# Datenstandort und Vertrauen (FAQ)

> 20 Fragen zu Datenstandort und Vertrauen, verständlich beantwortet: was zu prüfen ist, was NetSenX zeigt und was ein Sensor nicht sieht.

Source page: https://netsenx.com/de/faq/residency

## Wie geht NetSenX mit der DSGVO um, und wo werden meine Daten gespeichert?

Kundendaten werden in der EU gespeichert: die Datenbank in Irland (AWS eu-west-1), die API in Frankfurt am Main und Paris. NetSenX analysiert Netzwerk-Metadaten und entschlüsselt verschlüsselten Verkehr nie; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und die Liste der Unterauftragsverarbeiter sind veröffentlicht, und der Datenschutzbeauftragte ist unter dpo@netsenx.com erreichbar. Unterauftragsverarbeiter für Zahlungen und E-Mail arbeiten auf Grundlage der EU-Standardvertragsklauseln; einige Funktionen des AI Analyst nutzen einen Anbieter außerhalb der EU nur mit Ihrer ausdrücklichen Einwilligung. Die DSGVO-Konformität wird für Ihre gesamte Verarbeitung beurteilt, daher beanspruchen wir dafür kein Zertifikat.

https://netsenx.com/de/faq/how-does-netsenx-handle-gdpr-and-where-is-my-data-stored

## Wo werden meine Daten gespeichert?

Kunden-Telemetrie und -Alarme werden ausschließlich in der EU gespeichert — Objektspeicher und Postgres in der EU-Region, verschlüsselt im Ruhezustand mit AES-256-GCM. Stripe (Zahlungen) verarbeitet Daten in den USA, und mehrere unserer Anbieter sind US-Unternehmen; in beiden Fällen gelten die EU-Standardvertragsklauseln. Einige AI-Analyst-Funktionen können einen Anbieter außerhalb der EU nur mit Ihrer ausdrücklichen Einwilligung nutzen. Eine vollständige Liste der Subunternehmer veröffentlichen wir zusammen mit unserem AVV.

https://netsenx.com/de/faq/where-is-my-data-stored

## Kann ich eigene Verschlüsselungsschlüssel mitbringen (BYOK)?

In den Stufen Business und Enterprise können Sie über unsere BYOK-API einen AWS-KMS- oder HashiCorp-Vault-Schlüssel bei Ihrem Tenant registrieren.

https://netsenx.com/de/faq/can-i-bring-my-own-encryption-keys-byok

## Wo speichert NetSenX Kundendaten?

In der EU: die Datenbank in Irland (AWS eu-west-1), die API in Frankfurt am Main und Paris. Der Auftragsverarbeitungsvertrag nennt jeden Unterauftragsverarbeiter mit Standort und Übermittlungsgarantie.

https://netsenx.com/de/faq/where-does-netsenx-store-customer-data

## Verlassen Daten die EU?

Das kann vorkommen. Mehrere Unterauftragsverarbeiter sind in den USA eingetragene Unternehmen, und Cloudflare bearbeitet Anfragen am nächstgelegenen Edge-Standort; personenbezogene Daten können daher auf Grundlage von Standardvertragsklauseln oder des EU-US-Datenschutzrahmens aus Ländern außerhalb des EWR abgerufen werden oder diese durchlaufen. Einige Funktionen des AI Analyst nutzen einen Anbieter außerhalb der EU, und nur mit Ihrer ausdrücklichen Einwilligung.

https://netsenx.com/de/faq/does-any-data-leave-the-eu

## Reicht Datenresidenz in der EU für die DSGVO?

Nein. Die Datenresidenz ist ein Faktor; die DSGVO-Konformität wird für Ihre gesamte Verarbeitung beurteilt, einschließlich Rechtsgrundlage, Datenminimierung, Speicherdauer und Vertrag mit dem Auftragsverarbeiter. NetSenX veröffentlicht seinen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und beansprucht kein DSGVO-Zertifikat.

