Was bedeutet what is data residency: Eine Erklärung 2026

Du prüfst gerade einen Cloudvertrag für dein Team. Der Anbieter nennt ein Rechenzentrum in Frankfurt, verspricht aber gleichzeitig weltweiten Support und globale Zugriffe. Plötzlich ist unklar: Wo liegen eure Daten wirklich, und welches Recht kontrolliert den Anbieter?

Diese Unsicherheit betrifft nicht nur IT-Verantwortliche. Sie betrifft Gründer, Freelancer, Manager und jedes Team, das Kundendaten, Gesprächsnotizen oder interne Dokumente in einer Cloud verarbeitet. Ein Serverstandort in Deutschland klingt zunächst eindeutig. Er beantwortet aber nur einen Teil der Frage.

Der entscheidende Unterschied lautet: Physischer Speicherort und rechtliche Kontrolle sind nicht dasselbe. Genau diese Trennung wird bei der Frage „what is data residency“ oft übersehen.

Inhaltsverzeichnis

• Einführung in Datenresidenz
• Grundlagen der Datenresidenz
  • Der physische Ort
• Rechtliche Grundlagen in der EU
  • Die wichtigsten Mechanismen
  • Artikel 48 und staatliche Herausgabeverlangen
• Unterschied zu Datenhoheit und Datenlokalisierung
  • Datenresidenz ist der Standort
  • Datenhoheit ist die Kontrolle
  • Datenlokalisierung ist eine gesetzliche Pflicht
• Praxisbeispiele für Datenresidenz
• Best Practices für EU Teams
• Fazit zur Bedeutung von Datenresidenz

Einführung in Datenresidenz

Ein deutschsprachiges Team prüft eine neue Software. Im Vertrag steht „EU-Hosting“. Gleichzeitig arbeiten Supportmitarbeitende in mehreren Ländern, und Unterauftragnehmer bleiben unklar. Für das Team stellt sich damit eine praktische Frage: Reicht der genannte Serverstandort wirklich aus?

Datenresidenz beschreibt, wo Daten gespeichert und verarbeitet werden. Das ist zunächst eine geografische Angabe. Ein Rechenzentrum in der EU kann den physischen Speicherort klären. Es beantwortet jedoch nicht automatisch, welches Unternehmen die Systeme kontrolliert oder welchem Recht dieses Unternehmen unterliegt.

Darum solltest du vier Punkte getrennt prüfen: Liegen die produktiven Daten in der EU? Gilt das auch für Backups, Protokolle und Verarbeitungen? Wer kann administrativ zugreifen? Und kann das Recht des Anbieterlandes eine Herausgabe verlangen?

Praktische Regel: Frage nie nur „Wo steht der Server?“. Frage auch „Wer kontrolliert den Anbieter, wer administriert die Systeme und welches Recht kann eine Herausgabe verlangen?“

Gerade für EU-Teams entsteht hier ein Risiko, das in vielen Erklärungen fehlt. Daten können physisch in Deutschland liegen, während ein Anbieter mit Sitz außerhalb der EU rechtlich zur Weitergabe verpflichtet werden kann. Ein möglicher Zugriff nach dem US Cloud Act hängt daher nicht allein vom Standort des Rechenzentrums ab.

Grenzüberschreitende Zugriffe entstehen außerdem durch Support, internationale Unterauftragnehmer oder Administratoren außerhalb der EU. Data Residency ist deshalb kein reines Marketingwort. Sie hilft dir, Speicher- und Verarbeitungsorte zu prüfen. Für eine belastbare Entscheidung brauchst du zusätzlich Angaben zu Zugriffen, Verträgen, Verschlüsselung und anwendbarem Recht.

Grundlagen der Datenresidenz

Ein Unternehmen speichert Kundendaten in einem Rechenzentrum in Frankfurt. Die Anwendung verarbeitet einzelne Inhalte jedoch in einer anderen Region, und Backups liegen möglicherweise noch an einem weiteren Ort. Genau hier beginnt die Prüfung der Datenresidenz.

Der physische Ort

Datenresidenz bezeichnet den geografischen Ort, an dem Daten gespeichert und verarbeitet werden. Sie beantwortet zunächst eine Ortsfrage. Eine rechtliche Einordnung folgt daraus nicht automatisch, wie die Erklärung zur Datenresidenz beschreibt.

Bei einem Dienst können mehrere Speicher- und Verarbeitungsorte relevant sein:

• Primärspeicher: Dort liegen die produktiven Daten.
• Verarbeitung: Dort werden Daten analysiert, transkribiert oder für eine Antwort genutzt.
• Backups: Sicherungskopien können in einer anderen Region liegen.
• Protokolle: Zugriffs- und Systemdaten werden oft getrennt gespeichert.
• Supportzugriff: Mitarbeitende des Anbieters können aus einem weiteren Land auf Systeme zugreifen.

