Datenaufbewahrungsort: Wo speichert eine Plattform Ihre Daten physisch, und warum handelt es sich hierbei um eine vertragliche Frage?

Was versteht man unter Datenstandort?

Der Datenstandort gibt an, wo sich Ihre Daten physisch befinden. Eine Plattform, die in einer einzigen Region gehostet wird, speichert die Kundendaten auf Servern in dieser Region; eine Plattform mit regionalem Hosting kann die Daten europäischer Kunden in Europa und die Daten nordamerikanischer Kunden in Nordamerika speichern.

Es lohnt sich, diese Frage ganz offen zu stellen, da die Antwort oft weniger umfassend ausfällt, als es die Marketingaussagen vermuten lassen. Ein Anbieter mit Niederlassungen auf drei Kontinenten betreibt möglicherweise dennoch nur eine Hosting-Region, und ein globales Support-Team ist nicht mit dem gleichen Engagement gleichzusetzen wie regionale Speicherkapazitäten.

‍

Inwiefern unterscheidet sich dies von der Datenhoheit?

Beim Wohnsitz geht es um den Standort. Bei der Souveränität geht es darum, die Gesetze welches Landes für die Daten gelten – das ist eine andere und umfassendere Frage.

Daten können in einem Land gespeichert sein und dennoch der rechtlichen Zuständigkeit eines anderen Landes unterliegen, typischerweise aufgrund der Staatsangehörigkeit des Anbieters selbst oder des Standorts einer Muttergesellschaft. Die Verpflichtung, Daten in einer bestimmten Region zu speichern, klärt somit die Frage nach dem Speicherort vollständig, die Frage nach der Hoheitsgewalt jedoch nur teilweise. Ein Käufer, dem es eher um die rechtliche Zuständigkeit als um den physischen Standort geht, muss nach beidem fragen.

‍

Warum dies für Fördermittel- und CSR-Plattformen von Bedeutung ist

Denn diese Systeme sind von ihrer Konzeption her darauf ausgelegt, personenbezogene Daten zu speichern. Ein Förderantrag enthält namentlich genannte Personen, Kontaktdaten sowie mitunter finanzielle und gesundheitliche Informationen über die Begünstigten. Eine Aufstellung der ehrenamtlichen Tätigkeiten gibt Aufschluss darüber, welche Mitarbeiter an welchen Tagen welche Aufgaben übernommen haben.

Dadurch fällt die Plattform unter die Datenschutzverpflichtungen und nicht unter die allgemeine IT-Richtlinie, und die Frage nach dem Speicherort wird einem europäischen Geldgeber von seiner eigenen Rechtsabteilung wahrscheinlich bereits vor der Unterzeichnung und nicht erst danach gestellt. Sie reiht sich neben die übrigen Anforderungen zur Einhaltung der Förderbedingungen ein – als etwas, das nachgewiesen werden muss und nicht als Selbstverständlichkeit gilt.

Drei Fragen klären die Angelegenheit in einem Beschaffungsgespräch. In welcher Region werden die Daten gespeichert, und ist dies im Vertrag festgehalten? Welche Unterauftragsverarbeiter haben Zugriff, und wo befinden sich diese? Und was geschieht mit den Daten nach Vertragsende – in welchem Format und innerhalb welcher Frist?

‍

Datenspeicherort auf einer Förderplattform

Eine Softwareplattform für das Fördermittelmanagement sollte in der Lage sein, ohne gesonderte Anfrage den Standort des Hostings anzugeben, die Unterauftragsverarbeiter aufzulisten sowie die Bedingungen für die Datenausgabe und -löschung darzulegen. Das Vorliegen dieser Dokumente ist ein aussagekräftiger Indikator dafür, wie ernst ein Anbieter diese Frage nimmt.

Zudem steht ein Zusammenhang zum Rest der Datei. Dieselbe Sorgfalt, die einen nachvollziehbaren Prüfpfad bei Finanzierungsentscheidungen gewährleistet, ermöglicht es einem Lieferanten auch, Auskunft darüber zu geben, wo sich die zugrunde liegenden Unterlagen befinden.