DSGVO Datenresidenz: Was Anbieter von Dokumentenverarbeitung Ihnen sagen müssen

Die DSGVO Datenresidenz beeinflusst maßgeblich, wie Unternehmen ihre Compliance-Pflichten bewerten, aber eine ausschließliche Speicherung in der EU ist keine direkte DSGVO-Anforderung. Dieser Artikel erklärt, was Datenresidenz bedeutet, wie internationale Datenübermittlungen unter der DSGVO funktionieren, was bei Anbietern von Dokumentenverarbeitung zu prüfen ist und warum der primäre Speicherort nur ein Teil des gesamten Datenlebenszyklus ist.

Wichtige Erkenntnisse

• Die DSGVO schreibt keine ausschließliche Datenspeicherung in der EU vor. Übermittlungen außerhalb des EWR sind zulässig, wenn die Anforderungen der DSGVO erfüllt sind.
• Datenresidenz geht über die reine Speicherung hinaus. Prüfen Sie Verarbeitungsstandorte, Unterauftragsverarbeiter, Backups, Aufbewahrungsfristen und internationale Übermittlungen.
• Parseur verarbeitet und speichert Kundendaten in der EU und veröffentlicht detaillierte Informationen zu Unterauftragsverarbeitern, Datenaufbewahrung, Verschlüsselung und Datenverarbeitungsbedingungen.

Die DSGVO verlangt nicht, dass personenbezogene Daten zwingend innerhalb der EU verbleiben müssen. Sie beschränkt jedoch die Übermittlung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums (EWR), es sei denn, die strengen Regeln der DSGVO für internationale Übermittlungen werden eingehalten. Dies geschieht beispielsweise durch einen Angemessenheitsbeschluss, geeignete Garantien wie Standardvertragsklauseln (SCCs) oder eine spezifische Ausnahme gemäß den Artikeln 44-49.

Der Speicherort von Geschäftsdaten wird zunehmend wichtiger, da sich immer mehr Organisationen auf Cloud-Infrastrukturen von Drittanbietern verlassen. Laut Eurostat nutzten im Jahr 2025 52,7 % der EU-Unternehmen kostenpflichtige Cloud-Computing-Dienste, von denen 71,5 % diese zur Dateispeicherung verwendeten.

Für Unternehmen, die Rechnungen, Ausweisdokumente, Verträge, E-Mails und andere sensible Dateien an Anbieter von Dokumentenverarbeitung senden, geht die relevante Frage weit über den reinen Serverstandort hinaus. Sie müssen auch wissen, wo Dokumente verarbeitet werden, ob andere Subanbieter die Daten erhalten, wo Kopien aufbewahrt werden und ob personenbezogene Daten EWR-Grenzen überschreiten.

Eine lokale Datenresidenz mag einige Compliance-Fragen vereinfachen, ist aber kein Ersatz für eine umfassende DSGVO-Konformität. Die Dokumentenverarbeitung und -speicherung innerhalb des EWR zu belassen, kann die Prüfungen internationaler Übermittlungen reduzieren, aber Unternehmen müssen dennoch den restlichen Datenlebenszyklus genau bewerten.

Was Datenresidenz wirklich bedeutet

Datenresidenz bezeichnet den physischen Ort, an dem eine Organisation ihre Daten speichert und verarbeitet. Bei Dokumenten-Workflows reicht es nicht aus, nur den Speicherort zu überprüfen. Ein Dokument kann auf einem Server in einem Land gespeichert sein, während von einer Infrastruktur an einem anderen Ort darauf zugegriffen wird oder es dorthin zur Verarbeitung übermittelt wird. Aussagen zur Datenresidenz müssen daher den gesamten Datenfluss abdecken.

Gemäß Artikel 4 Absatz 2 der DSGVO umfasst der Begriff der Verarbeitung weit mehr als das bloße Speichern von Informationen auf einer Festplatte. Er schließt Vorgänge wie das Erheben, Abfragen, Verwenden, Übermitteln und Löschen personenbezogener Daten ein.

Stellen Sie sich ein Unternehmen vor, das eine Rechnung auf eine Infrastruktur in der EU hochlädt. Der Serverstandort sagt dem Unternehmen, wo das Dokument gespeichert wird. Er verrät jedoch nicht zwangsläufig, ob ein anderer OCR-, KI-, Backup- oder Integrationsdienst dessen Inhalte während der Verarbeitung erhält.

