbetrieb häufig grenzüberschreitende Datenübermittlungen erforderlich. Mehrere rechtliche Mechanismen ermöglichen konforme Übertragungen.

Übertragungsmechanismen gemäß DSGVO

Angemessenheitsentscheidungen. Die Europäische Kommission stellt fest, dass bestimmte Länder einen angemessenen Datenschutz bieten. Überweisungen in diese Länder werden wie Überweisungen innerhalb der EU behandelt. Zu den derzeit geeigneten Ländern gehören: Andorra, Argentinien, Kanada (kommerziell), Färöer-Inseln, Guernsey, Israel, Isle of Man, Japan, Jersey, Neuseeland, Republik Korea, Schweiz, Vereinigtes Königreich, Uruguay und die USA (im Rahmen des EU-US-Datenschutzrahmens für zertifizierte Unternehmen).

Standardvertragsklauseln (SCCs). Vorab genehmigte Vertragsbedingungen, denen Datenimporteure zustimmen müssen. Die 2021 aktualisierten SCCs umfassen vier Module für verschiedene Übertragungsszenarien (Controller-zu-Controller, Controller-zu-Prozessor, Prozessor-zu-Prozessor, Prozessor-zu-Controller).

Binding Corporate Rules (BCRs). Von EU-Datenschutzbehörden genehmigte interne Richtlinien, die es multinationalen Unternehmen ermöglichen, Daten innerhalb ihrer Unternehmensgruppe zu übertragen. BCRs sind teuer und zeitaufwendig in der Implementierung (12–18 Monate), bieten aber eine dauerhafte Lösung für große Unternehmen.

Ausdrückliche Einwilligung. Betroffene Personen können grenzüberschreitenden Übermittlungen zustimmen, dies muss jedoch konkret, informiert und wirklich freiwillig erfolgen. Es handelt sich nicht um einen praktikablen Mechanismus für systematische oder groß angelegte Transfers.

Vertragliche Notwendigkeit. Übermittlungen, die für die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich sind (z. B. Buchung eines Hotels in einem anderen Land). Beschränkt auf Übertragungen, die für die Vertragserfüllung unmittelbar erforderlich sind.

Transferfolgenabschätzungen

Seit der Schrems-II-Entscheidung müssen Organisationen, die SCCs nutzen, für jede Übertragung eine Transfer Impact Assessment (TIA) durchführen:

1. Identifizieren Sie die konkrete Übertragung (Datentypen, Zweck, Empfänger, Ziel)
2. Bewerten Sie die rechtlichen Rahmenbedingungen des Ziellandes (Überwachungsgesetze, staatliche Zugangsrechte)
3. Bewerten Sie, ob ergänzende Maßnahmen erforderlich sind (Verschlüsselung, Pseudonymisierung, vertragliche Einschränkungen).
4. Dokumentieren Sie die Bewertung und stellen Sie sie auf Anfrage zur Verfügung

Einen umfassenden Überblick über die Datenschutzbestimmungen, die grenzüberschreitende Übertragungen regeln, finden Sie in unserem Datenschutz-Vergleichsleitfaden.

---

Checkliste für die Umsetzung

Schritte zur Einhaltung der Datenresidenz

1. Inventarisieren Sie Ihre Daten. Ordnen Sie alle persönlichen und sensiblen Daten zu, ermitteln Sie, wo sie gespeichert sind, und bestimmen Sie anhand der Standorte der betroffenen Personen, welche Rechtsordnungen gelten.

2. Identifizieren Sie die geltenden Anforderungen. Bestimmen Sie für jede Gerichtsbarkeit, in der Sie betroffene Personen oder Kunden haben, die spezifischen Datenspeicherungs- oder Lokalisierungsanforderungen.

3. Bewerten Sie Ihre aktuelle Architektur. Dokumentieren Sie Ihre aktuellen Cloud-Regionen, Backup-Standorte, CDN-Edge-Caches und alle Dienste von Drittanbietern, die Daten verarbeiten oder speichern.

