Der Verarbeitungsort ist der Ort, an dem Daten tatsächlich verarbeitet werden. Er hängt an den Rechenzentren, die ein Dienst benutzt, und fällt regelmäßig auseinander mit dem Sitz des Unternehmens, das ihn anbietet.
- Verarbeitungsort
Der Ort, an dem Daten tatsächlich verarbeitet werden, unabhängig vom Sitz des Anbieters.
Beispiel: „Der Verarbeitungsort liegt in Frankfurt, das Unternehmen sitzt in Kalifornien.“Er steht im Vertrag zur Auftragsverarbeitung und ist dort eine zusicherbare Angabe.
Abgrenzung zum Firmensitz: Der sagt, wem das Unternehmen untersteht, der Verarbeitungsort, wo die Daten liegen.
Warum der Verarbeitungsort zählt
Weil sich daran entscheidet, welches Recht greift und welche Zusicherungen überhaupt möglich sind. Eine Verarbeitung innerhalb der Europäischen Union braucht keine zusätzliche Grundlage für die Übermittlung, eine außerhalb schon.
Dazu kommt die Frage, wer Zugriff nehmen kann. Behörden greifen dort zu, wo die Anlagen stehen und wo das Unternehmen erreichbar ist; beides kann auseinanderfallen und muss einzeln betrachtet werden.
Warum der Verarbeitungsort schwer zu bestimmen ist
Weil Dienste in Schichten arbeiten. Die Oberfläche läuft bei einem Anbieter, das Modell bei einem zweiten, die Protokollierung bei einem dritten; jede Schicht hat ihren eigenen Ort.
Dazu kommen Ausweichwege. Ist eine Region ausgelastet oder gestört, wandert die Anfrage weiter, sofern der Vertrag das nicht ausschließt. Eine Zusicherung ohne diesen Ausschluss sagt deshalb wenig.
Wie sich der Verarbeitungsort belegen lässt
Über die Unterlagen des Anbieters: die Liste der eingesetzten Unterauftragnehmer, die Angabe der Regionen und die Zusicherung, dass keine andere benutzt wird. Alles davon gehört in den Vertrag und nicht in eine Werbeaussage.
Bei Werkzeugen, die auf eigener Hardware laufen, erübrigt sich die Frage. Das ist der Grund, warum sie in Häusern mit strengen Anforderungen trotz höheren Aufwands wieder an Boden gewinnen.