Was ist Datenresidenz?

Datenresidenz bezeichnet die physische oder logische Standortbestimmung, an dem Daten gespeichert, verarbeitet und übertragen werden. Sie gibt an, in welchem Land oder Rechtsraum Daten liegen, und ist eine technisch konfigurierbare sowie vertraglich durchsetzbare Eigenschaft. Sie beantwortet ausschließlich die geografische Frage des Speicherorts, nicht die Frage der rechtlichen Zugriffsbefugnisse.

Welche Aspekte umfasst Datenresidenz konkret?

Datenresidenz umfasst den physischen Speicherort (Server und Rechenzentrumsregion), die logische Verarbeitungslokalität, die Übertragungsrouten sowie vertragliche Zusagen des Anbieters wie die EU Data Boundary von Microsoft. Zu beachten ist, dass Metadaten, Telemetrie- und Diagnosedaten häufig anderen Residenzregeln folgen als Primärdaten.

Wie wird Datenresidenz technisch und vertraglich umgesetzt?

Datenresidenz wird durch anbieterseitige Regionskonfiguration, Auftragsverarbeitungsverträge mit Residenz-Verpflichtung, technische Konfiguration von Replikation und Backup-Standorten sowie Audit-Logs zur Überwachung gesteuert. Nicht alle Datenkategorien – insbesondere Metadaten und Telemetrie – folgen automatisch denselben Residenzregeln wie Primärdaten.

In welchen Bereichen ist Datenresidenz regulatorisch gefordert?

Datenresidenz ist regulatorisch relevant bei DSGVO-Drittlandtransfers (Art. 44 ff.), nationalen Datenspeicherungsanforderungen für Behörden und öffentliche Einrichtungen sowie sektorspezifischen Residenzpflichten in Gesundheit, Finanzen und Justiz. Sie ist zudem regelmäßiger Gegenstand der Vertragsgestaltung mit Cloud-Anbietern.

Was ist der Unterschied zwischen Datenresidenz, Daten-Jurisdiktion und digitaler Souveränität?

Datenresidenz beschreibt den physischen Speicherort. Daten-Jurisdiktion beschreibt, welche Rechtsordnung Behörden ermächtigt, auf diese Daten zuzugreifen – unabhängig vom Speicherort. Digitale Souveränität umfasst beide Dimensionen und ergänzt sie um Exit-Fähigkeit und technologische Unabhängigkeit. Die Begriffe sind nicht austauschbar und müssen separat bewertet werden.

Welche Grenzen hat Datenresidenz als Schutzmaßnahme?

Datenresidenz löst keine Jurisdiktionsfragen: US-Anbieter bleiben dem CLOUD Act unterworfen, unabhängig vom Serverstandort. Metadaten und Telemetriedaten folgen häufig anderen Residenzregeln als Primärdaten. Anbieterzusagen wie die EU Data Boundary decken nicht alle Dienste vollständig ab. Datenresidenz kann ein falsches Sicherheitsgefühl erzeugen, wenn Jurisdiktionsrisiken nicht separat bewertet werden.

Welche Konzepte sind mit Datenresidenz fachlich verwandt?

Fachlich verwandt sind Daten-Jurisdiktion, CLOUD Act, EU Data Boundary, Digitale Souveränität, DSGVO Art. 44 ff., Auftragsverarbeitung (AVV/DPA) und Cloud-Exit-Strategie. Diese Konzepte bilden den rechtlichen und technischen Rahmen, innerhalb dessen Datenresidenz bewertet, umgesetzt und auf ihre tatsächliche Schutzwirkung hin eingeschätzt werden muss.

Welche regulatorischen Grundlagen sind für Datenresidenz maßgeblich?

Maßgeblich sind DSGVO Kapitel V (Drittlandtransfers), die Microsoft EU Data Boundary als praxisrelevantes Beispiel einer Residenzzusage, ENISA-Leitlinien zu Datenschutz in der Cloud sowie BSI-Anforderungen an Cloud-Dienstleister. Diese Quellen definieren Mindestanforderungen und Prüfmaßstäbe für Datenresidenz in regulierten Umgebungen.

Application Delivery: Definition, Funktionsweise & Vorteile

Inhalt dieser Seite

Definition
Funktionsweise
Einsatzbereiche
Was ist es nicht
Vorteile und Nachteile
Verwandte Begriffe
Beispiele
Quellen

Kurzerklärung

Datenresidenz bezeichnet die physische oder logische Standortbestimmung, an dem Daten gespeichert, verarbeitet und übertragen werden, typischerweise definiert als Land oder Rechtsraum, z. B. „Daten verbleiben in der EU“.

Blogbeiträge

Interessante Artikel

Cloud Exit Framework: Strategische Souveränität statt Panik-Exit

Strategischer Cloud Exit stärkt digitale Souveränität, Resilienz und Unabhängigkeit. Warum Exit-Fähigkeit mehr ist als Migration und strukturiert geplant werden sollte.

Mehr zum Artikel

Warum Cloud Exit kein Widerspruch zur Cloud-Strategie ist

Was bedeutet Cloud Exit wirklich? Erfahren Sie, warum Unternehmen trotz Microsoft Cloud auf Exit-Readiness setzen sollten und welche Rolle DORA, NIS2 und DSGVO spielen.

