Ashio whistleblowing software

Oct 24, 2026

Datensouveränität vs. Datenresidenz: der Unterschied erklärt

Server-Racks in einem europäischen Rechenzentrum

Datenresidenz beantwortet die Frage, wo Ihre Daten physisch liegen, also in welchem Land, welchem Rechenzentrum, auf welchem Server. Datensouveränität beantwortet die Frage, wessen Recht für diese Daten gilt und wer am Ende über Zugriff, Herausgabe und Löschung entscheidet. Beides hängt zusammen, ist aber nicht dasselbe. Ein Server in Frankfurt macht Ihre Daten nicht automatisch souverän. Für Unternehmen, die sensible Informationen verarbeiten, etwa Meldungen in einem Hinweisgebersystem, entscheidet dieser Unterschied darüber, ob Vertraulichkeit nur versprochen oder auch rechtlich und technisch abgesichert ist.

Ashio
Meldungen vertraulich erfassen
Ashio bietet Unternehmen einen sicheren, anonymen Meldekanal mit Identitätsschutz, Audit-Trail und Dashboard zur Verwaltung von Meldungen.
Ashio kennenlernen

Kurz gesagt

  • Datenresidenz ist eine Frage der Geografie: Die Daten liegen in einem bestimmten Land oder einer Region.
  • Datensouveränität ist eine Frage des Rechts: Sie legt fest, welche Gesetze greifen und wer Zugriff erzwingen kann, unabhängig vom Speicherort.
  • Ein lokaler Speicherort schützt nicht vor ausländischen Gesetzen mit Wirkung über Landesgrenzen hinaus. Entscheidend ist, wer den Anbieter kontrolliert und wer die Schlüssel hält.
  • Die Schweiz gilt für die EU als Land mit angemessenem Datenschutzniveau. Personenbezogene Daten dürfen ohne zusätzliche Transfergarantien dorthin fließen.
  • Für Hinweisgebersysteme zählt beides: ein sicherer Standort und ein Rechts- und Technikrahmen, der die Identität der meldenden Person zuverlässig schützt.

Inhaltsverzeichnis

Datenresidenz: wo Ihre Daten physisch liegen

Datenresidenz beschreibt den geografischen Standort, an dem Daten gespeichert werden. Liegen Ihre Kundendaten auf Servern in Frankfurt, dann residieren sie in Deutschland. Mehr sagt der Begriff nicht aus. Er ist eine Ortsangabe, keine Rechtsgarantie.

In der Praxis taucht Datenresidenz meist in drei Formen auf:

  1. Vertragliche Zusage: Der Anbieter verpflichtet sich, Daten nur in einer bestimmten Region zu speichern, zum Beispiel “EU” oder “Schweiz”.
  2. Regulatorische Vorgabe: Manche Branchen oder Auftraggeber verlangen, dass bestimmte Daten ein Land nicht verlassen.
  3. Interne Richtlinie: Das Unternehmen legt selbst fest, dass sensible Daten nur in definierten Rechenzentren liegen dürfen.

Achten Sie bei solchen Zusagen auf das Kleingedruckte. “Gespeichert in der EU” heißt nicht zwingend, dass Backups, Protokolle, Support-Zugriffe oder die Verarbeitung durch Unterauftragnehmer ebenfalls in der EU stattfinden. Eine saubere Residenzzusage nennt alle diese Punkte ausdrücklich.

Datensouveränität: wessen Recht gilt und wer entscheidet

Datensouveränität ist ein rechtliches Konzept. Gemeint ist das Prinzip, dass Daten den Gesetzen und Vorschriften unterliegen, die für sie gelten, im Speicher, bei der Verarbeitung und während der Übertragung. Im Unternehmensalltag wird der Begriff oft weiter gefasst: als Fähigkeit einer Organisation, selbstbestimmt über ihre Daten zu verfügen, also über Erhebung, Speicherung, Verarbeitung, Weitergabe und Löschung.

