Datenresidenz: Wo Ihre Kundendaten liegen

Früher oder später fragt eine Kundin, eine Einkaufsabteilung oder ein Partner, wo die Gespräche gespeichert werden. Das ist eine berechtigte Frage, und die ehrliche Antwort besteht aus mehr als einem Ländernamen. Dieser Artikel gehört zu Der ausführliche Leitfaden zu Datenschutz und Compliance auf WhatsApp und ist praktische Orientierung, keine Rechtsberatung — prüfen Sie die für Ihr Unternehmen geltenden Details mit Ihrem eigenen Rechtsbeistand.

Speicherort ist nicht Zugriffsort

Das sind zwei getrennte Tatsachen, und Anbieter verwischen sie gelegentlich. Der Speicherort ist der Ort, an dem Datenbank und Sicherungen physisch stehen. Der Zugriffsort ist der Ort, an dem sich Menschen und Systeme befinden, wenn sie diese Daten lesen. Eine Plattform kann alles in einem europäischen Rechenzentrum ablegen und trotzdem einen Support-Mitarbeiter in einer anderen Region haben, der ein Ticket mit dem Chatverlauf einer Kundin öffnet, oder ein Monitoring, das Protokolle ganz woanders hin streamt.

Keine der beiden Konstellationen ist automatisch falsch. Grenzüberschreitender Zugriff ist üblich, und es gibt etablierte Wege, ihn rechtlich sauber zu unterlegen. Entscheidend ist, dass Sie davon wissen, dass es im Vertrag steht und dass Sie Kunden nichts Engeres erzählen als die Wahrheit. „Unsere Daten verlassen die EU nie“ ist eine Aussage, die Sie Zeile für Zeile belegen können sollten, bevor sie in ein Angebot wandert.

Warum immer mehr Leute fragen

In Europa ist die Übermittlung personenbezogener Daten aus der Region heraus erlaubt, aber an Bedingungen geknüpft, und diese Bedingungen wurden im letzten Jahrzehnt mehrfach neu geschrieben. Großkunden haben darauf reagiert, indem sie Datenresidenz zum Häkchen im Einkauf machten: Eine EU-Region zu verlangen ist einfacher, als einen Übermittlungsmechanismus zu bewerten. In den Golfstaaten sind in den vergangenen Jahren mehrere nationale Datenschutzrahmen entstanden, und besonders öffentliche und regulierte Auftraggeber fragen inzwischen, wo Daten liegen und ob es eine lokale Option gibt.

Residenz ist nicht dasselbe wie Compliance

Hier liegt die Falle. Ein Anbieter kann in Frankfurt hosten und trotzdem nachlässig sein: schwache Zugriffskontrollen, keine Aufbewahrungsregel, eine ungeprüfte Kette von Unterauftragsverarbeitern. Umgekehrt kann eine gut geführte Plattform mit Daten in einer anderen Region und einer sauber dokumentierten Übermittlung die sicherere Wahl sein. Residenz beantwortet eine enge Frage zur Geografie. Sie sagt nichts darüber, wer im Unternehmen ein Gespräch öffnen darf, wie lange Daten bleiben oder ob eine Panne überhaupt auffiele. Behandeln Sie sie als eine Zeile in einer längeren Prüfung, nicht als die Prüfung selbst.

“

Ein Rechenzentrum im richtigen Land ersetzt nicht das Wissen darüber, wer das Gespräch öffnen kann.

— be digital ai Team

Was Sie einen Anbieter fragen sollten

Stellen Sie diese Fragen schriftlich und heben Sie die Antwort auf:

1. In welcher Region liegt die primäre Datenbank, und können wir sie bei Vertragsschluss wählen oder nur im Enterprise-Tarif?
2. Wo liegen Sicherungen und Notfallkopien — in derselben Region oder in einer gekoppelten anderswo?
3. Welche Teams greifen für Support und Entwicklung auf Kundendaten zu, und aus welchen Ländern arbeiten sie?
4. Wo findet die KI-Verarbeitung statt — geht Text an ein Modell in derselben Region oder an einen Anbieter woanders, und behält dieser etwas zurück?
5. Wenn Daten eine Grenze überschreiten: Welche Regelung deckt das ab, und wo können wir sie nachlesen?
6. Lässt sich die Region später ändern, und was bedeutet eine Migration konkret?

Die KI-Frage ist die neueste und wird am häufigsten vage beantwortet. Wenn ein Copilot Antworten aus Ihrem Chatverlauf entwirft, geht dieser Verlauf irgendwohin zur Verarbeitung. Welcher Unterauftragsverarbeiter das übernimmt und ob der Anbieter diese Beziehung dokumentiert hat, ist genau das Thema von Auftragsverarbeitungsverträge und Unterauftragsverarbeiter.

Die Abwägungen, die in der Demo fehlen

Eine Region zu wählen kostet etwas. Latenz ist der sichtbare Teil: Ein Posteingang aus einer weit entfernten Region fühlt sich für Ihr Team den ganzen Tag träge an. Der leisere Teil ist die Verfügbarkeit von Funktionen — Neuerungen starten oft zuerst in einer Hauptregion, eine spezialisierte Region kann also Monate Wartezeit bedeuten, und manche KI-Funktionen gibt es dort womöglich gar nicht. Auch die Preise unterscheiden sich, und dediziertes Hosting im Land ist meist ein Enterprise-Posten. Wägen Sie das gegen das ab, was Ihre Kunden wirklich verlangen.

Die Antwort aufschreiben, bevor Sie sie brauchen

Führen Sie eine kurze interne Notiz — eine halbe Seite genügt — zu Speicherregion, Backup-Region, Zugriffsberechtigten und deren Standorten, Ort der KI-Verarbeitung und dem Datum, an dem Sie das zuletzt beim Anbieter bestätigt haben. Kommt dann der Sicherheitsfragebogen eines Interessenten, antworten Sie in zehn Minuten, statt eine Woche hinter einem Account Manager herzulaufen. Prüfen Sie die Notiz bei jeder angekündigten Infrastrukturänderung und legen Sie sie neben Ihre Notizen zu Zugriffsrechten, denn beide Fragen gehören zusammen — Kundendaten im gemeinsamen Posteingang schützen behandelt die interne Hälfte desselben Problems.