Aus diesem Grund beantwortet eine Aussage wie „Ihre Daten werden in der EU gespeichert“ nicht die gesamte Frage zur DSGVO Datenresidenz.

Unternehmen, die einen Anbieter bewerten, sollten mindestens Folgendes klären:

• wo hochgeladene Dokumente gespeichert werden
• wo Dokumentendaten verarbeitet werden
• ob Daten während der Verarbeitung an andere Standorte verschoben werden
• welche Unterauftragsverarbeiter die Daten erhalten oder verarbeiten
• was mit den Dokumenten und extrahierten Daten nach der Verarbeitung geschieht

Für die Dokumentenautomatisierung lautet die nützliche Frage nicht einfach „Wo werden meine Daten gespeichert?“ Sie lautet vielmehr: „Wo gelangen meine Daten vom Upload über die Verarbeitung, Speicherung und Übermittlung bis hin zur Löschung überall hin?“

Dieser vollständige Pfad bestimmt, was Ihre Organisation untersuchen muss, wenn sie die Angaben eines Anbieters zur Datenresidenz und deren Auswirkungen gemäß der DSGVO bewertet.

Datenresidenz vs. Datensouveränität vs. Datenlokalisierung

Datenresidenz beschreibt, wo Daten physisch gespeichert oder verarbeitet werden. Datensouveränität betrifft die Frage, die Gesetze und rechtlichen Befugnisse welches Landes für diese Daten gelten. Datenlokalisierung geht noch weiter, indem sie gesetzlich vorschreibt, dass bestimmte Daten innerhalb eines bestimmten Landes oder einer bestimmten Gerichtsbarkeit verbleiben müssen. Die Begriffe überschneiden sich zwar, sind aber keinesfalls austauschbar.

Der Unterschied ist bei der Bewertung der DSGVO-Konformität von großer Bedeutung. Die Umsetzung einer DSGVO Datenresidenz-Strategie in der EU oder im EWR klärt nicht automatisch alle Fragen zu geltendem Recht, Zugriffsberechtigungen, Unterauftragsverarbeitern oder internationalen Übermittlungen. Ebenso sollte die DSGVO nicht als allgemeines Datenlokalisierungsgesetz missverstanden werden, das verlangt, dass alle personenbezogenen Daten zwingend innerhalb der EU verbleiben.

Für ein Unternehmen, das einen Anbieter für Dokumentenverarbeitung bewertet, ist die Frage „Wo stehen Ihre Server?“ daher nur der Ausgangspunkt. Das Unternehmen muss auch verstehen, wo Dokumente verarbeitet werden, ob personenbezogene Daten in andere Gerichtsbarkeiten übermittelt werden, welche Unterauftragsverarbeiter an dieser Verarbeitung beteiligt sind und welche Garantien bei einer internationalen Übermittlung greifen.

Diese drei Konzepte getrennt zu betrachten, erleichtert die Bewertung von Anbieteraussagen. Residenz sagt Ihnen, wo die Daten verarbeitet werden. Souveränität betrifft die rechtlichen Gerichtsbarkeiten, die darauf zugreifen können. Lokalisierung sagt Ihnen, ob geltendes Recht vorschreibt, dass die Daten an einem bestimmten Ort verbleiben müssen.

Was die DSGVO tatsächlich über den Standort vorschreibt

Die DSGVO schreibt Organisationen nicht vor, personenbezogene Daten zwingend innerhalb der EU oder des EWR zu belassen. Kapitel V erlaubt Übermittlungen in Drittländer, wenn die erforderlichen Schutzmaßnahmen getroffen wurden. Je nach Zielort und Umständen können diese Schutzmaßnahmen einen Angemessenheitsbeschluss, Standardvertragsklauseln (SCCs), verbindliche interne Datenschutzvorschriften (BCRs) oder eine eng gefasste Ausnahme nach Artikel 49 umfassen.

Die Artikel 44-49 der DSGVO legen die strengen Regeln für internationale Übermittlungen personenbezogener Daten fest. Artikel 44 stellt den wesentlichen Grundsatz auf: Die Übermittlung personenbezogener Daten in ein Drittland darf das durch die DSGVO gewährleistete Schutzniveau nicht untergraben.

