Datenresidenz vs. Datensouveränität: der Unterschied

Datenresidenz beschreibt den geografischen Ort, an dem Daten gespeichert und verarbeitet werden — etwa ein Rechenzentrum in Deutschland. Datensouveränität beschreibt, wer rechtlich und tatsächlich über diese Daten bestimmen kann: welches Recht gilt, wessen Behörden Zugriff verlangen können und wer die Kontrolle über Infrastruktur und Schlüssel hält. Der Unterschied klingt akademisch, entscheidet aber darüber, ob „gehostet in der EU" ein belastbares Argument ist oder nur eine Ortsangabe. Dieser Beitrag zieht die Trennlinie und zeigt, wie Sie beide Begriffe bei der Anbieterauswahl prüfen.

Hinweis: Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.

Was bedeutet Datenresidenz?

Datenresidenz ist die Antwort auf die Frage: Wo liegen die Daten physisch? Ein Anbieter, der Ihnen eine EU-Datenresidenz zusagt, verpflichtet sich, Ihre Daten in Rechenzentren innerhalb der EU zu speichern und zu verarbeiten.

Das ist keineswegs wertlos. Eine EU-Datenresidenz vereinfacht die DSGVO-Dokumentation erheblich, weil für den Regelbetrieb keine Drittlandsübermittlung nach Art. 44 ff. DSGVO stattfindet — kein Bedarf an Standardvertragsklauseln für das Hosting, kein Transfer Impact Assessment für den Kernbetrieb. Sie ist außerdem messbar und vertraglich zusicherbar: Ein Anbieter kann sich per SLA binden, Daten ausschließlich in einer Region zu verarbeiten.

Nur beantwortet die Residenz eben eine einzige Frage — die nach dem Ort. Sie sagt nichts darüber, wem der Betreiber des Rechenzentrums gehört und welchem Recht er unterliegt. Genau an dieser Lücke setzt der zweite Begriff an — und genau dort entstehen die meisten Missverständnisse in Anbietervergleichen, in denen „EU-Hosting" als Sammelbegriff für sehr unterschiedliche Konstruktionen dient.

Was bedeutet Datensouveränität?

Datensouveränität ist die Antwort auf die Frage: Wer bestimmt über die Daten? Sie hat mehrere Dimensionen, die man getrennt prüfen sollte:

• Jurisdiktion: Welchem Recht unterliegt das Unternehmen, das die Daten kontrolliert? Ein US-Unternehmen unterliegt US-Herausgabepflichten wie dem CLOUD Act — auch für Daten in europäischen Rechenzentren.
• Kontrolle: Wer betreibt die Infrastruktur, wer verwaltet die Schlüssel, wer hat administrativen Zugriff? Zusagen auf dem Papier sind wenig wert, wenn der operative Zugriff woanders liegt.
• Abhängigkeit: Können Sie den Anbieter wechseln und Ihre Daten vollständig mitnehmen? Souveränität schließt die Freiheit ein, eine Entscheidung zu revidieren.

Vollständige Souveränität in einem strengen Sinn erreicht praktisch nur, wer selbst hostet — und bezahlt dafür mit dem gesamten Betriebsaufwand. Für SaaS lautet die realistische Frage deshalb nicht „souverän: ja oder nein?", sondern: Wie kurz ist die Kette der Abhängigkeiten, und liegt jedes Glied in einer Rechtsordnung, die zu Ihren Pflichten passt?

Zwischen den Extremen — Selbsthosting auf der einen, US-Hyperscaler auf der anderen Seite — liegt der pragmatische Mittelweg, der für die meisten Unternehmen passt: europäische Software auf europäischer Infrastruktur. Er kombiniert den Komfort von SaaS mit einer Kette, deren Glieder durchgehend europäischem Recht unterliegen, und lässt sich ohne eigenes Betriebsteam nutzen. Dass er verfügbar ist, ist die eigentliche Veränderung der letzten Jahre: Die Wahl zwischen Souveränität und Bequemlichkeit ist in vielen Werkzeugkategorien keine mehr.

Warum reicht ein EU-Rechenzentrum allein nicht aus?

Weil Ort und Recht auseinanderfallen können. Das Standardbeispiel: Ein US-Cloud-Anbieter betreibt eine Region in Frankfurt. Die Datenresidenz ist Deutschland — die rechtliche Kontrolle liegt bei einem Unternehmen, das US-Recht unterliegt und von US-Behörden zur Herausgabe verpflichtet werden kann, unabhängig vom Speicherort. Die Residenz-Zusage bleibt wahr und ist trotzdem nicht die ganze Antwort.

Dasselbe gilt eine Ebene tiefer, und das wird häufiger übersehen: Ein europäischer SaaS-Anbieter, der seine Software auf einer US-Cloud betreibt, hat die Jurisdiktionsfrage nicht beantwortet, sondern nur verschoben. Sein Impressum ist europäisch, seine Infrastruktur nicht. Für Ihre Bewertung zählt die gesamte Kette: das SaaS-Unternehmen, dessen Hosting-Anbieter und die weiteren Unterauftragsverarbeiter.

