Data Residency

Data Residency im Überblick

Data Residency bestimmt, wo Daten physisch oder logisch gespeichert und verarbeitet werden dürfen oder sollen.

Beispielhafte Residency-Anforderung:
Personenbezogene Daten → freigegebene Region ✓
Personenbezogene Daten → nicht geprüfte Drittregion ⚠️ zusätzliche Prüfung nötig

Technisch betrachtet

Cloud-Regionen

Terraform Beispiel

provider "cloud" {
  region = var.allowed_region
}

resource "storage_bucket" "regional_data" {
  bucket = var.bucket_name
  
  # Replikation nur in erlaubte Regionen konfigurieren
}

Wo Daten unbemerkt die Region verlassen

Die eigentliche Speicherung ist oft der einfachste Teil – kritischer sind die Nebenwege:

Data Residency erfordert deshalb eine vollständige Datenflussanalyse: Nicht nur “Wo liegt die Datenbank?”, sondern “Wohin fließen Kopien, Metadaten und Zugriffe?”.

Data Residency bei KI- und LLM-Diensten

KI-Anwendungen machen Residency-Fragen besonders anspruchsvoll:

• Inferenz ist Verarbeitung: Auch wenn ein LLM-Anbieter Prompts nicht dauerhaft speichert, findet die Verarbeitung in einer bestimmten Region statt. Wer personenbezogene Daten in Prompts einbettet, muss den Verarbeitungsort und die Transfermechanismen prüfen.
• Regionale Endpunkte nutzen: Viele LLM-Provider und Cloud-Plattformen bieten inzwischen regionale Inferenz-Endpunkte (etwa in der EU) an. Vertraglich zugesicherte Verarbeitungsregionen und Zero-Retention-Optionen sind zentrale Auswahlkriterien.
• RAG-Pipelines im Blick behalten: Vektordatenbanken, Embedding-Dienste und Dokumentenspeicher sind eigene Verarbeitungsorte – jede Komponente der Pipeline braucht eine Residency-Bewertung.
• Trainings- vs. Inferenzdaten: Ob Eingaben zum Modelltraining verwendet werden dürfen, ist eine separate vertragliche Frage – für Unternehmensdaten sollte dies ausgeschlossen sein.

Typische Stolperfallen

Abgrenzung zu verwandten Begriffen

• Data Sovereignty fragt, welches Recht auf die Daten anwendbar ist – ein Server in der EU nützt wenig, wenn der Betreiber ausländischen Zugriffsgesetzen unterliegt.
• Data Localization ist die strengste Form: Daten müssen per Gesetz im Land bleiben, wie es einige Staaten für bestimmte Datenkategorien vorschreiben.
• Datenschutz (DSGVO) regelt den Umgang mit personenbezogenen Daten insgesamt – Residency ist dabei nur ein Baustein neben Rechtsgrundlagen, Betroffenenrechten und Sicherheitsmaßnahmen.