Cloud-Regionen innerhalb der EU Datengrenzen für die Cloud: Was bringt es für den Datenschutz?

Anbieter zum Thema

Insider Research

netfiles GmbH

Cloudgermany.de GmbH

STACKIT GmbH & Co. KG

Cloud-Provider bieten an, dass Cloud-Nutzende bestimmen können, in welchen Regionen ihre Daten verarbeitet werden. Die Daten bewegen sich dann nur innerhalb definierter Grenzen. Welche Bedeutung hat das für den Datenschutz in der Cloud? Lassen sich Datenrisiken begrenzen? Oder stellt sich die Frage nicht mehr, seit das Data Privacy Framework für EU-US-Datentransfers gültig ist?

Die Idee: Datenübermittlung vermeiden

Die Datenschutz-Grundverordnung (DSGVO) enthält zahlreiche Regelungen, die bei einer Übermittlung personenbezogener Daten in Drittstaaten zu beachten sind. All diese Vorgaben dienen aber nur einem Zweck: Es soll gewährleistet sein, dass die personenbezogenen Daten überall, auch nach Übermittlung in das Drittland, angemessen geschützt sind.

Da liegt die Idee auf der Hand, die Daten direkt innerhalb der EU zu belassen und auf eine Datenübermittlung zu verzichten. Dazu definiert man räumliche Grenzen, innerhalb deren sich die Daten befinden und bewegen, also Datengrenzen. Doch bedeuten Datengrenzen automatisch, dass der Datenschutz gewährleistet ist?

Zum einen: Automatisch ist der Datenschutz nie gewährleistet, man muss immer etwas dafür tun, auch innerhalb der EU, das versteht sich. Was aber bringen Datengrenzen? Und braucht man sie für US-Clouds überhaupt, wo es doch jetzt das DPF (Data Privacy Framework) gibt?

Data Privacy Framework ist kein Allheilmittel

Auch wenn die Freude groß war, als der Privacy Shield Nachfolger namens Data Privacy Framework endlich da war, sind dadurch nicht etwa alle Datentransfers von der EU in die USA aus Datenschutzsicht unproblematisch. Zum einen müssen sich die Empfänger zuerst und nachweislich dem DPF unterwerfen, das DPF kann nicht ohne weiteres einfach als gegeben angenommen werden.

Zum anderen ist bereits Kritik laut geworden und so manche Stimmen waren zu hören, die keine lange Rechtssicherheit dank DPF sehen. Das DPF könnte ein echter Nachfolger des Privacy Shield werden, also das gleiche Ende finden, so die Kritiker.

Gleichzeitig muss betont werden, dass es auch Datenübermittlungen gibt, deren Zielland nicht die USA sind. Es gibt bei weitem nicht für jedes Zielland einen Angemessenheitsbeschluss der EU-Kommission. Deshalb sollten Unternehmen grundsätzlich vor einer geplanten Datenübermittlung ein Transfer Impact Assessment (TIA) durchführen und dabei die rechtliche Situation genau hinterfragen, die in dem Zielland gilt.

Datengrenzen: EU oder sogar nur Deutschland?

Ein weiterer Punkt kann die Frage nach den Datengrenzen weiterhin sinnvoll machen: Umfragen zeigen immer wieder, dass Unternehmen in Deutschland bei Cloud Computing einen Unterschied machen, ob das Rechenzentrum in der EU oder wirklich in Deutschland steht. Dahinter steckt keine Datenschutzanforderung, denn der Datenschutz macht hier keinen Unterschied innerhalb der EU.

Doch die Kunden selbst machen womöglich einen Unterschied, sie bevorzugen unter Umständen Cloud-Dienste direkt aus Deutschland. So ergab die Cloud-Studie 2023 des Bitkom: Mit Blick auf Sicherheit und Datenschutz ist 8 von 10 Unternehmen (81 %), die Cloud Computing nutzen, dies planen oder diskutieren, wichtig, in welchem Land sich das Rechenzentrum des Cloud-Anbieters befindet. Klarer Standort-Favorit ist Deutschland: 93 Prozent bevorzugen ein heimisches Rechenzentrum, für 7 Prozent kommt es in Frage. Mit deutlichem Abstand folgen die anderen EU-Länder, die von 50 Prozent bevorzugt werden und für 41 Prozent in Frage kommen.

Datengrenzen oder souveräne Cloud

Oracle zum Beispiel nennt sein Cloud-Angebot mit Datengrenze „Oracle EU Sovereign Cloud“, Microsoft als anderes Beispiel spricht von Microsoft EU Data Boundary. Neben den Datengrenzen gibt es auch die Fragen nach der souveränen Cloud. Hierzu haben sich die Datenschutzaufsichtsbehörden bereits positioniert.

Souveräne Clouds müssen es demnach den Verantwortlichen (nach DSGVO) ermöglichen, die Einhaltung der datenschutzrechtlichen Pflichten effektiv, nachprüfbar und dauerhaft sicherzustellen. Die Kriterien für souveräne Clouds umfassen die Punkte „Nachvollziehbarkeit durch Transparenz“, „Datenhoheit und Kontrollierbarkeit“, „Offenheit“, „Vorhersehbarkeit und Verlässlichkeit“ sowie „Regelmäßige Prüfung der aufgestellten Kriterien“. Hier geht es offensichtlich nicht nur um Grenzen für Cloud-Daten.

Folgen der Datengrenze werden noch untersucht

Der frühere Datenschutzbeauftragte des Landes Schleswig-Holstein, Thilo Weichert, bewertete im April 2023 die Datengrenzen so (https://bigbrotherawards.de/2023/microsoft): „Mit einem Anfang 2023 gestarteten ‚EU Data Boundary‘ wirbt Microsoft um Vertrauen für Microsoft 365, Azure und Konsorten. Microsoft baut derzeit 17 Rechenzentren in Europa auf und aus. Dies ändert aber nichts an dem Umstand, dass US-Behörden auf diese Daten per Cloud-Act und Foreign Intelligence Surveillance Act Zugriff einfordern. Diese Gesetze verpflichten Microsoft, auch im Ausland verarbeitete Daten den US-Sicherheitsbehörden zur Verfügung zu stellen und hierüber Stillschweigen zu wahren“.

Noch haben sich die Aufsichtsbehörden nicht explizit zu den Auswirkungen der Datengrenzen geäußert, aber sie hinterfragen diese. Das Gremium der Datenschutzaufsichtsbehörden, Datenschutzkonferenz (DSK) genannt, hat festgehalten, dass „die AG DSK „Microsoft-Onlinedienste“ ihr (...) über die Änderungen berichten soll, die sich aus der EU Data Boundary ergeben“.

In jedem Fall aber sollten Unternehmen auch für sich prüfen, welche der genutzten Cloud-Dienste denn innerhalb der Datengrenzen erbracht werden (bei Microsoft hier zu sehen ), wie es um Supportzugriffe steht und nicht zuletzt, wie die rechtlichen Möglichkeiten zum Beispiel für Nachrichtendienste der Drittstaaten aussehen, mögliche Datengrenzen zu „überschreiten“.

(ID:49672587)