Datenresidenz bei einem kanadischen VPS erklärt

Was Datenresidenz bei einem kanadischen VPS tatsächlich bedeutet

Datenresidenz bei einem kanadischen VPS umfasst zwei Fragen unter einer Bezeichnung. Wo befinden sich die Bytes physisch, und welche Regierung kann jemanden zur Herausgabe zwingen? Ein Server in einem Rechenzentrum in Toronto beantwortet die erste Frage. Die zweite beantwortet er nur teilweise, weil das Unternehmen, das den Server betreibt und Ihre Backups aufbewahrt, selbst dem Recht eines anderen Landes unterliegen kann.

Dieser Leitfaden liefert Hintergrundinformationen für eine technische Entscheidung. Er stellt keine Rechtsberatung dar. Wenn eine Regel hier relevant ist, werden das Gesetz oder die zuständige Aufsichtsbehörde genannt. So können Sie die Quelle lesen und mit Ihrer eigenen Situation abgleichen.

Die Auswahl eines kanadischen Anbieters anhand von Preis und Netzwerk ist ein separates Thema. was beim Kauf eines kanadischen VPS-Hostings tatsächlich wichtig ist behandelt diesen Aspekt. Dieser Beitrag behandelt die andere Hälfte: wo die Daten rechtlich liegen und wer darauf zugreifen kann.

Aufenthaltsort, Souveränität und Lokalisierung sind nicht austauschbar

Diese Begriffe werden häufig als Synonyme verwendet. Jeder Begriff führt zu einer anderen Entscheidung. Halten Sie sie deshalb auseinander.

Datenresidenz ist eine Aussage über den geografischen Standort. Die Festplatte mit Ihrer Datenbank befindet sich in einem Gebäude in Ontario. Das ist grundsätzlich eine Tatsache. Von außerhalb des Gebäudes lässt sie sich jedoch nur schwer nachweisen. Deshalb gibt es die letzten beiden Abschnitte dieses Leitfadens.

Datensouveränität ist eine Aussage über die Rechtsordnung. Dabei geht es darum, die Gerichte und Polizeibehörden welchen Staates rechtmäßig die Herausgabe der Daten anordnen können. Das hängt mindestens ebenso stark von den Personen und Unternehmen ab, die die Daten kontrollieren, wie von der Hardware.

Datenlokalisierung ist eine Vorschrift. Sie verlangt rechtlich, dass bestimmte Daten innerhalb eines Landes gespeichert werden. Kanada hat keine allgemeine Lokalisierungspflicht für private Unternehmen. Es gibt jedoch engere Vorschriften für bestimmte Branchen.

Der Begriff „Sovereign Cloud“ erscheint in Werbetexten von Anbietern und hat in Kanada keine rechtliche Definition. Betrachten Sie ihn als Marketingbegriff, bis der Anbieter die Organisation nennt, die die Infrastruktur betreibt, und die Rechtsordnung, der diese Organisation unterliegt.

Welche Anforderungen das kanadische Datenschutzrecht an die Speicherung von Daten in Kanada stellt

Das Bundesgesetz für den privaten Sektor ist PIPEDA (Personal Information Protection and Electronic Documents Act). Es verlangt nicht, dass personenbezogene Daten in Kanada bleiben. Das Office of the Privacy Commissioner of Canada (OPC) stellt dies in seinen im Januar 2009 veröffentlichten Guidelines for processing personal data across borders ausdrücklich fest: „PIPEDA does not prohibit organizations in Canada from transferring personal information to an organization in another jurisdiction for processing.“

Stattdessen verlangt das Gesetz, dass die Verantwortung den Daten folgt. Nach dem Accountability-Prinzip von PIPEDA bleibt eine Organisation für personenbezogene Daten verantwortlich, die sie zur Verarbeitung an einen Dritten übertragen hat. Sie muss durch „vertragliche oder andere Mittel“ sicherstellen, dass diese Daten während ihres Besitzes durch den Dritten ein „vergleichbares Schutzniveau“ erhalten. Die OPC-Leitlinien enthalten außerdem eine Transparenzpflicht. Eine Organisation sollte die betroffenen Personen in klarer Sprache und möglichst bereits zum Zeitpunkt der Erhebung darauf hinweisen, dass ihre Daten in einem anderen Land verarbeitet werden können und möglicherweise für die Strafverfolgungs- und nationalen Sicherheitsbehörden dieses Landes zugänglich sind.

