„Unsere Daten bleiben in Brasilien“ ist eine der am häufigsten vorkommenden Formulierungen in Technologieverträgen und wird in der Praxis am seltensten überprüft. Die Aussage scheint objektiv zu sein – entweder sind die Server hier oder sie sind woanders. Das Konzept der Datenresidenz ist jedoch technisch gesehen komplexer als der physische Standort eines Rechenzentrums, und die meisten Compliance-Probleme entstehen durch den Unterschied zwischen den vertraglichen Garantien und den Vorgängen in der Infrastruktur.
Was Datenresidenz technisch wirklich bedeutet
Die Datenresidenz hat drei unterschiedliche Dimensionen, die selten getrennt behandelt werden. Der erste ist der Ort, an dem Daten im Ruhezustand gespeichert werden – wo sich Dateien, Datenbankeinträge und Speicherobjekte physisch befinden. Der zweite Punkt ist der Ort, an dem die Daten verarbeitet werden – Anwendungsserver, die Abfragen, Transformationen und Analysen ausführen, befinden sich möglicherweise an einem anderen Ort als die Daten, die sie manipulieren. Der dritte Aspekt, der oft übersehen wird, ist der Speicherort der Metadaten – Indizes, Zugriffsprotokolle, Konfigurationsdaten und Prüfprotokolle, die die Stammdaten beschreiben.
Die meisten Datenresidenzverträge decken nur die erste Dimension ab. Ein Unternehmen kann Produktionsdaten in der Region „Brasilien Süd“ eines Cloud-Anbieters speichern lassen und gleichzeitig Zugriffsprotokolle für diese Daten automatisch an eine Region in den Vereinigten Staaten senden, Replikate für die Leistung lesen, die in anderen Regionen erstellt wurden, oder Analysepipelines, die Daten zur Verarbeitung in einer globalen Infrastruktur verschieben.
Besonders problematisch ist die Datenverarbeitung. Wenn ein Benutzer in Brasilien eine Suche durchführt und die Anfrage an eine verteilte globale Suchmaschine gesendet wird, wo findet diese Verarbeitung statt? Wenn ein in den USA trainiertes Modell für maschinelles Lernen](/post/machine-learning-em-produtos-digitais) Rückschlüsse auf brasilianische Daten zieht, wo befinden sich die Daten zu diesem Zeitpunkt? Die Antworten hängen von der spezifischen Architektur jedes Systems ab und werden selten in Standard-Serviceverträgen festgelegt.
Wie große Cloud-Anbieter das Thema angehen
AWS bietet seit 2011 die Region sa-east-1 in São Paulo mit einem breiten Katalog an lokal verfügbaren Diensten an. Das Datenresidenzversprechen von AWS besteht darin, dass in einer Region gespeicherte Daten nicht ohne ausdrückliche Kundenaktion aus dieser Region verschoben werden. Dies umfasst Primärspeicher, verwaltete Datenbank und Rechenleistung. Was nicht automatisch enthalten ist: AWS CloudTrail-Protokolle können so konfiguriert werden, dass sie an verschiedene Regionen gesendet werden, technischer AWS-Support kann von Ingenieuren in anderen Regionen mit Zugriff auf Kundenumgebungen bereitgestellt werden und globale Dienste wie AWS IAM und Route 53 verfügen über eine Kontrollinfrastruktur, die nicht regional ist.
Microsoft bietet mit Azure Brazil South in São Paulo ähnliche Garantien für Kerndienste, jedoch mit einem kleineren Katalog als in älteren Regionen – einige in den USA oder Europa verfügbare Dienste sind in der brasilianischen Region nicht verfügbar, was möglicherweise zu hybriden Architekturen führt, die den Wohnsitzanforderungen widersprechen. Oracle Cloud mit einer Region in Vinhedo, São Paulo, ist insbesondere für Oracle Database-Workloads mit regulatorischen Anforderungen eine relevante Option.
Was alle Anbieter gemeinsam haben: Geografische Backups sind eine Funktion, die oft eine explizite Konfiguration erfordert, um innerhalb des Landes zu bleiben. Durch die automatische Replikation zur Gewährleistung der Datenbeständigkeit können Kopien standardmäßig über Regionen in verschiedenen Ländern verteilt werden. Es liegt in der Verantwortung des Kunden, die Standardreplikationskonfiguration zu überprüfen, bevor davon ausgegangen wird, dass Daten enthalten sind.
Die Ausnahmen, die in Verträgen selten erwähnt werden
Der Support-Zugriff ist die bedeutendste Ausnahme. Wenn ein Unternehmen ein technisches Support-Ticket bei AWS, Azure oder Google Cloud öffnet, befindet sich der antwortende Techniker möglicherweise an einem beliebigen Ort auf der Welt und benötigt möglicherweise Zugriff auf die Umgebung des Kunden, um das Problem zu diagnostizieren. Anbieter verfügen über Kontrollen, um diesen Zugriff einzuschränken, der Standardwert ist jedoch nicht Nullzugriff. Das AWS Nitro System und die Azure Customer Lockbox sind Beispiele für Mechanismen, die Kunden die Kontrolle darüber geben, wann und von wem auf ihre Umgebung zugegriffen werden kann – sie müssen jedoch aktiviert und verstanden werden.
