Datenhaltung in der EU: Kontrollen, Lücken, Kosten

Datenhaltung in der EU heißt, dass Daten nur in Rechenzentren innerhalb eines festgelegten Gebiets gespeichert und verarbeitet werden; AWS, Microsoft und Google bieten dafür Regionswahl und Standortrichtlinien an, die jeweils Ausnahmen haben und die Kosten über Regionspreise, fehlende Dienste und Kopien im selben Gebiet beeinflussen. Datenresidenz beantwortet die Frage, wo Daten liegen und verarbeitet werden. Wer einen Dienst betreibt und welches Recht auf ihn zugreifen kann, ist eine andere Frage, die Sovereign-Cloud-Angebote der Hyperscaler behandelt. Diese Seite beschreibt die Kontrollen, wie die Provider sie dokumentieren, und was sie kosten. Ob eine Konfiguration eine rechtliche Anforderung erfüllt, entscheidet Ihr Rechtsberater.

So funktioniert es

Alle drei Provider sagen zu, Kundendaten in der gewählten Region oder dem gewählten Gebiet zu halten, und alle drei grenzen ein, was als Kundendaten gilt: Metadaten wie Ressourcennamen, Tags und Labels oder Abrechnungsdaten nehmen sie jeweils auf ihre Weise aus. Wie Region-Sperren als Guardrail technisch greifen, beschreibt Guardrails und Freigabeschwellen.

AWS

Der Kunde wählt die Regionen, in denen seine Inhalte gespeichert werden. AWS sagt zu, sie dort zu belassen, solange kein vom Kunden gestarteter Dienst sie anderswo braucht und kein Gesetz und keine bindende behördliche Anordnung einen Transfer verlangt. Kontoinformationen, ausdrücklich einschließlich der Abrechnungsinformationen, sind keine Kundeninhalte und fallen unter die Datenschutzerklärung von AWS. Personenbezogene oder vertrauliche Angaben gehören laut AWS nicht in Tags, weil die Abrechnung und viele andere Dienste sie lesen. Für eine ganze Organisation sperrt eine Richtlinie mit dem Bedingungsschlüssel aws:RequestedRegion oder die Region-deny-Kontrolle von AWS Control Tower alle nicht erlaubten Regionen. Globale Dienste bleiben ausgenommen: CloudFront, IAM, Route 53 und Support haben laut AWS einen einzigen Endpunkt in einer US-Region und würden ohne Ausnahme blockiert, und Control Tower nimmt unter anderem IAM und AWS Organizations von der Sperre aus.

Azure

Für regionale Dienste wie virtuelle Maschinen, Storage und SQL Database bestimmt der Kunde die Region; Kundendaten bleiben dann im gewählten Geo, bis auf eine Liste namentlich genannter Dienste, und Microsoft darf sie in eine andere Region desselben Geo kopieren, wie es georedundanter Speicher tut. Dienste ohne Regionswahl, darunter Microsoft Entra ID und Azure Content Delivery Network, können Daten weltweit halten. Die EU Data Boundary geht weiter: Kundendaten und pseudonymisierte personenbezogene Daten bleiben in den Ländern der EU und der EFTA, mit dokumentierten Ausnahmen wie dem Fernzugriff von Personal außerhalb der Grenze und vom Kunden selbst ausgelösten Übertragungen. Ressourcennamen und technische Einstellungen gelten dabei als Konfiguration, nicht als Kundendaten. Die integrierte Azure-Policy-Definition Allowed locations beschränkt die Regionen für neue Ressourcen, nimmt aber Ressourcengruppen und Ressourcen mit der Region global aus.

Google Cloud

Die Organisationsrichtlinie für Ressourcenstandorte (gcp.resourceLocations) erlaubt neue Ressourcen nur an den genannten Standorten, etwa über die Wertegruppe in:eu-locations. Sie gilt nur für neu angelegte Ressourcen, nicht für globale Ressourcen, und Google schreibt ausdrücklich, dass sie keine Zusage zum Speicherort ist; diese steht in den Service Specific Terms. Bei Assured Workloads legt der Kunde einen Ordner an und wählt ein Kontrollpaket wie EU Data Boundary; in diesem Ordner beschränkt Assured Workloads die wählbaren Regionen. Nach Google umfassen Kundendaten keine Ressourcenkennungen, Attribute oder Labels, und Service-Daten wie Abrechnungsdaten werden nach Googles Angaben zu Geografie und Regionen gespeichert.

