Recht und Abrechnung
Datenresidenz und Gerichtsbarkeit
Wo Daten physisch liegen, ist die eine Frage; wessen Recht an sie herankommt, die andere. Die zweite hängt vom Anbieter ab, nicht vom Rack.
Datenresidenz ist die Anforderung aus einem Gesetz, einem Vertrag oder einer Richtlinie, dass bestimmte Daten in einem Land oder einer Region bleiben. Sie in einem Rechenzentrum dort zu hosten, erfüllt den Wortlaut. Die DSGVO selbst kennt keine Residenzpflicht innerhalb der EU; sie beschränkt Übermittlungen in Länder außerhalb von EU und EWR.
Die Gerichtsbarkeit ist die andere Frage: Welche Gerichte und Behörden können den Anbieter zur Herausgabe von Daten verpflichten. Das richtet sich nach der Konzernkette des Anbieters, nicht nach dem Standort des Servers. Ein Unternehmen mit einer Muttergesellschaft außerhalb der EU unterliegt den Anordnungen dieses Landes, wo auch immer der Server steht; Artikel 32 des EU Data Act verlangt von Anbietern, das offenzulegen und Maßnahmen gegen solchen Zugriff zu treffen.
Wenn also ein Beschaffungsformular fragt, wo die Daten liegen, hat die vollständige Antwort drei Teile: das Rechenzentrum, das Unternehmen, das die Systeme betreibt, samt jedem Unterauftragsverarbeiter, und das Recht, dem der Vertrag unterliegt. Ein Anbieter, der alle drei mit einem Land und einem Unternehmen beantworten kann, ist der einfache Fall.