Ein Standort in Deutschland sagt deshalb nur, wo Daten physisch liegen. Er sagt nicht, wer die Infrastruktur kontrolliert oder welches Recht für den Anbieter gilt. Ein Anbieter kann Daten in Deutschland speichern und trotzdem einer ausländischen Rechtsordnung unterliegen. Für EU-Teams ist das besonders beim US Cloud Act relevant. Der physische Speicherort allein schließt einen möglichen rechtlichen Herausgabezugriff nicht aus.

Die DSGVO schreibt keinen einheitlichen Speicherort für Deutschland oder die EU vor. Sie legt fest, unter welchen Bedingungen personenbezogene Daten in Drittländer übermittelt werden dürfen. Für die praktische Prüfung zählen daher beide Ebenen: Wo liegen die Daten, und wer besitzt die rechtliche und technische Zugriffsmacht?

Bei einer Speech-to-Text-Anwendung gehören Audiodateien, Transkripte, Protokolle und Löschprozesse in die Prüfung. Die Dokumentation von fluesta zeigt, welche Angaben du bei einer konkreten Produktprüfung heranziehen kannst.

Rechtliche Grundlagen in der EU

Die DSGVO verbietet nicht pauschal jede Verarbeitung ausserhalb der EU. Sie setzt dafür aber einen rechtlichen Rahmen. Sobald personenbezogene Daten die EU oder den EWR verlassen, prüfst du die Regeln aus Kapitel V der DSGVO.

Artikel 44 DSGVO bildet den Ausgangspunkt. Übermittlungen in Drittländer müssen die Bedingungen dieses Kapitels erfüllen. Der Wissenschaftliche Dienst des Deutschen Bundestages weist darauf hin, dass eine Übertragung seit Schrems II nicht einfach nur auf einen Angemessenheitsbeschluss nach Artikel 45 gestützt werden kann.

Die wichtigsten Mechanismen

Ein Angemessenheitsbeschluss nach Artikel 45 kann eine Übermittlung ermöglichen, wenn die EU-Kommission für ein Land ein angemessenes Datenschutzniveau festgestellt hat. Das ist kein allgemeiner Freifahrtschein für jeden Anbieter und jede Verarbeitung. Du musst weiterhin prüfen, ob der konkrete Datenfluss vom Beschluss erfasst wird.

Standardvertragsklauseln, häufig als SCCs bezeichnet, sind geeignete Garantien für bestimmte Übermittlungen. Sie stehen aber nicht allein. Der Verantwortliche muss die konkrete Situation bewerten und prüfen, ob zusätzliche Risiken durch Zugriffsrechte oder die Rechtslage im Empfängerland bestehen.

Binding Corporate Rules können innerhalb internationaler Unternehmensgruppen eingesetzt werden. Sie schaffen interne Regeln für grenzüberschreitende Datenflüsse und gehören ebenfalls zu den möglichen geeigneten Garantien.

Artikel 48 und staatliche Herausgabeverlangen

Besonders wichtig ist Artikel 48 DSGVO. Entscheidungen oder Anordnungen von Gerichten oder Verwaltungsbehörden eines Drittlands zur Herausgabe personenbezogener Daten dürfen nur anerkannt werden, wenn sie auf einem internationalen Übereinkommen beruhen, etwa einem Rechtshilfeabkommen. Das erläutert der Bundestag in seiner Einordnung zu Artikel 48 DSGVO und dem CLOUD Act.

Der CLOUD Act allein erfüllt diese DSGVO-Anforderung laut diesem Gutachten nicht. Das bedeutet für EU-Teams: Ein Anbieter kann technisch in Europa hosten und trotzdem in einen Konflikt zwischen US-Recht und europäischem Datenschutz geraten.

Eine weitere gemeinsame rechtliche Bewertung deutscher Datenschutzaufsichtsbehörden zur US-Datenübermittlung beschreibt genau dieses Spannungsfeld. Ein US-Unternehmen kann dem Marktortprinzip der DSGVO und zugleich dem CLOUD Act unterliegen. Eine blosse CLOUD-Act-Anordnung reicht danach in der Regel nicht als rechtmässige Grundlage für die Herausgabe personenbezogener Daten.

Für deine Anbieterprüfung reicht die Frage „Gibt es EU-Server?“ daher nicht. Prüfe auch Unternehmenssitz, Konzernstruktur, Unterauftragsverarbeiter, Supportzugriffe und vertragliche Garantien. Ergänzende Informationen zur Verarbeitung findest du in der Datenschutzerklärung von fluesta.

Unterschied zu Datenhoheit und Datenlokalisierung

Die drei Begriffe hängen zusammen, beschreiben aber unterschiedliche Anforderungen. Wer sie vermischt, bestellt schnell eine technische Lösung, die das eigentliche Compliance-Problem nicht löst.