Drei Fragen machen den Begriff greifbar:

  • Welche Rechtsordnung gilt? Das hängt nicht nur vom Serverstandort ab, sondern auch vom Sitz des Anbieters, seiner Muttergesellschaft und den Verträgen.
  • Wer kann Zugriff erzwingen? Behörden, Gerichte oder Konzernzentralen, die Ihren Anbieter zur Herausgabe verpflichten können.
  • Wer hält die technische Kontrolle? Wer die Verschlüsselungsschlüssel besitzt, entscheidet faktisch, ob eine Herausgabe überhaupt lesbare Daten liefert.

Datensouveränität ist damit kein reines IT-Thema. Sie gehört in das Governance-, Risiko- und Compliance-Programm eines Unternehmens und bestimmt mit, welche Cloud-Anbieter für sensible Daten überhaupt in Frage kommen, besonders wenn Sie grenzüberschreitend arbeiten. Wer Datenschutzverantwortung organisatorisch verankern will, findet in der Rolle des Datenschutzbeauftragten im Unternehmen ein Beispiel, wie solche Zuständigkeiten über Ländergrenzen hinweg geregelt werden.

Die Unterschiede im Überblick

Kriterium Datenresidenz Datensouveränität
Leitfrage Wo liegen die Daten? Wessen Recht gilt, wer entscheidet?
Art des Konzepts Geografisch, technisch Rechtlich, organisatorisch
Typischer Nachweis Rechenzentrumsstandort im Vertrag Sitz und Eigentümer des Anbieters, Schlüsselverwaltung, Zugriffsregeln
Schützt vor Unkontrolliertem Datentransfer ins Ausland Zugriff durch fremde Rechtsordnungen und Dritte
Schützt nicht vor Ausländischen Gesetzen mit extraterritorialer Wirkung Physischen Ausfällen, wenn Redundanz fehlt
Wer prüft das? IT, Einkauf Datenschutz, Compliance, Rechtsabteilung, Geschäftsführung

Die Kurzform: Residenz ist eine notwendige, aber keine hinreichende Bedingung für Souveränität. Sie schafft den Rahmen, Souveränität füllt ihn mit Kontrolle.

Warum der Serverstandort allein nicht schützt

Der häufigste Denkfehler lautet: “Unsere Daten liegen in Deutschland, also sind sie geschützt.” Fachleute sprechen hier von einer “Cloud-Scharade”: Moderne Rechtsrahmen wirken zunehmend über Landesgrenzen hinaus. Gesetze wie der US CLOUD Act können Anbieter unter bestimmten Bedingungen zur Herausgabe von Daten verpflichten, auch wenn diese physisch in Europa liegen. Maßgeblich ist dann, wer den Anbieter kontrolliert, nicht wo die Festplatte steht.

Umgekehrt gilt auch die DSGVO extraterritorial: Sie erfasst Unternehmen außerhalb der EU, sobald diese Daten von Personen in der EU verarbeiten. Der Ort ist also längst kein absoluter Schutzschild mehr, weder in die eine noch in die andere Richtung.

Was schützt stattdessen? Eine Kombination aus:

  • Rechtlicher Unabhängigkeit: Der Anbieter und seine Eigentümer unterliegen keiner Rechtsordnung, die Herausgabe ohne europäische Schutzstandards erzwingen kann.
  • Technischer Kontrolle: Ende-zu-Ende-Verschlüsselung, bei der der Anbieter selbst die Inhalte nicht lesen kann.
  • Datensparsamkeit: Was gar nicht erst erhoben wird, etwa IP-Adressen oder Identitätsdaten, kann auch niemand herausverlangen.
  • Nachvollziehbarkeit: Lückenlose Protokolle darüber, wer wann auf welche Daten zugegriffen hat.

Chancen und Risiken von Speicherpflichten

Geografische Speichervorgaben haben echte Vorteile. Sie reduzieren die Zahl der Rechtsordnungen, die mitreden, vereinfachen Datenschutz-Folgenabschätzungen und schaffen Klarheit gegenüber Kunden und Aufsichtsbehörden.