Eine alte Unklarheit sollte ebenfalls ausgeräumt werden. Im Jahr 2019 führte die OPC eine Konsultation durch, in der erwogen wurde, eine Übertragung zur Verarbeitung als Offenlegung einzustufen. Für jede solche Übertragung wäre dann eine Einwilligung erforderlich gewesen. Die OPC übernahm diese Position nicht. Sie beendete die Konsultation mit der Bestätigung, dass eine Übertragung zur Verarbeitung eine Nutzung und keine Offenlegung ist. Für die Übertragung selbst ist daher keine gesonderte Einwilligung erforderlich.

Die Datenschutzgesetze der Provinzen im privaten Sektor führen zusätzliche Pflichten ein, schreiben aber keinen bestimmten Speicherort vor. Section 13.1 von Albertas PIPA verlangt von einer Organisation, die einen Dienstleister außerhalb Kanadas einsetzt, dass sie die betroffenen Personen benachrichtigt. Sie muss angeben, welche Länder beteiligt sind, und eine Kontaktperson nennen, die Fragen zu dieser Vereinbarung beantworten kann. Quebecs Law 25 ist strenger. Vor der Übermittlung personenbezogener Daten außerhalb Quebecs muss ein Unternehmen eine Datenschutz-Folgenabschätzung durchführen. Diese muss die Sensibilität der Daten, den Zweck ihrer Nutzung, die Schutzmaßnahmen und die Rechtsordnung am Zielort berücksichtigen. Die Übermittlung darf nur erfolgen, wenn dort ein angemessener Schutz gewährleistet ist. Diese Pflicht gilt seit dem 22. September 2023.

Im August 2026 gilt auf Bundesebene weiterhin PIPEDA. Bill C-27, der das Gesetz durch den Consumer Privacy Protection Act ersetzt hätte, verfiel auf der Order Paper, als das Parlament im Januar 2025 vertagt wurde. Seitdem wurde kein Nachfolgegesetz verabschiedet. Richten Sie Ihre Lösung nach dem heute geltenden Recht aus.

Wo eine echte Lokalisierungsregel gilt

Nova Scotia ist der strenge Fall. PIIDPA (der Personal Information International Disclosure Protection Act) verpflichtet öffentliche Stellen, Gemeinden und ihre Dienstleister, personenbezogene Daten in Kanada zu speichern und den Zugriff darauf nur aus Kanada zu ermöglichen. Es gibt nur wenige Ausnahmen. Diese muss der Leiter der öffentlichen Stelle genehmigen und dem Justizminister melden. Ein 2025 verabschiedeter neuer Freedom of Information and Protection of Privacy Act hebt PIIDPA auf und übernimmt die grenzüberschreitende Einschränkung in dieses Gesetz. Dabei gelten Verordnungen. Das Gesetz tritt im April 2027 in Kraft. Im August 2026 sind diese Verordnungen noch nicht veröffentlicht. Wer ihren Inhalt zitiert, spekuliert daher.

British Columbia ging in die andere Richtung. FIPPA enthielt früher section 30.1. Diese Vorschrift verpflichtete öffentliche Stellen, personenbezogene Daten in Kanada zu speichern und den Zugriff darauf nur aus Kanada zu ermöglichen. Bill 22 hob diese section im November 2021 auf. Section 33.1 erlaubt nun die Weitergabe außerhalb Kanadas nach Maßgabe der Verordnungen. Die Personal Information Disclosure for Storage Outside of Canada Regulation verlangt eine Datenschutz-Folgenabschätzung, wenn sensible personenbezogene Daten außerhalb Kanadas gespeichert werden. Aus dem Verbot wurde ein Verfahren.

Für Bundesbehörden gelten eigene Mindestanforderungen. Die Treasury Board Direction for Electronic Data Residency verlangt, dass Informationen der Stufen Protected B, Protected C und Classified in einer genehmigten Einrichtung innerhalb Kanadas oder in den Räumlichkeiten einer kanadischen Regierungsvertretung im Ausland gespeichert werden. Wenn Sie für ein Bundesministerium hosten, legt diese Richtlinie Ihre Anforderungen fest, nicht PIPEDA.

