Was ist Datenresidenz?

Datenresidenz ist der geografische Ort, an dem Ihre Daten physisch gespeichert werden – das Land oder die Region, in der Sie oder Ihr Anbieter sie aufbewahren. Es ist eine technische und vertragliche Entscheidung: Sie wählen eine Region, und der Anbieter verpflichtet sich, Ihre Daten dort zu speichern.

Die entscheidende Unterscheidung lautet: Residenz beschreibt, wo die Daten liegen, nicht, welches Recht sie regiert oder ob sie rechtmäßig ausreisen dürfen. Einen lokalen Speicherstandort so zu behandeln, als liefere er allein Compliance – manchmal „Residenz-Illusion" genannt –, ist der Fehler, den diese Seite auflösen soll.

Datenresidenz vs. Souveränität vs. Lokalisierung

Diese drei Begriffe werden austauschbar verwendet, doch sie beantworten unterschiedliche Fragen, und sie zu verwechseln ist der häufigste Weg, ungeschützt dazustehen.

• Datenresidenz ist, wo die Daten physisch liegen – eine Region, die Sie wählen.
• Datenlokalisierung ist eine gesetzliche Anforderung, dass bestimmte Daten innerhalb der Grenzen eines Landes bleiben müssen. Sie wird durch Regulierung vorgegeben, nicht gewählt.
• Datensouveränität ist, welches Recht gilt und wer letztlich den Zugriff erzwingen kann – eine Frage der Gerichtsbarkeit des Betreibers und der Schlüsselhoheit, nicht nur des Standorts.

Residenz ist somit ein Bestandteil der beiden anderen, kein Ersatz. Sie können eine Residenzzusage vollständig erfüllen und dennoch gegen ein Lokalisierungsgesetz verstoßen – wenn ein Backup eine Grenze überschreitet – oder keine Souveränität haben, wenn der Betreiber vor einem ausländischen Gericht verantwortlich ist. Zur vollständigen Behandlung der rechtlichen Seite siehe Datensouveränität.

Was Datenresidenz tatsächlich steuert – und was nicht

Residenz ist eine echte und nützliche Kontrolle, aber eine enge, und es lohnt sich, ihre Grenzen genau zu benennen.

Was sie steuert:

• Den physischen Standort Ihrer ruhenden Daten – die Region oder das Rechenzentrum, in dem die Primärkopie liegt.
• Eine vertragliche Zusage, auf die Sie sich in einem Audit oder einer Beschaffungsprüfung berufen können.
• Latenz und mitunter, welche regionalen Support- und Betriebsteams die Umgebung berühren.

Was sie nicht steuert:

• Welche Gerichtsbarkeit die Daten regiert oder welche Regierung den Betreiber zur Herausgabe zwingen kann.
• Wohin Backups, Replikate, zwischengespeicherte Kopien, Protokolle und Telemetrie gehen – sie verlassen die Residenzregion oft, sofern nicht ausdrücklich eingeschränkt.
• Wer die Daten betrieblich erreichen kann, einschließlich Remote-Support-Personal an anderen Orten.

Kurz gesagt beantwortet Residenz „wo ist die Primärkopie?" – eine Frage, die eine Antwort verdient –, aber nicht dasselbe wie „sind diese Daten konform und dem ausländischen Zugriff entzogen?".

Wo Residenz leise leckt

Eine Residenzzusage für den Primärspeicher ist leicht zu bekommen und leicht zu überschätzen. In der Praxis überqueren Daten die Grenze über Pfade, die selten auf der Regionsauswahl erscheinen:

• Backups und Disaster-Recovery-Kopien, die aus Haltbarkeitsgründen in eine zweite Region repliziert werden – oft in ein anderes Land.
• Asynchrone Replikate und Caches, einschließlich CDN-Edge-Knoten, die Kopien nahe bei Nutzern weltweit materialisieren.
• Protokolle, Metriken und Telemetrie, die an eine zentrale Observability-Plattform in der Heimatregion des Anbieters gesendet werden.
• Support- und Verwaltungszugriff durch Ingenieure in anderen Gerichtsbarkeiten, die bei der Fehlersuche Daten lesen oder exportieren können.
• Metadaten und Schlüsselmaterial, verwaltet von einer Steuerungsebene, die vollständig außerhalb der gewählten Region liegen kann.

Jedes davon ist eine legitime Funktion; jedes ist zugleich ein Weg, auf dem die tatsächliche Residenz der Daten von der im Vertrag abweicht. Residenz zu prüfen bedeutet, jede Kopie nachzuverfolgen, nicht nur den primären Bucket.

Warum Residenz allein keine Compliance ist

Den regulatorischen Rahmenwerken hinter diesen Anforderungen geht es um mehr als den Standort.