Sie können aber auch neue Schwachstellen erzeugen. Sicherheitsanalysten weisen darauf hin, dass strikte Residenzvorgaben zu einem Single Point of Failure oder eingeschränkter Redundanz führen können. Wer alles in einem einzigen Rechenzentrum hält, gewinnt rechtliche Übersicht und verliert womöglich Ausfallsicherheit. Eine gute Strategie verbindet beides: Redundanz innerhalb desselben Rechtsraums, also mehrere Standorte in einem Land oder in Ländern mit gleichwertigem Schutzniveau.

Ein zweites, oft unterschätztes Risiko ist die Aufbewahrung. Daten, die länger liegen als nötig, vergrößern die Angriffsfläche und das Herausgaberisiko, egal wo sie gespeichert sind. Klare Aufbewahrungsfristen und Löschkonzepte gehören deshalb zu jeder Residenzstrategie dazu. Die Datenschutz-Folgenabschätzung ist das passende Werkzeug, um solche Risiken früh zu erkennen: Der Bundesdatenschutzbeauftragte stellt dafür ein Muster mit Hinweisen zur DSFA bereit.

Die Schweiz und der Angemessenheitsbeschluss der EU

Für Unternehmen in Deutschland ist die Schweiz ein besonderer Fall. Sie gehört nicht zur EU, ist für den Datenschutz aber kein “unsicheres Drittland”. Die Europäische Kommission kann nach Artikel 45 DSGVO feststellen, dass ein Land außerhalb der EU ein angemessenes Datenschutzniveau bietet. Für die Schweiz liegt ein solcher Angemessenheitsbeschluss vor.

Am 15. Januar 2024 hat die Kommission ihre Überprüfung von elf bestehenden Angemessenheitsbeschlüssen positiv abgeschlossen, darunter den für die Schweiz. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte hält fest, dass die EU damit das Schweizer Datenschutzniveau weiterhin als angemessen anerkennt. Das Bundesamt für Justiz bestätigt: Personenbezogene Daten können aus der EU und dem EWR ohne zusätzliche Garantien in die Schweiz übermittelt werden.

Was heißt das konkret für Sie?

  • Sie brauchen für Übermittlungen in die Schweiz keine Standardvertragsklauseln und kein Transfer-Impact-Assessment wie bei Ländern ohne Angemessenheitsbeschluss.
  • Die Schweiz ist ein eigener Rechtsraum mit eigenem Datenschutzgesetz. Ein Schweizer Anbieter unterliegt also nicht automatisch den Herausgabepflichten anderer Staaten.
  • Die DSGVO-Pflichten Ihres Unternehmens bleiben unverändert: Auftragsverarbeitungsvertrag, Verzeichnis der Verarbeitungstätigkeiten, Informationspflichten und gegebenenfalls eine DSFA.

Ein Angemessenheitsbeschluss ist kein Freibrief für immer. Die Kommission überprüft solche Beschlüsse regelmäßig. Wer auf Schweizer Hosting setzt, sollte den Status bei der jährlichen Datenschutzprüfung kurz mitprüfen.

Was das für Hinweisgebersysteme bedeutet

Kaum eine Datenverarbeitung ist so sensibel wie ein Hinweisgebersystem. Hier geht es um mögliche Rechtsverstöße, oft um Vorwürfe gegen konkrete Personen und immer um die Identität einer Person, die ein Risiko eingeht, wenn sie spricht.

Die EU-Whistleblowing-Richtlinie 2019/1937 verlangt sichere, vertrauliche Meldekanäle, die unbefugten Zugriff verhindern. Die Richtlinie regelt außerdem:

  • Fristen: Eingangsbestätigung innerhalb von sieben Tagen, Rückmeldung an die meldende Person innerhalb von höchstens drei Monaten.
  • Vertraulichkeit: Die Identität der meldenden Person darf ohne ihre ausdrückliche Zustimmung nur befugtem Personal offengelegt werden.
  • Datenschutz: Die Verarbeitung personenbezogener Daten muss im Einklang mit der DSGVO erfolgen, offensichtlich nicht relevante Daten sind zu löschen.
  • Dokumentation: Meldungen sind so zu dokumentieren, dass sie nachvollziehbar bleiben, ohne länger als nötig gespeichert zu werden.

