Datenresidenz und Datensouveränität: der Unterschied, der über Ihr Risiko entscheidet

Fragen Sie einen Cloud-Anbieter, wo Ihre Daten liegen, und Sie bekommen eine präzise Antwort: eine Region, manchmal eine Stadt, gelegentlich das Gebäude. Fragen Sie, wer verpflichtet werden kann, diese Daten herauszugeben, wird das Gespräch unschärfer.

Diese Lücke zwischen beiden Fragen ist die häufigste Schwachstelle in Cloud-Risikobewertungen. Beide Hälften haben einen Namen: Datenresidenz ist die erste Frage, Datensouveränität die zweite. In Anbietermaterial werden sie regelmäßig synonym verwendet. Synonyme sind sie nicht.

Die kurze Fassung

Datenresidenz ist eine Aussage über Geografie. Sie besagt, dass Ihre Daten physisch in einem bestimmten Gebiet gespeichert werden — Deutschland, die EU, Kanada — und meist auch, dass sie dort verarbeitet werden.

Datensouveränität ist eine Aussage über den Rechtsraum. Sie besagt, welches Recht für die Daten gilt und damit, welche Behörden Zugriff erzwingen können.

Residenz ist eine Tatsache über ein Gebäude. Souveränität ist eine Tatsache über den Betreiber.

Warum der Unterschied Zähne hat

Ein Anbieter mit Sitz in den Vereinigten Staaten unterliegt US-Recht, gleich wo seine Hardware steht. Der Clarifying Lawful Overseas Use of Data Act — der CLOUD Act, in Kraft seit 2018 — macht das ausdrücklich: Ein US-Anbieter kann zur Herausgabe von Daten in seinem Besitz oder unter seiner Kontrolle verpflichtet werden, unabhängig davon, wo diese Daten gespeichert sind.

Lesen Sie das noch einmal. Unabhängig davon, wo diese Daten gespeichert sind. Eine deutsche Region, eine kanadische Region, ein Rechenzentrum mit Landesflagge auf der Produktseite — nichts davon ändert die Verpflichtung, denn sie hängt am Unternehmen, nicht am Rack.

Deshalb beantwortet die „souveräne Cloud" eines Hyperscalers die Residenzfrage überzeugend und die Souveränitätsfrage überhaupt nicht. Das Rechenzentrum mag tatsächlich in Frankfurt stehen. Das Unternehmen, das es betreibt, untersteht weiterhin einem Rechtssystem auf einem anderen Kontinent.

Was das unter der DSGVO bedeutet

Für europäische Organisationen wurde der Unterschied mit Schrems II konkret (Europäischer Gerichtshof, C-311/18, Juli 2020). Das Urteil kippte das Privacy Shield und stellte klar: Standardvertragsklauseln allein genügen nicht, wenn das Recht des Ziellandes unverhältnismäßigen behördlichen Zugriff erlaubt. Verantwortliche müssen die tatsächliche Rechtslage bewerten und dort zusätzliche Maßnahmen ergreifen, wo die Bewertung es verlangt.

Der Angemessenheitsbeschluss zum EU-US Data Privacy Framework vom Juli 2023 hat für zertifizierte US-Organisationen wieder eine Übermittlungsgrundlage geschaffen. Er hat den CLOUD Act nicht aufgehoben, und er ist selbst Gegenstand laufender Klagen. Eine Infrastrukturentscheidung mit zehn Jahren Horizont auf die Annahme zu bauen, dass genau dieser Beschluss sie überdauert, ist eine Wette — und sollte als solche benannt werden.

Nichts davon heißt, dass europäische Organisationen keine US-Dienste nutzen dürfen. Es heißt, dass das Transfer Impact Assessment beschreiben muss, was die Daten tatsächlich schützt. Und „das Rechenzentrum steht in der EU" beschreibt die Residenz, nicht den Schutz.

Und in Kanada

Die kanadische Fassung derselben Frage sieht aus einem anderen Blickwinkel gleich aus. PIPEDA verbietet die Speicherung personenbezogener Daten außerhalb Kanadas nicht; es verlangt, dass ein vergleichbares Schutzniveau mitreist und dass Betroffene darüber informiert werden, dass ihre Daten in einem anderen Rechtsraum verarbeitet und dortigen Behörden zugänglich sein können.

