Datenresidenz war früher eine Frage, die nur Juristen stellten, und IoT-Teams konnten eine Plattform wählen, ohne zu wissen, auf welchem Kontinent ihre Daten schlafen. Diese Zeit ist vorbei. Europäische Kunden fragen nach dem Speicherort der Telemetrie, bevor sie nach Funktionen fragen, öffentliche Ausschreibungen machen Residenz zum Ausschlusskriterium, und Branchen von der Gesundheit bis zur Versorgungswirtschaft tragen nationale Regeln zu Daten, die das Land verlassen. Für jeden, der IoT-Dienste verkauft, bestimmen die Residenzoptionen der Plattform still Ihren adressierbaren Markt: eine Plattform mit einer einzigen US-Region ist eine Obergrenze dafür, an wen Sie verkaufen können, wie gut das Produkt auch sei.
Residenz sauber zu bewerten läuft auf eine Handvoll Fragen hinaus, und die trennen echte Antworten von Marketingantworten.
Was Residenz ist und was nicht
Datenresidenz ist der physische und rechtliche Ort, an dem Ihre Daten gespeichert werden. Sie hängt mit drei Nachbarbegriffen zusammen, ist aber nicht dasselbe. Datensouveränität ist die Frage, wessen Recht für die Daten gilt, was aus der Residenz folgt, aber auch daraus, wer die Infrastruktur betreibt. Dateneigentum ist die Frage, wer Rechte an den Daten hat, eine vertragliche Frage, die wir in wem gehören Ihre IoT-Daten behandelt haben. Und DSGVO-Konformität ist ein Rechtsregime, das Übermittlungen begrenzt, aber für sich genommen keine Speicherung in der EU verlangt.
Ein Anbieter, der eine Residenzfrage mit “wir sind DSGVO-konform” beantwortet, hat eine andere Frage beantwortet, und dieser Austausch ist es wert, bemerkt zu werden.
Die fünf Fragen, die schwache Antworten aufdecken
Erstens: In welchen Regionen dürfen unsere Daten liegen, und können wir das pro Rollout wählen? Die stärkste Antwort ist eine dokumentierte Regionenliste mit Kundenwahl auf Profil- oder Mandantenebene. TagoIO betreibt beispielsweise getrennte Cluster in den USA und in Europa, und die Wahl liegt bei der Anmeldung bei Ihnen. Lautet die Antwort auf eine einzige Region, ist das eine Marktgrenze, kein Ausschlussgrund, aber preisen Sie sie ein.
Zweitens: Bleiben alle Daten in der Region oder nur die Telemetrie? Hier fallen schwache Residenzgeschichten auseinander. Zeitreihendaten mögen in Frankfurt liegen, während Kontometadaten, Dateispeicher oder Backups still woanders wohnen. Fragen Sie ausdrücklich nach Metadaten, Backups und Logs, und lassen Sie sich die Antwort schriftlich geben.
Drittens: Verlassen die Daten während der Verarbeitung die Region? Manche Plattformen speichern in der Region, verarbeiten aber, führen Analytics aus oder leiten Benachrichtigungen über Dienste woanders. Wenn Ihren Kunden Residenz wichtig ist, ist ihnen meist auch der Transit wichtig. Das umfasst die KI-Schicht: führt die Plattform Analytics und KI auf Ihren Daten aus, fragen Sie, wo diese Lasten laufen und ob etwas davon die Region verlässt. Eine Plattform, die ihre Intelligenz in derselben Infrastruktur wie den Speicher betreibt, hat eine deutlich saubere Antwort als eine, die Daten standardmäßig an Modell-APIs Dritter schickt.
Viertens: Was passiert, wenn wir später die Region wechseln müssen? Migration zwischen Regionen ist die Residenzvariante des Vendor Lock-in: überall möglich, unterschiedlich schmerzhaft. Dokumentierte Export-APIs und ein benannter Migrationsweg sind die ehrliche Antwort; “wenden Sie sich an den Support” ist ein Warnzeichen.
Fünftens: Wer kann auf die Daten zugreifen, und von wo? Die Residenz der Bytes zählt für manche Aufsichtsbehörden weniger als die Residenz des Zugriffs. Die Zuständigkeit des Supportpersonals, Unterauftragsverarbeiterlisten und die Rechtseinheit, mit der Sie Vertrag schließen, gehören alle in die Prüfung, und eine Plattform mit unterzeichnetem AVV und ISO-27001-Zertifizierung, wie TagoIO sie trägt, gibt Ihrer Compliance-Prüfung eine auditierte Grundlage statt Zusicherungen.
Die Anforderung zum Rollout passend machen
Nicht jedes Rollout braucht die strengste Antwort, und Residenz zu überspezifizieren kostet ebenfalls Geld. Eine nützliche Sortierung: Rollouts mit kommerzieller Sensibilität (die meiste industrielle Überwachung) brauchen eine Regionenwahl und einen AVV. Rollouts mit personenbezogenen Daten (alles, was Bewohner, Beschäftigte oder Fahrzeuge berührt) brauchen Regionenwahl, Transitantworten und die DSGVO-Maschinerie, die vollständige Liste aus unserem Leitfaden zur DSGVO-Bewertung. Rollouts in regulierten Branchen (Gesundheit, Versorger, Behörden) brauchen all das plus Branchenregeln, und manchmal brauchen sie wirklich lokale Komponenten. Dort hält eine Edge-Option wie TagoCore die sensible Verarbeitung vor Ort, während der Rest der Flotte in der Cloud bleibt.
Wenn Sie IoT-Dienste weiterverkaufen, machen Sie diese Sortierung für Ihre Kunden, bevor sie fragen. Ein Reseller, der sagen kann “Ihre Daten bleiben in Europa, hier ist das Dokument”, gewinnt Ausschreibungen gegen Wettbewerber, die drei Wochen brauchen, um es herauszufinden.
Der Test, der die Sache klärt
Bitten Sie den Anbieter zu zeigen, nicht zu erzählen: eine unterzeichnete AVV-Vorlage, die Regionenliste in der öffentlichen Dokumentation, die Unterauftragsverarbeiterliste und das Zertifikat. Zehn Minuten Dokumente schlagen eine Stunde Zusicherungen. Richtig gemachte Residenz ist langweilig, und langweilig ist genau das, was die Compliance-Abteilung Ihres Kunden kauft.
TagoIO betreibt europäische und US-Cluster, unterzeichnet AVVs und ist ISO 27001 zertifiziert, die Einzelheiten stehen öffentlich auf der Trust-Seite. Demo buchen oder kostenlos starten.
