Datenresidenz und Datensouveränität
Kurz gesagtDer Serverstandort ist eine Adresse. Die Jurisdiktion ist eine Zuständigkeit.
In fast jeder Ausschreibung steht die Anforderung „Datenhaltung in Deutschland". Sie ist gut gemeint und schützt weniger, als die meisten annehmen.
Was Datenresidenz regelt
Datenresidenz sagt, wo Bits auf Platten liegen. Sie ist einfach zu prüfen, einfach zu bestätigen und einfach zu bewerben. Sie hilft bei Latenz, bei manchen aufsichtsrechtlichen Vorgaben und bei der Frage, wessen Stromnetz das Rechenzentrum versorgt.
Was sie nicht regelt
Sie sagt nichts darüber, wer auf diese Bits zugreifen darf. Eine Anordnung nach dem CLOUD Act richtet sich an ein Unternehmen, nicht an ein Gebäude. Ein amerikanischer Konzern mit einem Rechenzentrum in Frankfurt bleibt ein amerikanischer Konzern. Siehe US CLOUD Act.
Sie sagt außerdem nichts über den Fernzugriff im Betrieb. Wenn die nächtliche Rufbereitschaft in Seattle sitzt und Administratorrechte hat, liegen die Daten in Frankfurt und der Zugriff in Washington.
Die drei Fragen, die stattdessen zählen
- 01Wer hat die Schlüssel? Verschlüsselung, deren Schlüssel beim Anbieter liegt, hilft gegen Diebstahl, nicht gegen eine Anordnung an genau diesen Anbieter. Siehe Schlüsselhoheit (BYOK und HYOK).
- 02Welchem Recht unterliegt der Mutterkonzern? Nicht die Tochtergesellschaft, die den Vertrag unterschreibt.
- 03Wer hat administrativen Fernzugriff, und aus welchem Land? Diese Frage steht selten in einer Ausschreibung und beantwortet oft alles.
Eine bessere Formulierung
Statt „Datenhaltung in Deutschland" fordern Sie: Verarbeitung, Betrieb und Support ausschließlich durch Personal in der EU, keine Verfügungsgewalt eines Unternehmens außerhalb der EU über die Daten, und Schlüsselverwaltung beim Auftraggeber.
Das ist länger. Es ist auch der Unterschied zwischen einer Zusicherung und einer Zusicherung, die etwas bedeutet.