In diesem Artikel erfahren Sie, was Datenhoheit ist, wie sie funktioniert und wie sie sich von verwandten Konzepten wie Datenresidenz und Datenlokalisierung unterscheidet. Wir erläutern außerdem, warum Datenhoheit so wichtig ist und welche Herausforderungen sie mit sich bringt, und liefern Best Practices für das Datenhoheitsmanagement in der Cloud.
Dank der Cloud bewegen sich Geschäftsdaten heute rasant über die ganze Welt – deshalb ist es wichtiger denn je, zu wissen, wer diese Daten kontrolliert und welchen Gesetzen sie unterliegen. Globale Unternehmen müssen sich durch ein komplexes Labyrinth von Datenschutzbestimmungen schlagen, die sich von Region zu Region unterscheiden können: von den strengen Anforderungen der europäischen Datenschutz-Grundverordnung (DSGVO) bis hin zu Datenschutzgesetzen wie dem US-amerikanischen California Consumer Privacy Act (CCPA).
Für Unternehmen, die mit der Cloud arbeiten, Kundeninformationen erfassen und verarbeiten oder international tätig sind, ist die Datenhoheit ein wichtiger geschäftlicher Aspekt. Deshalb ist ein umfassendes Verständnis der Datenhoheit unerlässlich, um hohe Strafen zu vermeiden, das Vertrauen der Kundschaft zu wahren und die Geschäftskontinuität zu gewährleisten.
Datenhoheit bezeichnet ein Prinzip, nach dem digitale Informationen den Gesetzen und Governance-Strukturen der Länder oder Regionen unterliegen, in denen sie erfasst oder physisch gespeichert werden – selbst wenn sich das Unternehmen, dem die Daten gehören, an einem anderen Ort befindet.
Das Konzept der Datenhoheit hat erhebliche Auswirkungen auf die Art und Weise, wie Unternehmen die Themen Datenschutz und Compliance angehen. Wenn ein Unternehmen Daten an einem bestimmten geografischen Ort speichert, muss es die Datenschutzgesetze und -vorschriften dieses Landes oder dieser Region einhalten. Die Anforderungen an die Datenhoheit betreffen hauptsächlich lokale Gesetze zu Datenschutz und -sicherheit, wie z. B. den Schutz sensibler Daten vor Datenschutzverletzungen oder die Kontrolle, wer auf welche Daten Zugriff hat.
Datenhoheit stellt sicher, dass Daten den Gesetzen der Länder oder Regionen entsprechen, in denen sie erfasst, gespeichert oder verarbeitet werden. In der Regel bestimmt also der Datenstandort, welche Rechtsordnung den Umgang mit diesen Daten regelt.
Um die Anforderungen an die Datenhoheit zu erfüllen, müssen Unternehmen sorgfältig dokumentieren, wo ihre Daten gespeichert und wie sie über Grenzen hinweg übertragen werden. So können sie die Komplexität bewältigen, die sich durch sich überschneidende Vorschriften ergeben kann.
Die Einhaltung der Datenhoheitsvorschriften umfasst in der Regel verschiedene Aspekte: die Speicherung von Daten in lokalen Rechenzentren, die Durchsetzung von Datenresidenz- oder -lokalisierungsanforderungen für sensible Daten sowie den Einsatz von Sovereign-Cloud-Lösungen, die einschränken, wo Daten gespeichert werden und wer darauf zugreifen kann.
Diese drei Begriffe sind zwar miteinander verbunden, aber nicht dasselbe. Im Folgenden untersuchen wir ihre verschiedenen rechtlichen und betrieblichen Auswirkungen:
Die Datenhoheit legt fest, dass Daten den Gesetzen und Vorschriften der Länder oder Regionen unterliegen, in denen sie sich befinden. Das bedeutet nicht, dass die Daten an einem bestimmten Ort verbleiben müssen. Allerdings müssen Unternehmen die Gesetze der einzelnen Rechtsordnungen einhalten, in denen sich die Daten physisch befinden.
Datenresidenz ist hauptsächlich eine freiwillige Geschäftsentscheidung darüber, wo Unternehmen ihre Daten physisch speichern wollen. Sie können sich aus verschiedenen Gründen dafür entscheiden, Daten in einer bestimmten Region zu speichern, z. B., um die Compliance zu vereinfachen oder die Performance zu verbessern. Doch egal, wo Unternehmen ihre Daten speichern, sie unterliegen den geltenden Gesetzen dieses Gebiets.
