„Alle Daten bleiben im Land.“ Ihre Architektur garantiert das nicht.
Die Frage des AuftraggebersBestätigen Sie, dass sämtliche Kundendaten ausschließlich in [gefordertes Land] gespeichert, verarbeitet und eingesehen werden, einschließlich Unterauftragnehmern und Support.
Eine regionale Datenbankeinstellung beantwortet nur einen Teil. Bestätigen Sie Ausschließlichkeit erst nach Prüfung von Speicherung, Zweitkopien, Support und Zugriff in der angebotenen Konfiguration. Eine zulässige internationale Übermittlung kann trotzdem der engeren Vertragsvorgabe widersprechen.
Eine Antwort zum Anpassen
Für sämtliche Daten im angebotenen [Service, Konfiguration und Tarif] können wir ausschließliche Speicherung, Verarbeitung und Zugriff innerhalb von [gefordertes Land] nicht bestätigen. Für [geprüfte Datenkategorie] befindet sich Speicherung im Ruhezustand in [geprüfter Ort und geltende Konfiguration]. Aktuelle Ausnahmen sind [benannte Datenkategorie, Vorgang, Anbieter oder Rechtsträger, Ort und Zweck; ungeklärte Fakten ausdrücklich einschließen]. Insbesondere ist [geprüfte Ausnahme für Backup, Protokollierung, Support oder Fernzugriff] nicht von einer ausschließlich inländischen Verpflichtung abgedeckt. [Nur wenn geprüft: Die für die Verarbeitung geltenden Schutzmaßnahmen sind in [freigegebenes Dokument und Version] beschrieben.] Diese Maßnahmen erfüllen allein nicht Ihre ausschließliche Standortvorgabe. Wir können [freigegebene Alternativkonfiguration oder begrenzte Ausnahme, sofern vorhanden] vorschlagen, vorbehaltlich [dokumentierte technische, vertragliche und Bereitstellungsbedingungen]. Bitte bestätigen Sie über [zugelassener Klärungskanal], ob diese Alternative bewertet werden darf. Bis zur dokumentierten erforderlichen Entscheidung führen wir die Standortanforderung als unerfüllt und beschreiben den Service nicht als vollständig inländisch.
Ersetzen Sie alle Angaben in eckigen Klammern durch belegte Fakten. Entfernen Sie optionale Sätze, die Sie nicht belegen können. Reichen Sie diese Formulierung nicht unverändert ein.
Was die Antwort belastbar macht
Legen Sie eine Residenzlücke anhand von Speicherung, Backups, Protokollen, Unterauftragnehmern und Fernzugriff offen. Rechtmäßige Übermittlung ist nicht gleich Auftraggeberakzeptanz.
„Daten“ klären, bevor Sie die Geografie bestimmen
Klären Sie, ob die Klausel Kundeninhalte, personenbezogene Daten, Kontometadaten, Telemetrie, Supportanhänge, Sicherheitsprotokolle, Backups und Restdaten nach Löschung erfasst. Ersetzen Sie „alle Daten“ nicht still durch die engere Anbieterdefinition. Microsofts EU-Data-Boundary-Dokumentation unterscheidet beispielsweise Datenkategorien und begrenzte Übermittlungen. Sie zeigt, warum ein Regionsname seine tatsächlichen Bedingungen braucht, nicht dass eine konkrete Ausnahme zulässig ist.
Residenz von Zugriff und Wiederherstellung trennen
Prüfen Sie Speicherort jeder Kopie, Verarbeitungsort und Zugangsmöglichkeiten autorisierter Personen oder Stellen. Eine inländische Primärdatenbank beantwortet nicht Backup-Wiederherstellungsort, Supportanhänge oder Fernzugriff. Failover kann gerade unter Betriebsdruck die normale Anordnung ändern. Erfassen Sie Ausnahmen und Routinewege, bevor Sie eine absolute Zusage machen.
Übermittlungsrecht und Ausschreibungseignung getrennt prüfen
Für DSGVO-Kontexte nennt die EDPB drei kumulative Kriterien einer Übermittlung nach Kapitel V, einschließlich Bereitstellung an einen anderen Verantwortlichen oder Auftragsverarbeiter in einem Drittland. Nicht jeder Mitarbeiterzugriff aus dem Ausland ist gleich einzuordnen. Lassen Sie reale Stellen und Flüsse durch Datenschutz oder Recht prüfen. Auch eine rechtlich zulässige Anordnung erfüllt nicht automatisch die ausschließliche Landesvorgabe; bewerten Sie beide Fragen getrennt.
Fünf Wege hinter einer Regionseinstellung
Geben Sie jedem Weg einen geprüften Ort, Rechtsträger und Ausnahme. Ein leeres Feld ist ungeklärt, kein Beleg inländischer Verarbeitung.
- Primärinhalt
- Prüfen Sie genauen Service, Bereitstellungsregion und von der Speicherzusage erfasste Kategorie.
- Backup und Wiederherstellung
- Prüfen Sie Replikate, Wiederherstellungsziele, Katastrophenwiederherstellung und Restaufbewahrung nach Löschung.
- Protokolle und Telemetrie
- Klären Sie personenbezogene oder Kundeninformationen in Datensätzen und deren Verarbeitungsort.
