Was ist Datenresidenz?
Datenresidenz bezeichnet die physische und rechtliche Frage, in welchem Land oder Rechtsraum Daten gespeichert und verarbeitet werden. Für Unternehmen in der EU ist das kein akademisches Thema: Wer personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums (EWR) verarbeitet, unterliegt strengen Anforderungen – oder verstößt im schlimmsten Fall gegen die DSGVO. Gerade bei KI-Diensten aus den USA oder Asien wird die Frage der Datenresidenz schnell geschäftskritisch.
Wie funktioniert Datenresidenz?
Im Kern geht es darum, wo Daten physisch auf Servern liegen – und welches Rechtssystem damit Zugriff auf diese Daten haben kann. Ein US-amerikanischer Cloud-Anbieter, der Server in Frankfurt betreibt, speichert Daten zwar in Deutschland, bleibt aber einem US-Recht unterworfen, das behördliche Datenzugriffe ermöglicht (z. B. durch den CLOUD Act). Datenresidenz im engeren Sinne bedeutet also nicht nur: Server in der EU, sondern auch: rechtliche Kontrolle durch europäisches Recht.
Anbieter mit echter EU-Datenresidenz garantieren vertraglich, dass Daten den EWR nicht verlassen, keine Muttergesellschaft außerhalb der EU Zugriff hat, und dass keine Drittlandübermittlung stattfindet. Das Gegenteil – Daten auf Servern außerhalb der EU ohne Standardvertragsklauseln – ist nach aktuellem EU-Recht in den meisten Fällen unzulässig.
Vorteile für Unternehmen
- Rechtssicherheit: Wer Daten nachweislich innerhalb der EU hält, reduziert das Risiko von DSGVO-Verstößen und damit verbundenen Bußgeldern erheblich.
- Vertrauen bei Kunden und Partnern: Gerade in B2B-Beziehungen ist EU-Datenhaltung ein zunehmend gefragtes Kriterium – besonders in regulierten Branchen wie Finanzen, Gesundheit oder öffentlicher Verwaltung.
- Compliance mit sektorspezifischen Vorgaben: Branchenregulierungen wie DORA (Finanzsektor) oder NIS2 (kritische Infrastruktur) schreiben teils explizit vor, wo Daten verarbeitet werden dürfen.
- Kontrolle über KI-Prozesse: Wer Large Language Models oder andere KI-Dienste einsetzt, muss prüfen, ob Eingabedaten an Server außerhalb der EU gesendet werden – Datenresidenz ist hier ein zentrales Auswahlkriterium.
Praxisbeispiele
Beispiel 1: Maschinenbauunternehmen mit KI-Qualitätskontrolle
Ein mittelständischer Maschinenbauer setzt eine KI zur Qualitätsprüfung ein, die Produktionsdaten auswertet. Diese Daten enthalten teils Informationen über Mitarbeitende (z. B. Schichtprotokolle). Bevor der Anbieter unter Vertrag genommen wird, prüft das Unternehmen, ob Daten auf EU-Servern verbleiben und ob der Anbieter einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abschließt. Ein US-Anbieter ohne EU-Region scheidet damit aus.
Beispiel 2: Steuerberatung mit KI-gestützter Dokumentenanalyse
Eine Steuerberatungskanzlei möchte Mandantendokumente automatisch auslesen und klassifizieren. Da diese Dokumente hochsensible personenbezogene Informationen enthalten, ist eine Verarbeitung außerhalb der EU keine Option. Die Kanzlei entscheidet sich für eine On-Premise-KI-Lösung, die auf eigenen Servern im Haus betrieben wird – vollständige Datenresidenz ohne externe Abhängigkeit.
Worauf du achten solltest
Ein häufiger Fehler: Anbieter werben mit "EU-Servern", ohne dass die Muttergesellschaft in einem Drittland rechtlich ausgeschlossen ist. Prüfe daher immer den Hauptsitz des Anbieters und ob der CLOUD Act oder vergleichbare Gesetze greifen könnten. Unterscheide außerdem zwischen Datenspeicherung (wo liegen die Daten?) und Datenverarbeitung (wo werden Berechnungen durchgeführt?). Beim Einsatz von KI-APIs werden Daten oft zur Verarbeitung an externe Server übertragen – selbst wenn das Ergebnis nur lokal gespeichert wird. Schließlich: Datenresidenz-Anforderungen können sich je nach Branche und Datenart unterscheiden. Lass dich von einem Datenschutzbeauftragten oder Rechtsanwalt beraten, bevor du SaaS-Dienste mit sensiblen Daten einsetzt.
Häufige Fragen
Ist Datenresidenz dasselbe wie Datenschutz?
Nein. Datenschutz ist das breitere Konzept (Schutz personenbezogener Daten). Datenresidenz ist ein spezifischer Aspekt davon – nämlich der geografische und rechtliche Ort der Datenhaltung. Datenresidenz ist eine von mehreren Anforderungen, die Datenschutz-Compliance ausmachen.
Reicht es, wenn ein US-Anbieter Server in Deutschland hat?
Nicht automatisch. Entscheidend ist, ob das Mutterunternehmen US-Recht unterliegt und ob US-Behörden unter dem CLOUD Act Zugriff auf diese Daten verlangen könnten. Das EuGH-Urteil "Schrems II" hat genau dieses Problem verdeutlicht.
Welche Alternativen gibt es für Unternehmen mit hohen Anforderungen?
Europäische Cloud-Anbieter (z. B. Hetzner, IONOS, OVHcloud), On-Premise-Lösungen oder souveräne Cloud-Angebote speziell für den öffentlichen Sektor. Für KI speziell: lokal betriebene Modelle über Tools wie Ollama oder selbst gehostete Instanzen via Hugging Face.
Fazit
Datenresidenz ist für Unternehmen im EU-Raum kein Nice-to-have, sondern ein handfestes Compliance-Kriterium – vor allem beim Einsatz von KI-Diensten, die Daten extern verarbeiten. Wer frühzeitig klärt, wo Daten landen und welchem Rechtssystem sie unterliegen, vermeidet teure Nachkorrekturen und schafft Vertrauen bei Kunden und Behörden.