Fragen zur Datenresidenz für Bildungseinkäufer im Nahen Osten

Fragen Sie einen Anbieter von Bildungssoftware, wo Ihre Daten gespeichert sind, und Sie bekommen meist einen Regionsnamen zurück. Das beantwortet etwa ein Fünftel der Frage. Ruhende Daten liegen an einem Ort; die Verarbeitung liegt woanders; Backups liegen wieder woanders; und die Unterauftragsverarbeiter hinter den eigenen Funktionen des Anbieters — das AI-Modell, der E-Mail-Versand, die Fehlerüberwachung, der Support — sitzen jeweils in einem eigenen Land. Eine Residenzzusage, die nur das Erste davon abdeckt, ist keine Residenzzusage. Sie ist eine Hosting-Präferenz.

Am Golf zählt das mehr als noch vor fünf Jahren, weil die Regeln konkret geworden sind. Das saudi-arabische Personal Data Protection Law, durchgesetzt von der SDAIA, stellt Bedingungen an die Verbringung personenbezogener Daten aus dem Königreich. Die VAE haben ein Bundesgesetz, neben dem eigene Regime im DIFC und im ADGM bestehen. Katar, Bahrain, Oman und Ägypten haben jeweils ein eigenes Gesetz, und Sektoraufsichten legen Klassifizierungsregeln darüber. Beschaffungsteams stellen Fragen, die sie 2019 nicht gestellt haben.

Residenz, Souveränität und Gerichtsbarkeit sind drei verschiedene Zusagen

Sie sind getrennt, und ein Anbieter kann eine erfüllen und an den anderen beiden scheitern.

Datensouveränität ist die stärkere Behauptung: dass die Daten dem Recht des Landes unterliegen, in dem sie liegen, und nur diesem Recht. Das ist eine rechtliche und keine technische Position, und sie hängt davon ab, wer die Infrastruktur betreibt, wer die Verschlüsselungsschlüssel hält und wo die betreibende Gesellschaft eingetragen ist.

Gerichtsbarkeit folgt der Gesellschaft, nicht der Festplatte. Ein in den USA eingetragener Anbieter, der Ihre Datensätze in einem Rechenzentrum in Riad speichert, ist weiterhin ein US-Unternehmen, weiterhin für ein US-Gericht erreichbar und weiterhin im Anwendungsbereich des US CLOUD Act von 2018, der es US-Behörden erlaubt, einen in den USA ansässigen Anbieter zur Herausgabe von Daten zu zwingen, die er kontrolliert, gleich wo diese Daten gespeichert sind. Die Festplatte zu verlegen hat das Unternehmen nicht verlegt.

Warum „die Cloud“ keine Antwort ist

„Die Cloud“ ist kein Ort. Sie ist ein Beschaffungsmodell, gelegt über eine weltweite Flotte von Rechenzentren, und die Flotte ist der Sinn der Sache. Wenn ein Anbieter sagt „wir laufen auf AWS“, ist jede Frage, auf die es ankommt, weiterhin offen.

• Welche Region? Ein Konto kann Ressourcen in zwanzig Regionen gleichzeitig halten, und die Antwort gilt je Dienst, nicht je Konto.
• Ist jeder Dienst in dieser Region? Manche replizieren standardmäßig über Regionen hinweg; manche haben eine Steuerungsebene, die dauerhaft anderswo liegt.
• Wo laufen die Anwendungsserver, im Unterschied zur Datenbank?
• Wohin gehen Logs, Fehler-Traces und Produktanalytik? Darin stecken Namen, E-Mail-Adressen und manchmal Freitextantworten von Lernenden.
• Wo sitzt das Support-Team, und was kann es von dort sehen?
• Wo landen Backups, und wie lange bleiben sie nach einer Löschung bestehen?

Jede davon ist eine gewöhnliche technische Entscheidung, früh getroffen, wegen Latenz oder Kosten und nicht wegen des Rechts, von jemandem, der nicht in der Beschaffungsbesprechung saß. Deshalb sind die Antworten so oft vage: Niemand hat sie aufgeschrieben.

Die sieben Fragen

Schicken Sie diese schriftlich und hängen Sie die Antworten an den Vertrag. Ein Anbieter, der nicht schriftlich antwortet, lässt sich an der Antwort nicht festhalten.

1. Wo liegen ruhende Daten, und in welcher benannten Region?

Fragen Sie je Datenklasse, nicht je Plattform. Lernendendatensätze, Prüfungsversuche, hochgeladene Dateien, Video, Zertifikate und Audit-Logs liegen oft in verschiedenen Systemen, und der Anbieter hat womöglich nur über das Erste nachgedacht. Verlangen Sie eine Tabelle: für jede Datenklasse das Land, den Anbieter und den Regionscode.

