On-Premises vs. Cloud: Schwärzungssoftware und Datenhoheit

Bei einer On-Premises-Lösung wird die Schwärzungssoftware auf Servern im eigenen Rechenzentrum oder auf lokalen Arbeitsplatzrechnern installiert. Die Dokumente verlassen zu keinem Zeitpunkt das Unternehmensnetzwerk — weder für die Verarbeitung noch für die Speicherung.

Software auf eigenem Server

Die gesamte Verarbeitungslogik — OCR-Erkennung, PII-Detection, Schwärzung und Export — läuft auf Hardware, die unter Ihrer Kontrolle steht. Es gibt keinen externen Dienst, der Ihre Dokumente empfängt, verarbeitet oder zwischenspeichert.

Keine Daten verlassen das Netzwerk

Sensible Dokumente bleiben innerhalb Ihrer Netzwerkgrenzen. Es gibt keinen Upload, keine API-Calls an externe Server und keine Telemetrie-Daten, die über die Inhalte Ihrer Dokumente Aufschluss geben könnten.

Keine Internetverbindung nach Installation nötig

Nach der einmaligen Installation und Lizenzaktivierung kann die Software vollständig offline betrieben werden. Das ermöglicht den Einsatz in Air-Gap-Netzwerken — isolierten Umgebungen ohne Internetanbindung, wie sie in Behörden und beim Militär üblich sind.

Volle Kontrolle über Updates und Zugriff

Sie entscheiden, wann Updates eingespielt werden, wer Zugriff auf die Software hat und welche Sicherheitsrichtlinien gelten. Es gibt keine vom Anbieter erzwungenen Updates, die ungeprüft in Ihre Produktivumgebung gelangen.

Berufsgeheimnisträger (§ 203 StGB)

Rechtsanwälte, Ärzte, Steuerberater und Notare unterliegen dem strafrechtlich geschützten Berufsgeheimnis nach § 203 StGB. Die Übermittlung von Mandanten- oder Patientendaten an einen Cloud-Anbieter kann bereits eine Offenbarung im Sinne des Gesetzes darstellen — selbst wenn der Anbieter die Daten technisch nicht einsehen kann. Ohne ausdrückliche Einwilligung der Betroffenen ist die Cloud-Verarbeitung solcher Dokumente rechtlich hochproblematisch.

Behörden und öffentliche Verwaltung

Viele Bundes- und Landesbehörden haben explizite Cloud-Verbote oder strenge Auflagen für die Verarbeitung dienstlicher Dokumente. Der BSI-Grundschutz und die IT-Grundschutz-Kompendien setzen hohe Maßstäbe an die Datenverarbeitung. Verschlusssachen (VS-NfD und höher) dürfen grundsätzlich nicht in Cloud-Umgebungen verarbeitet werden.

DSGVO Art. 28: Auftragsverarbeitung

Wer personenbezogene Daten an einen Cloud-Dienst überträgt, wird zum Verantwortlichen einer Auftragsverarbeitung nach Art. 28 DSGVO. Das bedeutet: Sie benötigen einen Auftragsverarbeitungsvertrag (AVV), müssen den Cloud-Anbieter regelmäßig prüfen und haften für dessen Datenschutzverstöße. Bei On-Premises entfällt diese gesamte Pflichtenkette — die Daten bleiben bei Ihnen.

Schrems II und der CLOUD Act

Das Schrems-II-Urteil des EuGH hat die Rechtsgrundlage für Datentransfers in die USA gekippt. Auch US-Cloud-Anbieter mit EU-Rechenzentren sind betroffen: Der US CLOUD Act verpflichtet amerikanische Unternehmen, auf Anforderung von US-Behörden auch Daten herauszugeben, die in der EU gespeichert sind. Mit einer On-Premises-Lösung eines EU-Anbieters existiert dieses Risiko nicht.

Versicherungen und Banken (BaFin)

Finanzinstitute und Versicherungen unterliegen der BaFin-Aufsicht mit strengen Anforderungen an die Auslagerung von IT-Dienstleistungen (MaRisk, BAIT, VAIT). Die Verarbeitung von Kundendaten über Cloud-Schwärzungsdienste erfordert umfangreiche Risikoanalysen, Auslagerungsverträge und eine Anzeigepflicht bei der Aufsichtsbehörde. On-Premises-Verarbeitung vermeidet diesen regulatorischen Aufwand.

Nicht jede Organisation steht vor derselben Ausgangslage. Die folgenden Fragen helfen Ihnen, die richtige Betriebsform für Ihre Schwärzungssoftware zu bestimmen:

Wenn Sie auch nur eine der ersten vier Fragen mit Ja beantworten, ist On-Premises die empfohlene Betriebsform. Der Aufwand für die lokale Installation ist überschaubar — die rechtlichen und finanziellen Risiken einer Cloud-Verarbeitung sensibler Daten hingegen nicht.