4. Identifizieren Sie Lücken. Vergleichen Sie Ihre aktuelle Architektur mit den Anforderungen. Zu den häufigsten Lücken gehören: Sicherungen, die in nicht konformen Regionen gespeichert werden, CDN-Caches, die Daten weltweit replizieren, und SaaS-Anbieter, die Daten an nicht konformen Orten speichern.

5. Wählen Sie die Zielarchitektur aus. Wählen Sie ein Muster mit mehreren Regionen, das alle identifizierten Anforderungen erfüllt und gleichzeitig Kosten, Leistung und betriebliche Komplexität in Einklang bringt.

6. Implementieren Sie die Datenweiterleitung. Konfigurieren Sie Ihre Anwendung so, dass Daten basierend auf der Gerichtsbarkeit der betroffenen Person an die entsprechende Region weitergeleitet werden. Dies erfordert möglicherweise Datenbank-Sharding nach Region, separate Speicher-Buckets pro Region oder eine Datenrouting-Ebene.

7. Anbietervereinbarungen aktualisieren. Stellen Sie sicher, dass alle Drittanbieter Daten in konformen Regionen speichern. Aktualisieren Sie DPAs und SCCs nach Bedarf. Überprüfen Sie die Unterauftragsverarbeiter der Anbieter.

8. Konfigurieren Sie Backups und DR. Stellen Sie sicher, dass die Backup- und Disaster-Recovery-Infrastruktur den Standortanforderungen entspricht. Die regionsübergreifende Replikation für DR muss innerhalb konformer Regionen erfolgen.

9. Alles dokumentieren. Führen Sie Aufzeichnungen über Datenflüsse, Speicherorte, Übertragungsmechanismen und Compliance-Entscheidungen. Diese Dokumentation wird von der DSGVO (ROPA) gefordert und von Prüfern erwartet.

10. Kontinuierliche Überwachung. Die Datenresidenz ist kein einmaliges Projekt. Neue Dienste, neue Anbieter, neue Kunden und neue Vorschriften können Ihre Anforderungen verändern. Integrieren Sie Datenresidenzprüfungen in Ihre Beschaffungs- und Architekturprüfungsprozesse.

Einzelheiten zum Erstellen der Audit-Trails, die zum Nachweis der Datenresidenz-Compliance erforderlich sind, finden Sie in unserem Leitfaden zur Audit-Trail-Compliance. Weitere Informationen zum Compliance-Kontext finden Sie in unserem Enterprise-Compliance-Handbuch.

---

Häufig gestellte Fragen

Gilt die Datenresidenz für Backups und Disaster-Recovery-Kopien?

Ja. Wenn eine Vorschrift vorschreibt, dass Daten in einem bestimmten Land gespeichert werden müssen, müssen sich auch Backup- und DR-Kopien in diesem Land befinden. Dies führt zu einem Konflikt mit Best Practices für die Notfallwiederherstellung, bei denen es sich typischerweise um geografisch entfernte Backups handelt. Die Lösung besteht darin, mehrere Verfügbarkeitszonen innerhalb des konformen Landes zu nutzen (AWS verfügt in den meisten Regionen über mehrere AZs) oder, sofern die Vorschriften dies zulassen, Backup-Standorte in Ländern mit gleichwertigem Datenschutz zu nutzen (z. B. ist die Sicherung deutscher Daten in Frankreich gemäß DSGVO grundsätzlich akzeptabel).

Wie gehen wir mit der Datenresidenz bei einem globalen CDN um?