Der Begriff Datenlokalisierung wird oft synonym mit Datenresidenz verwendet – doch es gibt einen wichtigen Unterschied: Datenlokalisierung bezieht sich auf Szenarien, in denen bestimmte Regierungen verlangen, dass die Daten, die innerhalb ihrer Grenzen erfasst wurden, auch dort verbleiben, um die Einhaltung ihrer lokalen Gesetze oder Vorschriften zu gewährleisten. Im Gegensatz zur Datenresidenz ist die Datenlokalisierung für Unternehmen nicht optional: Sie müssen diese Vorschriften einhalten. Beispiele für Länder, die strenge Gesetze zur Datenlokalisierung entwickelt haben, sind Russland, China und Indien.
Die Bedeutung der Datenhoheit hat mit der Verbreitung von Cloud-Computing-Umgebungen zugenommen, die mittlerweile ein integraler Bestandteil der Wachstumsstrategien vieler moderner Unternehmen sind. Cloud-Umgebungen sind heute eine kritische Geschäftsinfrastruktur, da immer mehr Unternehmensanwendungen in die Cloud verlagert werden.
Und aufgrund der Einführung von Cloud-Computing hat sich die Art und Weise, wie Unternehmen Daten speichern und verwalten, in den letzten zwei Jahrzehnten erheblich verändert. Daten werden heute nicht mehr nur auf lokalen Laufwerken oder On-Premises-Servern, sondern auch in der Cloud gespeichert. Und da die Daten hierbei auf verschiedene Cloud-Umgebungen verteilt sind, müssen Unternehmen die Sicherheit und Compliance sorgfältig im Blick behalten, um das Risiko von Datenpannen oder Datenschutzverletzungen zu minimieren.
Und mit der Einführung verschiedener Datenschutzgesetze und rechtlicher Frameworks, wie z. B. der europäischen DSGVO, hat sich letztlich die Datenhoheit entwickelt. Unternehmen, die diese Gesetze nicht einhalten, müssen mit schwerwiegenden rechtlichen Problemen rechnen, darunter auch hohe Geldbußen. So können beispielsweise Strafen im Rahmen der DSGVO einen Prozentsatz ihres weltweiten Umsatzes betragen.
Die Zugriffskontrolle für sensible Daten – also wer auf welche Daten zugreifen darf – ist ein wichtiges Element der Datenhoheit. Sie ist entscheidend, um Unternehmen vor den Risiken einer Rufschädigung oder eines Verlusts des Kundenvertrauens zu schützen, die durch schwerwiegende Datenschutzverletzungen entstehen können. Außerdem muss bei alldem auch die Geschäftskontinuität berücksichtigt werden: Strategien für Datenhoheit erfordern, dass sich Unternehmen genau überlegen, wo sich ihre Daten befinden und welche Vorschriften sie befolgen müssen – denn so ist es einfacher, die Daten bzw. den Zugriff darauf im Notfall wiederherzustellen.
Datenhoheit stellt Unternehmen vor verschiedene Herausforderungen:
Wenn ein Unternehmen Daten in einem Land oder einer Region generiert, sie aber anderswo speichert oder verarbeitet, muss es die gesetzlichen Anforderungen in beiden Rechtsordnungen einhalten. Das ist insbesondere für global tätige Unternehmen eine große Herausforderung, die potenziell dutzende verschiedene Gesetzgebungen berücksichtigen müssen. All diese Komplexität erfordert juristisches Fachwissen und sorgfältige Überwachung.
Die Einhaltung von Anforderungen an die Datenlokalisierung kann zu erheblichen Kosten für Unternehmen führen, einschließlich Infrastruktur-, Compliance- und Rechtskosten. Darüber hinaus können betriebliche Ineffizienzen, die durch die Erfüllung dieser Anforderungen verursacht werden, eine zusätzliche finanzielle Belastung verursachen. Insbesondere kleinere Unternehmen haben Probleme, diesen finanziellen Anforderungen gerecht zu werden.
Geltende Gesetze und Vorschriften für den Umgang mit Daten können sich schnell ändern und mit der Zeit werden wahrscheinlich auch neue Länder weltweit eigene gesetzliche Frameworks einführen. Mit diesem dynamischen rechtlichen Umfeld Schritt zu halten, kann für Unternehmen eine echte Herausforderung darstellen, da sie Gesetzesänderungen in allen Ländern, in denen sie tätig sind, kontinuierlich überwachen müssen.
