Data Residency vs. Data Sovereignty: Was ist der Unterschied bei der Wahl von Cloud Storage?

Ein Cloud-Storage-Anbieter kann angeben, dass Dateien in Deutschland, der EU oder einer anderen bestimmten Region gespeichert werden. Diese Information ist wichtig, aber sie zeigt nicht das gesamte Bild. Backups, Dateiversionen, Support-Systeme und Third-Party-Integrationen können zusätzliche Speicher- oder Verarbeitungswege schaffen.

Genau deshalb sind Data Residency und Data Sovereignty wichtig. Data Residency beantwortet die Frage, wo Daten gespeichert oder verarbeitet werden. Data Sovereignty beantwortet die Frage, welche rechtlichen Zuständigkeiten diese Daten betreffen können. Der Unterschied mag auf den ersten Blick klein erscheinen, kann aber deine Entscheidung über private Fotos, Kundendokumente oder Unternehmensdaten maßgeblich beeinflussen.

In diesem Leitfaden erklären wir beide Begriffe und zeigen dir außerdem, worauf du achten solltest, bevor du dich für einen Cloud-Storage-Anbieter entscheidest.

Data Residency: Wo befinden sich deine Cloud-Daten?

Data Residency bedeutet ganz einfach, wo ein Cloud-Anbieter deine Daten speichert oder verarbeitet. Das kann ein physisches Rechenzentrum oder eine Cloud-Region in einem bestimmten Land sein. Anders ausgedrückt beantwortet dieser Begriff eine einfache Frage: "Wo werden meine Dateien und die dazugehörigen Daten gespeichert?"

Der Speicherort deiner Daten kann sich auf Geschwindigkeit, rechtliche Compliance und Datenschutz auswirken. Manche Verträge, Unternehmensrichtlinien oder gesetzliche Vorgaben verlangen, dass Daten in einem bestimmten Land oder einer bestimmten Region gespeichert werden. Deshalb solltest du den Speicherort des Anbieters immer überprüfen, bevor du eine Entscheidung triffst.

Das ist besonders wichtig für Organisationen, die personenbezogene Daten in der EU gemäß der General Data Protection Regulation (GDPR) verarbeiten. Die GDPR schreibt nicht vor, dass alle personenbezogenen Daten innerhalb der EU gespeichert werden müssen. Übermittlungen außerhalb des Europäischen Wirtschaftsraums (EWR) müssen jedoch bestimmten Regeln und Schutzmaßnahmen entsprechen.

Es reicht nicht aus, nur den Hauptspeicherort der Dateien zu überprüfen. Dateien können beispielsweise in einem deutschen Rechenzentrum gespeichert sein, während Backups, Wiederherstellungskopien oder Dateiversionen an einem anderen Ort gespeichert werden. Bevor du dich für einen Anbieter entscheidest, solltest du dessen Dokumentation, SLA oder Vereinbarungen zur Datenverarbeitung prüfen, um zu bestätigen, wo jede Kopie deiner Daten gespeichert und verarbeitet wird.

Data Sovereignty: Welche Gesetze und Behörden können deine Daten betreffen?

Data Sovereignty bezieht sich auf die Gesetze und rechtlichen Behörden, die Auswirkungen auf Daten haben können. Dieser Begriff beantwortet eine andere Frage als Data Residency: "Welche rechtlichen Zuständigkeiten können Regeln oder Befugnisse über diese Daten haben?"

Der Ort, an dem Daten gespeichert oder verarbeitet werden, spielt weiterhin eine wichtige Rolle. Daten, die in einem bestimmten Land gespeichert werden, können den Datenschutz-, Sicherheits- und Offenlegungsgesetzen dieses Landes unterliegen. Zu den relevanten Datenschutzregelungen gehören unter anderem die GDPR in der EU, PIPEDA in Kanada sowie der australische Privacy Act und die Australian Privacy Principles. Der Speicherort des Servers allein zeigt jedoch nicht alle Gesetze, die auf die Daten angewendet werden können.

Data Sovereignty hängt außerdem davon ab, wie ein Anbieter seinen Service betreibt. Ein Anbieter kann seinen Unternehmenssitz in einem Land haben, Dateien in einem anderen Land speichern und zusätzliche Unternehmen für Support oder Infrastruktur einsetzen. In seinen Vertragsbedingungen sollte klar erläutert werden, wer auf die Daten zugreifen kann und wo sie verarbeitet werden dürfen.

