Datenhoheit & Geodaten-Hosting

Wo dein Server steht, entscheidet, welche Gesetze für deine Daten gelten – und welche Regierungen Zugriff darauf verlangen können. Das ist kein hypothetisches Compliance-Problem. Für jedes Unternehmen, das Daten von EU-Bürgern verarbeitet, bringt die DSGVO bestimmte Pflichten in Bezug auf die Datenresidenz mit sich, die sich auf die Serverauswahl, die Backup-Konfiguration und die Beziehungen zu Anbietern auswirken.

Dedizierte Server machen es möglich, die Datenverweildauer zu garantieren, was in vielen Shared- oder Cloud-Umgebungen nicht geht. Du weißt genau, wo deine Daten sind, und du hast die Kontrolle darüber, was diesen Ort verlässt.

Was Datensouveränität wirklich bedeutet

Datenhoheit bedeutet, dass digitale Daten den Gesetzen des Landes unterliegen, in dem sie physisch gespeichert sind. Ein Server in Deutschland speichert Daten, die dem deutschen Recht und den EU-Vorschriften unterliegen, egal wo das Unternehmen, das diesen Server betreibt, seinen Sitz hat.

Das hat in zwei Punkten praktische Auswirkungen:

Du musst Daten vielleicht in einem bestimmten Land behalten: Die DSGVO sagt nicht, dass EU-Daten in der EU bleiben müssen, aber sie verlangt, dass bei der Übermittlung in Länder, die nicht die gleichen Standards haben, angemessene Schutzmaßnahmen getroffen werden (Standardvertragsklauseln, verbindliche Unternehmensregeln oder so was Ähnliches). Der einfachste Weg, um Probleme bei der grenzüberschreitenden Übermittlung zu vermeiden, ist, die Daten einfach nicht über die Grenze zu schicken.

Du musst vielleicht zeigen, wo deine Daten sind: Gesundheitsorganisationen, die mit Daten nach HIPAA arbeiten, müssen manchmal vertraglich festlegen, wo Daten verarbeitet und gespeichert werden. Finanzdienstleister, die PCI DSS befolgen, müssen ihre Infrastruktur und Datenflüsse dokumentieren. Ein dedizierter Server in einem bekannten Rechenzentrum bietet einen bestimmten, nachprüfbaren Standort, den du dokumentieren kannst.

DSGVO und Datenresidenz für dedizierte Server

Kapitel V der DSGVO regelt die Übermittlung personenbezogener Daten in Drittländer. Die wichtigste Frage für die Einhaltung der Vorschriften beim Hosting ist, ob personenbezogene Daten die EU/den EWR verlassen. Wenn sie innerhalb der Infrastruktur und Backups in der EU bleiben, kannst du die Komplexität von Kapitel V komplett umgehen.

Für Unternehmen, die personenbezogene Daten aus der EU verarbeiten, gibt's spezielle Serverstandorte, die die Einhaltung der DSGVO einfacher machen:

• Hauptserver in der EU: Gespeicherte Daten bleiben in der EU
• Backups in EU-Speichern: Offsite-Backups, die in Objektspeichern in den USA kopiert werden, erfordern eine grenzüberschreitende Übertragung, für die ein legaler Übertragungsmechanismus nötig ist.
• CDN-Konfiguration: Wenn du ein CDN benutzt, das von Nutzern hochgeladene Inhalte zwischenspeichert, solltest du sicherstellen, dass die zwischengespeicherten Kopien nicht in Rechenzentren außerhalb deiner erforderlichen Gerichtsbarkeit bleiben.

Das RechenzentrumInMotion Hostingin Amsterdam ist in der EU und damit die richtige Wahl für Unternehmen, die Daten in der EU speichern müssen. Wenn du Daten in der EU behalten willst, solltest du den Standort Amsterdam sowohl für deine Hauptserver als auch für deine Backup-Speicher wählen.

Dieser Artikel geht auf technische und allgemeine Compliance-Aspekte ein – es ist aber keine Rechtsberatung. Datenschutzanforderungen hängen von der Branche, der Art der Daten und den spezifischen rechtlichen Rahmenbedingungen ab. Unternehmen, die von der DSGVO betroffen sind, sollten sich an einen Anwalt wenden, der mit ihrer Situation vertraut ist.

Hosting in den USA und EU-Daten: Die Frage nach dem Transfer-Rahmenwerk

US-Firmen, die EU-Kunden bedienen, hosten oft alles in US-Rechenzentren, ohne zu überlegen, ob das Compliance-Risiken mit sich bringt. Bei vielen Datenkategorien ist das der Fall.

Das EU-US-Datenschutzschild (Nachfolger des Privacy Shield nach dem Schrems-II-Urteil) ist ein legaler Weg, um Daten von der EU an zertifizierte US-Organisationen zu schicken. Die Europäische Kommission hat im Juli 2023 eine Angemessenheitsentscheidung getroffen und das Datenschutzschild anerkannt. US-Firmen, die nach diesem Rahmen zertifiziert sind, können personenbezogene Daten aus der EU ohne zusätzliche Transfermechanismen bekommen.