Anforderungen an die Datenhoheit können die Geschäftstätigkeit globaler Unternehmen erschweren: Fragmentierte Datasets behindern umfassende Datenanalysen, während regionale Dateneinschränkungen die globale Produktentwicklung beeinträchtigen können. Deshalb müssen Unternehmen den Mittelweg zwischen betrieblicher Effizienz und der Einhaltung der Datenhoheitsvorschriften finden.
Datenhoheit ist ein komplexes Thema und Unternehmen können verschiedene Ansätze verfolgen – doch mit den folgenden Best Practices können Sie die häufigsten Herausforderungen meistern:
Regelmäßige Datenaudits helfen Ihnen, den Überblick darüber zu behalten, welche Daten Sie erfasst haben, wo sie gespeichert sind, wie sie sich bewegen und wer darauf zugreifen kann. Indem Sie eine aktuelle Bestandsaufnahme aller physischen Orte durchführen, an denen sich Ihre Daten befinden, können Sie auch die regionalen Gesetze und Vorschriften ermitteln, die Sie einhalten müssen. Stellen Sie sicher, dass Ihr Audit Produktionsdaten, Backups, Entwicklungsumgebungen und auch Drittanbieterdaten abdeckt.
Um Ihr Unternehmen dabei zu unterstützen, die Daten innerhalb der erforderlichen geografischen Grenzen zu verwalten, wählen Sie einen Cloud-Anbieter mit regionalen Hosting-Optionen, der auch vertragliche Garantien für den Datenstandort bietet. Stellen Sie bei der Bewertung von Anbietern sicher, dass ihre Servicevereinbarungen klare Zusagen zur Datenresidenz enthalten.
Datenverschlüsselung gibt Unternehmen die Kontrolle darüber, wer wann auf ihre Daten zugreifen kann. Hierdurch fallen zwar nicht die Datenhoheitspflichten weg, doch Verschlüsselung bietet ein zusätzliches Maß an Schutz, sollten Daten versehentlich Grenzen überschreiten. Stellen Sie sicher, dass Sie gespeicherte und übertragene Daten verschlüsseln und die Kontrolle über alle Verschlüsselungsschlüssel behalten.
Es ist wichtig, gesetzliche Änderungen in allen Rechtsordnungen, in denen Ihr Unternehmen tätig ist, sorgfältig zu überwachen und dabei regelmäßig zu bewerten, wie sich Änderungen auf Ihren Geschäftsbetrieb auswirken könnten. Die umfassendste Methode hierfür ist die Zusammenarbeit mit Rechtsanwälten an jedem Standort. Sie können aber auch rechtliche Updates abonnieren und Branchengruppen beitreten.
Überlegungen zur Datenhoheit sollten nicht erst nachträglich berücksichtigt werden, sondern von Anfang an in Ihren Betrieb integriert sein. Beachten Sie die Datenhoheit bei der Frage, wie Sie Ihre Produkte entwickeln, welche Märkte Sie erschließen und mit welchen Anbietern Sie zusammenarbeiten. Entwickeln Sie ein Data-Governance-Framework mit klar definierten Rollen und Verantwortlichkeiten für Mitarbeitende, die Entscheidungen rund um Datenhoheit treffen.
Arbeiten Sie nicht nur mit Rechtsanwält:innen in jeder Rechtsordnung zusammen, in der Ihr Unternehmen tätig ist, sondern auch mit Fachleuten, die über umfassende Kenntnisse zu globalen Datenschutzgesetzen verfügen. Diese Fachleute verfügen über praktische Erfahrungen und können globale Unternehmen dabei unterstützen, sich im komplexen Netz internationaler Datenhoheitsanforderungen zurechtzufinden – und sie können Ihr Unternehmen sogar in etwaigen Vollstreckungsverfahren bei lokalen Behörden vertreten.
Entwickeln Sie einen Vorfallsreaktionsplan, den Mitarbeitende im Falle einer Datenschutzverletzung oder eines anderen Compliance-Verstoßes befolgen müssen. Hierbei sollten Sie für jede Region eine eigene Definition für Datenschutzverletzungen festlegen, Kontaktinformationen für die entsprechenden regionalen Reaktionsteams bereitstellen und klare Eskalationsverfahren einrichten. Fügen Sie vorab genehmigte Meldevorlagen für Regulierungsbehörden und wichtige Stakeholder:innen in allen relevanten Sprachen hinzu. Führen Sie regelmäßig Vorfallsreaktionsübungen durch, um Lücken oder Schwachstellen zu ermitteln, bevor ein tatsächlicher Vorfall auftritt.