Eine kanadische Organisation, die eine US-betriebene Cloud mit kanadischer Residenz nutzt, hat also die Standortfrage erledigt und die Zugriffsfrage geerbt. Für öffentliche Stellen gelten in mehreren Provinzen noch strengere Regeln. Der ehrliche Satz lautet in der Praxis: Ihre Daten liegen in Kanada, und eine ausländische Behörde kann sie möglicherweise trotzdem erreichen.

Drei Fragen, die beides auseinanderhalten

Wenn ein Anbieter sein Angebot souverän nennt, zeigen diese drei Antworten, welche Frage er tatsächlich beantwortet hat:

1. Wem gehört die Hardware? Nicht: wer mietet die Kapazität, nicht: wessen Name steht auf der Rechnung — wem gehören die Maschinen. Ein deutscher Reseller eines Hyperscalers verkauft Ihnen fremde Kapazität mit einer deutschen Rechnung. Der eigentliche Betreiber und damit der Rechtsraum ändern sich dadurch nicht.

2. Wo ist die Betreibergesellschaft ansässig, und wer kontrolliert sie? Eine Tochter eines ausländischen Mutterkonzerns ist über diesen Konzern in aller Regel weiterhin erreichbar. Das ist die Frage, die das Wort „souverän" in einem Produktnamen nie beantwortet.

3. Wer hält die Schlüssel? Hält der Anbieter Schlüssel, mit denen sich Ihre Inhalte entschlüsseln lassen, kann er zu deren Einsatz verpflichtet werden. Verlassen die Schlüssel nie Ihre Seite, fördert eine Anordnung nur Chiffrat zutage. Das ist die einzige Maßnahme, die verändert, was technisch möglich ist, statt was vertraglich zugesagt wurde.

Wie gute Antworten aussehen

Es gibt zwei tragfähige Wege, und sie schließen einander nicht aus.

Der erste ist ein Betreiber im eigenen Rechtsraum, dem seine Infrastruktur gehört. Das ist die Position, die wir bezogen haben: eigene Hardware in Kanada, in unabhängigen FiberCentre-Anlagen, betrieben als registrierter ISP, ASP und PAS, ohne Abhängigkeit von den großen Cloud-Anbietern. Damit lassen sich Frage eins und Frage zwei mit einer Tatsache beantworten statt mit einem Regionsnamen.

Der zweite ist Verschlüsselung mit Schlüsseln in Ihrer Hand, für alles, was bleiben muss, wo es ist. Die wenigsten Organisationen können Microsoft 365 oder Google Workspace in diesem Haushaltsjahr verlassen. Ein Gateway, das verschlüsselt, bevor die Daten Ihr Netz verlassen, sorgt dafür, dass der Anbieter Inhalte speichert, die er weder lesen noch indexieren noch herausgeben kann — und die CLOUD-Act-Frage erledigt sich, weil es nichts Lesbares herauszugeben gibt.

Nach unserer Erfahrung ist der zweite Weg meist der erste Schritt und der erste das Ziel.

Der Satz, den man mitnehmen sollte

Residenz sagt Ihnen, wo das Gebäude steht. Souveränität sagt Ihnen, wer verpflichtet werden kann, es zu öffnen.

Beantwortet Ihre Risikobewertung nur das Erste, hat sie Ihr Risiko noch nicht beschrieben. Das ist kein Grund zur Panik — es ist ein Grund, die drei Fragen oben demjenigen zu stellen, der Ihre Daten gerade hält, und die Antworten aufzuschreiben.

Sie fragen sich, wie das für Ihre Umgebung aussieht? Die Seite zur souveränen Cloud beschreibt die Infrastrukturseite, die Seite zur Verschlüsselung den Weg für Workloads, die vorerst bleiben müssen. Oder sprechen Sie mit uns — auch über die Fälle, in denen die ehrliche Antwort lautet, dass sich eine Migration dieses Jahr nicht lohnt.