In der Praxis haben Organisationen mehrere Möglichkeiten, personenbezogene Daten rechtskonform außerhalb des EWR zu übermitteln. Gemäß Artikel 45 kann die Europäische Kommission beschließen, dass ein Land, ein Gebiet, ein Sektor oder eine internationale Organisation ein angemessenes Datenschutzniveau bietet. Übermittlungen, die unter diesen Beschluss fallen, bedürfen dann keiner gesonderten Genehmigung. Fehlt ein Angemessenheitsbeschluss, können Organisationen die von der Kommission genehmigten Standardvertragsklauseln (SCCs) als geeignete Garantie nach Artikel 46 verwenden. Artikel 47 erlaubt es multinationalen Konzernen zudem, verbindliche interne Datenschutzvorschriften (BCRs) für Übermittlungen innerhalb der eigenen Unternehmensgruppe festzulegen. Artikel 49 gestattet darüber hinaus bestimmte Übermittlungen in spezifischen Ausnahmesituationen, wenn strenge Bedingungen erfüllt sind, wobei diese Ausnahmen keinen allgemeinen Ersatz für einen regulären Übermittlungsmechanismus darstellen.

Die wichtigste Unterscheidung besteht darin, dass die DSGVO Datenübermittlungen reguliert, anstatt eine pauschale Datenlokalisierung in der EU vorzuschreiben. Eine Organisation kann personenbezogene Daten durchaus außerhalb des EWR verarbeiten, muss jedoch feststellen, ob Kapitel V Anwendung findet, und gegebenenfalls eine geeignete Rechtsgrundlage für die Übermittlung schaffen.

Warum das EU-US Data Privacy Framework im Jahr 2026 Beachtung verdient

Das EU-US Data Privacy Framework (DPF) veranschaulicht sehr gut, warum Unternehmen die Übermittlungsmechanismen verstehen sollten, auf die sich ihre Anbieter stützen.

Die Europäische Kommission nahm am 10. Juli 2023 ihren Angemessenheitsbeschluss für das DPF an. Er erlaubt den freien Fluss personenbezogener Daten aus der EU zu teilnehmenden US-Organisationen, die unter dem Rahmenwerk zertifiziert sind, ohne dass für diese erfassten Übermittlungen ein weiterer Übermittlungsmechanismus erforderlich wäre.

Das Abkommen wurde seitdem einer rechtlichen Prüfung unterzogen. Im September 2025 wies das Gericht der Europäischen Union die Klage von Philippe Latombe auf Nichtigerklärung des Angemessenheitsbeschlusses ab. Latombe legte gegen dieses Urteil am 31. Oktober 2025 Rechtsmittel ein. Das Rechtsmittel, Rechtssache C-703/25 P, Latombe / Kommission, ist Stand September 2026 weiterhin beim Europäischen Gerichtshof anhängig.

Eine weitere Entwicklung in den USA hat ebenfalls die Aufmerksamkeit europäischer Aufsichtsbehörden auf sich gezogen. Nach dem Urteil des Obersten Gerichtshofs der USA im Jahr 2026 im Fall Trump v. Slaughter bat der Europäische Datenschutzausschuss (EDSA) die Europäische Kommission, die Auswirkungen des Urteils auf das EU-US Data Privacy Framework zu bewerten, insbesondere in Bezug auf Fragen der unabhängigen Aufsicht.

Das DPF wurde bisher jedoch weder ausgesetzt, widerrufen noch für ungültig erklärt. Der EU-US-Angemessenheitsbeschluss ist Stand September 2026 weiterhin voll in Kraft.

Für Beschaffungsteams und IT-Verantwortliche besteht die praktische Lehre nicht darin, den Ausgang anhängiger rechtlicher Verfahren vorherzusagen. Vielmehr sollten sie genau verstehen, auf welche Übermittlungsmechanismen sich ein Anbieter stützt und welche alternativen vertraglichen Regelungen greifen würden, falls sich die Rechtslage ändern sollte.

Die Dokumentenverarbeitung und -speicherung vollständig innerhalb des EWR zu belassen, beseitigt diese spezifische DPF-Abhängigkeit aus dem Workflow. Es entbindet eine Organisation jedoch nicht von ihren anderen grundlegenden DSGVO-Verpflichtungen, einschließlich Rechtsgrundlage, Auftragsverarbeitungsverträgen, Sicherheit, Datenaufbewahrung, Betroffenenrechten und einer angemessenen Aufsicht über Unterauftragsverarbeiter.