Viele Unternehmen nutzen ihre Cloud-Infrastruktur, um Daten in einer Region zu speichern, in einer anderen zu verarbeiten und die Daten an mehreren Orten zu replizieren, um die Performance zu verbessern. Doch all das erschwert die Datenhoheit.
Um dieses Problem anzugehen, bieten große Cloud-Anbieter mittlerweile immer ausgefeiltere Lösungen an: AWS verfügt beispielsweise über regionsspezifische Bereitstellungen und bietet vertragliche Zusagen, dass die Daten innerhalb bestimmter Regionen verbleiben. Microsoft Azure und Oracle Cloud geben ihren Kunden ähnliche regionale Garantien und haben „Sovereign Cloud“-Lösungen entwickelt. Darüber hinaus pflegen diese Anbieter Compliance-Zertifizierungen und führen regelmäßig Audits durch.
Unternehmen können ihre Compliance-Verantwortlichkeiten jedoch nicht allein ihren Cloud-Anbietern überlassen. Verträge mit Cloud-Anbietern müssen speziell auf die Datenhoheit eingehen und klare Zusagen zum Datenstandort enthalten. Doch Unternehmen selbst müssen sich ihrer spezifischen Verantwortung bewusst sein und die Übersicht darüber behalten, wo ihre Daten gespeichert und wie sie verwaltet werden.
Die Einhaltung der Datenhoheit ist heute nicht mehr optional – sondern eine geschäftskritische Anforderung, die Unternehmen nicht ignorieren dürfen. Die globale Compliance-Landschaft wird immer komplexer und Unternehmen, die sich proaktiv anpassen, können ihre Compliance wahren und Vertrauen bei Nutzenden und Partnern aufbauen. Wer sich erst im Nachhinein mit Datenhoheit befasst, riskiert hohe Geldstrafen, Imageschäden, verstärkte behördliche Kontrollen und andere Wettbewerbsnachteile.
Der Bereich der Datenhoheit verändert sich ständig und wird immer komplexer. Um die Datenhoheit auch künftig zu gewährleisten, müssen Sie unbedingt gesetzliche Änderungen und neue Cloud-Lösungen im Blick behalten. Passen Sie Ihre Praktiken nach Bedarf an und investieren Sie in das nötige Fachwissen, um Compliance zu gewährleisten.
Anforderungen an die Datenhoheit sehen oft vor, dass Sicherheitsuntersuchungen und Forensik innerhalb bestimmter Rechtsordnungen gehandhabt werden. Einige Datenhoheitsgesetze schränken außerdem ein, wo Unternehmen Sicherheitsüberwachungsdaten speichern können. All das kann Sicherheitsmaßnahmen für globale Unternehmen komplizierter machen.
Um die Regeln für die Datenhoheit einzuhalten, müssen Unternehmen Cloud-Anbieter auswählen, die in den Regionen präsent sind, in denen Unternehmen tätig sind. Und sie müssen sicherstellen, dass ihre Cloud-Infrastruktur so konfiguriert ist, dass Daten nicht an unzulässigen Orten repliziert werden. Verträge mit Cloud-Anbietern müssen explizite Angaben zu Datenstandort und behördlichem Zugriff enthalten.
Die USA verfügen nicht über umfassende Gesetze zur Datenhoheit, wie es in der EU mit der DSGVO der Fall ist, jedoch gelten auch hier verschiedene Datenschutzgesetze. Einige davon stammen von US-Bundesstaaten, wie der California Consumer Privacy Act (CCPA) oder der Colorado Privacy Act (CPA). Andere gelten nur für bestimmte Sektoren, wie der Health Insurance Portability and Accountability Act (HIPAA) für das Gesundheitswesen und der Gramm-Leach-Bliley Act (GLBA) für Finanzdienstleistungen. Doch auch wenn die USA keine strengen Anforderungen zur Datenlokalisierung haben, können bestimmte US-Gesetze Daten abdecken, die US-Personen gehören – selbst wenn diese Daten außerhalb der USA gespeichert werden.
Eine Sovereign Cloud ist ein Bereitstellungsmodell, das die strengen Datenresidenz- und -hoheitsanforderungen bestimmter Länder oder Regionen erfüllt. Sie bietet starke vertragliche Garantien dafür, wo Daten gespeichert werden und wer darauf zugreifen kann – und das erleichtert globalen Unternehmen die Compliance über mehrere Rechtsordnungen hinweg.