Datenresidenz ist der Standort

Bei Datenresidenz geht es um die geografische Zuordnung. Ein Anbieter kann dir zusichern, dass Daten in Deutschland oder der EU gespeichert werden. Diese Zusicherung muss möglichst genau sein. Sie sollte auch Backups, Protokolle und Verarbeitungsschritte berücksichtigen.

Datenhoheit ist die Kontrolle

Datenhoheit geht weiter. Sie fragt, wer über Zugriff und Nutzung entscheidet und welchem Recht der Anbieter unterliegt. Laut Einordnung zur deutschen Datensouveränität und BfDI-Compliance kann ein US-Anbieter Daten auch dann herausgeben müssen, wenn sie physisch in Frankfurt oder Amsterdam liegen.

Der Standort allein erzeugt also keine vollständige rechtliche Kontrolle. Ein europäisches Rechenzentrum kann die Datenresidenz erfüllen, während die Datenhoheit weiterhin von der Rechtsordnung und Organisation des Anbieters geprägt wird.

Datenlokalisierung ist eine gesetzliche Pflicht

Datenlokalisierung meint eine verbindliche Vorgabe, Daten innerhalb einer bestimmten Jurisdiktion zu speichern. Sie ist damit stärker als eine freiwillige Hosting-Präferenz.

Für die Praxis hilft diese Reihenfolge:

• Standort klären: Wo liegen Daten und Kopien?
• Kontrolle klären: Wer kann zugreifen oder Anweisungen erhalten?
• Pflicht klären: Gibt es ein Gesetz, das einen bestimmten Ort verlangt?

So formulierst du Anforderungen präzise. Statt pauschal „alles muss in Deutschland bleiben“ zu verlangen, kannst du unterscheiden, ob es um Speicherort, Zugriffshoheit oder eine zwingende Lokalisierung geht.

Praxisbeispiele für Datenresidenz

Ein FinTech-Startup aus der EU speichert Kundendaten, Backups und Verarbeitungsdaten in europäischen Rechenzentren. Die Gründer prüfen trotzdem, wer den Cloudanbieter kontrolliert und ob Supportzugriffe ausserhalb der EU möglich sind. Ein EU-Standort beantwortet diese Rechtsfrage nicht automatisch. Besonders bei US-Anbietern kann der Cloud Act relevant werden, selbst wenn die Daten physisch in Europa liegen. Der Speicherort und die rechtliche Kontrolle sind zwei getrennte Prüfungen.

Ein Freelancer arbeitet mit einem Hybridansatz. Projektdateien liegen bei einem EU-gehosteten Anbieter, während ein separates Kommunikationswerkzeug internationale Dienste nutzt. Er trennt die Datenklassen bewusst und dokumentiert, welche Informationen in welchem System verarbeitet werden. So bleibt sichtbar, wo ein physischer Speicherort endet und wo Zugriffe durch Anbieter oder Supportteams beginnen.

Ein internationales KMU organisiert seine gruppenweiten Datenflüsse mit Binding Corporate Rules. Die zentrale Rechtsabteilung legt Regeln für Zugriffe, Verantwortlichkeiten und Übermittlungen fest. Die Teams arbeiten international, folgen dabei aber dokumentierten Leitplanken.

Datenresidenz wird praxistauglich, wenn du Speicherorte, Zugriffsrechte und tatsächliche Arbeitsabläufe gemeinsam prüfst.

Die drei Beispiele verfolgen unterschiedliche Wege. Das FinTech begrenzt Speicherorte und untersucht die Anbieterstruktur. Der Freelancer trennt Systeme und Datenklassen. Das KMU schafft einen konzernweiten Rahmen für verteilte Verarbeitung.

Deutschland hat eine grosse internationale Bevölkerung. Organisationen arbeiten deshalb häufig mit Beschäftigten, Kundinnen und Kunden sowie Teams an verschiedenen Orten. Diese Verteilung macht klare Datenflüsse besonders wichtig.

Bei jedem Szenario helfen dieselben Fragen:

• Welche Daten sind sensibel? Kundendaten, Audiodateien und interne Unterlagen verdienen eine getrennte Betrachtung.
• Welche Verarbeitung findet statt? Speicherung, Analyse, Support und Backup können verschiedene Orte betreffen.
• Welche Kontrolle ist nötig? Verschlüsselung, Rollen und Schlüsselverwaltung beeinflussen die tatsächliche Datenhoheit.
• Welche Nachweise existieren? Verträge, technische Dokumentation und Protokolle machen die Entscheidung nachvollziehbar.

Weitere Beispiele für Arbeitsabläufe und Produktivität findest du im fluesta Blog. Entscheidend ist die vollständige Datenkette, nicht nur die Auswahl einer Region.