- Support und Unterauftragsverarbeiter
- Verfolgen Sie Ticketanhänge, Diagnosen, Integrationen und verantwortliche Stellen.
- Fernzugriff
- Identifizieren Sie, wer welche Daten von wo unter welchen Kontrollen einsehen kann; beschaffen Sie passende Datenschutz- und Vertragsprüfung.
Die erforderlichen Nachweise
Ein Datenwegverzeichnis für dieses Angebot
Benennen Sie jede relevante Datenkategorie, Operation, Land, verantwortliche Stelle, Service und Nachweiseigentümer. Erfassen Sie Primärspeicher, Replikate, Wiederherstellung, Protokolle, Support, Analysen und tatsächlich angebotene optionale Integrationen. Markieren Sie unbekannte Orte als unbekannt. Verlangen Sie Konfigurationsnachweise von Infrastruktur und Anwendung; ein Diagramm oder eine Richtlinie ohne Bereitstellungsbezug darf nicht die gesamte Ausschließlichkeitsbehauptung tragen.
Aktuelle Lieferantenbedingungen und Zugriffsgrenzen
Prüfen Sie Verträge, Verarbeitungsbedingungen, Unterauftragsverarbeiter, servicespezifische Regionszusagen und dokumentierte Ausnahmen. Unterstützt der Tarif die behauptete Beschränkung und ist Konfiguration nötig? Benennen Sie Fernzugriffskontrollen und Genehmigungen. Marketingzusammenfassung oder alte Unterauftragsverarbeiterliste belegt nicht den heute angebotenen Weg. Halten Sie Versionen und Prüfdatum bei der Antwort.
Nachweise zu Lebenszyklus und Änderungen
Prüfen Sie Export, Vorfalluntersuchung, Failover, Kontoschließung und Aufbewahrungsende. Klären Sie, wer Geografie ändern oder einen weiteren Service aktivieren kann. Für eine Alternative brauchen Sie technische Freigabe, Vertragsumfang, Umsetzungsbedingungen und autorisierte Auftraggeberakzeptanz. Stellen Sie künftige Einschränkung nicht als durchgesetzt dar und versprechen Sie keine sofortige Backuplöschung ohne Nachweis.
Die freizugebende Entscheidung
- Verantwortliche
- Infrastruktur und Anwendung prüfen Datenwege; Sicherheit validiert Zugriff; Datenschutz oder Recht bewertet Übermittlungen; Angebots- und kaufmännische Verantwortung steuern Eignung, Klärung und Zusagen.
- Fortfahren
- Fahren Sie fort, wenn die geprüfte Konfiguration den Umfang erfüllt oder eine autorisierte Entscheidung die genau offengelegte Abweichung akzeptiert. Nennen Sie Speicherung, Verarbeitung und Zugriff je Ort getrennt.
- Nicht fortfahren
- Behaupten Sie keine Ausschließlichkeit bei Wegen außerhalb der Grenze oder ungeprüften Wegen. Eine unerfüllbare unveränderte Pflicht bleibt unerfüllt; Schutzmaßnahme oder beruhigender Satz schafft keine Ausnahme.
- Zur Entscheidung vorlegen
- Eskalieren Sie unklare Datenkategorien, Fernzugriffsstellen, Wiederherstellungsorte, Anbieterausnahmen oder Rechtsmechanismen. Fordern Sie eine engere Definition im offiziellen Verfahren, statt die Antwort einseitig einzuengen.
Die Entscheidung in den Abgabeunterlagen sichern
Residenzantwort, Architekturbelege, Verarbeitungsanlage, Lieferantenliste und Ausnahmen müssen eine freigegebene Konfiguration beschreiben. Eine neue Integration oder geänderter Support kann eine frühere Antwort entkräften. REQVERAs abschließende Kontrolle betrifft Konsistenz von Anforderungen, Antworten, Nachweisen und finalen Dateien; diese Seite bewertet keine Kundenarchitektur und zertifiziert keine rechtmäßige Verarbeitung.
Den tatsächlichen Ablauf der Abschlussprüfung ansehenGeltungsbereich & maßgebliche Quellen
Illustrative Antwortpraxis. DSGVO-Referenzen gelten nur in DSGVO-Kontexten und sind keine weltweite Rechtsregel; Länder, Branchen und Auftraggeber können andere Pflichten vorsehen. Keine rechtliche Beurteilung einer Bereitstellung. Anbieterdokumente zeigen Abgrenzungen, nicht REQVERAs Architektur oder universellen Ersatz für Ausschließlichkeit. Ergänzen oder entfernen Sie jedes bedingte Feld.
- Microsoft — What is the EU Data Boundary?
Primäre Anbieterdokumentation zu Datenkategorien, Konfiguration und begrenzten Übermittlungen; die Überschrift ist mit Umfang und Ausnahmen zu lesen. Geprüft am 11. Oktober 2026.
- EDPB — Guidelines 05/2021, final version 2.0
Primäre DSGVO-Leitlinien zu kumulativen Übermittlungskriterien und Auslandsverarbeitung, die keine Übermittlung nach Kapitel V ist. Rechtliche Bewertung bleibt einzelfallbezogen.
- EDPB — International data transfers
Offizielle Erläuterung von DSGVO-Übermittlungsbedingungen; bestimmt keine vertragliche oder vergaberechtliche Akzeptanz ausschließlicher Landesvorgaben.