Datenübermittlung in die USA Die Rolle des Cloud-Standorts für den Datenschutz

Nach dem Aus von Privacy Shield wird nun besonders auf den „Cloud-Standort“ geschaut. Doch reicht es eigentlich, wenn das Datacenter in der EU ist und scheinbar alle Datenschutzvorgaben eingehalten werden? Sind damit alle Datenübermittlungen in die USA, für die es keine Rechtsgrundlage gibt, ausgeschlossen?

Anbieter zum Thema

Insider Research

synetics GmbH

VMware Global Inc Zweigndl. Deutschland

Schwarz IT KG

Die Antwort: Es kommt ganz darauf an.

Wer Cloud-Anwendungen nutzt oder es plant, macht verschiedene Kriterien bei der Auswahl eines Cloud-Dienstleisters zur Voraussetzung, so der Cloud-Monitor 2020 von Bitkom und KPMG. Die Konformität mit der Datenschutz-Grundverordnung ist dabei am wichtigsten, fast alle Unternehmen (96 Prozent) geben dies an. Für 88 Prozent ist eine transparente Sicherheitsarchitektur eine Grundvoraussetzung, mehr als drei Viertel (77 Prozent) bestehen auf die Möglichkeit, Cloud-Daten verschlüsseln zu können.

Auch der Datenspeicherort ist für viele Cloud-Nutzer und -Planer ein wichtiges Thema. Für zwei Drittel (65 Prozent) darf das Rechenzentrum des Anbieters ausschließlich im Rechtsgebiet der EU stehen. Ähnliche viele (63 Prozent) wollen, dass der Hauptsitz des Cloud-Anbieters eben dort ist (63 Prozent). Sieht man sich die Umfrageergebnisse noch genauer an, stellt man fest: Mehr als zwei Drittel der Unternehmen (67 Prozent) wünschen sich einen Standort des Cloud-Rechenzentrums in Deutschland, ein Rechenzentrum innerhalb der EU nannten mit 65 Prozent etwas weniger.

Standort soll das Datenschutzniveau sichern

Es gibt viele Überlegungen, die zu einem Standortwunsch in Deutschland oder in der EU führen können. Es kann die Absicht sein, die regionale Wirtschaft zu stärken, die Vorstellung, im Fall des Falles den Anbieter leichter aufsuchen zu können, ganz besonders aber ist es der Datenschutz, der die Standortfrage stark beeinflusst.

Bekanntlich fordert die Datenschutz-Grundverordnung (DSGVO) in Artikel 28 (Auftragsverarbeitung): Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.

Nutzt man eine Cloud aus Deutschland oder der EU, ist diese Anforderung leichter zu erfüllen, so glaubt man jedenfalls. Natürlich kann man nicht ohne weiteres davon ausgehen, dass allein der Standort das angemessene Datenschutzniveau garantiert. Man braucht einen Nachweis dafür, ein Grund, warum viele so sehnsüchtig auf eine Datenschutzzertifizierung nach DSGVO warten.

Der Cloud-Standort und die digitale Souveränität

Tatsächlich ist das Datenschutzniveau anhand des Standortes eines Cloud-Rechenzentrums nicht so einfach zu bestimmen, sonst bräuchte man ja auch kein Datenschutzzertifikat, sondern nur eine Bestätigung des Standortes. Cloud Computing ist komplex, eine Cloud-Infrastruktur ist vielfältig. Für das Datenschutzniveau sind die Datenschutzeigenschaften aller Bestandteile, Prozesse und Abläufe bei der Erbringung der Cloud-Dienstleistungen entscheidend.

So kann ein Cloud-Dienst zum Beispiel in Deutschland erbracht werden, doch für besonders anspruchsvolle Aufgaben im Cloud-Support werden vielleicht Experten aus den USA benötigt, die einen Zugang zu den Cloud-Daten bekommen müssen. Dadurch könnte es auch zu einer Datenübermittlung in die USA kommen.

Damit ein Cloud-Dienst in Deutschland oder in der EU auch vollständig dort erbracht werden kann, müssen Hardware, Software und Services ohne eine Übermittlung personenbezogener Daten in das Drittland USA auskommen. Offensichtlich hat also die Bedeutung des Standorts für den Cloud-Datenschutz auch mit den Fragen der Digitalen Souveränität zu tun.

Nachholbedarf bei der Digitalen Souveränität

Der Verband der Internetwirtschaft eco hat auf die Probleme im Bereich der Digitalen Souveränität hingewiesen und dies an einem aktuellen Beispiel verdeutlicht: In der Corona-Krise organisieren viele Angestellte ihre Arbeits- und Abstimmungsprozesse mithilfe digitaler Tools und Technologien. Dabei setzen die Unternehmen stark auf Dienste von Anbietern außerhalb Europas. Ein Großteil der IT-Experten in Deutschland bewertet diese Abhängigkeit als zu hoch – etwa bei Endgeräten (32,3 Prozent), Bürosoftware (31,7 Prozent), Netzwerk-Software (30,9 Prozent) und verschiedenen Cloud-Services (zwischen 20,4 und 26,6 Prozent), so eine Umfrage unter 500 IT-Experten des Markt- und Meinungsforschungsinstitutes Civey im Auftrag des eco – Verbands der Internetwirtschaft e.V.

Unternehmen und Institutionen in Deutschland hätten ein großes Bedürfnis, die eigene Digitalisierung selbstbestimmt zu gestalten, sagt Andreas Weiss, Geschäftsbereichsleiter digitale Geschäftsmodelle im eco-Verband. „Dafür brauchen IT-Entscheider die Freiheit, IT-Ressourcen nach europäischen Standards zu beziehen und nutzen zu können“, sagt Weiss. Er fordert, offene Standards für Schnittstellen ebenso stärker zu fördern wie offene Quellcodes und das Prinzip der Datensouveränität zu unterstützen.

Große Erwartungen hat die Branche an das Cloud-Projekt GAIA-X, das Datensouveränität, Datenverfügbarkeit und Innovation anstrebt. „Mit GAIA-X startet Europa ein ambitioniertes Projekt für sichere, verteilte und souveräne europäische Dateninfrastrukturen“, sagt Weiss. Gelingt dies, könnte die Frage nach der Rolle des Cloud-Standortes für das Datenschutzniveau sicherlich klarer beantwortet werden als heute. Gegenwärtig muss man alle Facetten des Cloud-Dienstes hinterfragen, ob diese auch alle dem Standortgedanken Deutschland oder EU und damit der DSGVO Folge leisten.

Schrems II

Europäischer Gerichtshof: Privacy Shield ist ungültig

Schrems II, „Privacy Shield“ und die Folgen

Was wird aus der transatlantischen Datenübermittlung?

(ID:46858787)