„Daten in der EU“: was Datenresidenz wirklich bedeutet

„Unsere Daten liegen in der EU“ ist ein Satz. Wo sie verarbeitet, gesichert und abgerufen werden, sind vier Fragen.

„Unsere Daten liegen in Frankfurt.“ Diesen Satz findet man auf vielen Websites von Software-Anbietern – und er stimmt oft auch. Aber er beantwortet nur eine von mehreren Fragen. Wo wird verarbeitet? Wo läuft das KI-Modell? Wo liegen Sicherungen und Protokolle? Wer hat von wo Zugriff? Und wo hat der Anbieter seinen Sitz?

Gerade bei KI-Diensten im IT-Support fallen die Antworten oft auseinander. Hier ist, was hinter dem Begriff Datenresidenz steckt und welche Fragen du Anbietern stellen solltest. Hinweis: Orientierung, keine Rechtsberatung.

Datenresidenz hat mehrere Ebenen

• Ebene: Speicherung – Frage: Wo liegen die Daten dauerhaft?; Typische Falle: EU-Speicher, aber …
• Ebene: Verarbeitung – Frage: Wo werden sie verarbeitet?; Typische Falle: … Anfragen gehen an Server außerhalb der EU
• Ebene: Sicherungen – Frage: Wo liegen Backups?; Typische Falle: Backup-Region anders als Primärregion
• Ebene: Protokolle und Telemetrie – Frage: Wo landen Logs, Fehlerberichte, Nutzungsdaten?; Typische Falle: zentrale Protokollierung außerhalb der EU
• Ebene: Support-Zugriff – Frage: Wer greift von wo auf Daten zu?; Typische Falle: Support-Team in Drittland mit Vollzugriff
• Ebene: Unterauftragnehmer – Frage: Welche weiteren Dienste sind beteiligt?; Typische Falle: E-Mail-Versand, Analyse, Übersetzung in Drittländern
• Ebene: Rechtsraum – Frage: Wo hat der Anbieter seinen Sitz?; Typische Falle: EU-Rechenzentrum, aber US-Mutterkonzern

Erst wenn alle Ebenen beantwortet sind, weiß man, wo die Daten wirklich sind.

Warum spielt der Sitz des Anbieters eine Rolle?

Wegen Gesetzen wie dem US CLOUD Act. Nach diesem Gesetz von 2018 können US-Behörden unter bestimmten Voraussetzungen Daten von US-Unternehmen anfordern – auch wenn diese Daten in einem Rechenzentrum in der EU liegen. Ob und wie oft das praktisch passiert, ist umstritten; für manche Branchen und Datenarten ist schon die Möglichkeit ein Ausschlusskriterium.

Das heißt nicht, dass US-Anbieter mit EU-Rechenzentrum unzulässig wären. Mit Auftragsverarbeitungsvertrag, abgesicherten Übermittlungen – etwa über das EU-US Data Privacy Framework oder Standardvertragsklauseln – und technischen Schutzmaßnahmen ist ihr Einsatz verbreitet. Es ist eine Risikoabwägung, die viele Unternehmen je nach Datenart unterschiedlich treffen.

Besonderheit KI: wo läuft das Modell?

Bei KI-Diensten ist die wichtigste Frage oft nicht „Wo wird gespeichert?“, sondern „Wohin gehen die Anfragen?“. Ein Chatverlauf im IT-Support enthält Namen, Geräte, Fehlermeldungen, manchmal Screenshots. Wird jede Nachricht an ein Sprachmodell außerhalb der EU geschickt, verlassen diese Daten die EU – auch wenn der Verlauf danach in Frankfurt gespeichert wird.

Zusätzlich fragen:

• Werden Eingaben zum Training verwendet? Im Unternehmensumfeld sollte das ausgeschlossen sein.
• Wie lange speichert der Modellanbieter Anfragen (etwa zur Missbrauchserkennung)?
• Werden Daten vorher geschwärzt? Kennwörter und Tokens sollten gar nicht erst beim Modell ankommen.

Die Fragenliste für Anbieter

1. Wo werden Daten gespeichert – Region, Rechenzentrum?
2. Wo werden sie verarbeitet – auch vorübergehend?
3. Wo läuft das KI-Modell, und wer betreibt es?
4. Wo liegen Sicherungen, Protokolle, Telemetrie?
5. Wer hat Support-Zugriff – von wo, mit welchen Rechten, wird er protokolliert?
6. Welche Unterauftragnehmer gibt es, in welchen Ländern?
7. Werden Daten zum Training verwendet?
8. Wo hat der Anbieter seinen Sitz, gibt es eine Muttergesellschaft außerhalb der EU?
9. Wie werden Übermittlungen in Drittländer abgesichert?
10. Was passiert mit den Daten bei Vertragsende?