Wo die Dokumentenverarbeitung kompliziert wird

Die Verarbeitung von Dokumenten wirft Fragen zur Datenresidenz auf, die leicht übersehen werden können, da eine einzige Datei weit mehr personenbezogene Daten enthalten kann, als der Workflow eigentlich extrahieren soll. OCR, KI-Dienste, E-Mail-Erfassung, Software-Integrationen, Backups und Wiederherstellungssysteme können ebenfalls zusätzliche Verarbeitungsstandorte mit sich bringen. Unternehmen müssen daher den vollständigen Pfad des Dokuments abbilden und nicht nur seinen primären Speicherort.

Bei einer Datenbank ist es relativ einfach zu erkennen, welche Spalten und Felder personenbezogene Daten enthalten. Bei Dokumenten ist dies weit weniger vorhersehbar. Ein Kreditorenteam benötigt für die Buchhaltung möglicherweise nur eine Rechnungsnummer, den Gesamtbetrag und das Fälligkeitsdatum, während das zugrunde liegende PDF-Dokument zusätzlich Namen, Adressen, sensible Kontoinformationen, Unterschriften und andere personenbezogene Daten enthält.

Dennoch durchläuft möglicherweise das gesamte, unredigierte Dokument den Verarbeitungs-Workflow.

Dokumente enthalten mehr personenbezogene Daten, als Sie angefordert haben

Eine Rechnung ist nicht einfach nur eine isolierte Sammlung von Feldern, die Ihr Buchhaltungssystem benötigt. Das PDF kann den Namen einer Kontaktperson, Rechnungs- und Lieferadressen, Bankdaten, E-Mail-Adressen, Telefonnummern, Unterschriften, Kundenreferenzen und, je nach Dokumentenart, sogar Identifikationsnummern enthalten.

Das gleiche Problem tritt bei unzähligen anderen Dokumententypen auf. Ein Ausweisdokument kann Informationen enthalten, die für die beabsichtigte Datenextraktion völlig irrelevant sind. Ein Vertrag kann persönliche Details enthalten, die mehrere Seiten von den Klauseln oder Feldern entfernt sind, die ein Unternehmen eigentlich nur digital erfassen möchte.

Dies ist immens wichtig, da sich die DSGVO-Pflichten auf sämtliche verarbeiteten personenbezogenen Daten beziehen und nicht nur auf die spezifischen Felder, die am Ende als strukturierte Ausgabe zurückgegeben werden.

Wenn Sie einen Anbieter für Dokumentenverarbeitung bewerten, identifizieren Sie, was in das System eingeht und was herauskommt. Wenn Sie ein vollständiges Dokument hochladen, sollte die Datenflussbewertung das vollständige Dokument an jedem einzelnen Ort berücksichtigen, an dem es verarbeitet wird.

OCR und KI-Extraktion können einen weiteren Verarbeitungsstandort hinzufügen

OCR und KI-basierte Extraktion können externe Infrastrukturen umfassen, die über die primäre Anwendungs- oder Speicherumgebung eines Anbieters hinausgehen.

Einige Anbieter von Dokumentenverarbeitung nutzen OCR-, Cloud- oder KI-Dienste von Drittanbietern. Wenn sie dies tun, wird ein weiterer Auftragsverarbeiter, Unterauftragsverarbeiter oder Verarbeitungsstandort Teil des gesamten Datenflusses.

Beschaffungsteams sollten daher Folgendes klären:

• wo die KI- und OCR-Verarbeitung physisch stattfindet
• welche Dokumentendaten ein Dritter erhält
• ob dieser Anbieter die Daten aufbewahrt
• ob Kundeninhalte für das Training oder die Verbesserung von Modellen verwendet werden dürfen
• welcher Übermittlungsmechanismus gilt, wenn personenbezogene Daten den EWR verlassen

Bei der KI-basierten Dokumentenverarbeitung bedarf der Ort der Inferenz (der KI-Modellausführung) derselben strengen Prüfung wie der Speicherort.

Anhänge, E-Mail-Erfassung und Webhooks erzeugen jeweils einen Zwischenschritt (Hop)

Eine Dokumentenautomatisierung besteht selten aus einem einzigen Upload, gefolgt von einem einzigen Download. Ein produktiver Workflow kann mit einem E-Mail-Anhang beginnen, eine Plattform zur Dokumentenverarbeitung durchlaufen und strukturierte Ergebnisse an ein Buchhaltungssystem, CRM, eine Tabellenkalkulation, eine API, eine Automatisierungsplattform oder eine andere Anwendung senden.

