Datenresidenz
Datenresidenz bezeichnet den geografischen Ort, an dem die Daten eines ERP-Systems physisch gespeichert und verarbeitet werden – also in welchem Land bzw. Rechtsraum die Server und Rechenzentren stehen.
Datenresidenz bezeichnet den geografischen Standort, an dem die Daten eines ERP- oder Cloud-Systems physisch gespeichert und verarbeitet werden – konkret: in welchem Land und damit in welchem Rechtsraum die Server und Rechenzentren des Anbieters betrieben werden. Der Begriff beantwortet die Frage „Wo liegen meine Daten wirklich?" und ist damit eine zentrale Kenngröße bei der Auswahl und beim Betrieb von Cloud-ERP-Lösungen.
Datenresidenz ist nicht dasselbe wie Datenschutz oder Datenhoheit, wird aber oft mit beidem verwechselt. Sie beschreibt ausschließlich den physischen Speicherort. Welche Gesetze auf diese Daten anwendbar sind, wer Zugriff erhält und wie sie geschützt werden, sind eng verwandte, aber eigenständige Fragen. Gerade im DACH-Raum ist die Datenresidenz ein häufiges Entscheidungskriterium, weil viele Unternehmen und öffentliche Auftraggeber eine Speicherung innerhalb der EU oder sogar ausschließlich in Deutschland, Österreich oder der Schweiz verlangen.
Auf einen Blick
- Datenresidenz = physischer Speicherort der Daten (Land/Rechtsraum des Rechenzentrums).
- Entscheidet mit darüber, welches Recht (z. B. DSGVO) auf die Daten anwendbar ist.
- Nicht zu verwechseln mit Datenhoheit (Zugriffs- und Kontrollrecht) oder Datenschutz.
- Cloud-ERP-Anbieter geben die Region oft als „EU", „DE" oder „Schweiz" an.
- Wichtig für DSGVO, Ausschreibungen, Branchenauflagen und Third-Country-Transfers.
Was Datenresidenz genau bedeutet
Datenresidenz beschreibt den Ort, an dem Daten „zu Hause" sind – also dauerhaft abgelegt und im Regelbetrieb verarbeitet werden. Bei einem Cloud-ERP betrifft das nicht nur die Produktivdatenbank, sondern auch Backups, Log-Dateien, Suchindizes, Caches und temporäre Verarbeitungsknoten. Erst wenn all diese Bestandteile im gewünschten Rechtsraum verbleiben, ist die Datenresidenz tatsächlich gewahrt.
Anbieter drücken Datenresidenz üblicherweise über „Regionen" aus: Ein Rechenzentrumsstandort wie „EU (Frankfurt)", „Germany" oder „Switzerland North" bündelt eine oder mehrere physische Rechenzentren in einem definierten Land. Der Kunde wählt bei Vertragsabschluss oder Provisionierung eine Region und legt damit fest, wo seine Mandantendaten liegen. Ein späterer Wechsel der Region ist technisch oft aufwendig, weil er einer Datenmigration gleichkommt.
Datenresidenz vs. Datenhoheit
Datenresidenz (data residency) meint den physischen Speicherort. Datenhoheit oder Datensouveränität (data sovereignty) meint dagegen, welchem Recht die Daten unterliegen und wer rechtlich Kontrolle und Zugriff ausüben kann. Beide fallen nicht zwingend zusammen: Ein US-Anbieter kann Daten in Frankfurt speichern (EU-Residenz), unterliegt als Konzern aber unter Umständen dem US-CLOUD-Act – die Datenhoheit ist dann nicht vollständig europäisch. Wer echte Souveränität braucht, prüft daher zusätzlich die Konzernstruktur und Betreiberkonstellation des Anbieters.
Wie Datenresidenz technisch sichergestellt wird
Damit die zugesagte Region eingehalten wird, greifen mehrere Mechanismen ineinander. Der Anbieter bindet den Mandanten an einen Rechenzentrumsverbund und stellt über die Infrastruktur sicher, dass Datenbank, Objektspeicher und Backup-Ziele denselben geografischen Raum nutzen. Content-Delivery-Netze, E-Mail-Versand oder eingebundene KI- und Analysedienste können jedoch Daten in andere Regionen tragen – ein häufig übersehener Punkt, den man im Auftragsverarbeitungsvertrag prüfen sollte.
Vertragliche und technische Nachweise
Verlässliche Aussagen zur Datenresidenz stützen sich auf drei Ebenen: den Auftragsverarbeitungsvertrag (AVV) mit benannten Standorten und Subunternehmern, technische Zertifizierungen wie ISO 27001 oder ein C5-Testat des BSI sowie das Verzeichnis eingesetzter Sub-Prozessoren. Ein seriöser Anbieter dokumentiert dort transparent, welche Dienste an welchem Ort betrieben werden. Verlangt eine Ausschreibung ausschließlich EU-Speicherung, muss auch jeder nachgelagerte Dienst diese Vorgabe erfüllen.