Was es für Ihre Kosten bedeutet

Residenz kostet dort, wo sie Auswahl wegnimmt. Die folgende Tabelle ordnet jeder typischen Anforderung die Kontrolle und die Kostenfolge zu:

Bei KI-Modellen wird Residenz zur Preisstufe. Microsoft Foundry bietet globale, Data-Zone- und geografiebasierte Bereitstellungen; die globale hat nach Microsoft den niedrigsten Preis und erhält neue Modelle zuerst. Bei Amazon Bedrock gelten geografische Inferenzprofile, etwa für die EU, zu Standardpreisen, globale nach AWS mit rund 10 % Ersparnis. Bei Google können Anfragen an einen globalen Endpunkt überall verarbeitet werden, der EU-Endpunkt hält die Verarbeitung in den EU-Mitgliedstaaten. Wie diese Stufen in den Preislisten stehen, beschreibt KI-Modellpreise und Preislisten.

Der Datentransfer zwischen zwei Regionen desselben Gebiets wird berechnet wie jeder andere zwischen Regionen (Datentransfer und Egress). Welche Kostenfragen Microsofts Souveränitätskontrollen aufwerfen, ordnet der Artikel Microsoft Sovereign Cloud: Kosten und Controls richtig vergleichen.

Wo es schiefgeht

• Ein globaler Dienst außerhalb der Grenze. Symptom: Eine Prüfung findet Daten außerhalb des Gebiets, obwohl alle Regionen gesperrt sind. Ursache: Globale und nicht-regionale Dienste wie IAM, CloudFront, Microsoft Entra ID, Azure CDN oder globale Ressourcen bei Google fallen nicht unter die Region-Sperre.
• Backups oder Logs in einer anderen Region. Symptom: Kopien oder Protokolle liegen in einer Region außerhalb des Gebiets. Ursache: Ein Backup-Ziel, eine Replikation oder ein Log-Ziel wurde vor der Sperre angelegt; bei Google gilt die Standortrichtlinie nur für neue Ressourcen, und Bestehendes läuft weiter.
• Residenz aus der Region abgeleitet. Symptom: Ressourcennamen, Labels oder Abrechnungsdaten werden als ortsgebunden behandelt. Ursache: Die Zusagen der Provider gelten für Kundendaten, nicht für Metadaten und Abrechnungsdaten. Personenbezogene Daten in Kostendaten behandelt DSGVO und Kostendaten.
• „EU“ bei jedem Provider anders. Symptom: Eine Region gilt beim einen Provider als erlaubt, beim anderen nicht. Ursache: Die EU Data Boundary von Microsoft umfasst die EFTA-Länder wie die Schweiz, aber nicht das Vereinigte Königreich; Googles Wertegruppe in:eu-locations und sein EU-Endpunkt für KI-Modelle schließen London und Zürich aus.
• Günstigere Regionen ohne Anforderung ausgeschlossen. Symptom: Die Sperre erlaubt nur ein Land, die Anforderung nennt die EU. Ursache: Die Richtlinie ist enger als die Anforderung, und jeder Dienst zahlt den Preisabstand.
• Sperre über laufende Ressourcen gelegt. Symptom: Nach dem Einschalten der Region-deny-Kontrolle ist der Zugriff auf Ressourcen weg. Ursache: AWS warnt, dass bestehende Ressourcen in gesperrten Regionen danach nicht mehr erreichbar sind.

Beispiel

Azure Blob Storage, Zugriffsstufe Hot, in Germany West Central, Listenpreise in US-Dollar für die ersten 50 TB je GB und Monat, gelesen am 2026-10-16: lokal redundant (LRS) USD 0,0196, zonenredundant über drei Zonen (ZRS) USD 0,0225 und georedundant (GRS) USD 0,0392, zuzüglich USD 0,02 je GB für den Datentransfer der Georeplikation. Georedundanter Speicher kopiert in eine zweite Region desselben Geo, und die Regionsliste nennt Germany North als Paarregion von Germany West Central. Eine zweite Kopie in Deutschland verdoppelt damit den Speicherpreis gegenüber LRS (0,0392 / 0,0196 = 2,0), während die Kopie über drei Zonen einer Region 14,8 % mehr kostet (0,0225 / 0,0196 = 1,148). Die Redundanzstufen selbst vergleicht Block-, Objekt- und Dateispeicher.

Quellen

Gelesen am 2026-10-16. AWS Datenschutz-FAQ, Zugriff nach angeforderter Region verweigern, Region-deny-Kontrolle in AWS Control Tower, Best Practices für Tags und Cross-Region-Inferenz in Amazon Bedrock; Microsoft Was ist die EU Data Boundary?, fortbestehende Datenübertragungen der EU Data Boundary, Datenresidenz in Azure, integrierte Azure-Policy-Definitionen, Liste der Azure-Regionen, Bereitstellungstypen in Microsoft Foundry, Azure Retail Prices API und Preise für Blob Storage; Google Cloud Ressourcenstandorte einschränken, Datenresidenz in Assured Workloads und Datenresidenz in der Gemini Enterprise Agent Platform.