EU-Datenresidenz: Was das Recht verlangt und wann sie hilft

"Wir brauchen EU-Datenresidenz" ist einer der häufigsten Sätze im Lieferantenfragebogen einer europäischen Bank oder Versicherung. Er ist auch einer der am häufigsten missverstandenen. Keine EU-Verordnung verpflichtet ein Finanzinstitut, alle seine Daten innerhalb der Europäischen Union zu halten. Was das Recht tatsächlich verlangt, ist konkreter: Die DSGVO legt Regeln für die Übermittlung personenbezogener Daten aus der EU fest, und DORA verlangt, dass Sie wissen, dokumentieren und vertraglich festlegen, wo Ihre IKT-Dienstleister Daten verarbeiten und speichern.

Dieser Artikel trennt die rechtlichen Pflichten von der geschäftlichen Entscheidung. Er erklärt, was DSGVO, DORA und NIS2 tatsächlich sagen, wo EU-Hosting Ihnen die Arbeit erleichtert und welche Fragen Sie jedem Compliance-Tool stellen sollten, bevor Sie Ihre Prüfungsnachweise dort ablegen.

Residenz, Lokalisierung, Souveränität: drei verschiedene Dinge

Diese Begriffe werden oft vermischt, daher lohnt es sich, sie zuerst zu definieren.

• Datenresidenz beschreibt, wo Daten gespeichert werden. "EU-Datenresidenz" bedeutet in der Regel, dass der Anbieter Ihre Daten in Rechenzentren innerhalb der EU speichert.
• Datenlokalisierung ist eine gesetzliche Vorgabe, dass Daten in einem Land oder einer Region bleiben müssen. Das EU-Recht kennt davon für den Privatsektor nur sehr wenige. DSGVO und DORA enthalten keine.
• Datensouveränität betrifft die Frage, welche Rechtsordnung auf die Daten zugreifen kann. Ein Server in Frankfurt, betrieben von einem Unternehmen, das einer ausländischen Behörde Folge leisten muss, steht in der EU, ist aber nicht vollständig souverän.

Die meisten Anbieteraussagen betreffen die Residenz. Die meisten echten Risiken betreffen Übermittlungen und Zugriffe. Behalten Sie diesen Unterschied für den Rest des Artikels im Blick.

Was die DSGVO tatsächlich verlangt

Die DSGVO sagt nicht, wo personenbezogene Daten gespeichert werden müssen. Kapitel V (Artikel 44 bis 50) regelt, wann personenbezogene Daten in ein Land außerhalb des Europäischen Wirtschaftsraums übermittelt werden dürfen. Eine Übermittlung ist rechtmäßig, wenn eine der folgenden Grundlagen vorliegt:

1. Ein Angemessenheitsbeschluss (Artikel 45). Die Europäische Kommission hat festgestellt, dass das Land ein im Wesentlichen gleichwertiges Schutzniveau bietet. Seit Juli 2023 gilt das auch für US-Organisationen, die nach dem EU-US Data Privacy Framework zertifiziert sind.
2. Geeignete Garantien (Artikel 46), meist die Standardvertragsklauseln (SCC), oder verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, Artikel 47) innerhalb einer Unternehmensgruppe.
3. Eine Ausnahme (Artikel 49) für bestimmte Situationen, etwa eine ausdrückliche Einwilligung. Diese Ausnahmen sind eng gefasst und nicht für routinemäßige Übermittlungen gedacht.

Seit dem Schrems-II-Urteil des Gerichtshofs der Europäischen Union (C-311/18, Juli 2020), das den früheren Privacy Shield für ungültig erklärte, reichen Standardvertragsklauseln allein nicht immer aus. Sie müssen prüfen, ob das Recht des Ziellandes die Klauseln aushebelt, und dort, wo das der Fall ist, zusätzliche Maßnahmen ergreifen. Das ist das Transfer Impact Assessment.

Verstöße gegen die Übermittlungsregeln sind teuer. Nach Artikel 83 Absatz 5 Buchstabe c können Bußgelder bis zu 20 Millionen EUR oder 4 Prozent des weltweiten Jahresumsatzes erreichen, je nachdem, welcher Betrag höher ist. Beachten Sie aber, wofür das Bußgeld verhängt wird: für eine unrechtmäßige Übermittlung, nicht für die bloße Tatsache, dass ein Server außerhalb der EU steht.