Jeder dieser Schritte verdient volle Aufmerksamkeit.

Betrachten Sie einen typischen, einfachen Workflow zur Rechnungsautomatisierung: eingehende E-Mail, dann Erfassung des Anhangs, dann Dokumentenverarbeitung, dann Erhalt strukturierter Daten, dann Webhook oder Integration, dann Übergabe in das Zielsystem.

Die kritische Compliance-Frage ist, wohin personenbezogene Daten in jeder dieser Phasen wandern. Die Infrastruktur des eigentlichen Verarbeitungsanbieters ist nur ein Glied in dieser Kette.

E-Mail-Anbieter verarbeiten möglicherweise bereits den ursprünglichen Anhang. Ein Dokumentenverarbeitungsdienst empfängt und verarbeitet ihn danach. Ein Webhook sendet im Anschluss extrahierte Daten an ein anderes System. Dieses Zielsystem kann wiederum eigene Hosting-Standorte, Unterauftragsverarbeiter, Aufbewahrungsrichtlinien und Regelungen für internationale Übermittlungen haben.

Den kompletten Weg transparent abzubilden, liefert Compliance- und Sicherheitsteams ein weitaus nützlicheres Bild als das bloße Überprüfen einer einzelnen Serverregion.

Auch Backups und Replikate zur Notfallwiederherstellung sind wichtig

Die primäre Hosting-Region eines Anbieters verrät Ihnen nicht zwangsläufig, wo jede Kopie Ihrer Daten existiert. Backup-Systeme, Disaster-Recovery-Infrastrukturen, Replikate, Systemprotokolle (Logs) und andere unterstützende Systeme können sich an völlig anderen Standorten befinden als die primäre Anwendung.

Stellen Sie sich zum Beispiel vor, ein Anbieter speichert seine primären Dokumentendaten auf Servern in Frankfurt, repliziert jedoch dieselben personenbezogenen Daten in eine Backup-Umgebung in einem US-Rechenzentrum. Der EU-Standort des primären Servers entbindet Sie in diesem Fall nicht von der zwingenden Notwendigkeit, die Übermittlung personenbezogener Daten an die US-Backup-Umgebung rechtlich abzusichern und zu prüfen.

Aus genau diesem Grund sollten gründliche Überprüfungen der Datenresidenz mehr als nur die reinen Produktionsserver abdecken.

Fragen Sie die Anbieter, wo sich relevante Backups und Replikate befinden, ob diese Kopien Dokumenteninhalte oder personenbezogene Daten enthalten, wie lange sie aufbewahrt werden und ob Notfall-Wiederherstellungsprozesse die Daten in eine andere Gerichtsbarkeit verschieben könnten.

Das praktische Ziel ist eine vollständige Datenflusskarte: wo das Originaldokument eingeht, jeder Ort, an dem dessen Daten verarbeitet werden, jeder Dritte, der diese erhält, wo Kopien gespeichert werden, wohin strukturierte Ausgaben gehen und wann jede Kopie endgültig gelöscht wird.

Für die Dokumentenautomatisierung sagt Ihnen diese Karte deutlich mehr als ein einfaches Häkchen bei „EU-Hosting“.

Trainiert Ihr Anbieter KI mit Ihren Dokumenten?

Datenresidenz verrät Ihnen nicht automatisch, ob ein Anbieter Ihre Dokumente zum Trainieren von KI-Modellen verwendet. Ein Dienst kann Daten vollständig innerhalb des EWR verarbeiten und speichern, während er sich gleichzeitig vertragliche Rechte einräumt, Kundeninhalte für das Training oder die Verbesserung seiner Modelle wiederzuverwenden. Überprüfen Sie daher die KI-Datenrichtlinie und den Vertrag des Anbieters unabhängig von seinem Hosting-Standort.

Diese Unterscheidung ist wichtig, da immer mehr Dokumentenverarbeitungsplattformen KI-basierte Extraktionstools hinzufügen. Wo die KI-Inferenz stattfindet und was danach mit den Daten geschieht, sind zwei separate Fragen.