Gesundheitsdaten unterliegen einer eigenen Gruppe von Gesetzen. Für Datenverantwortliche nach den Datenschutzgesetzen der Provinzen gelten Vorschriften zu Beauftragten, Schutzmaßnahmen und teilweise zum Speicherort. Diese Vorschriften gibt es in PIPEDA überhaupt nicht. Wenn Sie klinische Daten hosten, lesen Sie das Gesundheitsdatenschutzgesetz der jeweiligen Provinz und nicht das allgemeine Gesetz.

Dann gilt die Regel, mit der die meisten tatsächlich in Berührung kommen. Sie steht überhaupt nicht in einem Gesetz. Eine Bank, ein Krankenhaus, ein Schulbezirk oder ein Unternehmenskunde kann in den Beschaffungsbedingungen die Speicherung in Kanada verlangen, auch wenn kein Gesetz dies vorschreibt. Diese Klausel bindet Sie über das Vertragsrecht. Lesen Sie sie daher, bevor Sie eine Region auswählen. Wenn Sie dieselbe Frage für einen anderen Standort prüfen, einen VPS in Brasilien betreiben Sie in einem anderen Rechtssystem mit einer anderen Antwort.

Ein Rechenzentrum in Toronto entscheidet nicht, welches Recht gilt

Geografie und Zuständigkeit fallen auseinander, sobald der Betreiber in ausländischem Besitz ist. Das deutlichste Beispiel ist der United States CLOUD Act (Clarifying Lawful Overseas Use of Data Act) aus dem Jahr 2018. Er änderte den Stored Communications Act dahingehend, dass ein erfasster Anbieter Daten in seinem „possession, custody, or control“ aufgrund eines rechtmäßigen US-Verfahrens herausgeben muss, unabhängig davon, ob sich die Daten innerhalb oder außerhalb der Vereinigten Staaten befinden. Der Kongress verabschiedete das Gesetz, nachdem Microsoft einen Durchsuchungsbefehl für E-Mails abgelehnt hatte, die in einem Rechenzentrum in Irland gespeichert waren. Der Standort der Festplatte war das gesamte Argument. Er entschied den Fall jedoch nicht.

Was einen Anbieter in diesen Anwendungsbereich bringt, ist eine Beziehung und keine Grenze: die persönliche Zuständigkeit der US-Gerichte für den Anbieter. Eine kanadische Tochtergesellschaft eines US-Mutterunternehmens kann darunterfallen. Das gilt auch für eine kanadische Einrichtung, die unter einer US-Vertragsgesellschaft betrieben wird, oder für ein US-Unternehmen, das kanadische Kapazitäten weiterverkauft. Keine Netzwerkmessung zeigt Ihnen diese Zusammenhänge. Das Unternehmensregister schon.

Das ist kein Grund, bei jeder Einrichtung in ausländischem Besitz vom Schlimmsten auszugehen. Kanadische Behörden erlassen eigene Herausgabeanordnungen, denen ein kanadisches Unternehmen nachkommt. Der Punkt ist enger gefasst. Das Heimatrecht des Betreibers folgt dem Betreiber. Prüfen Sie daher, welche juristische Person Ihren Vertrag unterzeichnet und wem sie letztlich gehört.

Ein praktischer Unterschied ist wichtig. Seit August 2026 gilt zwischen Kanada und den Vereinigten Staaten kein CLOUD-Act-Ausführungsabkommen. Verhandlungen wurden im März 2022 angekündigt. Das einzige Abkommen dieser Art, das in Kraft ist, besteht mit dem Vereinigten Königreich. Ohne ein solches Abkommen greifen US-Behörden bei Daten, die von einem rein kanadischen Unternehmen gehalten werden, auf das Verfahren der gegenseitigen Rechtshilfe (MLAT) zurück. Dieses läuft über kanadische Behörden und kanadische Gerichte. Dieser verfahrensrechtliche Unterschied macht einen kanadischen Betreiber zu einem großen Teil wertvoll.

Ihre Daten verlassen das Land, auch wenn der VPS das nicht tut

Der VPS ist nur ein Teil des Systems. Alles, was daran angebunden ist, erfordert eine eigene Entscheidung zum Datenstandort. Die Standardkonfigurationen führen in der Regel aus Kanada heraus.