Best Practices für EU Teams

Eine gute Datenresidenz-Strategie beginnt mit einer Bestandsaufnahme. Du musst wissen, welche Daten dein Team verarbeitet und welche Systeme daran beteiligt sind. Danach vergleichst du Anbieter nicht nur nach Preis und Funktionen, sondern auch nach Speicherort, Zugriffspfad und Rechtsrahmen.

• Rechenzentren prüfen: Lass dir bestätigen, wo Produktivdaten, Backups, Protokolle und Verarbeitungen stattfinden. „EU-gehostet“ sollte nicht die einzige Information im Vertrag bleiben.

• Anbieterrecht bewerten: Prüfe Sitz, Konzernstruktur und mögliche gesetzliche Zugriffspflichten. Ein EU-Standort und ein europäischer Anbieter sind unterschiedliche Kriterien.

• Verträge lesen: Suche nach Angaben zu Unterauftragsverarbeitern, internationalen Zugriffen und Löschfristen. Bei Drittlandübermittlungen prüfst du die passenden Garantien nach Kapitel V DSGVO.

• Standardvertragsklauseln einordnen: SCCs können ein wichtiger Baustein sein. Sie ersetzen aber keine Bewertung der konkreten Zugriffsmöglichkeiten und technischen Risiken.

• Verschlüsselung konkretisieren: Kläre, ob Daten bei Übertragung und Speicherung geschützt sind. Frage zusätzlich, wer die Schlüssel verwaltet und ob der Anbieter selbst Zugriff auf Klartextdaten erhält.

• Audit und Reporting verlangen: Ein Anbieter sollte dir nachvollziehbar zeigen können, wo Daten verarbeitet werden und welche Dienstleister beteiligt sind. Prüfe, ob diese Informationen regelmässig aktualisiert werden.

• Löschung nachvollziehen: Bei einer Anwendung mit Sprache gehören Audiodateien, Transkripte und technische Protokolle in den Löschprozess. Ein kurzer Aufbewahrungszeitraum reduziert die Menge gespeicherter Daten, ersetzt aber keine rechtliche Prüfung.

• Dienstleisterwechsel vorbereiten: Dokumentiere Datenflüsse so, dass du eine Migration bewerten kannst. Prüfe, ob Backups, Exporte und Supportzugänge beim Wechsel ebenfalls berücksichtigt werden.

• Nutzer informieren: Erkläre Mitarbeitenden und Kunden verständlich, wo Daten verarbeitet werden und welche Zwecke gelten. Transparenz hilft, Erwartungen und tatsächliche Prozesse zusammenzubringen.

• DPIA prüfen: Wenn die Verarbeitung voraussichtlich ein hohes Risiko für betroffene Personen erzeugt, klärst du, ob eine Datenschutz-Folgenabschätzung erforderlich ist. Die Entscheidung sollte zu Verarbeitung, Datenart und Zugriffssituation passen.

Für Teams mit hohem Schreibaufkommen kann eine Desktop-App wie fluesta relevant sein. fluesta funktioniert systemweit in jedem Programm, wandelt gesprochene Sprache in Text um und nennt Zero Data Retention, EU-Hosting sowie keinen US CLOUD Act als Produktmerkmale. Die Anwendung wird von Simon und Furkan in Berlin gegründet, verarbeitet Sprache nach eigener Darstellung und löscht sie anschliessend. Prüfe solche Angaben trotzdem immer gegen die aktuelle Dokumentation und deine eigene Verarbeitungssituation.

Fazit zur Bedeutung von Datenresidenz

Die Frage „what is data residency“ lässt sich einfach beginnen: Es geht um den geografischen Ort, an dem Daten gespeichert und verarbeitet werden. Für eine belastbare Datenschutzentscheidung reicht diese Antwort aber nicht aus.

Du musst zusätzlich Datenhoheit, Anbieterrecht, Zugriffe, Backups und mögliche Drittlandübermittlungen prüfen. Die DSGVO verlangt keinen pauschalen Speicherort in Deutschland. Sie verlangt einen rechtssicheren Umgang mit internationalen Datenflüssen.

Eine klare Strategie macht deine Beschaffung nachvollziehbar. Sie hilft deinem Team, Anforderungen präzise zu formulieren und Anbieter fair zu vergleichen. So wird Datenresidenz von einem unklaren Schlagwort zu einer praktischen Entscheidung für Datenschutz und digitale Souveränität.

---

Wenn du Sprache im Arbeitsalltag effizient verarbeiten möchtest, kannst du fluesta als EU-gehostete Speech-to-Text-Desktop-App für Mac und Windows prüfen. Sie funktioniert systemweit in jedem Programm, bietet Zero Data Retention und ist im Pro-Plan für 14 Euro pro Monat erhältlich, aktuell mit 50 Prozent Betaphase-Rabatt.