Daten können mehreren rechtlichen Rahmenbedingungen gleichzeitig unterliegen, wenn Speicherung, Verarbeitung, der Betrieb des Anbieters oder Zugriffsregelungen länderübergreifend erfolgen. Dass Dateien in einem Land gespeichert werden, bedeutet nicht automatisch, dass ausschließlich die Gesetze dieses Landes gelten. Bevor du dich für einen Cloud-Anbieter entscheidest, solltest du dessen Vereinbarungen zur Datenverarbeitung, Informationen zu Subprozessoren und Support-Zugriffsregelungen mit deinen eigenen Anforderungen vergleichen.

Data Residency vs. Data Sovereignty: Was ist der Unterschied?

Data Residency zeigt dir, wo deine Dateien und die dazugehörigen Kopien – beispielsweise Backups und Dateiversionen – physisch gespeichert oder verarbeitet werden. Dadurch kannst du überprüfen, ob ein Anbieter deine Daten tatsächlich in dem Land oder der Region speichert, die du erwartest.

Data Sovereignty betrachtet das größere rechtliche Gesamtbild. Dabei geht es darum, welche rechtlichen Zuständigkeiten Regeln oder Befugnisse über deine Daten haben können – abhängig davon, wo sie gespeichert werden, wie der Anbieter seinen Service betreibt und ob andere Unternehmen die Daten verarbeiten oder darauf zugreifen können.

Beide Konzepte hängen eng zusammen, sind aber nicht dasselbe. Ein Anbieter kann deine Daten zwar im gewünschten Land speichern, trotzdem solltest du prüfen, welche Gesetze auf diese Daten Anwendung finden können.

Warum Backups, Dateiversionen und Wiederherstellungskopien für den Speicherort der Daten wichtig sind

Die Dateien, die du in einem Cloud-Ordner siehst, sind nicht die einzigen Daten, die ein Service speichern kann. Eine Cloud-Storage-Lösung kann außerdem Backups, Disaster-Recovery-Kopien, frühere Dateiversionen, Datenbanken und Metadaten enthalten. Metadaten sind unterstützende Informationen, die einem Service helfen, Dateien zu verwalten – beispielsweise Freigabeeinstellungen, Berechtigungen und Kontodetails.

Auch andere Bestandteile des Services verdienen Aufmerksamkeit. Protokolle und Monitoring-Systeme können technische Aktivitäten aufzeichnen, während externer Speicher, Third-Party-Integrationen, Support-Zugriffe und Administrationszugriffe zusätzliche Verarbeitungs- oder Zugriffswege schaffen können. Diese Daten werden möglicherweise nicht am selben Ort gespeichert oder verarbeitet wie die eigentlichen Dateien.

Wie jedes einzelne Element rechtlich behandelt wird, hängt vom jeweiligen Gesetz, vom Vertrag und von der Konfiguration des Services ab. Gehe deshalb nicht davon aus, dass die Auswahl einer einzigen Speicherregion alle Fragen zum Speicherort beantwortet. Ermittle stattdessen alle Speicher-, Verarbeitungs- und Zugriffswege, die für dein Konto gelten, und bestätige diese Informationen beim Anbieter.

CloudBased Backup bietet Managed Nextcloud Hosting in deutschen Rechenzentren an und übernimmt als Teil des Services die zugrunde liegende Infrastruktur, Sicherheitsupdates und Backups. Wiederherstellungsverfahren und Aufbewahrungsfristen unterscheiden sich je nach Tarif. Deshalb solltest du deinen Backup-Umfang im Vertrag oder im Service Level Agreement (SLA) überprüfen.

Häufige Missverständnisse über Data Residency und Data Sovereignty

• GDPR bedeutet, dass Daten die EU niemals verlassen dürfen.

Nicht unbedingt. Laut den Leitlinien der Europäischen Kommission zu internationalen Datenübermittlungen erlaubt die GDPR die Übertragung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums, wenn die erforderlichen Bedingungen und Schutzmaßnahmen eingehalten werden. Die GDPR erlaubt also Datenübermittlungen außerhalb der EU, sofern die notwendigen Schutzmaßnahmen vorhanden sind.