Seit dem Schrems-II-Urteil ist diese Kettenbetrachtung auch aufsichtsbehördlicher Standard: Es genügt nicht, dass der unmittelbare Vertragspartner in der EU sitzt, wenn wesentliche Verarbeitungen bei Dienstleistern in Drittländern stattfinden.

Residenz und Souveränität im direkten Vergleich

Beide Begriffe ergänzen sich also: Die Residenz ist die notwendige, die Souveränität die weitergehende Bedingung. Für die DSGVO-Dokumentation genügt oft schon die Residenz — für die Frage, wie belastbar ein Setup gegenüber fremdem Recht ist, braucht es den zweiten Blick.

Wie prüfen Sie beides konkret bei einem SaaS-Anbieter?

Vier Fragen, deren Antworten öffentlich nachlesbar sein sollten:

Wer betreibt die Infrastruktur?

Suchen Sie in Datenschutzerklärung oder Unterauftragsverarbeiter-Liste nach dem Hosting-Anbieter. „EU-Region" ohne Nennung des Betreibers ist eine halbe Antwort. Ein europäischer Hoster mit deutschem Rechenzentrum beantwortet Residenz- und Jurisdiktionsfrage zugleich; eine EU-Region eines US-Hyperscalers nur die erste.

Wem gehört das Unternehmen?

Betreiber und Eigentümer können auseinanderfallen. Ein Blick ins Impressum und auf die Gesellschaftsstruktur zeigt, ob am Ende der Kette ein Unternehmen außerhalb der EU steht, dessen Recht durchschlagen kann.

Was ist vertraglich zugesichert?

Eine Residenz-Zusage gehört in den Vertrag, nicht nur auf die Marketingseite — als Datenresidenz-SLA oder als Festlegung im Auftragsverarbeitungsvertrag. Prüfen Sie auch, ob Support- oder Wartungszugriffe aus Drittländern erfolgen können; das ist eine Verarbeitung, auch wenn die Daten „liegen bleiben".

Wo sind die dokumentierten Ausnahmen?

Kein SaaS-Produkt ist eine Insel. Zahlungsabwicklung, optionale Anmeldeverfahren, Backups — irgendwo tauchen fast immer Dienste außerhalb der EU auf. Ein souveränitätsbewusster Anbieter macht diese Ausnahmen sichtbar und begrenzt sie, statt sie zu verschweigen. Die Abwesenheit jeder Ausnahme in der Liste ist eher ein Grund zur Nachfrage als zur Beruhigung.

Zauberflow beantwortet die vier Fragen so: Die Plattform läuft bei der netcup GmbH in Nürnberg — einem deutschen Hoster, nicht auf einer US-Cloud —, betrieben von der SweetWater Holding UG aus Hamburg. Im Business-Tarif ist die EU-Datenresidenz als SLA zugesichert. Und die Ausnahmen stehen öffentlich in der Liste der Unterauftragsverarbeiter: Zahlungsabwicklung über Lemon Squeezy (USA), Google und Microsoft nur bei gewählter SSO-Anmeldung, US-KI-Modelle nur auf ausdrückliche Wahl und gekennzeichnet. Die Einzelheiten regelt die Datenschutzerklärung.

Häufige Fragen

Ist Datensouveränität ein Rechtsbegriff aus der DSGVO?

Nein. Die DSGVO verwendet den Begriff nicht; sie kennt Verantwortliche, Auftragsverarbeiter und Regeln für Drittlandsübermittlungen. Datensouveränität ist ein Ordnungsbegriff, der die praktische Frage bündelt, wer über Daten bestimmen kann — er hilft bei der Bewertung, ersetzt aber nicht die konkrete Prüfung nach Art. 28 und Art. 44 ff. DSGVO.

Genügt für die DSGVO nicht einfach ein Angemessenheitsbeschluss oder SCC?

Für die Zulässigkeit einer Drittlandsübermittlung sind das die vorgesehenen Instrumente. Datensouveränität stellt die weitergehende Frage, ob Sie die Übermittlung überhaupt brauchen: Jede Garantie muss gepflegt, bewertet und verteidigt werden — eine Verarbeitung, die vollständig in der EU stattfindet, muss es nicht.

Was ist mit „souveräner Cloud" der US-Hyperscaler?

Diese Angebote verringern über technische und organisatorische Maßnahmen — europäisches Personal, getrennte Regionen, teils externe Schlüsselverwaltung — das praktische Zugriffsrisiko. Ob sie die Jurisdiktionsfrage lösen, hängt davon ab, wer am Ende die tatsächliche Kontrolle hält; das ist je nach Konstruktion unterschiedlich und verdient eine Einzelfallprüfung statt eines Pauschalurteils.

Brauchen kleine Unternehmen Datensouveränität überhaupt?

Die Pflichten der DSGVO gelten unabhängig von der Größe — und gerade kleinen Teams ohne eigene Rechtsabteilung erspart eine kurze, europäische Verarbeitungskette am meisten Arbeit. Wie das ohne Konzern-IT gelingt, zeigt der Beitrag zur Automatisierung im Mittelstand.