CDNs wie Cloudflare und AWS CloudFront speichern Inhalte an Edge-Standorten weltweit zwischen. Bei statischen Inhalten (Bilder, CSS, JavaScript) stellt dies im Allgemeinen kein Problem hinsichtlich der Datenresidenz dar. Wenn Ihr CDN jedoch Antworten zwischenspeichert, die personenbezogene Daten enthalten, befinden sich diese zwischengespeicherten Kopien möglicherweise in nicht konformen Gerichtsbarkeiten. Zu den Lösungen gehören: Deaktivieren Sie das Caching für Antworten, die personenbezogene Daten enthalten, verwenden Sie ein CDN mit Geobeschränkungsfunktionen, um das Caching auf konforme Regionen zu beschränken, oder stellen Sie sicher, dass personenbezogene Daten niemals in zwischenspeicherbaren Antworten enthalten sind.

Können wir Verschlüsselung verwenden, um die Anforderungen an den Datenspeicherort zu erfüllen?

Im Allgemeinen nein. Die meisten Datenlokalisierungsgesetze konzentrieren sich auf den physischen Speicherort der Daten und nicht darauf, ob sie verschlüsselt sind. Verschlüsselte Daten, die an einem nicht konformen Ort gespeichert sind, werden weiterhin an einem nicht konformen Ort gespeichert. Allerdings kann die Verschlüsselung eine ergänzende Maßnahme für grenzüberschreitende Übermittlungen im Rahmen der DSGVO (insbesondere nach Schrems II) sein und möglicherweise einige Anforderungen an die Folgenabschätzung für Übermittlungen erfüllen.

Was ist mit den während der Übertragung verarbeiteten Daten? Ist das Routing wichtig?

Einige Vorschriften sind hinsichtlich der Datenübertragung nicht eindeutig. Der allgemeine Konsens besteht darin, dass die vorübergehende Weiterleitung verschlüsselter Daten durch eine nicht konforme Gerichtsbarkeit (z. B. Internet-Routing) keine Speicherung oder Verarbeitung in dieser Gerichtsbarkeit darstellt. Wenn Daten jedoch in einer nicht konformen Gerichtsbarkeit sinnvoll verarbeitet (entschlüsselt, analysiert, transformiert) werden, verstößt diese Verarbeitung gegen die Lokalisierungsanforderungen.

Wie gehen mandantenfähige SaaS-Plattformen mit der Datenresidenz um?

Multi-Tenant-SaaS-Plattformen stehen vor den komplexesten Herausforderungen bei der Datenresidenz. Zu den gängigen Ansätzen gehören: Bereitstellung separater Instanzen pro Region (am konformsten, aber am teuersten), Mandantenisolierung auf Datenbankebene mit regionsbezogenem Routing (ausgewogener Ansatz) oder Datenrouting auf Anwendungsebene, das die Daten bestimmter Mandanten an bestimmte Speicherregionen weiterleitet (am flexibelsten, aber am komplexesten zu implementieren).

---

Was kommt als nächstes?

Die Anforderungen an den Datenspeicherort werden weiter zunehmen, da immer mehr Länder Gesetze zur Datensouveränität erlassen und bestehende Vorschriften verschärft werden. Die Integration der Datenresidenz-Compliance in Ihre Architektur von Anfang an ist weitaus kostengünstiger als eine spätere Nachrüstung.

ECOSIRE unterstützt Unternehmen beim Entwurf datenresidentitätskonformer Architekturen für ihre ERP- und E-Commerce-Systeme. Unsere Odoo ERP-Implementierungen unterstützen Bereitstellungen in mehreren Regionen mit konformer Datenweiterleitung, und unsere Cloud-Infrastrukturdienste umfassen die Bewertung der Datenresidenz und das Architekturdesign. Für KI-gestützte Datenflusskartierung und Compliance-Überwachung erkunden Sie unsere OpenClaw AI-Plattform. Kontaktieren Sie uns, um Ihre Datenresidenzstrategie zu besprechen.

---

Veröffentlicht von ECOSIRE – Unterstützung von Unternehmen bei der Skalierung mit KI-gestützten Lösungen in Odoo ERP, Shopify eCommerce und OpenClaw AI.