• Backups und Snapshots. Der Zweck eines Backups sind Kopien an einem anderen Standort. Bei Object-Storage-Endpunkten wird standardmäßig die Region verwendet, in der das Konto eröffnet wurde.
• Protokollweiterleitung, Metriken und Fehlerverfolgung. Ein gehosteter Dienst verarbeitet den Inhalt Ihrer Protokolle in seiner eigenen Region. Diese Protokolle enthalten IP-Adressen, E-Mail-Adressen und manchmal vollständige Request-Bodies.
• CDN und Edge-Caching. Ein Content Delivery Network speichert Kopien Ihrer Objekte an Points of Presence in vielen Ländern und liefert sie von dort aus. Der Origin in Toronto ist nicht der Ort, von dem der Leser die Daten erhält.
• E-Mail. Ausgehende Relays, eingehende Filterung und gehostete Archive befinden sich häufig in den Vereinigten Staaten. Der Nachrichteninhalt besteht aus personenbezogenen Informationen.
• Authoritative DNS. Anycast-Nameserver antworten von dem Node, der dem Client am nächsten ist. Query-Logs erfassen, wer welche Anfrage gestellt hat.
• Support und Administration. Ein Engineer mit Zugriff auf die Konsole oder den Hypervisor befindet sich in einem bestimmten Land. Remote-Zugriff aus dem Ausland gilt nach der Regel von Nova Scotia und nach der Bewertung von British Columbia als Zugriff.
• Ihr eigener Arbeitsplatz und die zugehörigen Tools. Ein Editor-Plugin oder Coding-Agent, der Ihre Dateien liest, sendet Daten an einen anderen Ort. Es ist sinnvoll zu wissen, was ein Coding-Agent tatsächlich von Ihrem Rechner überträgt, bevor Sie ihn auf Produktionsdaten ansetzen.

Verschlüsselung beeinflusst, was ein Betreiber bereitstellen kann, aber nur in eine Richtung. Daten, die at rest mit an anderer Stelle verwahrten Schlüsseln verschlüsselt sind, sind für denjenigen unbrauchbar, der das Laufwerk in Besitz nimmt. Bei einem laufenden VPS ist die Situation anders, weil sich die Schlüssel des Gasts im Arbeitsspeicher des Gasts befinden und der Hypervisor den Gastspeicher lesen kann. Verschlüsselung at rest schützt das Archiv, nicht die laufende Maschine. Diese Einschränkung und das Vertrauen in den Betreiber, das dadurch erforderlich bleibt, bilden denselben Kern des umfassenderen Themas, ob VPS-Hosting sicher ist.

So prüfen Sie als Kunde den Standort eines VPS

Beginnen Sie mit dem Register, weil dies der einzige Datensatz mit einem zugeordneten Namen ist.

whois 203.0.113.10
whois -h whois.arin.net 203.0.113.10

Für kanadische Adressen ist ARIN zuständig. Der erste Befehl folgt der Weiterleitung, die Ihr whois-Client erhält. Der zweite fragt ARIN direkt ab. Beide liefern die Organisation, der der Block zugewiesen ist, das registrierte Land und den Abuse-Kontakt. An diese Abuse-Adresse gehen Beschwerden über Ihren Server. Dort beginnt, wohin Abuse-Beschwerden Ihren Anbieter erreichen.

Achten Sie darauf, was das Länderfeld tatsächlich belegt. Es handelt sich um eine Erklärung einer namentlich genannten Organisation in einer öffentlichen Datenbank. Das ist nützlich. Es bleibt jedoch eine Angabe und keine Messung.

Geofeeds funktionieren auf dieselbe Weise. RFC 8805 definiert eine CSV-Datei, in der ein Betreiber eine Zuordnung von Präfixen zu Land, Region und Stadt veröffentlicht. RFC 9632, das RFC 9092 im Jahr 2024 ersetzt hat, definiert, wie ein Client diese Datei anhand des whois-Eintrags findet. Kommerzielle IP-Geolocation-Datenbanken basieren größtenteils auf diesen selbst veröffentlichten Feeds. Daher bedeutet „Die IP-Adresse wird Toronto zugeordnet“ häufig lediglich: „Der Betreiber hat Toronto veröffentlicht.“ Reverse DNS ist noch weniger aussagekräftig. Ein PTR-Eintrag mit yyz oder tor ist eine Namenskonvention, die ein Mensch eingetragen hat. Sie kann einen Umzug in eine andere Stadt überdauern.