https://netsenx.com/de/faq/is-eu-data-residency-enough-for-gdpr

## Kann NetSenX on-premises betrieben werden?

Ja, im Enterprise-Plan. Die übrigen Pläne nutzen das in der EU gehostete Dashboard, mit einem Agenten an einem SPAN- oder TAP-Port pro Netzwerksegment oder auf den Hosts Ihrer Wahl.

https://netsenx.com/de/faq/can-netsenx-run-on-premises

## Reicht eine EU-Region eines US-Cloud-Anbieters für EU-Datenhaltung?

Daten in einer EU-Region bleiben physisch in der EU, aber ein in den USA gegründeter Anbieter kann US-Recht unterliegen, das auf Daten unter seiner Kontrolle zugreift. Nach Kapitel V der DSGVO brauchen Übermittlungen außerhalb der EU eine Rechtsgrundlage wie das EU-US Data Privacy Framework oder Standardvertragsklauseln. Fragen Sie jeden Anbieter, wo Daten gespeichert werden, wer darauf zugreifen kann und welche Unterauftragsverarbeiter beteiligt sind. NetSenX veröffentlicht seine Liste der Unterauftragsverarbeiter im Auftragsverarbeitungsvertrag.

https://netsenx.com/de/faq/is-an-eu-region-of-a-us-cloud-enough-for-data-residency

## Sendet ein Netzwerksensor Paketinhalte in die Cloud?

Das hängt vom Produkt ab; fragen Sie also jeden Anbieter, was genau Ihr Netz verlässt, in welcher Form und wo es gespeichert wird. Manche Werkzeuge kopieren vollständige Pakete zur späteren Analyse, andere senden nur Zusammenfassungen jeder Verbindung. NetSenX analysiert Metadaten und einige Protokollfelder wie Zeitpunkte, Volumen, Ziele, DNS-Antworten und den TLS-Handshake und entschlüsselt verschlüsselten Verkehr nie. Es lädt keine Dateiinhalte, E-Mail-Texte oder Eingaben auf Websites hoch. Kundendaten werden in der EU gespeichert, mit der Datenbank in Irland und der API in Frankfurt und Paris; im Enterprise-Plan gibt es eine On-Premises-Option für Organisationen, bei denen nichts das Haus verlassen soll. Metadaten können dennoch ein Gerät und darüber manchmal eine Person erkennbar machen und sind daher personenbezogene Daten im Sinne der DSGVO: Wie sie verarbeitet werden, regelt der Auftragsverarbeitungsvertrag.

https://netsenx.com/de/faq/does-a-network-sensor-send-packet-contents-to-the-cloud

## Bekomme ich meine Daten zurück, wenn ich einen Sicherheitsanbieter verlasse?

Das sollten Sie, aber prüfen Sie es vor dem Kauf, denn der Vertrag entscheidet, wie einfach es ist. Fragen Sie, welche Daten Sie exportieren können (Alarme, Gerätelisten, Berichte, Konfiguration), in welchem Format, ob der Export extra kostet, wie lange Sie nach der Kündigung Zugang behalten und wann der Anbieter die Daten löscht und das bestätigt. Nach der DSGVO muss ein Auftragsverarbeiter personenbezogene Daten nach Ende der Leistung zurückgeben oder löschen, wie es der Auftragsverarbeitungsvertrag regelt, und Sie wählen, welches von beiden. Planen Sie den Ausstieg von Anfang an: Führen Sie ein eigenes Archiv mit allem, was Sie später brauchen könnten, etwa Nachweise für eine Prüfung oder einen Versicherungsfall, statt sich auf die Aufbewahrung beim Anbieter zu verlassen. Bei NetSenX lassen sich Alarme ab dem Pro-Plan über die API exportieren und ab dem Business-Plan an ein SIEM senden, PDF-Compliance-Berichte gibt es ab dem Starter-Plan, und der Auftragsverarbeitungsvertrag ist auf der Website veröffentlicht.