Beispielsweise könnte ein Anbieter eine Rechnung auf einer in der EU gehosteten Infrastruktur verarbeiten. Das beantwortet einen Teil der Residenz-Frage. Es sagt Ihnen jedoch nicht, ob die Rechnung, extrahierte Felder, Prompts oder andere Kundendaten zur Modellverbesserung aufbewahrt oder verwendet werden, um Modelle des Anbieters oder Dritter langfristig zu trainieren.

Auch der umgekehrte Fall ist möglich. Ein Anbieter kann vertraglich verbieten, Kundendokumente für das KI-Training zu verwenden, während er im Rahmen eines anwendbaren DSGVO-Übermittlungsmechanismus einige Daten gesetzeskonform außerhalb des EWR verarbeitet.

Wenn Sie einen Anbieter für KI-Dokumentenverarbeitung bewerten, fragen Sie zwingend:

• Verwendet der Anbieter Kundendokumente oder extrahierte Daten, um eigene KI-Modelle zu trainieren?
• Verwendet er Kundendaten, um Modelle zu verbessern, auszuwerten oder feinzutunen?
• Erhalten KI- oder OCR-Anbieter von Drittanbietern Zugriff auf Dokumenteninhalte?
• Dürfen diese Dritten die Daten aufbewahren oder verwenden, um ihre eigenen Modelle zu trainieren?
• Was sagen der Hauptvertrag, der AVV (Auftragsverarbeitungsvertrag), die Datenschutzbestimmungen und Offenlegungen zu Unterauftragsverarbeitern über diese spezifischen Nutzungen aus?
• Ist ein Opt-out verfügbar, und ist diese Einschränkung vertraglich bindend festgelegt oder lediglich eine konfigurierbare Einstellung im Backend?

Verlassen Sie sich bei der Beantwortung dieser Fragen nicht auf unpräzise Phrasen wie „in der EU gehostet“, „DSGVO-konform“ oder „Ihre Daten sind privat“. Suchen Sie nach ausdrücklichen vertraglichen Bedingungen, die die Nutzung von Kundeninhalten klar und verbindlich regeln.

Für Unternehmen, die Rechnungen, Ausweisdokumente, Verträge, E-Mails oder andere Dateien mit persönlichen oder vertraulichen Informationen verarbeiten, ist die Unterscheidung ganz einfach: Datenresidenz sagt Ihnen, wohin die Daten gehen. Die KI-Datenrichtlinie des Anbieters sagt Ihnen, was der Anbieter und seine Dienstleister damit tun dürfen.

Beides muss unabhängig voneinander gewissenhaft überprüft werden.

So überprüfen Sie die Behauptungen eines Anbieters zur Datenresidenz

Um die Behauptungen eines Anbieters zur Datenresidenz zu überprüfen, fordern Sie Nachweise an, die den gesamten Dokumentenlebenszyklus detailliert abdecken: Verarbeitungsstandorte, Unterauftragsverarbeiter, KI- und OCR-Dienste, Backups, Aufbewahrung, Löschung, Sicherheit und internationale Übermittlungen. Eine pauschale Aussage wie „EU-Hosting“ reicht hierbei nicht aus. Der Anbieter sollte klar dokumentieren, wohin personenbezogene Daten fließen und welche Schutzmaßnahmen in jeder Phase gelten.

Verwenden Sie diese Checkliste bei der Bewertung eines Anbieters für Dokumentenverarbeitung:

1. Lassen Sie sich den Standort des Rechenzentrums schriftlich bestätigen. Fragen Sie genau, wo Ihre Dokumente und die extrahierten Daten gespeichert und verarbeitet werden. „EU-Region“ ist oft nicht spezifisch genug, da Speicherung und Verarbeitung in verschiedenen Ländern erfolgen können.

2. Überprüfen Sie die Liste der Unterauftragsverarbeiter. Prüfen Sie, welche Unterauftragsverarbeiter personenbezogene Daten verarbeiten, was genau sie tun und wo sie tätig sind. Gemäß Artikel 28 Absatz 2 der DSGVO müssen Auftragsverarbeiter auch bestimmte Anforderungen bei Änderungen von Unterauftragsverarbeitern erfüllen.

3. Lesen Sie den AVV und die Übermittlungsbedingungen. Fordern Sie einen echten Auftragsverarbeitungsvertrag (AVV/DPA) an, nicht nur eine einfache Datenschutzerklärung. Wenn Daten den EWR verlassen, prüfen Sie, welcher Übermittlungsmechanismus greift, beispielsweise ein Angemessenheitsbeschluss oder Standardvertragsklauseln (SCCs).