Fragen Sie den Anbieter daher schriftlich und bewahren Sie die Antworten auf.

• Welche juristische Person betreibt die Einrichtung, und wo ist diese Person eingetragen?
• Wie lautet die Adresse der Einrichtung, und ist die Fläche Eigentum, gemietet oder von einem anderen Betreiber weiterverkauft?
• Welche juristische Person unterzeichnet meinen Vertrag, und wer ist ihre Muttergesellschaft?
• Wo befinden sich Backups und deren externe Kopien?
• Aus welchen Ländern können Mitarbeiter den Hypervisor oder die Out-of-Band-Konsole erreichen?
• Veröffentlichen Sie eine Liste der Unterauftragsverarbeiter, und informieren Sie mich über eine ausländische behördliche Anforderung, sofern das Gesetz dies erlaubt?

Nehmen Sie die Antworten als Verpflichtungen mit Informationspflichten in den Vertrag auf. Ein Auditor verlangt Dokumente, keine Traceroutes. Wenn Toronto Ihr Ziel ist, behandelt einen VPS in Toronto auswählen die Marktseite derselben Entscheidung.

Warum ein Traceroute den Netzwerkpfad belegt, aber keine Aussage über die Gerichtsbarkeit beweist

Eine niedrige Round-Trip-Zeit begrenzt die Entfernung. Mehr lässt sich daraus nicht ableiten. Das Licht in einem Glasfaserkern legt etwa 204,000 km pro Sekunde zurück. Eine Round-Trip-Zeit verursacht daher ungefähr 1 ms je 100 km Strecke, bevor Switching oder Warteschlangen hinzukommen. Umgekehrt bedeutet eine Round-Trip-Zeit von 10 ms aus der Innenstadt von Toronto, dass sich die Maschine entlang der Glasfaser ungefähr innerhalb eines Radius von 1,000 km befindet. In diesen Bereich passen folgende Standorte.

[
  {
    "label": "Buffalo, New York",
    "km_from_toronto": 95,
    "rtt_floor_ms": 0.9
  },
  {
    "label": "Detroit, Michigan",
    "km_from_toronto": 330,
    "rtt_floor_ms": 3.2
  },
  {
    "label": "Montreal, Quebec",
    "km_from_toronto": 505,
    "rtt_floor_ms": 5.0
  },
  {
    "label": "Ashburn, Virginia",
    "km_from_toronto": 535,
    "rtt_floor_ms": 5.2
  },
  {
    "label": "New York, New York",
    "km_from_toronto": 550,
    "rtt_floor_ms": 5.4
  },
  {
    "label": "Chicago, Illinois",
    "km_from_toronto": 700,
    "rtt_floor_ms": 6.9
  }
]

Jede Untergrenze entspricht der geradlinigen Entfernung, verdoppelt und durch 204,000 km pro Sekunde geteilt. Reale Glasfaserstrecken sind länger als die direkte Verbindung. Deshalb liegen reale Messwerte immer höher. Entscheidend ist die Rangfolge. Die am weitesten entfernte Stadt in dieser Liste, Chicago, Illinois, liegt in gerader Linie 700 km von Toronto entfernt. Daraus ergibt sich eine Untergrenze von nur 6.9 ms. Von den 6 aufgeführten Städten liegt eine in Kanada. Ein Ping im einstelligen Millisekundenbereich aus Toronto ist mit einem Server in Michigan, Illinois, New York oder Virginia vereinbar.

Traceroute fügt Namen der Hops hinzu. Diese Namen stammen aus PTR-Records, die ein Netzwerkadministrator festgelegt hat. Flughafencodes darin sind eine Konvention, deren Bedeutung Sie prüfen sollten. Einige Carrier verbergen interne Hops innerhalb von MPLS (multiprotocol label switching). Dadurch kann der angezeigte Pfad kürzer sein als der Pfad, den das Paket tatsächlich nimmt. Anycast macht das Ziel selbst mehrdeutig, weil eine Adresse von dem Knoten beantwortet wird, der Ihnen jeweils am nächsten ist. Die gemessene Latenz ist ein guter Beleg für einen Netzwerkpfad zu einem bestimmten Zeitpunkt. Die Gerichtsbarkeit ist eine Tatsache über Unternehmen und Gerichte. Kein Paket teilt sie mit.