Was DORA tatsächlich verlangt

Der Digital Operational Resilience Act (Verordnung (EU) 2022/2554) gilt seit dem 17. Januar 2025. Er enthält keine Vorschrift zur Datenresidenz. Er enthält aber mehrere Pflichten zum Datenstandort:

• Artikel 30 Absatz 2 Buchstabe b: Jeder Vertrag über IKT-Dienstleistungen muss die Regionen oder Länder angeben, in denen die Dienstleistungen erbracht und die Daten verarbeitet werden, einschließlich des Speicherorts. Der Anbieter muss Sie vorab informieren, wenn er eine Änderung plant.
• Artikel 28 Absatz 3: Sie müssen ein Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern führen. Die Aufsicht nutzt es, um zu sehen, wo Ihre kritischen Funktionen von wem abhängen, und an welchem Ort.
• Artikel 29: Vor Vertragsschluss bewerten Sie das Konzentrationsrisiko, einschließlich langer Unterauftragsketten und Anbietern mit Sitz in Drittländern.
• Artikel 28 Absatz 8: Für Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, benötigen Sie eine Ausstiegsstrategie.
• Artikel 31 Absatz 12: Einen IKT-Anbieter, den die Europäischen Aufsichtsbehörden als kritisch einstufen und der außerhalb der EU niedergelassen ist, dürfen Sie nur nutzen, wenn er innerhalb von 12 Monaten eine Tochtergesellschaft in der Union gründet. Hier geht es um die rechtliche Niederlassung des Anbieters, nicht darum, wo Ihre Daten gespeichert sind.

Die zuständigen nationalen Behörden können bei Verstößen Verwaltungssanktionen und Abhilfemaßnahmen verhängen (Artikel 50). In der Praxis lautet die typische Feststellung nicht "Daten am falschen Ort gespeichert", sondern "Sie wussten nicht oder haben nicht dokumentiert, wo sie gespeichert sind, und Sie haben das Risiko nicht bewertet".

Warum fragen dann so viele Käufer nach EU-Hosting?

Weil es Arbeit und Risiko verringert, auch wenn kein Gesetz es erzwingt. Gerade für ein Compliance-Tool bedeutet EU-Hosting:

• Weniger Übermittlungen zu prüfen. Wenn dauerhaft gespeicherte Daten in der EU bleiben, müssen Sie weniger mit Standardvertragsklauseln und Transfer Impact Assessments abdecken.
• Einfachere DORA-Dokumentation. Die Standortangabe in Vertrag und Register ist kurz und bleibt stabil.
• Weniger Angriffsfläche für ausländische Zugriffsgesetze. Daten bei einem US-Anbieter können nach dem US CLOUD Act US-Herausgabeanordnungen unterliegen, auch wenn sie in Europa gespeichert sind. Ein EU-Anbieter auf EU-Infrastruktur verringert dieses Risiko.
• Einfachere Gespräche mit Aufsicht und Kunden. Viele Ihrer eigenen Kunden und manche öffentlichen Aufträge verlangen EU-Hosting in ihren Beschaffungsbedingungen. Das ist eine vertragliche Anforderung, keine gesetzliche, aber nach der Unterzeichnung ebenso verbindlich.

Compliance-Nachweise sind sensibel. Sie beschreiben Ihre Kontrollschwächen, Ihre Vorfälle und Ihre Dienstleister. Wo sie gespeichert sind und wer darauf zugreifen kann, verdient dieselbe Sorgfalt, die Sie bei Kundendaten anwenden.

Fragen, die Sie jedem Compliance-Tool stellen sollten

Bleiben Sie nicht bei "Bieten Sie EU-Datenresidenz an?" stehen. Stellen Sie stattdessen diese Fragen:

1. Wo werden dauerhaft gespeicherte Kundendaten abgelegt, einschließlich Backups? Fragen Sie nach Regionen, nicht nach Marketingbegriffen.
2. Welche Unterauftragsverarbeiter verarbeiten unsere Daten, und wo? Ein seriöser Anbieter veröffentlicht die vollständige Liste.
3. Findet eine Verarbeitung außerhalb der EU statt? KI-Funktionen nutzen oft Anbieter großer Sprachmodelle. Finden Sie heraus, wer diese sind, wo sie laufen und auf welcher Übermittlungsgrundlage (Angemessenheitsbeschluss, Standardvertragsklauseln).
4. Können wir die KI-Verarbeitung bei Bedarf in der EU halten?
5. Was schreiben Sie in den Vertrag? Prüfen Sie, dass die obigen Antworten im Vertrag stehen, wie DORA Artikel 30 Absatz 2 Buchstabe b es verlangt, zusammen mit einer Klausel zur Benachrichtigung bei Änderungen.
6. Wie steigen wir aus? Exportformate, Löschung und Fristen für die Ausstiegsstrategie, die DORA erwartet.

Häufige Fehler

1. Residenz als vollständige Antwort betrachten. Ein Tool kann Daten in der EU speichern und sie trotzdem zur Verarbeitung anderswohin senden. Fragen Sie nach der Verarbeitung, nicht nur nach der Speicherung.
2. Unterauftragnehmer vergessen. Die Dienstleister Ihres Dienstleisters zählen mit. Die Bewertung des Konzentrationsrisikos nach DORA erfasst ausdrücklich Unterauftragsketten.
3. Sich ohne Prüfung auf Standardvertragsklauseln verlassen. Nach Schrems II müssen Sie dokumentieren, warum die Klauseln für das jeweilige Zielland funktionieren.
4. Standorte nicht in den Vertrag aufnehmen. Nach DORA ist das bereits für sich eine Compliance-Lücke, selbst wenn auf der Website des Anbieters die richtigen Aussagen stehen.
5. Backups und Disaster Recovery übersehen. Auch Backup-Regionen sind Datenstandorte.