4. Fragen Sie, wo die KI- und OCR-Verarbeitung stattfindet. Finden Sie heraus, wo KI- und OCR-Anbieter Ihre Dokumente tatsächlich verarbeiten. Eine Speicherung in der EU bedeutet nicht zwangsläufig eine ausschließliche Verarbeitung in der EU. Prüfen Sie außerdem, ob der Anbieter oder seine Dienstleister Kundeninhalte für KI-Training oder Modellverbesserungen nutzen dürfen.

5. Identifizieren Sie Standorte von Backups und Replikaten. Fragen Sie, wo Backups, Kopien zur Notfallwiederherstellung und Replikate gespeichert werden. Werden personenbezogene Daten von einem EWR-Server auf eine Infrastruktur außerhalb des EWR kopiert, müssen Sie auch diese Übermittlung bewerten.

6. Überprüfen Sie Kontrollen für Aufbewahrung und Löschung. Prüfen Sie, wie lange der Anbieter Dokumente, extrahierte Daten, Protokolle und Backups aufbewahrt. Fragen Sie, ob Sie die Aufbewahrungsdauer selbst konfigurieren können und wie lange die Löschung sowohl in aktiven Systemen als auch in Backups dauert.

7. Prüfen Sie die Bedingungen für die Meldung von Datenschutzverletzungen. Überprüfen Sie, wie schnell der Anbieter Sie über eine Verletzung des Schutzes personenbezogener Daten (Data Breach) informieren muss. Gemäß DSGVO-Artikel 33 Absatz 2 müssen Auftragsverarbeiter den Verantwortlichen ohne ungebührliche Verzögerung benachrichtigen. Die separate 72-Stunden-Frist gilt im Allgemeinen für meldepflichtige Benachrichtigungen von Verantwortlichen an die Aufsichtsbehörden.

8. Identifizieren Sie die zuständige Aufsichtsbehörde. Fragen Sie, welche Datenschutzaufsichtsbehörde für den Anbieter originär zuständig ist. Gehen Sie nicht davon aus, dass allein der Serverstandort die Antwort darauf bestimmt.

9. Überprüfen Sie Sicherheitszertifizierungen und Tests. Überprüfen Sie die aktuellen Zertifizierungen des Anbieters wie ISO 27001 oder SOC 2, einschließlich deren genauem Umfang und Status. Prüfen Sie auch Standards zur Verschlüsselung, Penetrationstests, Zugriffskontrollen, Schwachstellenmanagement und wie der Anbieter mit neuen Sicherheitserkenntnissen umgeht.

10. Fragen Sie, was bei Vertragsende passiert. Finden Sie heraus, ob Ihre Dokumente, extrahierten Daten, Backups und Kontodaten nach der Kündigung zuverlässig zurückgegeben oder gelöscht werden. Der AVV sollte den Prozess und die relevanten Fristen für die endgültige Löschung klar erläutern.

Eine glaubwürdige Überprüfung der Residenz sollte Ihrem Team eher eine detaillierte Karte als eine flache Marketingbehauptung hinterlassen: wo Dokumente in den Dienst eingehen, wo sie verarbeitet werden, wer sie noch erhält, wo Kopien existieren, wie internationale Übermittlungen abgesichert sind und wann die Daten endgültig verschwinden.

Wenn ein Anbieter diese Fragen nicht klar und schriftlich beantworten kann, verfügt Ihre Organisation noch nicht über ausreichende Informationen, um ihre Anforderungen an die Datenresidenz rechtskonform zu verifizieren.

Wie Parseur die DSGVO-konforme Dokumentenspeicherung handhabt

Parseur verarbeitet und speichert Kundendaten in der Europäischen Union, verschlüsselt Daten im Ruhezustand (Data at Rest) mit AES-256 und veröffentlicht transparent seine vollständige Liste der Unterauftragsverarbeiter. Kunden steuern die Aufbewahrung von Dokumenten auf Postfach-Ebene, und Parseur entfernt gelöschte personenbezogene Daten sofort aus aktiven Systemen und innerhalb von maximal 45 Tagen aus allen Backups. Parseur nennt die irische Datenschutzkommission (Data Protection Commission) als seine federführende EU-Aufsichtsbehörde. Parseur ist außerdem SOC 2 Typ II-konform.

