Wo Ihre Daten wirklich liegen: Datenresidenz, regulatorische Pflichten und Cloud-Strategien für deutsche Unternehmen

Die Cloud verspricht Skalierbarkeit, Kosteneffizienz und Innovationsgeschwindigkeit. Doch für Unternehmen im Finanzsektor, im Gesundheitswesen oder im Bereich kritischer Infrastrukturen stellt sich vor jeder Migrationsentscheidung eine grundlegende Frage: Wo befinden sich die Daten physisch – und wer hat tatsächlich Zugriff darauf? Die Antwort darauf ist nicht nur eine technische, sondern vor allem eine rechtliche und strategische Angelegenheit.

Der rechtliche Rahmen: DSGVO, NIS2 und branchenspezifische Vorgaben

Die Datenschutz-Grundverordnung (DSGVO) bildet das Fundament aller datenschutzrechtlichen Überlegungen in Deutschland und der Europäischen Union. Sie schreibt nicht zwingend vor, dass Daten auf deutschem Boden gespeichert werden müssen – wohl aber, dass bei einer Übermittlung in Drittstaaten außerhalb des EWR ein angemessenes Datenschutzniveau gewährleistet sein muss. Transfers in die USA, nach Indien oder in andere Länder ohne Angemessenheitsbeschluss der EU-Kommission sind nur unter strengen Auflagen zulässig, etwa durch Standardvertragsklauseln (SCCs) in Verbindung mit ergänzenden technischen Schutzmaßnahmen.

Die NIS2-Richtlinie, die seit Oktober 2024 in nationales Recht umzusetzen war, erweitert den Kreis der verpflichteten Einrichtungen erheblich. Betreiber wesentlicher und wichtiger Dienste – darunter Energieversorger, Gesundheitseinrichtungen, Finanzdienstleister und Teile der digitalen Infrastruktur – müssen nun nachweisen, dass ihre IT-Systeme, einschließlich genutzter Cloud-Dienste, bestimmten Sicherheitsstandards entsprechen. Datenresidenz ist dabei kein isoliertes Thema, sondern Teil eines umfassenderen Anforderungsprofils rund um Risikomanagement, Incident-Reporting und Lieferkettensicherheit.

Darüber hinaus existieren sektorspezifische Regelwerke, die eigene Anforderungen stellen:

• Finanzsektor: Die Europäische Aufsichtsbehörde EBA sowie die BaFin haben detaillierte Leitlinien zum Outsourcing und zur Cloud-Nutzung veröffentlicht. Der Digital Operational Resilience Act (DORA), der ab Januar 2025 vollständig gilt, verschärft die Anforderungen an IKT-Dienstleister und deren Verträge erheblich.
• Gesundheitswesen: Das Gesundheitsdatennutzungsgesetz (GDNG) und die Vorgaben der Landesdatenschutzbehörden schränken die Verarbeitung von Patientendaten in Cloud-Umgebungen außerhalb der EU stark ein. Krankenhäuser und Kassensysteme müssen in der Regel sicherstellen, dass besonders schützenswerte Gesundheitsdaten ausschließlich in Deutschland oder zumindest innerhalb der EU verarbeitet werden.
• Kritische Infrastrukturen (KRITIS): Das BSI-Gesetz (BSIG) und die zugehörigen Sektorenverordnungen verpflichten KRITIS-Betreiber zu Nachweisen über die Sicherheit ihrer IT-Systeme. Cloud-Dienstleister, die für KRITIS-Betreiber tätig werden, müssen entsprechende Zertifizierungen vorweisen können.

Technische Dimensionen der Datenresidenz

Datenresidenz bedeutet im Cloud-Kontext mehr als die bloße Angabe eines Rechenzentrumstandorts im Dienstleistungsvertrag. Technisch betrachtet umfasst sie mindestens drei Ebenen:

1. Primärspeicherung und Verarbeitung: Wo werden die Daten aktiv gespeichert und prozessiert? Viele Hyperscaler bieten inzwischen dedizierte Regionen in Deutschland oder der EU an – beispielsweise Frankfurt oder München – und ermöglichen es, Daten geografisch einzugrenzen.

2. Replikation und Backup: Hochverfügbarkeitsarchitekturen replizieren Daten häufig in sekundäre Standorte. Unternehmen müssen sicherstellen, dass auch diese Replikationsziele innerhalb des zulässigen geografischen Rahmens liegen.