2. Wo werden sie verarbeitet?

Speicherung ist die leichte Hälfte; bei der Verarbeitung bewegen sich Daten. Suchindexierung, Berichtserstellung, PDF-Rendering, Video-Transkodierung und alles AI-Gestützte lesen die Daten und laufen irgendwo. AI ist derzeit der schärfste Fall in Bildungssoftware: Ein Tutor, ein Autorenassistent oder ein Bewertungsentwurf schickt Text von Lernenden an einen Modellanbieter, und die Inferenzregion dieses Anbieters ist eine andere Tatsache als die Hosting-Region des Anbieters. Fragen Sie, welcher Anbieter, in welcher Region, ob Inhalte für Training verwendet werden, und lassen Sie sich die Aufbewahrung in Tagen geben.

3. Welche Unterauftragsverarbeiter berühren sie, und in welchem Land?

Verlangen Sie es als Liste mit drei Spalten: Name, Funktion, Land der Verarbeitung. Eine Plattform hat 2026 typischerweise acht bis fünfzehn — einen Cloud-Hoster, einen Datenbankanbieter, einen Objektspeicher, einen E-Mail-Versender, einen AI-Modellanbieter, eine Fehlerüberwachung, ein Analysewerkzeug, ein Supportsystem und einen Zahlungsdienstleister, wenn Geld fließt.

Zwei Nachfragen trennen einen ernsthaften Anbieter von einem hoffnungsvollen. Wie werden Sie benachrichtigt, wenn ein Unterauftragsverarbeiter wechselt, und können Sie widersprechen? Und welche von ihnen erhalten personenbezogene Daten und nicht bloß Metadaten? Ein Anbieter, der das nie aufgeschrieben hat, braucht eine Woche, um es zu liefern, und die Verzögerung ist selbst eine Information.

4. Wohin gehen Backups und Kopien für die Notfallwiederherstellung?

Backups sind der häufigste Weg, auf dem eine Residenzzusage still scheitert. Regionsübergreifende Replikation ist die Standardempfehlung in jedem Cloud-Architekturleitfaden, aus Gründen, die mit Ihrer Aufsichtsbehörde nichts zu tun haben. Fragen Sie, wohin Backups geschrieben werden, ob eine Kopie die Region verlässt und wie lange ein gelöschter Datensatz darin überlebt. Wenn Ihre Löschpflicht 30 Tage beträgt und die Backup-Aufbewahrung 90, gehört diese Lücke in eine Richtlinie und nicht in einen Prüfbericht.

5. Wer kann darauf zugreifen, und von wo?

Fernzugriff hebt die Residenz auf. Fragen Sie, wo Support und Entwicklung sitzen, ob Zugriff auf die Produktion von außerhalb der Region möglich ist, ob er eine Freigabe braucht und ob Sie das Protokoll einsehen können. „Unsere Entwickler können Kundendaten von überall lesen, ohne Protokoll“ ist eine Antwort, die manche Anbieter tatsächlich geben, wenn Sie direkt fragen.

6. Was ist der Übermittlungsmechanismus?

Wenn Daten das Land verlassen, und bei den meisten Anbietern wird ein Teil das tun, muss es eine benannte Rechtsgrundlage für die Übermittlung geben und kein Schulterzucken. Fragen Sie, auf welche Bestimmung welchen lokalen Gesetzes sie sich stützt.

Ein häufiges Erkennungszeichen: Der Anbieter schickt Ihnen die EU-Standardvertragsklauseln. Das ist ein EU-Instrument, gebaut für Übermittlungen aus dem Europäischen Wirtschaftsraum heraus. Sie sind eine vernünftige vertragliche Grundlage, und sie sind für sich genommen kein saudischer und kein VAE-Übermittlungsmechanismus. Ein Anbieter, der eine GDPR-Vereinbarung als universelle Konformität behandelt, hat das lokale Gesetz nicht gelesen.

7. Was passiert, wenn sich das Recht ändert?

Das ist die Frage, die fast niemand stellt, und die, an der das meiste Geld hängt. Das Datenschutzrecht der Region ist jung und in Bewegung: Eine Aufsichtsbehörde kann eine neue Klassifizierung erlassen, und eine Position, die bei Unterschrift konform war, hört im zweiten Jahr eines Fünfjahresvertrags auf, es zu sein. Nehmen Sie vier Dinge in den Vertrag auf:

1. Wenn sich das Recht so ändert, dass unsere Vereinbarung nicht mehr zulässig ist: Was müssen Sie tun, und in welcher Frist?
2. Wer zahlt die Migration — Sie, wir, oder aufgeteilt nach Ursache?
3. Können wir ohne Vertragsstrafe kündigen, wenn Sie in dieser Frist nicht nachkommen können?
4. Beim Ausstieg: In welchem Format bekommen wir die Daten, wie lange dauert der Export, und wann werden sie aus Ihren Systemen und Ihren Backups gelöscht?