Die Antworten gehören in den Auftragsverarbeitungsvertrag und die Liste der Unterauftragnehmer – nicht nur auf die Website. Mehr zum Vertrag: DSGVO beim KI-Support.

Was heißt das für Systemhäuser?

14 Tage kostenlos

IT-Support, der sich selbst erledigt.

SuperSupport löst IT-Probleme direkt am Gerät, bevor ein Ticket entsteht. Teste es 14 Tage kostenlos.

Kostenlos testen

Systemhäuser setzen viele Werkzeuge gleichzeitig ein – RMM, PSA, Fernwartung, Dokumentation, Backup, KI. Jedes davon verarbeitet Kundendaten. Kunden, die unter NIS2 fallen oder in regulierten Branchen arbeiten, fragen zunehmend danach. Sinnvoll ist eine Übersicht:

• Werkzeug: RMM – Anbieter/Sitz: …; Speicherort: …; Modell/Verarbeitung: …; Unterauftragnehmer: …
• Werkzeug: PSA – Anbieter/Sitz: …; Speicherort: …; Modell/Verarbeitung: …; Unterauftragnehmer: …
• Werkzeug: Fernwartung – Anbieter/Sitz: …; Speicherort: …; Modell/Verarbeitung: …; Unterauftragnehmer: …
• Werkzeug: KI-Support – Anbieter/Sitz: …; Speicherort: …; Modell/Verarbeitung: …; Unterauftragnehmer: …

So lässt sich ein Kundenfragebogen schnell beantworten. Siehe auch NIS2 für MSPs.

Datenresidenz ist kein Selbstzweck

Für manche Daten ist die EU-Datenhaltung Pflicht oder Kundenanforderung, für andere eine Abwägung. Wichtig ist, die Entscheidung bewusst zu treffen und zu dokumentieren – statt sich auf „Rechenzentrum in Frankfurt“ zu verlassen, ohne die anderen Ebenen zu kennen.

In unseren Vergleichen mit anderen Anbietern haben wir das jeweils angesprochen – etwa bei rezolve.ai, Moveworks oder Zendesk.

Wie ist das bei SuperSupport?

Welche Unterauftragnehmer beteiligt sind, wie lange Daten gespeichert werden und wie Übermittlungen geregelt sind, steht im Vertragswerk – nicht nur auf der Website. Wie das für interne IT-Teams und Systemhäuser aussieht, steht auf den jeweiligen Seiten.

Häufige Fragen

Was bedeutet Datenresidenz?

Datenresidenz beschreibt, in welchem Land oder in welcher Region Daten gespeichert und verarbeitet werden. Für viele Unternehmen im DACH-Raum ist wichtig, dass personenbezogene und geschäftliche Daten in der EU bleiben.

Reicht ein Rechenzentrum in der EU?

Nicht immer. Neben dem Speicherort zählen der Ort der Verarbeitung – bei KI-Diensten etwa der Standort des Sprachmodells –, Sicherungskopien, Protokolle und der Support-Zugriff. Ein Anbieter kann in Frankfurt speichern und Anfragen trotzdem an ein Modell in den USA schicken.

Was ist der CLOUD Act?

Ein US-Gesetz von 2018, nach dem US-Behörden unter bestimmten Voraussetzungen Daten von US-Unternehmen anfordern können – auch wenn diese Daten außerhalb der USA gespeichert sind. Deshalb spielt neben dem Speicherort auch der Sitz des Anbieters eine Rolle.

Ist ein US-Anbieter mit EU-Rechenzentrum DSGVO-konform nutzbar?

Grundsätzlich ja, mit Auftragsverarbeitungsvertrag, Absicherung von Übermittlungen etwa über das EU-US Data Privacy Framework und passenden Schutzmaßnahmen. Die Entscheidung ist eine Risikoabwägung, die viele Unternehmen je nach Datenart unterschiedlich treffen.

Welche Fragen sollte ich einem Anbieter stellen?

Wo werden Daten gespeichert, wo verarbeitet, wo liegen Sicherungen und Protokolle? Wo läuft das KI-Modell? Wer hat von wo Support-Zugriff? Welche Unterauftragnehmer gibt es? Werden Daten zum Training verwendet? Wo hat der Anbieter seinen Sitz?

14 Tage kostenlos

IT-Support, der sich selbst erledigt.

SuperSupport löst IT-Probleme direkt am Gerät, bevor ein Ticket entsteht. Teste es 14 Tage kostenlos.

Kostenlos testen