KI-Governance und Datenschutz
Was ist Datenresidenz? Definition und Praxisbeispiel
Auch: Regionale Verarbeitung, Data Residency
Kurz erklärt
Datenresidenz legt fest, in welcher Region Daten gespeichert und verarbeitet werden, etwa nur in der Schweiz oder in der EU. Sie regelt den Ort, nicht automatisch den Zugriff: Auch Daten in Europa können für Support-Teams oder Behörden anderer Länder erreichbar sein.
Warum es zählt: Ihr könnt Kunden und Behörden klar sagen, wo ihre Daten liegen und wer darauf zugreift.
Ort
Wo Daten liegen und verarbeitet werden
Zugriff
Wer von wo darauf zugreifen kann
Warum ist Datenresidenz wichtig für dein Unternehmen?
Viele Kunden in der Schweiz und in Deutschland verlangen, dass ihre Daten in Europa bleiben. Datenschutzgesetze erlauben die Bekanntgabe ins Ausland nur, wenn dort ein angemessener Schutz besteht oder zusätzliche Garantien vereinbart sind, in der EU nach der DSGVO, in der Schweiz nach dem revDSG.
Ort und Zugriff sind zwei getrennte Fragen. Ein Rechenzentrum in Frankfurt oder Zürich nützt wenig, wenn Support, Betrieb oder die Muttergesellschaft aus einem anderen Rechtsraum zugreifen können. Klärt beides, und fragt bei KI-Anbietern auch, wo das Modell selbst rechnet.
Praxisbeispiel: Gespeichert in der EU, verarbeitet in den USA
Ein KI-Tool wirbt mit Speicherung in der EU. Im Security-Review zeigt sich: Die Dokumente liegen in Frankfurt, die Modellanfragen laufen aber über Rechenzentren in den USA. Für eure Strategie 2027 mit Fokus auf Kunden im DACH-Mittelstand ist das ein Problem, denn genau diese Kunden fragen danach.
Die Firma verlangt regionale Verarbeitung für Speicherung und Modellaufrufe und regelt den Zugriff aus Drittstaaten im Vertrag. Im Kundengespräch gibt es jetzt eine klare Antwort zu Ort und Zugriff.
3 häufige Fehler, die du vermeiden solltest
Speicherort und Verarbeitungsort verwechseln
Daten können in Europa liegen und trotzdem anderswo verarbeitet werden. Fragt nach beidem.
Den Zugriff vergessen
Der Ort sagt nichts darüber, wer zugreifen kann. Support und Muttergesellschaft gehören in die Prüfung.
Backups und Logs übersehen
Kopien in Backups, Logs oder Monitoring liegen oft in anderen Regionen. Sie zählen genauso.
Schritt für Schritt
- 1
Anforderungen klären
Prüft, was Kunden, Verträge und Gesetze zum Ort der Daten verlangen.
- 2
Datenflüsse nachzeichnen
Haltet fest, wo gespeichert, wo gerechnet und wo gesichert wird.
- 3
Region festschreiben
Legt die Region im Vertrag oder DPA fest, inklusive Subprozessoren.
- 4
Zugriff regeln
Klärt, wer aus welchem Land zugreifen darf und wie ihr davon erfahrt.
Wo steht eure Firma bei KI?
Der AI Readiness Check zeigt in wenigen Minuten, wo ihr in den sechs Dimensionen des AI Monitor steht.
AI Readiness Check startenWeiterlesen im PM Lab
Artikel, die das Thema vertiefen.
Verwandte Begriffe
- LLM-Datenkontrollen →LLM-Datenkontrollen sind die technischen und vertraglichen Massnahmen, die festlegen, was mit euren Daten in einem Sprachmodell geschieht.
- KI-Governance →KI-Governance ist das Regelwerk, mit dem eine Firma steuert, wer KI wofür einsetzen darf, mit welchen Daten und unter wessen Verantwortung.
- Schatten-KI →Schatten-KI ist der Einsatz von KI-Tools, die die Firma weder freigegeben hat noch kennt, etwa private Chatbot-Konten für Arbeitsdaten.