https://netsenx.com/de/faq/can-i-get-my-data-out-when-leaving-a-security-vendor

## Was ist der Unterschied zwischen Datenresidenz und Datensouveränität?

Datenresidenz betrifft den Ort, an dem Daten gespeichert und verarbeitet werden; Datensouveränität betrifft die Frage, wessen Recht und wessen Kontrolle die Daten unterliegen. Beides wird oft verwechselt, weil Speicherung in Frankfurt nach europäischem Recht klingt. Das ist nicht zwingend so: Ein Anbieter mit Sitz außerhalb der EU kann nach dem Recht seines Heimatlandes verpflichtet sein, Daten herauszugeben, die er kontrolliert, gleich wo der Server steht. Residenz lässt sich auf einer Karte prüfen; für Souveränität muss man sich das Unternehmen ansehen, das den Dienst betreibt, seine Muttergesellschaft, seine Unterauftragsverarbeiter und wer die Schlüssel hält. Stellen Sie jedem Anbieter drei Fragen: Wo liegen die Daten, wer kann rechtlich zur Herausgabe gezwungen werden, und wer kann sie technisch lesen? NetSenX speichert Kundendaten in der EU, mit der Datenbank in Irland und der API in Frankfurt und Paris, und führt seine Unterauftragsverarbeiter, darunter einige in den USA gegründete, im Auftragsverarbeitungsvertrag auf. Für volle Kontrolle gibt es im Enterprise-Plan eine On-Premises-Option.

https://netsenx.com/de/faq/data-residency-vs-data-sovereignty

## Dürfen wir nach dem Schrems-II-Urteil noch Sicherheitswerkzeuge von US-Unternehmen nutzen?

Ja, aber jede Übermittlung personenbezogener Daten braucht eine tragfähige Grundlage, und Sie sollten für jedes Werkzeug wissen, welche das ist. Mit Schrems II erklärte der Gerichtshof der EU 2020 den Privacy Shield für ungültig und verlangte von Exporteuren, die sich auf Standardvertragsklauseln stützen, zu prüfen, ob das Recht des Ziellandes diese aushöhlt, und bei Bedarf zusätzliche Garantien zu ergreifen. Heute kann sich eine Übermittlung in die USA auf das EU-US Data Privacy Framework stützen, wenn der Empfänger danach zertifiziert ist, oder auf Standardvertragsklauseln mit einer Transfer-Folgenabschätzung. Sicherheitswerkzeuge verarbeiten oft IP-Adressen, Gerätenamen und Benutzernamen, also personenbezogene Daten. Klären Sie für jedes Werkzeug, wohin die Daten gehen, welche Rechtsgrundlage der Anbieter nutzt, ob das Unternehmen zertifiziert ist und wie Sie es ersetzen würden, falls diese Grundlage erneut wegfällt. NetSenX speichert Kundendaten in der EU. Sein Auftragsverarbeitungsvertrag führt die Unterauftragsverarbeiter auf und sagt offen, dass einige außerhalb des EWR ansässig sind, etwa in den USA gegründete Unternehmen, und dass diese Übermittlungen auf Standardvertragsklauseln oder dem Data Privacy Framework beruhen.

https://netsenx.com/de/faq/after-schrems-ii-can-we-use-us-security-tools

## Gelten die Datenresidenz-Zusagen eines Anbieters auch für Logs, Backups und Supportdaten?

Nicht immer; fragen Sie daher nach jeder Datenart einzeln. Ein Anbieter kann Ihre Hauptdatenbank in der EU halten, während Backups, Fehlerberichte, Supporttickets, Analysen, E-Mail-Versand oder die Mitarbeitenden, die Ihre Tickets beantworten, anderswo sitzen. Jede dieser Quellen kann personenbezogene Daten oder Details Ihres Netzes enthalten, etwa IP-Adressen, Gerätenamen oder Screenshots. Bitten Sie den Anbieter um eine Liste der Datenkategorien mit Ort und Unterauftragsverarbeiter für jede, und prüfen Sie, ob der Auftragsverarbeitungsvertrag alle abdeckt und nicht nur „Kundendaten“ im engen Sinn. Fragen Sie auch, wo Personal mit Administratorzugang sitzt, denn ein Fernzugriff von außerhalb der EU kann ebenfalls eine Übermittlung sein. Bei NetSenX werden Kundendaten in der EU gespeichert, mit der Datenbank in Irland und der API in Frankfurt und Paris, und die Unterauftragsverarbeiter sind im Auftragsverarbeitungsvertrag aufgeführt. Diese Liste zeigt, wo welcher Dienst läuft; ist etwas unklar, fragen Sie uns vor der Unterschrift.