Die sachliche Zusammenfassung lautet: Netzwerkmessungen können eine Behauptung widerlegen. Eine Round-Trip-Zeit von 90 ms aus Toronto schließt eine Einrichtung in Toronto aus. Sie kann eine solche Einrichtung jedoch nicht bestätigen. Die Bestätigung ergibt sich aus benannten Rechtsträgern und schriftlichen Zusagen in einem Vertrag.

FAQ

Muss meine Daten nach kanadischem Recht in Kanada bleiben?

Nicht als allgemeine Regel. PIPEDA, das Bundesgesetz für den privaten Sektor, verbietet die Übertragung personenbezogener Informationen zur Verarbeitung in ein anderes Land nicht. Das OPC bestätigt dies in seinen Leitlinien zur grenzüberschreitenden Verarbeitung personenbezogener Daten. PIPEDA verlangt, dass Sie für die Daten verantwortlich bleiben, vertragliche oder andere Mittel einsetzen, um einen vergleichbaren Schutz zu gewährleisten, und die betroffenen Personen klar darüber informieren, dass ihre Informationen im Ausland verarbeitet werden können und für ausländische Behörden zugänglich sein können. In bestimmten Bereichen gibt es jedoch tatsächlich Lokalisierungsvorgaben: Nova Scotias PIIDPA für öffentliche Stellen, die Treasury Board Direction for Electronic Data Residency für Protected B und höher, bundesstaatliche Gesundheitsgesetze sowie Ihre eigenen Kundenverträge. Dies ist eine allgemeine Information und keine Rechtsberatung.

Sind meine Daten durch ein Rechenzentrum in Toronto dem US-Recht entzogen?

Nicht allein dadurch. Der US CLOUD Act von 2018 verpflichtet einen erfassten Anbieter, Daten in seinem Besitz, Gewahrsam oder unter seiner Kontrolle aufgrund eines rechtmäßigen US-Verfahrens herauszugeben, unabhängig davon, wo die Daten gespeichert sind. Entscheidend ist, ob US-Gerichte persönliche Zuständigkeit über das Unternehmen haben, das Ihre Daten verwahrt. Daher wirft eine kanadische Einrichtung, die von einer US-Tochtergesellschaft oder einer US-Vertragseinheit betrieben wird, eine Frage auf, die sich nicht allein anhand des geografischen Standorts beantworten lässt. Fragen Sie, welche juristische Einheit Ihren Vertrag unterzeichnet und wer deren Muttergesellschaft ist.

Wie überprüfe ich, ob sich ein VPS tatsächlich in Kanada befindet?

Kombinieren Sie öffentliche Register mit schriftlichen Fragen. Eine whois- oder RDAP-Abfrage der Adresse liefert die Organisation, der der Block zugewiesen ist, und deren registriertes Land. Ein unter RFC 8805 veröffentlichter Geofeed gibt außerdem die eigene Zuordnung des Betreibers von Präfix zu Stadt an. Beides sind Selbstauskünfte einer benannten Partei. Sie sind nützliche Nachweise, aber keine Messung. Fragen Sie den Anbieter anschließend schriftlich nach der Betreibergesellschaft, der Adresse der Einrichtung, dem Standort der Backups und den Ländern, aus denen Mitarbeiter auf die Konsole zugreifen können. Nehmen Sie diese Antworten in den Vertrag auf.

Was verlässt Kanada, obwohl mein VPS dort bleibt?

Backups und deren externe Kopien, gehostete Dienste für Log- und Fehlerüberwachung, CDN-Caches, ausgehende Mail-Relay-Dienste und eingehende Filterung, Abfrageprotokolle autoritativer DNS-Server sowie der Fernzugriff durch Supportmitarbeiter im Ausland. Jede dieser Komponenten ist eine eigene Entscheidung mit einer eigenen Standardregion. Diese Standardregionen liegen nur selten in Kanada. Erfassen Sie jedes mit dem VPS verbundene System, bevor Sie einem Kunden zusichern, dass seine Daten im Land bleiben.