Datenresidenz bei E-Mail: Serverstandort ist nicht Jurisdiktion

Datenresidenz ist eine Zusage darüber, wo die Bytes Ihrer Mail physisch liegen — welches Land die Nachrichtentexte, die Anhänge und deren Backups hält, wenn niemand hineinschaut. Die Jurisdiktion ist eine andere Eigenschaft: Sie folgt dem, der diesen Speicher kontrolliert, und kann ganz woandershin zeigen. Ein Bucket in Frankfurt, betrieben von einem in den USA inkorporierten Unternehmen, hat gleichzeitig EU-Residenz und US-Zuständigkeit, und beide Sätze stimmen zur selben Zeit.

Diese zwei auseinanderzuhalten ist die ganze Disziplin. „Serverstandort Deutschland“ ist das bestverkaufte Merkmal im deutschen Hosting-Markt, und fast jede enttäuschende Beschaffung, die ich zu E-Mail beobachtet habe, entstand daraus, dass eine Anforderung das eine festschrieb und annahm, damit das andere gekauft zu haben.

Was ist Datenresidenz, und wie unterscheidet sie sich von der Jurisdiktion?

Residenz ist Geografie. Jurisdiktion ist Gesellschaftsrecht. Die Region ist eine Eigenschaft der Platte; die Jurisdiktion ist eine Eigenschaft des Unternehmens, das die Zugangsdaten dazu hält.

Sie fallen auseinander, weil rechtlicher Zugriff an Einheiten hängt. Ein US-Anbieter, der technisch eine Kopie Ihres Postfachs erzeugen kann, gilt als Inhaber der Kontrolle, egal wo die Platte steht — das ist das Funktionsprinzip von 18 U.S.C. § 2713, eingefügt durch den CLOUD Act 2018. Umgekehrt liegt ein ausschließlich in der EU inkorporierter Anbieter außerhalb dieses Gesetzes, selbst für Daten, die er zufällig auf Hardware in Virginia hält.

Eine belastbare Aussage über den Speicherort hat deshalb zwei Parameter, nicht einen: welche Region die Bytes belegen und welches Unternehmen, inkorporiert wo, die Fähigkeit hat, sie zu lesen. Anbieter nennen den ersten, weil er ein Dropdown ist. Der zweite ist eine strukturelle Tatsache über den Anbieter, und er kann sie für Sie nicht ändern.

Was verlangen Anforderungen an den Serverstandort tatsächlich?

Selten nur eine Region. Wenn ich die echten Anforderungen hinter einer Zeile „EU-Datenresidenz“ lese, bündeln sie meist vier Dinge: den Speicherort, eine namentliche Liste der Unterauftragsverarbeiter samt Standorten, Grenzen für Fernzugriffe des Supports aus Drittländern und eine dokumentierte Antwort auf die Transferfrage.

Sie kommen aus bestimmten Ecken. Die öffentliche Beschaffung ist die große: Bund, Länder und Kommunen arbeiten unter Regeln, die älter sind als die Cloud und Räume statt Regionen voraussetzten. Regulierte Branchen legen sektorale Schichten darauf: die deutsche BSI-C5-Attestierung für Cloud-Dienste, die französische HDS-Zertifizierung für alles, was Gesundheitsdaten berührt, die EBA-Leitlinien zum Outsourcing, die von Banken ein Register darüber verlangen, wo jede Funktion läuft, und die Auditrechte gewahrt sehen wollen.

Der interessante Ausreißer ist Frankreichs SecNumCloud, dessen Revision 3.2 die Geografie verlässt und in die Gesellschaftsstruktur geht — Hauptsitz in der EU, Grenzen für nicht-europäische Kapitalkontrolle, Immunität gegen außereuropäisches Recht als ausdrückliches Kriterium. Was man von dieser Politik hält, ist eine andere Frage: Es ist der Rahmen, der die tatsächliche Variable benennt. Der Ort ist ein Näherungswert; gekauft wird Kontrolle.

Was in solchen Anforderungen fast nie auftaucht, ist die DSGVO selbst. Die Verordnung erlaubt Übermittlungen außerhalb des EWR nach Kapitel V mit den passenden Garantien. „Nur EU“ ist eine Richtlinienentscheidung obendrauf, meist weil die Garantien nach 2020 schwer zu begründen wurden.

Warum hält das Häkchen „EU-Region“ so oft weniger, als es verspricht?