https://netsenx.com/de/faq/are-admin-and-audit-logs-covered-by-residency-promises

## Welche Fragen sollten wir einem Sicherheitsanbieter zu seinen Unterauftragsverarbeitern stellen?

Fragen Sie, wer sie sind, was jeder mit Ihren Daten tut, wo er es tut und wie Sie von Änderungen erfahren. Ein Unterauftragsverarbeiter ist ein Unternehmen, das der Anbieter zur Verarbeitung Ihrer personenbezogenen Daten einsetzt, etwa ein Hosting-Anbieter, ein Datenbankdienst oder ein E-Mail-Versanddienst. Nach der DSGVO darf ein Auftragsverarbeiter einen solchen nur mit vorheriger gesonderter oder allgemeiner Genehmigung des Verantwortlichen hinzuziehen und muss ihm dieselben Datenschutzpflichten auferlegen. Praktische Fragen: Ist die vollständige Liste veröffentlicht, mit Ort und Zweck je Eintrag? Wie lange vorher erfahren Sie von einem neuen, und können Sie widersprechen? Welche sehen lesbare Daten, welche halten nur verschlüsselte? Sitzt einer außerhalb der EU, und auf welcher Übermittlungsgrundlage? Wer haftet, wenn ein Unterauftragsverarbeiter versagt? NetSenX führt seine Unterauftragsverarbeiter im Auftragsverarbeitungsvertrag auf, der auf der Website veröffentlicht ist, sodass Sie sie vor der Anmeldung prüfen können.

https://netsenx.com/de/faq/which-questions-to-ask-a-security-vendor-about-sub-processors

## Braucht ein Dienst zur Netzwerküberwachung einen Auftragsverarbeitungsvertrag?

Ja, wenn der Anbieter in Ihrem Auftrag personenbezogene Daten verarbeitet, und Netzwerküberwachung tut das fast immer. IP-Adressen, Gerätenamen, Benutzernamen in Hostnamen und Verbindungszeiten können eine Person direkt oder indirekt erkennbar machen und sind daher personenbezogene Daten im Sinne der DSGVO. Verarbeitet ein Anbieter sie für Sie, sind Sie Verantwortlicher und der Anbieter Auftragsverarbeiter, und die DSGVO verlangt einen Vertrag oder ein anderes Rechtsinstrument, der Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Datenarten, Ihre Weisungen, Sicherheit, Unterauftragsverarbeiter, Unterstützung bei Verletzungen und das Ende der Verarbeitung regelt. Lesen Sie ihn wie jeden anderen Vertrag: Prüfen Sie Meldefristen bei Verletzungen, Prüfrechte, die Ankündigung neuer Unterauftragsverarbeiter und die Löschung am Ende. Der Auftragsverarbeitungsvertrag von NetSenX ist auf der Website veröffentlicht und Teil der Nutzungsbedingungen, gilt also ab der Nutzung des Dienstes; Enterprise-Kunden, die ein unterschriebenes Exemplar brauchen, können es anfordern.

https://netsenx.com/de/faq/does-network-monitoring-need-a-data-processing-agreement