Wo Lurno steht, ganz offen

Hier ist unsere eigene Antwort auf unseren eigenen Fragebogen, in der Form, in der wir sie von allen anderen haben wollten.

Augmental Learning Inc. ist ein US-amerikanisches Unternehmen, und unsere Standardinfrastruktur und unsere Unterauftragsverarbeiter sitzen in den USA. Daraus folgen zwei Dinge, und eine einkaufende Seite am Golf sollte beide direkt hören. Standardmäßig liegen Ihre Datensätze in den Vereinigten Staaten. Und das Unternehmen ist in den USA eingetragen, die US-Gerichtsbarkeit erreicht es also, gleich wo ein einzelnes Byte liegt. Keine Konfigurationseinstellung ändert das Zweite — nicht bei uns und bei keinem anderen US-Anbieter.

Wirklich konfigurierbar ist heute die Medienspeicherung. Sie wird je Organisation eingestellt, über Supabase, Amazon S3, Azure und Google Cloud Storage — Ihr eigener Bucket, in Ihrer eigenen Region — und vererbt sich den Organisationsbaum hinunter, sodass ein Verlag die Dateien eines Landes in diesem Land halten kann, ohne es in einen getrennten Mandanten aufzuteilen. Das deckt den größten Teil der Nutzlast ab: hochgeladene Dokumente, Aufzeichnungen, Abgaben von Lernenden und Nachweisdateien. Wie das konfiguriert wird, steht auf der Seite zur Kurserstellung.

Was wir nicht behaupten: Eine Bereitstellung der primären Datenbank und der Anwendungsschicht in der Region ist heute nichts, was Sie auf einem Bestellformular ankreuzen können. Wenn Ihre Anforderung das umfasst, ist es ein abgegrenztes Gespräch mit einem Zeitplan daran und kein Kästchen — und Sie sollten jeden Anbieter auf diese Genauigkeit drängen, auch die, auf deren Folien „souverän“ steht.

Wir sind nicht SOC-2-zertifiziert und wir sind nicht ISO-27001-zertifiziert, und wir schreiben das lieber hin, als ein Abzeichen auf einer Folie es andeuten zu lassen. Es gibt einen Auftragsverarbeitungsvertrag, einen FERPA-Zusatz, ein hash-verkettetes Audit-Log, GDPR-Abläufe für Einwilligung und Löschung mit Vier-Augen-Prinzip und eine Mandantentrennung, die von 868 Row-Level-Security-Richtlinien in der Datenbank durchgesetzt wird und nicht nur im Anwendungscode. Trennung ist eine andere Zusicherung als Residenz: Sie bedeutet, dass eine andere Kundin nicht an Ihre Zeilen kommt. Ein Anbieter, der eine Residenzfrage mit einer Antwort zur Trennung beantwortet, hat das Thema gewechselt — uns eingeschlossen.

Die Anforderung so schreiben, dass Sie eine echte Antwort bekommen

Anbieter geben vage Antworten zurück, weil die Frage eine zuließ. „Unterstützen Sie Datenresidenz?“ lädt zu einem Ja ein, und niemand hat darauf je Nein gesagt. Ersetzen Sie sie durch Fragen, auf die es eine falsche Antwort gibt.

1. Verlangen Sie eine Tabelle, keinen Absatz: Datenklasse, Speicherland, Verarbeitungsland, Anbieter, Regionscode.
2. Verlangen Sie die Liste der Unterauftragsverarbeiter als Anlage, mit Ländern und einer Klausel zur Änderungsmitteilung.
3. Verlangen Sie Backup-Orte, die Aufbewahrung in Tagen und die Zeit, die gelöschte Datensätze darin überleben.
4. Fragen Sie, auf welche Bestimmung welchen lokalen Gesetzes sich jede grenzüberschreitende Übermittlung stützt.
5. Fragen Sie, was vertraglich geschieht, wenn sich das Recht ändert, einschließlich der Frage, wer den Umzug zahlt.

Bewerten Sie die Antworten dann nach Genauigkeit und nicht nach Begeisterung. Solange sich die Regeln der Region noch setzen, bleibt man mit einem Anbieter, der Ihnen genau sagt, wo Ihre Daten sind — auch die Teile, die Sie nicht hören wollten — leichter konform als mit einem, der allem zustimmt. Unsere eigene Fassung steht auf der Sicherheitsseite. Legen Sie an sie denselben Maßstab an wie an die aller anderen.