3. Metadaten und Logging: Oft übersehen, aber regulatorisch relevant: Auch Metadaten, Zugriffsprotokolle und Telemetriedaten können personenbezogene Informationen enthalten und unterliegen damit der DSGVO.

Zusätzlich gewinnt das Konzept der technischen Souveränität an Bedeutung: Unternehmen wollen nicht nur wissen, wo ihre Daten liegen, sondern auch sicherstellen, dass kein ausländischer Staat auf diese Daten zugreifen kann – etwa durch extraterritoriale Gesetze wie den US CLOUD Act. Verschlüsselung mit kundenseitig verwalteten Schlüsseln (Customer-Managed Keys, CMK) ist hier ein zentrales technisches Mittel.

Vertragliche Absicherung: Was in Cloud-Verträgen geregelt sein muss

Technische Maßnahmen allein genügen nicht. Die rechtliche Absicherung erfolgt über den Vertrag mit dem Cloud-Anbieter. Folgende Punkte sollten in keinem Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO fehlen:

• Explizite Benennung der Verarbeitungsstandorte, inklusive Backup- und Disaster-Recovery-Standorte
• Einschränkung von Subunternehmern, insbesondere solcher mit Sitz außerhalb der EU
• Regelungen zu behördlichen Zugriffsanfragen und die Verpflichtung des Anbieters, betroffene Kunden unverzüglich zu informieren
• Auditrechte und Zertifizierungsnachweise, etwa ISO 27001, BSI C5 oder SOC 2 Type II
• Klare Exit-Klauseln, die eine Rückgabe oder Löschung von Daten in definierten Fristen und Formaten garantieren

Der BSI-Anforderungskatalog Cloud Computing (C5) hat sich in Deutschland als de-facto-Standard für die Bewertung von Cloud-Dienstleistern etabliert. Ein C5-Testat ist für viele regulierte Unternehmen inzwischen ein Mindestkriterium bei der Anbieterauswahl.

Praktische Cloud-Strategien für regulierte Unternehmen

Angesichts dieser Anforderungen haben sich in der Praxis verschiedene Architekturansätze bewährt:

Sovereign Cloud und Government Cloud: Angebote wie die Deutsche Telekom Open Telekom Cloud, die Stackit-Plattform von Schwarz Digits oder dedizierte Sovereign-Cloud-Varianten internationaler Hyperscaler richten sich gezielt an Unternehmen mit hohen Compliance-Anforderungen. Sie bieten Datenhaltung ausschließlich in deutschen oder europäischen Rechenzentren, häufig kombiniert mit einem europäisch kontrollierten Betriebsmodell.

Hybride Architekturen: Für viele Unternehmen ist ein vollständiger Wechsel in die Public Cloud weder sinnvoll noch regulatorisch zulässig. Hybridmodelle, bei denen besonders sensible Daten und Kernanwendungen im eigenen Rechenzentrum oder in einer Private Cloud verbleiben, während unkritische Workloads in der Public Cloud betrieben werden, bieten einen pragmatischen Kompromiss.

Datenkategorisierung als Grundlage: Jede Cloud-Strategie in regulierten Umgebungen beginnt mit einer strukturierten Klassifizierung der vorhandenen Daten. Welche Informationen sind besonders schützenswert? Welche Verarbeitungsvorgänge erfordern besondere Schutzmaßnahmen? Erst auf Basis dieser Analyse lässt sich eine belastbare Architekturentscheidung treffen.

Fazit: Compliance und Cloud-Nutzung schließen sich nicht aus

Die regulatorischen Anforderungen rund um Datenresidenz und Datensouveränität sind komplex – sie sind jedoch kein unüberwindbares Hindernis für die Cloud-Nutzung. Unternehmen, die frühzeitig eine strukturierte Datenstrategie entwickeln, die richtigen Anbieter auswählen und vertragliche sowie technische Schutzmaßnahmen konsequent umsetzen, können von den Vorteilen moderner Cloud-Infrastrukturen profitieren, ohne dabei ihre Compliance-Pflichten zu vernachlässigen.

Die Frage lautet nicht länger, ob Cloud – sondern welche Cloud, unter welchen Bedingungen und mit welchem Kontrollniveau. Für deutsche Unternehmen in regulierten Branchen ist eine durchdachte Datenresidenzstrategie damit kein optionaler Zusatz, sondern ein integraler Bestandteil jeder zukunftsfähigen Cloud-Architektur.