Was ist Data Residency?

Data Residency beschreibt, wo Daten physisch gespeichert und verarbeitet werden — in den Rechenzentren welchen Landes sie liegen und welche Gesetze, Gerichte und Behörden folglich auf sie zugreifen können. Verwandte Begriffe nuancieren das Konzept: Datensouveränität betont die rechtliche Kontrolle, die aus dem Standort folgt, und Datenlokalisierung bezeichnet Vorschriften, die bestimmte Daten innerhalb der Landesgrenzen halten. Für jede Organisation, die personenbezogene Daten von EU-Nutzern verarbeitet, hört Residency in dem Moment auf, ein Infrastrukturdetail zu sein, in dem Daten eine Grenze überqueren — denn dann greift ein ganzes Regelwerk des Transferrechts.

Warum der Standort zur Compliance-Frage wurde

Die DSGVO erlaubt personenbezogenen Daten das Verlassen des Europäischen Wirtschaftsraums nur unter bestimmten Garantien: einem Angemessenheitsbeschluss für das Zielland, Standardvertragsklauseln oder anderen anerkannten Mechanismen. Der Boden hat sich hier wiederholt verschoben — das Schrems-II-Urteil von 2020 kippte das EU-US Privacy Shield wegen US-Überwachungsrechts und zwang Tausende Unternehmen, ihre Transfers über Nacht neu zu bewerten, und auch das Nachfolge-Framework steht unter Beschuss. Jenseits der DSGVO schreiben Branchenregeln für Gesundheit, Finanzen und öffentliche Verwaltung häufig inländische oder EU-Verarbeitung direkt vor. Die praktische Lehre aus einem Jahrzehnt Rechtsstreit: Architekturen, die von der Beständigkeit eines einzelnen Transfermechanismus abhängen, erben dessen Zerbrechlichkeit — Verarbeitung, die in der EU bleibt, umgeht die Frage vollständig.

Die versteckten Transfers in Dritt-Skripten

Residency-Diskussionen kreisen meist um Datenbanken, doch die häufigsten Datenexporte einer Website passieren oft im Browser. Jedes eingebettete Dritt-Skript — Analytics, Fonts, Chat, Verifizierung — sendet Besucherdaten, mindestens die IP-Adresse, dorthin, wo die Server des Anbieters stehen; europäische Gerichte haben Website-Betreiber für genau solche Transfers über eingebettete Ressourcen bereits haftbar gemacht. Verifizierungsdienste verdienen hier besondere Aufmerksamkeit, denn sie laufen auf sensiblen Seiten — Logins, Checkouts, Registrierungsformularen — und untersuchen Besuchersignale konstruktionsbedingt. Ein Betreiber kann den eigenen Stack vollständig in der EU hosten und trotzdem bei jedem Seitenaufruf Daten ins Ausland übertragen — durch ein einziges ausländisches Bot-Erkennungs-Widget, für dessen Datenfluss er als Verantwortlicher einsteht.

Eine belastbare Residency-Position aufbauen

Die Arbeit beginnt mit einer ehrlichen Datenlandkarte: wo jeder Speicher, jedes Backup, jede Log-Pipeline und jeder Dritt-Endpunkt physisch sitzt, Unterauftragsverarbeiter eingeschlossen — ein Bild, das AVVs und Subprozessor-Listen der Anbieter überprüfbar machen müssen statt nur wohlklingend. Wo EU-Nutzer die Zielgruppe sind, beseitigt die Wahl EU-gehosteter Dienste das Transferrisiko an der Wurzel; für die Verifizierungsschicht halten europäische Anbieter wie CaptchaFox die Verarbeitung auf EU-Infrastruktur, sodass Besucherdaten die europäische Jurisdiktion nie verlassen. Die Neubewertung gehört in die Routine, denn Transfer-Frameworks wurden historisch schneller für ungültig erklärt, als Architekturen umgebaut waren — eine Residency-Position ist nur so haltbar wie der rechtliche Boden, auf dem sie steht.