Compliance- und Audit-Protokolle sind ein weiterer häufiger blinder Fleck. SIEM-Tools (Security Information and Event Management) und Überwachungsplattformen, die Protokolle aus mehreren Regionen zusammenfassen, haben ihre Speicherinfrastruktur häufig in Regionen, in denen der Dienst günstiger ist oder über mehr Kapazität verfügt. Der Kunde konfiguriert den Inkassoagenten in der brasilianischen Region, die Protokolldaten werden jedoch letztendlich in einem anderen Land gespeichert.
CDN- und [Edge-Computing-Dienste] verteilen per Definition Daten weltweit in der Nähe der Benutzer. Wenn ein Unternehmen CloudFront, Azure CDN oder Fastly zur Verbreitung von Inhalten nutzt, können Teile dieser Inhalte – möglicherweise einschließlich zwischengespeicherter Benutzerdaten – vorübergehend auf Servern in anderen Ländern vorhanden sein. Für die meisten Arten von Daten ist dies akzeptabel, für sensible personenbezogene Daten ist jedoch eine spezifische Analyse erforderlich.
Was Lieferanten vor der Unterzeichnung fragen sollten
Die Due-Diligence-Prüfung der Datenresidenz bei Lieferanten beginnt mit konkreten Fragen und nicht mit der Bestätigung, dass „die Daten in Brasilien bleiben“. Die entscheidenden Fragen lauten: Wo werden Backups und Replikate standardmäßig gespeichert und kann dies so konfiguriert werden, dass es in Brasilien verbleibt? Welche Regionen werden für Analysen und maschinelle Lerndatenverarbeitung verwendet? Welche Mitarbeiter haben technischen Zugriff auf die Umgebung und von wo aus agieren sie? Wo werden Audit-Protokolle gespeichert? Gibt es Supportdienste, Diagnosetools oder Telemetriepipelines, die Daten an Infrastrukturen außerhalb Brasiliens senden?
Anbieter, die diese Fragen nicht genau beantworten können, verfügen nicht über echte Datenresidenz – sie betreiben Data-Residency-Marketing. Die Unterscheidung ist wichtig, da sie sich direkt auf die Fähigkeit auswirkt, die Einhaltung im Falle einer Inspektion durch die ANPD oder durch Kunden, die einen Nachweis benötigen, nachzuweisen.
Eine praktische Strategie für diejenigen, die sich einen echten Wohnsitz sichern müssen
Der erste Schritt ist eine Datenflussinventur – die Zuordnung, wohin jede Datenkategorie geht, nachdem sie in die Umgebung gelangt ist. Nicht nur dort, wo es ursprünglich gespeichert wird, sondern auch dort, wo es durch Integrationen, Replikationen, Analysepipelines und Tools von Drittanbietern fließt. Diese Zuordnung deckt häufig Datenaustrittspunkte auf, die in der ursprünglichen Architektur nicht berücksichtigt wurden.
Der zweite Schritt besteht darin, die Standardeinstellungen für jeden verwendeten Dienst zu überprüfen. Bei Cloud-Anbietern können Sie die Datenresidenz oft granular konfigurieren, die Standardeinstellungen sind jedoch auf globale Verfügbarkeit und nicht auf lokale Compliance optimiert. Der Unterschied zwischen dem, was der Dienst tun kann, und dem, wofür er konfiguriert ist, besteht darin, dass die meisten Datenresidenzprojekte scheitern.
Der dritte Schritt, der am häufigsten übersprungen wird, besteht darin, einen kontinuierlichen Verifizierungsprozess einzurichten. Cloud-Umgebungen ändern sich. Neue Dienste werden hinzugefügt, Integrationen werden von verschiedenen Teams konfiguriert und Einstellungen zur Datenresidenz können versehentlich geändert werden. Die automatische Überwachung von Datenstandortrichtlinien – verfügbar über AWS Config, Azure Policy oder CSPM-Tools – verwandelt die Datenresidenz von einer Momentaufnahme in eine nachhaltige Sicherheit.
Lesen Sie auch
- LGPD zwei Jahre später: Was sich in brasilianischen Unternehmen wirklich verändert hat
- Digitale Souveränität: Wenn der Ort, an dem Ihre Daten gespeichert sind, zu einer strategischen Entscheidung wird
- LGPD im Jahr 2026: Was hat sich geändert, was wurde noch nicht eingehalten und was kommt
- Digital Compliance: Vergleich in der Praxis
- LGPD in Startups: Compliance- und Datenschutzstrategien
- Digital Compliance: Compliance-Leitfaden für digitale Produkte