Die DSGVO verlangt nicht, dass Daten in der EU bleiben; sie regelt die Bedingungen, unter denen sie ausreisen dürfen. Ein in einer EU-Region ansässiger Datensatz kann dennoch rechtmäßig – oder unrechtmäßig – übermittelt werden, je nach genutztem Mechanismus. Der EU-US-Datenschutzrahmen, die wichtigste Grundlage transatlantischer Übermittlungen, wurde im September 2025 vom Gericht der EU bestätigt, steht aber vor einem weiteren Rechtsmittel beim Gerichtshof – der Boden ist also nicht gefestigt.

Der US CLOUD Act ist die schärfere Veranschaulichung: Er kann einen der US-Gerichtsbarkeit unterliegenden Anbieter zwingen, von ihm kontrollierte Daten herauszugeben, unabhängig von der Region, in der sie residieren. Residenz in Frankfurt entzieht eine US-Muttergesellschaft dieser Reichweite nicht. Diese Lücke zu schließen ist eine Frage der Datensouveränität – der Gerichtsbarkeit des Betreibers und der Schlüsselhoheit –, nicht der Residenz.

Datenresidenz und ARTESCA

Scality ARTESCA ist Objektspeicher, den Sie auf Ihren eigenen Standardservern bereitstellen, wodurch Residenz zu einer unmittelbaren Folge davon wird, wo Sie ihn betreiben, statt zu einer Zusage, der Sie vertrauen müssen.

• Sie wählen den Standort. Die Daten residieren in Ihrem eigenen Rechenzentrum, im Land und in der Einrichtung Ihrer Wahl, weil Sie die Infrastruktur betreiben.
• Keine implizite zweite Region. Kopien gehen dorthin, wo Sie sie konfigurieren – die Mehrstandort-Replikation platzieren Sie selbst, sodass Backups und Replikate die Gerichtsbarkeit nicht unbemerkt verlassen.
• Sie halten die Schlüssel. Ruhende Daten werden mit AES-256 verschlüsselt, wobei die Schlüssel in einem externen, KMIP-kompatiblen Schlüsselverwaltungssystem verwaltet werden und nicht auf dem Speicher selbst.
• Standard-S3-Schnittstelle. Anwendungen und Backup-Software, die für Public-Cloud-Objektspeicher geschrieben wurden, laufen unverändert, sodass das Halten einer Arbeitslast in der Region kein Neuschreiben bedeutet.

Weil Sie die Infrastruktur kontrollieren, sind Residenz, Souveränität und Lokalisierung keine getrennten Versprechen eines Dritten mehr, sondern Eigenschaften Ihrer eigenen Bereitstellung; und dieselben Daten können über S3 Object Lock unveränderlich gemacht werden, sodass sie zugleich in der Region und vor Ransomware geschützt sind.

FAQ zur Datenresidenz

Ist Datenresidenz dasselbe wie Datensouveränität?

Nein. Residenz ist der physische Speicherort der Daten; Souveränität ist, welche Gesetze sie regieren und wer den Zugriff erzwingen kann. Sie können eine Residenzanforderung erfüllen und dennoch keine Souveränität haben, wenn der Betreiber einer ausländischen Gerichtsbarkeit unterliegt.

Garantiert die Wahl einer Cloud-Region, dass meine Daten dort bleiben?

Nur die Primärkopie, und nur so weit, wie der Vertrag es festlegt. Backups, Replikate, CDN-Caches, Protokolle und Support-Zugriff können Daten alle aus der Region herausbewegen, sofern nicht jedes davon ausdrücklich eingeschränkt ist. Prüfen Sie jede Kopie, nicht nur die Regionsauswahl.

Erfüllt Datenresidenz die DSGVO?

Nicht allein. Die DSGVO regelt, wie Daten übermittelt werden dürfen, statt einen Standort vorzuschreiben. Daten in einer EU-Region zu halten hilft, doch die rechtmäßige Verarbeitung hängt weiterhin von den Übermittlungsmechanismen und Garantien ab.

Was ist der Unterschied zwischen Datenresidenz und Datenlokalisierung?

Residenz ist eine Entscheidung, die Sie über den Speicherort treffen; Lokalisierung ist eine gesetzliche Anforderung, dass bestimmte Daten ein Land nicht verlassen dürfen. Lokalisierung nimmt die Wahl – Residenz ist die Art, wie Sie sie erfüllen –, aber beide sind nicht dasselbe.

Wie garantiere ich Datenresidenz?

Der direkteste Weg ist, die Infrastruktur zu kontrollieren: selbst gehosteter oder lokaler Speicher am Standort Ihrer Wahl, mit Backups und Schlüsseln in derselben Gerichtsbarkeit. Wenn Sie einen Anbieter nutzen, verlangen Sie vertragliche Residenz für jede Kopie und bestätigen Sie, wohin Backups, Support und Telemetrie tatsächlich gehen.