Warum Datenresidenz für ERP-Anwender wichtig ist
Ein ERP-System enthält besonders sensible Datenbestände: Kunden- und Lieferantenstammdaten, Umsätze, Kalkulationen, Personaldaten und Buchungssätze. Der Speicherort dieser Daten entscheidet mit darüber, welche Datenschutz- und Aufsichtsregeln greifen. Die DSGVO erlaubt die Verarbeitung personenbezogener Daten innerhalb der EU ohne zusätzliche Hürden; bei einer Übermittlung in Drittländer sind hingegen besondere Garantien wie Standardvertragsklauseln oder ein Angemessenheitsbeschluss nötig.
Über die reine Rechtskonformität hinaus ist Datenresidenz zunehmend ein Vertrauens- und Wettbewerbsfaktor. Öffentliche Auftraggeber, Banken, Versicherungen und viele Konzerne schreiben in Ausschreibungen eine EU- oder DE-Residenz verbindlich vor. Für Anbieter und Anwender wird der Nachweis regionaler Speicherung damit zur Voraussetzung, überhaupt am Vergabeverfahren teilnehmen zu dürfen. Auch das Risiko eines behördlichen Zugriffs aus Drittstaaten lässt sich durch bewusste Wahl der Region reduzieren.
Ein weiterer Aspekt ist die Latenz und Verfügbarkeit: Ein Rechenzentrum in geografischer Nähe kann Antwortzeiten verkürzen und den Betrieb bei grenzüberschreitenden Vorgaben vereinfachen. In der Praxis überwiegen jedoch fast immer die rechtlichen und vertraglichen Gründe, weshalb Datenresidenz früh im Auswahlprozess geklärt und dokumentiert werden sollte – idealerweise bereits im Lastenheft.
Datenresidenz im ERP-System
Bei Cloud-ERP im SaaS-Modell bestimmt der Anbieter die verfügbaren Regionen; der Kunde wählt aus diesem Angebot. Viele im DACH-Markt verbreitete Systeme betreiben ihre Produktivumgebungen in EU-Rechenzentren, oft in Deutschland. Bei einem On-Premise-ERP oder beim Selbst-Hosting liegt die Datenresidenz dagegen vollständig in der Hand des Unternehmens – die Daten bleiben auf eigenen oder selbst gemieteten Servern am gewählten Standort.
Relevant ist die Frage nicht nur für das Kernsystem, sondern für die gesamte Systemlandschaft. Angebundene Shops, Marktplätze, Payment-Dienstleister, Versanddienstleister und Middleware verarbeiten dieselben Datensätze und können eigene Regionen nutzen. Eine saubere Betrachtung der Datenresidenz bezieht daher alle integrierten Dienste ein – nicht nur das ERP allein. Im Zweifel gilt: Der schwächste Baustein der Kette definiert die tatsächliche Datenresidenz des Gesamtprozesses.
DACH-Besonderheiten und die Schweiz
Innerhalb der EU – und damit für Deutschland und Österreich – bildet die DSGVO den einheitlichen Rahmen. Eine Speicherung in einem beliebigen EU-Mitgliedstaat ist datenschutzrechtlich unproblematisch, weshalb „EU-Residenz" für viele Anwendungsfälle ausreicht. Manche Branchen und Behörden verlangen dennoch eine reine Speicherung in Deutschland, etwa aus internen Sicherheitsrichtlinien oder aufsichtsrechtlichen Vorgaben.
Die Schweiz ist kein EU-Mitglied und unterliegt dem revidierten Schweizer Datenschutzgesetz (revDSG). Die EU hat der Schweiz Angemessenheit zuerkannt, sodass Datenflüsse in beide Richtungen erleichtert sind. Dennoch bevorzugen Schweizer Unternehmen häufig eine Datenresidenz im eigenen Land, um „Swiss Hosting" als Vertrauensmerkmal auszuweisen. Bei DACH-übergreifenden Setups lohnt sich deshalb ein genauer Blick, ob ein ERP-Anbieter neben EU-Regionen auch einen dedizierten Schweizer Standort anbietet.
Praxisbeispiel
Praxisbeispiel: EU-Residenz als Ausschreibungskriterium
Ein mittelständischer Handelsbetrieb mit 90 Mitarbeitenden will von einer On-Premise-Lösung auf ein Cloud-ERP wechseln. Ein wichtiger Neukunde – ein kommunaler Versorger – verlangt vertraglich, dass sämtliche Auftrags- und Personaldaten ausschließlich innerhalb der EU gespeichert werden. Im Auswahlprozess fällt daher ein ansonsten passendes System durch, weil dessen Backups in einer US-Region liegen.
Der Betrieb entscheidet sich für einen Anbieter mit garantierter Datenresidenz im Rechenzentrum Frankfurt, lässt sich die EU-Speicherung inklusive aller Sub-Prozessoren im AVV bestätigen und dokumentiert dies in seiner Verfahrensdokumentation. So erfüllt er die Vergabeanforderung und schafft zugleich intern Klarheit darüber, wo seine sensibelsten Daten tatsächlich liegen.
Häufige Fragen
Passende ERP-Systeme
Passende Leistungen
Quellen
Fragen zu Datenresidenz in deinem ERP-Projekt?
Wir beraten herstellerunabhängig – und setzen es auf Wunsch selbst um.