## Ist der Auftragsverarbeitungsvertrag von NetSenX öffentlich, und wozu verpflichtet er?

Ja, er ist auf der Website veröffentlicht, sodass Sie ihn vor der Anmeldung lesen können. Er ist Teil der Nutzungsbedingungen von NetSenX zwischen TriStiX S.L. als Auftragsverarbeiter und Ihrer Organisation als Verantwortlichem und führt die Unterauftragsverarbeiter mit Rolle und Standort auf. Zu den Zusagen gehören: NetSenX meldet Ihnen eine Verletzung des Schutzes personenbezogener Daten innerhalb von 24 Stunden, nachdem es davon Kenntnis erlangt hat; Änderungen der Unterauftragsverarbeiter werden mindestens 14 Tage vorher angekündigt, sodass Sie widersprechen können; Sie haben nach Ankündigung Prüfrechte; und wenn Sie Ihr Konto schließen, werden personenbezogene Daten sofort gelöscht und Kopien in Backups laufen innerhalb von 14 Tagen ab, nachdem Sie Gelegenheit zum Export hatten. Er hält außerdem fest, dass personenbezogene Daten im EWR gespeichert werden und einige Unterauftragsverarbeiter außerhalb ansässig sind, samt der verwendeten Übermittlungsgarantien. Der Vertrag unterliegt spanischem Recht, als Aufsichtsbehörde ist die spanische AEPD genannt. Lassen Sie Ihren Datenschutzbeauftragten ihn mit Ihren Anforderungen abgleichen; Enterprise-Kunden können ein unterschriebenes Exemplar anfordern.

https://netsenx.com/de/faq/is-the-netsenx-dpa-public

## Wo speichert NetSenX Daten über die Geräte unserer Beschäftigten, und wie lange?

In der EU und so lange, wie die Alarmhistorie Ihres Plans es vorsieht. NetSenX zeichnet Verbindungsmetadaten aus den überwachten Segmenten auf: interne und externe IP-Adressen, Ports, Zeiten, Datenmengen, die Servernamen, die Geräte kontaktieren, und den Namen, den ein Gerät im Netz ankündigt, der manchmal der Name einer Person ist. Diese Daten liegen in der Datenbank in Irland, die API läuft in Frankfurt und Paris. Alarme werden für die Alarmhistorie Ihres Plans aufbewahrt: 30 Tage im Free-Plan, länger in bezahlten Plänen und unbegrenzt im Enterprise-Plan. NetSenX zeichnet keine Nachrichteninhalte, Dateien oder Eingaben auf, weil es Verkehr nie entschlüsselt, und es meldet KI-Nutzung je Gerät und Programm, nicht je Person. Trotzdem können Gerätedaten auf Beschäftigte verweisen; behandeln Sie sie daher als personenbezogene Daten: Informieren Sie die Belegschaft in Ihren Datenschutzhinweisen, was und warum überwacht wird, begrenzen Sie, wer im Unternehmen das Konto öffnen kann, und prüfen Sie, ob das nationale Recht einem Betriebsrat ein Mitspracherecht gibt. Im Enterprise-Plan können die Daten in Ihrem Haus bleiben.

https://netsenx.com/de/faq/where-does-netsenx-store-data-about-employees-devices

## Brauchen wir vor der Einführung einer Netzwerküberwachung eine Datenschutz-Folgenabschätzung?

Möglicherweise, und eine kurze lohnt sich auch dann, wenn sie nicht zwingend ist. Die DSGVO verlangt eine Datenschutz-Folgenabschätzung (DSFA), wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte von Personen mit sich bringt, und nennt systematische Überwachung unter den zu prüfenden Fällen; die nationalen Datenschutzbehörden veröffentlichen zudem Listen von Verarbeitungen, die stets eine erfordern. Die Überwachung eines Firmennetzes kann in diesen Bereich fallen, besonders wenn sie Geräte der Beschäftigten erfasst oder private Nutzung berührt. Eine DSFA beschreibt, was Sie warum erheben, prüft Notwendigkeit und Verhältnismäßigkeit, nennt die Risiken für die Betroffenen und die Maßnahmen, die sie mindern, und dokumentiert die Entscheidung. Fragen Sie Ihren Datenschutzbeauftragten, prüfen Sie die Liste Ihrer Behörde und bewahren Sie das Ergebnis auf. Maßnahmen, die in Ihrer Abschätzung helfen: NetSenX zeichnet Metadaten statt Inhalten auf, entschlüsselt Verkehr nie, meldet KI-Nutzung je Gerät und Programm statt je Person, hält Daten in der EU und lässt Sie begrenzen, wer das Konto öffnen kann. Die DSFA schreibt es nicht für Sie.