Das von Parseur genutzte Rechenzentrum erfüllt die ISO 27001, und es verschlüsselt Daten im Ruhezustand mit AES-256 sowie bei der Übertragung (Data in Transit) mit TLS 1.2 oder höher. Parseur veröffentlicht außerdem eine leicht zugängliche Liste der Unterauftragsverarbeiter, die den Zweck jedes Anbieters, die betroffenen Daten, den genauen Verarbeitungs- und Speicherort sowie gegebenenfalls den genutzten rechtlichen Übermittlungsmechanismus ausweist.

Die Aufbewahrungsdauer ist für jedes Postfach individuell konfigurierbar. Der Standardwert beträgt 90 Tage, und Kunden können die Aufbewahrung auf bis zu einen Tag reduzieren. Parseur bietet auch eine strikte Option „Verarbeiten und dann löschen“ (Process Then Delete) an, die ein Dokument umgehend löscht, nachdem es erfolgreich geparst und seine extrahierten Daten an die nachgelagerten Systeme des Kunden gesendet wurden.

Kunden können ihre Daten auch jederzeit manuell und direkt löschen. Parseur garantiert, dass gelöschte personenbezogene Daten sofort und unwiderruflich aus aktiven Systemen und innerhalb von maximal 45 Tagen aus Backups entfernt werden. Der AVV (DPA) nennt die irische Datenschutzkommission (DPC) als zuständige Aufsichtsbehörde, wo die EU-DSGVO vollumfänglich Anwendung findet.

Parseur ermöglicht es Kunden zudem, gezielt die Felder zu definieren, die sie als strukturierte Daten zurückgeben möchten, wie beispielsweise Rechnungsnummer (InvoiceNumber), Gesamtbetrag (Total) oder Fälligkeitsdatum (DueDate). Dadurch können Teams ihre strukturierte Ausgabe strikt auf die Informationen beschränken, die vom nachgelagerten Workflow auch tatsächlich benötigt werden (Datenminimierung).

Für Teams, die Optionen für eine sichere DSGVO Datenresidenz und Dokumentenspeicherung vergleichen, machen diese strengen Kontrollen die vorherige Checkliste konkret: Überprüfen Sie die Verarbeitungsstandorte, Unterauftragsverarbeiter, Verschlüsselung, Aufbewahrungs- und Löschbedingungen sowie die vertragliche Dokumentation, anstatt sich allein auf ein generisches „DSGVO-Abzeichen“ zu verlassen.

Dieser Artikel enthält allgemeine Informationen über Datenresidenz und DSGVO-Konzepte. Er stellt keine Rechtsberatung dar. Organisationen sollten bezüglich ihrer spezifischen Compliance-Pflichten qualifizierten Rechtsbeistand konsultieren.

Fazit

Die DSGVO Datenresidenz ist von entscheidender Bedeutung, aber die wichtigste Frage ist nicht einfach nur, ob ein Anbieter Daten auf einem Server in der EU speichert. Unternehmen müssen den kompletten Weg ihrer Dokumente durchgängig verstehen, einschließlich der Frage, wo Daten verarbeitet werden, welche Unterauftragsverarbeiter sie erhalten, wo Backups aufbewahrt werden, wie internationale Übermittlungen juristisch abgesichert sind und wann Kopien restlos gelöscht werden.

Das ist besonders wichtig für die Dokumentenautomatisierung, da eine einzelne Rechnung, ein Vertrag, eine E-Mail oder ein Ausweisdokument oft deutlich mehr personenbezogene Daten enthalten kann, als es die reinen Felder vorgeben, die ein Unternehmen extrahieren möchte.

Eine klare Datenflusskarte macht es wesentlich einfacher, diese komplexen Fragen zu beantworten. Bevor Sie sich für einen Anbieter zur Dokumentenverarbeitung entscheiden, überprüfen Sie dessen Behauptungen zur Residenz intensiv anhand seiner vertraglichen und technischen Dokumentation, anstatt sich blind auf ein Label wie „EU-Hosting“ oder „DSGVO-konform“ zu verlassen.

Für Unternehmen, die ihre Dokumenten-Workflows automatisieren, ist diese Transparenz unabdingbar, da sensible Quelldateien auch dann noch ein großes Compliance-Thema bleiben, wenn ihr Inhalt für den Workflow bereits zu strukturierten Daten geworden ist.

Zuletzt aktualisiert am 11. November 2026