Weil die Zusage auf einen Ausschnitt der Daten begrenzt ist, und E-Mail erzeugt reichlich, was außerhalb dieses Ausschnitts liegt.

Im Kleingedruckten jeder großen Regionszusage steht eine definierte Kategorie — „Kundeninhalte“ oder „primäre Daten im Ruhezustand“ — für eine aufgezählte Liste abgedeckter Dienste. Was draußen bleibt, ist vorhersehbar: Suchindizes, Spam- und Bedrohungstelemetrie, Auslieferungs- und Authentifizierungsprotokolle, Missbrauchssignale, Verzeichnis- und Identitätsdaten, Abrechnungsdaten und jedes Support-Ticket, in das eine Technikerin einen Header-Dump eingefügt hat. Microsoft hat seine EU Data Boundary von 2023 bis 2025 in Phasen erweitert, genau weil pseudonymisierte personenbezogene Daten und Supportdaten in der ersten Phase nicht abgedeckt waren.

Drei weitere Lücken kehren wieder. Die Regionswahl ist häufig ein kostenpflichtiger Zusatz statt der Standard. Administrative Daten und Mandantenmetadaten haben oft überhaupt keine Regionsoption. Und der Support folgt der Sonne, weshalb ein Postfach mit einwandfreier Residenz routinemäßig aus einer Zeitzone betreut wird, die in der Anlage nie stand.

Nichts davon ist Täuschung. Es ist nur ein engeres Versprechen, als der Käufer gehört hat.

Welche Teile von E-Mail lassen sich überhaupt verorten?

Der Speicher ja. Der Transport nicht. Diese Linie lohnt sich früh, weil sie entscheidet, was Residenz überhaupt schützen kann.

Das Archiv im Ruhezustand — Texte, Anhänge, Backups und meist der Suchindex — ist tatsächlich platzierbar. Alles andere an Mail widersetzt sich. Eingehendes SMTP läuft über die Netze, die zwischen dem sendenden Host und Ihrem MX liegen, und verhandelt dort opportunistisches TLS, ohne dass Sie den Weg steuern. Spamfilterung muss die Nachricht lesen, also liegt irgendwo im Arbeitsspeicher des Filters Klartext. Ihre Korrespondenzpartner behalten eigene Kopien unter ihrem eigenen Recht, und das bleibt so.

Das ist kein Grund, Residenz aufzugeben. Es ist ein Grund, präzise zu sein: Residenz ist eine Eigenschaft Ihres Archivs, nicht Ihrer Gespräche.

Wie wird der Serverstandort zu einer Einstellung statt zu einem Versprechen?

Indem das Archiv in Speicher wandert, der Ihnen gehört. Ab da ist Residenz keine Anbieterzusage mehr, sondern ein Parameter, den Sie beim Anlegen des Buckets setzen.

Objektspeicher legt die Region als erstklassige Wahl offen: Sie wählen sie, Sie sehen sie, Sie können sie mit einem API-Aufruf prüfen. Die Jurisdiktion wird eine zweite, unabhängige Wahl — mit welchem Betreiber Sie unterschreiben und wo dieses Unternehmen inkorporiert ist. Gleiche Region, anderer Betreiber, und die rechtliche Exposition sieht völlig anders aus. Die beiden Regler sind nicht mehr zusammengeschweißt.

Auch die Nachweislage ändert sich. Statt einer vertraglichen Zusicherung, dass Daten in einer Region liegen, haben Sie einen Bucket in Ihrem eigenen Konto, dessen Inhalt, Region und Zugriffsprotokolle Sie direkt einsehen können. Für eine Prüferin im öffentlichen Sektor ist das eine andere Art von Beweis, weil er nicht davon abhängt, der geprüften Partei zu glauben.

Zwei ehrliche Einschränkungen. Verfügungsgewalt verschiebt Pflichten mit der Kontrolle: Eine zu freizügige Bucket-Policy ist jetzt Ihr Vorfall, ein ungetestetes Backup Ihr Problem. Und Residenz ist nicht Vertraulichkeit — Mail in einem Bucket, der Ihnen gehört, wird immer noch von dem Routing-Dienst gelesen, der sie gefiltert und hineingeschrieben hat. Fragen Sie, wo die Bytes ruhen, und fragen Sie dann, wer die Schlüssel hält. Das sind verschiedene Fragen, und die Antworten dürfen sich unterscheiden.