Hier zeigt sich, warum Datenresidenz allein nicht reicht. Ein Meldesystem kann auf einem Server in einem Land mit hohem Schutzniveau liegen und trotzdem die IP-Adresse der meldenden Person protokollieren, Cookies setzen oder Administratoren des Anbieters Einblick in Klartext geben. Dann ist der Standort einwandfrei und die Vertraulichkeit trotzdem gefährdet. Der Rechts- und Technikrahmen um die Daten, also Zugriffsrechte, Löschregeln und der Schutz der Identität, wiegt genauso schwer wie der Ort des Servers.

Für Branchen mit erhöhtem Schutzbedarf, etwa kritische Infrastruktur, gilt das besonders. Welche Anforderungen dort zusammenkommen, beschreiben wir auf unserer Seite zur Hinweisgeber-Software für Energieversorger.

Checkliste: So prüfen Sie einen Anbieter

Ob Hinweisgebersystem, HR-Software oder Dokumentenablage: Mit diesen Fragen trennen Sie Marketing-Versprechen von belastbaren Zusagen. Eine ergänzende Liste mit Prüffragen zum Datenhosting hilft, das Gespräch mit Ihrer IT strukturiert zu führen.

Fragen zur Datenresidenz

  1. In welchem Land und welchen Rechenzentren liegen Produktivdaten, Backups und Logdateien?
  2. Wo sitzen Unterauftragnehmer, und wo greifen Support-Mitarbeitende auf Systeme zu?
  3. Ist der Standort vertraglich festgeschrieben, und wie werden Sie über Änderungen informiert?
  4. Gibt es Redundanz innerhalb desselben Rechtsraums?

Fragen zur Datensouveränität

  1. Wo hat der Anbieter seinen Sitz, und wem gehört er? Unterliegt die Muttergesellschaft einer Rechtsordnung mit extraterritorialen Herausgabepflichten?
  2. Wer hält die Verschlüsselungsschlüssel? Kann der Anbieter Inhalte im Klartext lesen?
  3. Welche Daten werden gar nicht erst erhoben, zum Beispiel IP-Adressen, Geräte-Kennungen oder Cookies?
  4. Gibt es einen unveränderlichen Audit-Trail, der jeden Zugriff protokolliert und exportierbar ist?
  5. Welche Zertifizierungen liegen vor, etwa ISO 27001, und auf welchen Geltungsbereich beziehen sie sich?

Fragen zur Compliance im Alltag

  1. Überwacht das System gesetzliche Fristen automatisch?
  2. Lassen sich Lösch- und Aufbewahrungsregeln abbilden?
  3. Ist ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO verfügbar?

Kann ein Anbieter Fragen der zweiten Gruppe nicht klar beantworten, bietet er im besten Fall Residenz, aber keine Souveränität.

Unsere Sicht: Souveränität beginnt bei dem, was gar nicht gespeichert wird

Wir bauen Software für Hinweisgebersysteme, und wir sehen die Debatte um Datenresidenz und Datensouveränität aus einem sehr praktischen Blickwinkel. Für uns ist die wirksamste Form von Souveränität die Datensparsamkeit. Daten, die nie erhoben werden, können weder abfließen noch herausverlangt werden.

Deshalb verzichten wir bei Ashio bewusst auf jegliche Identitätsdaten der meldenden Personen, auf IP-Tracking und auf Tracking jeder Art. Meldungen sind Ende-zu-Ende-verschlüsselt. Erst danach kommt der Standort ins Spiel, und auch den haben wir bewusst gewählt: Unsere Plattform wird vollständig in der Schweiz gehostet, in einer ISO-27001-zertifizierten Umgebung, also in einem Land, dessen Datenschutzniveau die EU als angemessen anerkennt.

