Symptom
Telemetrie standardmäßig über US-Regionen geroutet
- Ursache
- SaaS-Defaults nie überschrieben
- Risiko
- Art. 44 DSGVO-Verstoß
Datenresidenz · DSGVO
Datenresidenz & DSGVO-Engineering
Datenresidenz und DSGVO-Engineering steuern, wo personenbezogene Daten liegen, wer sie lesen kann und wie Transfers dokumentiert werden — durch engineerte Kontrollen statt Folien-Versprechen. Evolvice implementiert Regionen-Policies, Schlüsselverwaltung und ein kontinuierliches Verarbeitungsverzeichnis, damit DSGVO auf Infrastrukturebene trägt.
- ISO 27001
- NIS2
- BSI-Grundschutz
- DSGVO
Überblick
Technische Übersicht
DSGVO-Compliance scheitert oft nicht an der Auslegung, sondern am Engineering: Telemetrie fließt in Nicht-EU-Regionen, Sub-Auftragsverarbeiter sind nicht gemappt, und das Verarbeitungsverzeichnis driftet vom realen Datenfluss ab.
Was wir in Ordnung bringen
- Telemetrie, die per SaaS-Default in Nicht-EU-Regionen fließt
- Nicht gemappte oder undokumentierte Sub-Auftragsverarbeiter
- Art.-30-Verarbeitungsverzeichnis driftet vom realen Datenfluss
- Fehlende oder veraltete Transfer Impact Assessments (TIA)
Diagnose
Typische Datenresidenz-Fehlerbilder
Was wir bei Datenfluss-Reviews für deutsche Kunden vorfinden.
Symptom
Verarbeitungsverzeichnis (VVT) veraltet
- Ursache
- Manuelle Pflege, keine Kopplung an Deployment-Pipeline
- Risiko
- Art. 30 Ungenauigkeit
Symptom
Sub-Auftragsverarbeiter-Liste unvollständig
- Ursache
- Neue SaaS ohne DSB-Freigabe eingeführt
- Risiko
- Vertragsverstoß gegenüber Kunden
Symptom
Schlüssel beim SaaS-Anbieter
- Ursache
- CMK/HYOK nicht aktiviert
- Risiko
- Schrems-II-Risiko
Engineering
Residenz ist ein Code-Pfad, kein Policy-Absatz.
Eine Residenz-Zusage, die nicht in Code, Netzwerk-Policy und Cloud-Guardrails durchgesetzt wird, ist keine Kontrolle. Wir übersetzen die rechtliche Zusage in deterministische Engineering-Kontrollen und kontinuierliche Evidenz.
Genau das erwarten Auditoren zunehmend.
Definition
Datenresidenz
Datenresidenz ist die Engineering- und Policy-Praxis, definierte Klassen personen- oder regulierungspflichtiger Daten ausschließlich in festgelegten Jurisdiktionen zu speichern, zu verarbeiten und zu übertragen — mit nachweisbarer Evidenz.
Liefermodell
Wie wir EU-Datenresidenz durchsetzen
Fünf Schritte vom Datenfluss-Audit zu durchgesetzten Residenz-Kontrollen.
- 1
Datenfluss-Audit
End-to-End-Mapping personenbezogener Datenflüsse inkl. Telemetrie und Backup; Sub-Auftragsverarbeiter-Inventar.
- 2
Residenz-Ziele
Residenz-Ziele je Datenklasse mit DSB und Product Ownern abgestimmt.
- 3
Engineering-Kontrollen
Region-Allowlists, Egress-Filter, CMK/HYOK-Schlüsselverwaltung, Vendor-SCIM-Scopes.
- 4
Kontinuierliches VVT
Art.-30-Verzeichnisse automatisch aus Infra-Metadaten generiert, quartalsweise reviewed.
- 5
Transfer Impact Assessment
TIA-Prozess in das Vendor-Onboarding integriert; Ergebnisse beim AVV abgelegt.
Compliance
Compliance-Zuordnung — Datenresidenz
Wie unser Liefermodell die vier Referenzrahmen abdeckt, an denen deutsche Unternehmen geprüft werden.
| Kontrolle | ISO 27001 | NIS2 | BSI-Grundschutz | DSGVO |
|---|---|---|---|---|
| Datenverzeichnis (VVT) | A.5.9 | Art. 21(2)(d) | CON.2 | Art. 30 |
| Verschlüsselung at Rest | A.8.24 | Art. 21(2)(h) | CON.1.A.4 | Art. 32(1)(a) |
| Region-Kontrollen | A.5.34 | Art. 21(2)(j) | OPS.2.2 | Art. 44 |
| Sub-Auftragsverarbeiter | A.5.19 | Art. 21(2)(d) | OPS.2.3 | Art. 28 |
| Betroffenenrechte | A.5.34 | — | CON.2.A.7 | Art. 12–22 |
Fragen & Antworten
Fragen, die Entscheider stellen
Definitionen, Lieferdetails und kommerzielle Antworten an einer Stelle — zitierfähig für Such- und KI-Antwortmaschinen und verständlich für Ihr Team.
Wie es funktioniert
Nein. EU-Speicherung ist notwendig, aber nicht hinreichend. Schrems II verlangt zusätzlich, dass Zugriffe durch Nicht-EU-Stellen technisch verhindert werden — z. B. durch kundenverwaltete Schlüssel und begrenzte Admin-Pfade.
Zusammenarbeit mit Evolvice
Sprechen Sie mit dem Evolvice-Team.
Wir starten mit einer 30-minütigen Diagnose Ihrer aktuellen Lieferung — kostenfrei und ohne Vertrieb. Sie erhalten in jedem Fall eine schriftliche Zusammenfassung der Befunde.