Rechtliche Vorgaben zum Cloud-Wechsel Sind Cloud Switching und Data Portability das gleiche?

Anbieter zum Thema

Insider Research

netfiles GmbH

Cloudgermany.de GmbH

STACKIT GmbH & Co. KG

Geht es um den Wechsel des Cloud-Dienstes, enthalten der Data Act der EU und die Datenschutz-Grundverordnung (DSGVO) Vorgaben zur möglichst einfachen Datenübertragung. Doch das Cloud Switching aus dem Data Act ist nicht etwa identisch mit dem Recht auf Datenportabilität aus der DSGVO. Was sind die Gemeinsamkeiten und Unterschiede dieser EU-Vorgaben?

Der Data Act ist ein Gesetz, mit dem die Datenwirtschaft in der EU verbessert und ein wettbewerbsfähiger Datenmarkt gefördert werden soll, indem Daten leichter zugänglich und nutzbar gemacht, datengesteuerte Innovationen gefördert und die Datenverfügbarkeit erhöht werden, erklärt die EU-Kommission.

Das klingt anders als das Ziel der Datenschutz-Grundverordnung (DSGVO), könnte man denken. Die DSGVO schützt die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten. Doch die DSGVO hat noch weitere Ziele: Der freie Verkehr personenbezogener Daten in der Europäischen Union darf aus Gründen des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten weder eingeschränkt noch verboten werden.

Offensichtlich sind die DSGVO und der Data Act beide bemüht um den freien Datenverkehr. Beide enthalten auch Vorgaben, die den Wechsel eines Cloud-Anbieters einfacher machen sollen und können. Der Data Act spricht von Cloud Switching, die DSGVO kennt das Recht auf Datenportabilität. Ist dies etwa das gleiche Recht unter anderer Bezeichnung in verschiedenen EU-Rechtsvorgaben?

Das versteht die EU-Kommission unter Cloud Switching

Anbieter von Cloud- und Edge-Computing-Diensten müssen Mindestanforderungen erfüllen, um die Interoperabilität zu erleichtern und einen Wechsel zu ermöglichen, so will es der Data Act der EU in Kapitel VI über den Wechsel zwischen Datenverarbeitungsdiensten.

Die EU-Kommission begründet dies so: Kunden stehen einer Reihe von Hindernissen gegenüber, darunter hohe Gebühren, die beispielsweise mit Datenaustritt, langwierigen Verfahren und mangelnder Interoperabilität zwischen Anbietern verbunden sind, was zu Daten- und Anwendungsverlusten führen kann. Der Data Act soll den Wechsel frei, schnell und flüssig machen.

Daten, die für den Wechsel von entscheidender Bedeutung sind, umfassen Eingabe- und Ausgabedaten, einschließlich Metadaten, die durch die Nutzung des Dienstes durch den Kunden generiert werden, mit Ausnahme von Daten, die durch Rechte des geistigen Eigentums geschützt sind oder ein Geschäftsgeheimnis des Diensteanbieters darstellen.

Der Data Act fordert Maßnahmen, mit denen sichergestellt wird, dass Kunden schnell und reibungslos von einem Anbieter von Datenverarbeitungsdiensten zu einem anderen wechseln können, ohne Daten oder die Funktionalität von Anwendungen zu verlieren. Anbieter müssen dafür zum Beispiel offene Schnittstellen zur Verfügung stellen und zumindest Daten in einem gängigen und maschinenlesbaren Format exportieren.

Wie dies konkret aussehen kann, zeigen zum Beispiel die Erläuterungen von Google Cloud und AWS dazu. AWS erwähnt in seiner Beschreibung ausdrücklich auch das Recht auf Datenportabilität aus der DSGVO. Doch worauf bezieht sich dieses genau?

Recht auf Datenübertragbarkeit: Übertragung eigener, personenbezogener Daten

Jede Person hat nach Artikel 20 Datenschutz-Grundverordnung (DSGVO) einen Rechtsanspruch, personenbezogene Daten, die sie einem Unternehmen im Rahmen eines Vertrags oder auf Basis einer Einwilligung bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Zudem hat sie das Recht, dass diese Daten direkt zu einem anderen Unternehmen (zum Beispiel einem Konkurrenzunternehmen) transferiert werden.

Auch dieses Recht soll Wettbewerb (und Datenschutz) fördern, indem es Lock-in-Effekte abschwächt, die zu einer faktischen, nicht mehr auflösbaren Bindung an bestimmte Dienste und Anbieter führen, erläutert zum Beispiel die Berliner Beauftragte für Datenschutz und Informationsfreiheit. Doch es gibt wesentliche Unterschiede zum Cloud Switching nach Data Act: Das Recht auf Datenübertragbarkeit nach DSGVO ist auf diejenigen Daten beschränkt, die die betroffene Person dem Unternehmen selbst zur Verfügung gestellt hat.

In aller Regel werden beim Cloud Switching nach Data Act auch personenbezogene Daten betroffen sein, wie zum Beispiel der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit darlegt. Es ist also meistens so, dass beide Rechte parallel und miteinander zur Anwendung kommen können.

Richtlinien zum Datenumzug

CISPE Framework soll das Cloud Switching erleichtern

Dennoch sind es zwei unterschiedliche Rechte, die einem ähnlichen Zweck dienen, der Auflösung von Lock-In-Effekten und damit der Stärkung des Wettbewerbs. Hier zeigt sich auch das der DSGVO ebenfalls zugrundeliegende Ziel des freien Datenverkehrs. Dazu Thomas Fuchs, der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit: „Datenzugang und Datenschutz sind kein Widerspruch. Wir werden uns im Rahmen des Data Acts dafür einsetzen, dass Datenmonopole aufgebrochen werden und zugleich Privatsphäreninteressen gewahrt bleiben.“

Der Bericht des OECD „The impact of data portability on user empowerment, innovation, and competition” fasst die Vorteile der Data Portability aus verschiedenen Rechtsgrundlagen so zusammen: Datenportabilität hat sich zu einem Instrument entwickelt, um den Zugriff auf und die gemeinsame Nutzung von Daten über digitale Dienste und Plattformen hinweg zu verbessern. Sie ermöglicht es Nutzern, eine aktivere Rolle bei der Wiederverwendung ihrer Daten zu übernehmen und kann Wettbewerb und Innovation fördern, indem sie Interoperabilität stärkt und gleichzeitig Wechselkosten und Abhängigkeiten von Anbietern reduziert.

Podcast: Strategien für Cloud-Interoperabilität

Wechselfähigkeit zwischen Clouds – wie Interoperabilität die Digitalisierung vorantreibt

(ID:50672117)