Die Zertifizierung erfordert aber eine aktive Selbstzertifizierung beim Handelsministerium, eine jährliche Rezertifizierung und die Einhaltung bestimmter Datenschutzgrundsätze. Das passiert nicht automatisch.

Für Unternehmen, die nicht nach dem Datenschutzrahmen zertifiziert sind und EU-Personendaten auf US-Servern verarbeiten, sind Standardvertragsklauseln (SCCs) der Standardmechanismus zur Einhaltung der Vorschriften. Dabei geht's um vertragliche Verpflichtungen zwischen Datenexporteuren und -importeuren, die die Verarbeitung von EU-Personendaten außerhalb der EU regeln.

Über die DSGVO hinaus: Branchenspezifische Anforderungen an den Datenaufenthalt

Gesundheitswesen (HIPAA): Die HIPAA schreibt keinen bestimmten Standort für die Datenspeicherung vor, aber Business Associate Agreements enthalten oft Angaben zum Speicherort der Daten. Unternehmen im Bereich Gesundheitstechnologie verlangen in ihren Lieferantenverträgen oft, dass das Hosting nur in den USA stattfindet. Die dedizierten Server in der Einrichtung InMotion Hostingin Los Angeles bieten eine überprüfbare Single-Tenant-Umgebung, die die HIPAA-BAA-Dokumentation unterstützt.

Finanzdienstleistungen: Für Zahlungskartendaten nach PCI DSS musst du dokumentieren, wo die Daten gespeichert sind und wer Zugriff drauf hat. Bei dedizierten Servern, die nur von einem einzigen Mandanten genutzt werden, ist das ganz einfach – du musst in deinem Netzwerkdiagramm keine gemeinsam genutzten Ressourcen berücksichtigen.

Rechtliches und Behörden: Viele Anforderungen in Regierungsverträgen sagen, dass Daten innerhalb der USA bleiben müssen und manchmal auch in FedRAMP-zugelassenen Einrichtungen. Bare-Metal-Dedizierte Server in US-Rechenzentren erfüllen die erste Anforderung; behördenspezifische Compliance-Zertifizierungen kümmern sich um die zweite.

Praktische Konfiguration für die Einhaltung der Datenresidenz

Wenn du Daten innerhalb einer bestimmten Gerichtsbarkeit aufbewahren musst:

Überprüfe, wo die Daten hingehen: Nutze deine Webanwendungs-Firewall und Serverprotokolle, um alle externen Dienste zu finden, die deine Anwendung nutzt. Analyseplattformen, Fehlerverfolgungsdienste, Kundensupport-Tools und Zahlungsabwickler – jeder davon könnte Daten außerhalb deiner erforderlichen Gerichtsbarkeit empfangen und speichern.

Backup-Ziele innerhalb der Gerichtsbarkeit einrichten: Wenn dein Hauptserver aus DSGVO-Gründen in Amsterdam steht, richte dein Backup-Ziel auf einen Objektspeicher-Bucket in der EU ein (AWS Frankfurt, GCP Belgien oder einen Backup-Dienst in Europa). Backups, die an US-East S3 geschickt werden, sind eine grenzüberschreitende Übertragung.

CDN-Caching-Richtlinien überprüfen: Wenn dein CDN Nutzerinhalte (nicht nur statische Assets) zwischenspeichert, solltest du sicherstellen, dass die Cache-Aufbewahrungsrichtlinien und PoP-Standorte mit deinen Anforderungen an die Datenresidenz übereinstimmen. Cloudflare zum Beispiel lässt Enterprise-Kunden Cache-Standortrichtlinien festlegen. Die kostenlosen und Pro-Tarife verteilen den Cache global.

Dokumentiere deine Datenverarbeitungsaktivitäten: Artikel 30 der DSGVO verlangt Aufzeichnungen über die Verarbeitungstätigkeiten. Bei einem dedizierten Server sollte diese Dokumentation den physischen Standort des Servers, den Betreiber des Rechenzentrums (InMotion Hosting), die verarbeiteten Datentypen und die Aufbewahrungsfristen enthalten.

Die Wahl des Serverstandorts als Compliance-Entscheidung

Für Unternehmen, die bestimmte Anforderungen an den Speicherort ihrer Daten haben, ist die Frage nach dem Serverstandort fast wichtiger als alle anderen Entscheidungen zur Architektur. Am Anfang ist es einfach, das richtige Rechenzentrum zu finden. Später den Speicherort der Daten zu ändern – also Kundendaten von einem US-Server auf einen EU-Server zu verschieben und dabei den Betrieb am Laufen zu halten – ist ein echtes technisches und rechtliches Projekt.

Der Standort InMotion Hostingin Amsterdam bietet EU-Datenresidenz mit denselben dedizierten Serverspezifikationen wie in Los Angeles: AMD EPYC 4545P-Prozessoren, DDR5 ECC-RAM,SSD und Premier Care Managed Services. Die Entscheidung für Compliance erfordert keine Anpassung an eine andere Infrastruktur.