Unsere Sicht: Souveränität beginnt bei dem, was gar nicht gespeichert wird — overview diagram

Der dritte Baustein ist Unabhängigkeit. Ein Hinweisgebersystem verliert Vertrauen, wenn Mitarbeitende den Eindruck haben, der Arbeitgeber oder ein Dritter könne mitlesen. Unsere Plattform ist unabhängig vom Arbeitgeber aufgebaut, und jeder Bearbeitungsschritt landet in einem unveränderlichen, exportierbaren Audit-Trail. So lässt sich gegenüber Prüfern belegen, wer wann was getan hat, ohne die Identität der meldenden Person preiszugeben.

Unsere Empfehlung an Compliance- und HR-Verantwortliche lautet daher: Fragen Sie nicht zuerst “Wo liegen die Daten?”, sondern “Welche Daten gibt es überhaupt, und wer kann sie lesen?”. Die Antwort auf die zweite Frage sagt mehr über Souveränität aus als jeder Rechenzentrumsstandort.

Ein Meldekanal, der beides abdeckt

Wenn Sie einen Meldekanal suchen, der Datenresidenz und Datensouveränität gleichermaßen ernst nimmt, ist Ashio genau dafür gebaut: wirklich anonyme Meldesoftware ohne IP-Adressen und ohne Cookies, Hosting in der Schweiz, automatische Fristenüberwachung, strukturierte Fallbearbeitung, Statusverfolgung für Meldende und revisionssichere Dokumentation. Alle Funktionen für die gesetzliche Compliance sind im Preis enthalten. Der Basic-Tarif startet nach einer kostenlosen Testphase mit 29 € pro Monat. Details zu Verschlüsselung und Hosting finden Sie auf unserer Seite zu Sicherheit und DSGVO-Konformität, mehr zum Standort auf der Seite zur Hinweisgebersoftware aus der Schweiz.

Häufige Fragen

Was bedeutet “Data Sovereignty” auf Deutsch?

“Data Sovereignty” wird meist mit Datensouveränität übersetzt, seltener mit Datenhoheit. Gemeint ist, dass Daten den Gesetzen einer bestimmten Rechtsordnung unterliegen und dass eine Organisation selbst bestimmt, wer darauf zugreift. “Data Residency” heißt entsprechend Datenresidenz und bezeichnet nur den Speicherort.

Reicht es, wenn meine Daten in Deutschland gespeichert sind?

Für die Datenresidenz ja, für die Datensouveränität nicht unbedingt. Unterliegt der Anbieter einer ausländischen Rechtsordnung mit extraterritorialen Herausgabepflichten, kann diese trotz deutschem Serverstandort greifen. Prüfen Sie deshalb auch Sitz, Eigentümerstruktur und Schlüsselverwaltung des Anbieters.

Darf ich personenbezogene Daten in der Schweiz speichern lassen?

Ja. Die EU erkennt das Datenschutzniveau der Schweiz als angemessen an, die Kommission hat das zuletzt am 15. Januar 2024 bestätigt. Übermittlungen sind damit ohne zusätzliche Garantien wie Standardvertragsklauseln möglich, Ihre übrigen DSGVO-Pflichten wie der Auftragsverarbeitungsvertrag bleiben bestehen.

Was ist der Unterschied zwischen Datensicherheit und Datenschutz?

Datenschutz regelt, ob und wie personenbezogene Daten verarbeitet werden dürfen, also die rechtliche Seite. Datensicherheit umfasst die technischen und organisatorischen Maßnahmen, die Daten vor Verlust, Manipulation und unbefugtem Zugriff schützen. Datensouveränität verbindet beides mit der Frage, welche Rechtsordnung gilt.

Welche Rolle spielt der Standort bei einem Hinweisgebersystem?

Der Standort ist ein Baustein, aber nicht der wichtigste. Die Whistleblowing-Richtlinie verlangt vor allem, dass die Identität der meldenden Person vertraulich bleibt und Unbefugte keinen Zugriff haben. Ein System ohne IP-Tracking und mit Ende-zu-Ende-Verschlüsselung schützt hier mehr als ein guter Serverstandort allein.

Quellen

Empfehlungen