• Ein Rechenzentrum in der EU oder in Deutschland macht eine Organisation automatisch GDPR-konform.

Nein. Der Speicherort kann Teil einer Compliance-Strategie sein, ist aber nur ein Baustein. Auch rechtmäßige Datenverarbeitung, Sicherheitsmaßnahmen, Aufbewahrungsfristen, Verträge und interne Prozesse spielen eine wichtige Rolle.

• Verschlüsselung beantwortet jede Frage zur Data Sovereignty.

Verschlüsselung schützt Daten vor unbefugtem Zugriff, erklärt jedoch nicht, wo Daten gespeichert oder verarbeitet werden. Sie beantwortet außerdem nicht, welche rechtlichen Zuständigkeiten den Anbieter betreffen, wer die Verschlüsselungsschlüssel verwaltet oder welche Servicepartner Zugriff auf die Daten haben.

• Nur große Unternehmen müssen sich darum kümmern.

Das betrifft nicht nur große Unternehmen. Wenn du Familienfotos speicherst, vertrauliche Kundendateien versendest oder gemeinsam mit deinem Team an Dokumenten arbeitest, vertraust du einem Anbieter wichtige Daten an. Deshalb lohnt es sich zu überprüfen, wo deine Daten – einschließlich der Backups – gespeichert werden und wer darauf zugreifen kann.

Was du vor der Wahl von Cloud Storage überprüfen solltest

Diese Fragen helfen dir zu verstehen, wohin deine Daten gehen, wer darauf zugreifen kann und was du vor der Auswahl eines Cloud-Storage-Anbieters überprüfen solltest.

• In welchem Land oder welcher Region werden deine Hauptdaten gespeichert?
• Wo werden Backups, Wiederherstellungskopien und Dateiversionen gespeichert?
• Können Support-Mitarbeiter auf deine Daten zugreifen und von wo aus?
• Kann der Anbieter diese Informationen im Vertrag, SLA oder in der Vereinbarung zur Datenverarbeitung bestätigen?
• Wie lange werden Dateien, Backups und Protokolle aufbewahrt, bevor sie gelöscht werden?
• Informiert dich der Anbieter, bevor Daten verschoben oder ein neuer Serviceanbieter eingesetzt wird?
• Welche Übertragungsschutzmaßnahmen gelten, wenn personenbezogene Daten außerhalb des EWR verarbeitet werden?

FAQs

Was ist der Unterschied zwischen Data Residency und Data Sovereignty?

Data Residency zeigt dir, wo Daten gespeichert oder verarbeitet werden. Data Sovereignty zeigt dir, welche rechtlichen Zuständigkeiten Regeln oder Befugnisse über diese Daten haben können.

Verlangt die GDPR, dass personenbezogene Daten in der EU gespeichert werden?

Nein. Die GDPR schreibt nicht vor, dass alle personenbezogenen Daten innerhalb der EU gespeichert werden müssen. Sie erlaubt Übermittlungen außerhalb des Europäischen Wirtschaftsraums, sofern die erforderlichen Bedingungen und Schutzmaßnahmen eingehalten werden.

Gilt Data Residency auch für Cloud-Backups?

Ja. Cloud-Backups können dieselben Dateien und Informationen enthalten wie dein Hauptspeicher. Deshalb ist auch ihr Speicherort wichtig. Bevor du einen Anbieter auswählst, solltest du überprüfen, wo Backups gespeichert werden, wie lange sie aufbewahrt werden und ob sie in eine andere Region verschoben werden.

Macht die Speicherung von Daten in Deutschland eine Organisation automatisch GDPR-konform?

Nein. Das Hosting von Daten in Deutschland kann dabei helfen, eine gewünschte Speicherregion einzuhalten, macht eine Organisation jedoch nicht automatisch GDPR-konform. Compliance hängt außerdem von einer rechtmäßigen Datenverarbeitung, Sicherheitsmaßnahmen, den Vereinbarungen zur Datenverarbeitung, Aufbewahrungs- und Löschrichtlinien sowie den eigenen Prozessen der Organisation ab.