Wo Matproof steht

Matproof ist eine Plattform zur Compliance-Automatisierung für EU-Finanzdienstleister. Konkret zu unserem eigenen Setup:

• Dauerhaft gespeicherte Kundendaten, einschließlich Ihrer Prüfungsnachweise, werden in Deutschland gehostet.
• Unsere Standard-KI-Funktionen nutzen OpenAI und Anthropic, also US-Anbieter, auf Grundlage von Standardvertragsklauseln. Regulierte Kunden können eine EU-Option aktivieren, bei der die KI-Verarbeitung in der EU bleibt.
• Die vollständige Liste der Unterauftragsverarbeiter mit Standorten ist auf unserer Datenschutzseite veröffentlicht.

Uns ist lieber, dass Sie das prüfen, als einem Slogan zu vertrauen.

Erste Schritte

1. Erfassen Sie Ihre Datenflüsse für Ihre Compliance- und GRC-Tools: welche Daten wohin gehen, gespeichert und verarbeitet.
2. Aktualisieren Sie Ihr Informationsregister mit den gefundenen Standorten und markieren Sie Lücken.
3. Prüfen Sie jeden IKT-Vertrag auf Standortklauseln und Benachrichtigung bei Änderungen.
4. Überprüfen Sie die Übermittlungsgrundlagen für jede Verarbeitung außerhalb des EWR und führen Sie Transfer Impact Assessments durch, wo Standardvertragsklauseln genutzt werden.
5. Entscheiden Sie, wo EU-Hosting für Sie eine Anforderung ist, auf Grundlage der Verträge Ihrer Kunden und Ihrer Risikobereitschaft, und machen Sie es zu einem Auswahlkriterium statt zu einer Annahme.

Häufig gestellte Fragen

F: Verlangt die DSGVO, dass wir personenbezogene Daten in der EU speichern?
Nein. Die DSGVO regelt Übermittlungen personenbezogener Daten in Länder außerhalb des EWR (Kapitel V). Übermittlungen sind rechtmäßig mit einem Angemessenheitsbeschluss, mit geeigneten Garantien wie Standardvertragsklauseln oder mit Binding Corporate Rules.

F: Verlangt DORA EU-Datenresidenz?
Nein. DORA verlangt, dass IKT-Verträge angeben, wo Dienstleistungen erbracht und wo Daten verarbeitet und gespeichert werden (Artikel 30 Absatz 2 Buchstabe b), ein Informationsregister (Artikel 28 Absatz 3) sowie eine Bewertung des Drittland- und Konzentrationsrisikos (Artikel 29).

F: Reicht das EU-US Data Privacy Framework für US-Tools aus?
Es ist seit Juli 2023 eine gültige Übermittlungsgrundlage, aber nur für US-Organisationen, die danach zertifiziert sind. Prüfen Sie die Zertifizierung und bedenken Sie, dass frühere Rahmenwerke (Safe Harbor, Privacy Shield) vom Gerichtshof der Europäischen Union für ungültig erklärt wurden.

F: Welche Sanktionen drohen?
Unrechtmäßige Übermittlungen personenbezogener Daten können nach Artikel 83 Absatz 5 DSGVO mit bis zu 20 Millionen EUR oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden. Nach DORA legen nationale Behörden Verwaltungssanktionen und Abhilfemaßnahmen für Mängel im Management des IKT-Drittparteienrisikos fest (Artikel 50).

F: Lohnt sich EU-Hosting trotzdem?
Oft ja. Es verringert den Aufwand für Übermittlungsprüfungen, vereinfacht die DORA-Dokumentation und erfüllt die Beschaffungsbedingungen, die viele Kunden stellen. Behandeln Sie es als bewusste Entscheidung, die sich auf Ihre Risikobewertung stützt, nicht als rechtliche Pflicht.

Die wichtigsten Punkte

• Kein EU-Gesetz verpflichtet Finanzinstitute, alle Daten in der EU zu halten.
• Die DSGVO regelt Übermittlungen personenbezogener Daten aus dem EWR. DORA verlangt dokumentierte, vertraglich festgelegte Datenstandorte und eine Risikobewertung.
• EU-Hosting ist eine starke Wahl für sensible Daten wie Compliance-Nachweise, weil es Übermittlungen, das Risiko ausländischer Zugriffe und den Dokumentationsaufwand verringert.
• Fragen Sie Anbieter nach Speicherung, Verarbeitung, Unterauftragsverarbeitern und KI, und lassen Sie die Antworten in den Vertrag aufnehmen.

Für eine kostenlose Bewertung Ihres Compliance-Setups besuchen Sie https://matproof.com/contact.

Weiterführende Artikel

• BSI C5 für Finanzdienstleister: Alle Controls erklärt
• BSI C5 im Vergleich zu ISO 27001: Hauptunterschiede und welche deutschen Unternehmen beide benötigen
• BaFin Compliance Requirements: A Complete Guide for 2026

Bereit für den nächsten Schritt? Matproof führt kontinuierliche KI-Penetrationstests und Compliance-Überwachung durch. Demo buchen.