Datenresidenz

Woher der Begriff kommt und wo er normiert ist

Datenresidenz, englisch data residency, stammt aus der Vertragspraxis der Cloud-Anbieter. Er beschreibt eine Zusage: In welchem Land oder in welcher Region werden die Daten eines Kunden gespeichert und verarbeitet. Große Anbieter setzen diese Zusage über die Wahl einer Region um, kleinere über den Standort ihrer Rechenzentren.

Im europäischen Datenschutzrecht kommt der Begriff nicht vor. Die Datenschutz-Grundverordnung schreibt keinen Speicherort vor. Sie knüpft ihren räumlichen Anwendungsbereich in Art. 3 an die Niederlassung des Verantwortlichen und an den Ort der betroffenen Personen, und sie regelt in Kapitel V die Übermittlung in Drittländer. Ein Server in Deutschland ist danach weder vorgeschrieben noch für sich genommen ausreichend.

Am nächsten kommt der Sache ein Prüfkatalog: Der Kriterienkatalog C5 des BSI verlangt vom Anbieter Angaben zu den Rahmenbedingungen seines Dienstes, darunter die eingesetzten Subdienstleister, die geografische Lage der Rechenzentren und den Umgang mit Ermittlungsanfragen staatlicher Stellen. Das ist keine Definition von Datenresidenz, aber die verbreitetste Form, sie überprüfbar zu machen.

Was einen Ort hat und was die Angabe wert ist

Die Frage nach dem Ort hat nie nur eine Antwort. In einer Plattform, die Dateien speichert und mit KI durchsuchbar macht, hat jeder einzelne Schritt seinen eigenen Ort, und diese Orte können auseinanderfallen.

• Der Primärspeicher, also die abgelegten Dateien selbst.
• Die Sicherungskopien. Sie liegen oft in einer anderen Region als das Original, genau das ist ihr Zweck.
• Der Suchindex und der Vektorspeicher. Sie enthalten Textabschnitte im Klartext oder als Einbettung und sind damit datenschutzrechtlich so zu behandeln wie die Dokumente selbst.
• Die Berechnung der Einbettungen und die Antwortgenerierung. Zwei getrennte Schritte, die bei verschiedenen Anbietern liegen können.
• Protokolle, Fehlerüberwachung und Telemetrie. Der unterschätzte Punkt: Hier landen regelmäßig Daten bei Anbietern, die im Hauptvertrag gar nicht auftauchen.
• Der Zugriff durch Betrieb und Support. Ein Rechenzentrum in Frankfurt hilft wenig, wenn die Fernwartung von außerhalb erfolgt.

Daraus folgt der praktische Umgang mit der Angabe: Eine pauschale Zusage wie Server in Deutschland ist keine prüfbare Aussage, solange nicht dabei steht, für welche dieser Schritte sie gilt und welche ausgenommen sind.

Wie Anbieter Datenresidenz umsetzen

• Regionenwahl beim Hyperscaler: Der Kunde wählt eine europäische Region. Die Daten liegen dort, der Betreiber bleibt derselbe. Das beantwortet die Ortsfrage und nicht die Frage nach dem Rechtsraum.
• Souveräne Angebote: Betrieb durch einen lokalen Partner, teils mit eigener Gesellschaft und eigenem Personal. Die Konstruktionen unterscheiden sich stark, entscheidend ist, wer technisch Zugriff hat.
• Europäische Anbieter mit eigenen Rechenzentren: Ort und Betreiber fallen zusammen. Der Prüfaufwand verlagert sich auf die Unterauftragsverarbeiter, die trotzdem dabei sind.
• Betrieb im eigenen Haus: Der Ort ist unstrittig, dafür liegen Betrieb, Aktualisierung und Ausfallsicherheit vollständig beim Anwender.
• Nachweis über ein Testat: Ein Bericht nach C5 oder eine Zertifizierung nach ISO 27001 belegt geprüfte Angaben. Sie belegt nicht denselben Sachverhalt wie eine Selbstauskunft, und das ist der ganze Unterschied.

Wie Nexoria das umsetzt

Nexoria macht die Ortsangabe je Verarbeitungsschritt, nicht pauschal. Die folgende Tabelle gibt die Angaben aus der Claim-Registry und dem Verzeichnis nach Art. 30 wieder, einschließlich der Ausnahmen.

Die Zeilen der Tabelle sind Kurzformen. Maßgeblich ist der freigegebene Wortlaut, und der lautet: Dateien, Index, Suche und Antwortaufbereitung laufen auf dedizierten Servern in deutschen Rechenzentren. Website und Dashboard werden ebenfalls in Deutschland gehostet.

Dokument-Embeddings, Analyse und semantische Suche laufen vollständig lokal auf deutschen Servern. Die Antwortgenerierung nutzt Mistral AI mit Sitz in Paris, EU. Die Verarbeitungskette der Kernplattform bleibt in der EU. Die Internetsuche läuft über eine eigene Suchinfrastruktur auf deutschen Servern. Suchanfragen werden nicht an Bing oder Google weitergeleitet.

Die Plattform läuft ohne Public-Cloud-Infrastruktur wie AWS, Azure oder Google Cloud.

Zu den Rechenzentren selbst: Die Rechenzentren, in denen die Plattform läuft, sind ihrerseits nach ISO 27001 zertifiziert. Das betrifft die Infrastruktur, nicht Nexoria als Anbieter.

Wo die Grenzen liegen

Für die Kernplattform gilt: Für Hosting, Datenbanken und KI-Modelle der Kernplattform ist kein US-Rechtssubjekt an der Verarbeitung beteiligt. Dazu gehört bei jeder Wiedergabe die Einschränkung: Die technische Fehlerüberwachung läuft über Sentry mit Sitz in den USA, ohne Zugriff auf Dokumentinhalte, namentlich benannt im Verzeichnis nach Art. 30. Die E-Mail-Integration über Microsoft Graph API und Gmail API greift nur bei aktiver Integration.

• Die Angaben sind Selbstauskunft. Ein externes Testat nach C5 oder eine Zertifizierung des Anbieters liegt nicht vor, siehe die Angaben unter Security.
• Ein Ort ist keine Rechtsfolge. Welchem Recht ein Betreiber unterliegt und wer bei ihm Zugriff verlangen kann, ist eine andere Frage, siehe Datensouveränität.
• Die Tabelle oben ist der Stand vom Datum unten auf dieser Seite. Unterauftragsverarbeiter ändern sich, maßgeblich ist immer das Verzeichnis nach Art. 30.

Der Unterschied zwischen Ort und Kontrolle ist der Kern der Sache. Er ist unter Datensouveränität ausgeführt, die vollständige Verarbeitungsübersicht steht unter Security.