https://netsenx.com/de/faq/do-we-need-a-dpia-before-deploying-network-monitoring

## Ist ein kleinerer europäischer Sicherheitsanbieter ein Risiko für die Geschäftskontinuität?

Das kann er sein, wie jeder Anbieter; beurteilen Sie ihn daher nach dem Ausstiegsplan und nicht nur nach der Größe. Ein kleiner Anbieter ist womöglich stärker von Finanzierung, Personal oder einer Übernahme abhängig; ein großer kann Preise ändern, ein Produkt einstellen oder Daten unter eine andere Rechtsordnung verlagern. In beiden Fällen senken Sie das Risiko gleich: Stellen Sie sicher, dass Sie Ihre Daten jederzeit in brauchbarem Format exportieren können, bewahren Sie eigene Kopien der Nachweise auf, die Sie für Prüfungen, Versicherer oder Behörden brauchen, kennen Sie die Laufzeit nach einer Kündigung und legen Sie vorab fest, womit Sie ihn ersetzen würden. Bei einem Erkennungswerkzeug bedenken Sie auch, was passiert, wenn es ausfällt: Die Alarme hören auf, Ihre Systeme laufen aber weiter, anders als beim Verlust einer Firewall. NetSenX wird von TriStiX S.L. betrieben, einem kleinen Unternehmen in Spanien, und das sagen wir offen. Der Auftragsverarbeitungsvertrag beschreibt Export und Löschung; Alarme lassen sich ab dem Pro-Plan über die API und ab dem Business-Plan an ein SIEM exportieren, und der Enterprise-Plan kann in Ihrem eigenen Haus laufen.

https://netsenx.com/de/faq/is-a-smaller-eu-vendor-a-continuity-risk

## Was ist der US CLOUD Act, und betrifft er in der EU gespeicherte Daten?

Es ist ein US-Gesetz, nach dem US-Behörden mit einem Durchsuchungsbeschluss oder einer ähnlichen Anordnung von Diensteanbietern unter US-Rechtshoheit die Herausgabe von Daten verlangen können, die sich in deren Besitz, Gewahrsam oder Kontrolle befinden, auch wenn sie außerhalb der USA gespeichert sind. Deshalb klärt die Speicherung in einem EU-Rechenzentrum die Frage nicht allein: Entscheidend ist, ob das Unternehmen, das die Daten kontrolliert, oder seine Muttergesellschaft der US-Rechtshoheit unterliegt. Anbieter können manche Anordnungen anfechten, und EU-Recht begrenzt, wann ein europäisches Unternehmen Daten an eine ausländische Behörde geben darf; das Ergebnis ist also ein Rechtskonflikt, kein automatischer Zugriff. Verschlüsselung mit Schlüsseln, die der Anbieter nicht nutzen kann, verringert, was herausgegeben werden könnte. Fragen Sie jeden Anbieter, wer Daten und Schlüssel kontrolliert und welche Unternehmen in der Kette in den USA sitzen. NetSenX wird von einem spanischen Unternehmen betrieben und speichert Kundendaten in der EU, sein Auftragsverarbeitungsvertrag nennt aber einige in den USA gegründete Unterauftragsverarbeiter. Wenn Sie das ganz ausschließen müssen, hält die On-Premises-Option im Enterprise-Plan die Daten auf Ihren eigenen Systemen.

https://netsenx.com/de/faq/what-is-the-us-cloud-act-and-does-it-affect-eu-data

Allgemeine Information, keine Rechtsberatung. Nationale Gesetze können die hier zitierten EU-Texte ergänzen, etwa um Fristen, Formulare oder Meldewege: Prüfen Sie die Regeln Ihres Landes.

FAQ: https://netsenx.com/de/faq