Mehr zum Artikel

Microsoft Sovereign Cloud und was sie für europäische Unternehmen bedeutet

Microsoft Sovereign Private Cloud und was sie für europäische Unternehmen bedeutet

Mehr zum Artikel

Datenschutzkonformer Einsatz von Microsoft 365 bei Sozialdatenträgern

Wir erklären, was Sie beachten sollten, wenn Sie Microsoft 365 als Sozialdatenträger DSGVO-konform einsetzen möchten.

Mehr zum Artikel

Hessische Beauftragte für Datenschutz und Informationssicherheit (HBDI) veröffentlichen Bericht zur datenschutzkonformen Nutzung von Microsoft 365

Der HBDI bestätigt: Microsoft 365 kann unter bestimmten Bedingungen DSGVO-konform eingesetzt werden. Der Bericht ordnet rechtliche und technische Aspekte ein.

Mehr zum Artikel

DatenresidenzDefinitionDatenresidenz beantwortet eine geografische Frage:
„Wo liegen die Daten?“
Sie beantwortet nicht: Wer darf auf diese Daten zugreifen? Das ist die Frage der Jurisdiktion und der entscheidende Unterschied, den viele Cloud-Strategien nicht ausreichend trennen.

								Kernaspekte
Physischer Speicherort von Daten (Server, Rechenzentrum, Region)
Logische Verarbeitungslokalität (wo findet Prozessierung statt?)
Übertragungsrouten (werden Daten grenzüberschreitend geroutet?)
Vertragliche Zusagen des Anbieters (z. B. EU Data Boundary bei Microsoft)

							
FunktionsweiseDatenresidenz wird auf mehreren Ebenen gesteuert:
Anbieterseitig: Regionen- und Zonenauswahl bei Cloud-Anbietern, Data Boundary-Zusagen
Vertragsseitig: Auftragsverarbeitungsverträge (AVV/DPA) mit Residenz-Verpflichtung
Technisch: Konfiguration von Replikation, Backup-Zielregionen und Datenverarbeitungsstandorten
Überwachung: Audit-Logs zu Zugriffen und Verarbeitungsorten
Residenz ist konfigurierbar – aber nicht alle Metadaten, Diagnose- und Telemetriedaten folgen denselben Regeln wie Primärdaten.
EinsatzbereicheDatenresidenz ist relevant bei:
DSGVO-Konformität (Drittlandtransfers, Art. 44 ff.)
Behörden und öffentlichem Sektor (nationale Datenspeicherungsanforderungen)
Branchen mit sektorspezifischen Residenzpflichten (Gesundheit, Finanzen, Justiz)
Kundenkommunikation und Vertragsgestaltung mit Cloud-Anbietern
Unterschiede zu ähnlichen KonzeptenDaten-Jurisdiktion: Während Datenresidenz den physischen Speicherort beschreibt, bezeichnet Jurisdiktion die Rechtsordnung, die Behörden ermächtigt, auf Daten zuzugreifen – unabhängig vom Speicherort.
Digitale Souveränität: Souveränität umfasst Residenz als eine von mehreren Dimensionen, geht aber weit darüber hinaus: technologische Unabhängigkeit, Exit-Fähigkeit und rechtliche Kontrolle.
Datenschutz-Compliance: DSGVO-Konformität schließt Residenzanforderungen ein, ist aber breiter. Datenresidenz allein garantiert keine vollständige DSGVO-Konformität.
 


Frage
Begriff

Wo liegen die Daten?
Datenresidenz

Wer kann rechtlich Zugriff erzwingen?
Daten-Jurisdiktion

Wer kontrolliert Architektur und Zugang?
Digitale Souveränität

Vorteile und Nachteile
														Vorteile													
 
Klare Compliance-Grundlage für DSGVO und sektorspezifische Anforderungen
Konfigurierbar und vertraglich durchsetzbar
Nachweisbar durch Audit-Logs und Anbieterzertifizierungen
Vertrauensbildend gegenüber Kunden und Aufsich

														Nachteile													
 
Löst Jurisdiktionsfrage nicht (CLOUD Act greift unabhängig vom Serverstandort)
Metadaten, Telemetrie und Diagnosedaten folgen häufig anderen Residenzregeln
Anbieterzusagen decken nicht alle Dienste vollständig ab
Kann falsches Sicherheitsgefühl erzeugen, wenn Jurisdiktionsrisiken nicht separat bewertet werden

								Verwandte Begriffe
Daten-Jurisdiktion
CLOUD Act
EU Data Boundary
Digitale Souveränität
DSGVO (Art. 44 ff.)
Auftragsverarbeitung (AVV/DPA)
Cloud-Exit-Strategie

							

								Quellen
DSGVO – Kapitel V: Übermittlung personenbezogener Daten an Drittländer https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679
Microsoft EU Data Boundary https://www.microsoft.com/en-us/trust-center/privacy/european-data-boundary-eudb
ENISA – Data Location and Protection in the Cloud https://www.enisa.europa.eu
BSI – Anforderungen an Cloud-Dienstleister: Datenverarbeitung und -speicherung https://www.bsi.bund.de

							

Frage	Begriff
Wo liegen die Daten?	Datenresidenz
Wer kann rechtlich Zugriff erzwingen?	Daten-Jurisdiktion
Wer kontrolliert Architektur und Zugang?	Digitale Souveränität