Die Folgen des Cloud Acts für den Datenschutz

Supreme Court stellt Microsoft-Verfahren ein

| Autor: Florian Karlstetter

Der jüngst verabschiedete Cloud Act sichert US-amerikanischen Behörden - und befreundeten Drittländern per Abkommen - den Zugriff auf europäische Daten. Betroffene werden darüber nicht informiert.
Der jüngst verabschiedete Cloud Act sichert US-amerikanischen Behörden - und befreundeten Drittländern per Abkommen - den Zugriff auf europäische Daten. Betroffene werden darüber nicht informiert. (Bild: © costadelsol - stock.adobe.com)

Cloud Act, zweiter Teil: Das Verfahren gegen Microsoft zur Herausgabe von in Irland gespeicherten Daten ist letzte Woche vom Obersten Gerichtshof der Vereinigten Staaten eingestellt worden. Was sich zunächst positiv anhört, könnte weitreichende Auswirkungen auf das internationale Cloud Business haben - Stichwort Datenschutz.

Am 23. März 2018 war von der US-amerikanischen Regierung mit dem Cloud Act ziemlich unerwartet und ohne große Beachtung in der Medienlandschaft ein neues Gesetz verabschiedet worden. Es soll den Zugriff auf Daten in anderen Ländern in Zukunft erleichtern. Dabei spielt es offenbar keine Rolle, ob hierdurch Datenschutzgesetze der betroffenen Länder eingehalten bzw. auch gebrochen werden. Das dürfte für US-amerikanische Cloud-Anbieter weitreichende Auswirkungen haben, denn Datenschutz und Datensicherheit genießen hierzulande eine hohe Priorität - und das mit Recht.

Der lange Arm der USA - Neues Cloud-Gesetz in Kraft

Die USA verschärfen Überwachung von Internet-Diensten

Der lange Arm der USA - Neues Cloud-Gesetz in Kraft

16.04.18 - Seit dem 23 März gilt in den USA der „Cloud Act“. Das Gesetz verschärft die bisherige Überwachungspraxis im Cloud Computing. Betroffene Provider und Anwender haben weniger Rechte. lesen

Pikante Randnotiz: Das Gesetz war als so genannter Afterthought im Rahmen einer Haushaltsdebatte entschieden worden und damit ohne ausführliche Debatte „durch die Hintertür“ in den Gesetzgebungsprozess der USA eingegangen.

Rechtssicherheit für die einen, Unsicherheit für die anderen

Der Cloud Act wurde wider Erwarten spontan von großen amerikanischen Herstellern wie Apple und Microsoft begrüßt. Das verwundert etwas. Hatten sie sich doch in den letzten Jahren und Monaten gegenüber den Forderungen der US-Regierung zur Herausgabe von Daten standhaft gezeigt und immer wieder betont, wie wichtig ihnen der Schutz von Kundendaten und Privatsphäre wäre. Die nun erfolgte Zustimmung ist nach Ansicht von Brainloop so zu bewerten, dass der Cloud Act den US-amerikanischen Anbietern nun mehr Rechtssicherheit gibt und sie nicht weiter zwischen den Stühlen europäischer und US-amerikanischer Gesetzgebung sitzen. Ob dadurch aber Klagen aus Europa abgewendet werden können bleibt erst einmal abzuwarten.

Die Folgen des Cloud Acts

Der Cloud Act sieht vor, dass Daten auf Basis von bilateralen Vereinbarungen ausgetauscht werden. Schon heute bestehen vergleichbare Vereinbarungen zwischen den USA und anderen Ländern wie beispielsweise der globale automatische Informationsaustausch. Im Zuge des Cloud Acts müssen US-Anbieter in Zukunft Daten auf Servern in anderen Ländern herausgeben - bislang galt hier primär immer die Gesetzgebung des Landes, in dem sich die Daten/Server/Rechenzentren befanden.

Doch das ist mit dem Cloud Act nun hinfällig, vielmehr drängt sich der Gedanke auf, die USA sehen das Internet - und damit auch Services aus der Public Cloud als ihr Eigentum an, getreu dem Motto „Wer hat´s erfunden?" Dieser Punkt war auch Stein des Anstoßes in dem nun beigelegten Microsoft-Fall, in dem es um die Herausgabe von Daten aus einem Rechenzentrum in Irland ging. So war die US-Justiz bereits im Jahre 2014 der Meinung, Daten, die im Internet kursieren, gehören den Amerikanern. Hierzu ein Kommentar von Fabasoft vom August 2014:

US-Justiz: „All your data belongs to us“

Fabasoft-Kommentar zum US-Gerichtsurteil gegen Microsoft

US-Justiz: „All your data belongs to us“

27.08.14 - Der lange Arm der US-Justiz und die Herausgabe von Daten aus einem Rechenzentrum in Irland: In einem Kommentar äußert sich Dipl.-Ing. Helmut Fallmann, Mitglied des Vorstands der Fabasoft AG zum aktuellen Gerichtsurteil gegen Microsoft. lesen

Brainloop sieht in dem aktuellen Fall nun ein weiteres Beispiel einer schrittweisen Aufweichung der regionalen Datensouveränität, basierend auf einem grundsätzlich anderen kulturellen Verständnis von IT-Sicherheit und Datenschutz. Angefangen vom Patriot Act, der Zugriff auf Daten in den USA auch ohne Gerichtsbeschluss ermöglicht, über breit angelegte Überwachungsprogramme wie Prism und den Druck, der auf US-Anbieter zur Herausgabe von Daten ausgeübt wird (Apple, Microsoft), bis hin zum Cloud Act. Individuelle Verfehlungen wie kürzlich von Facebook und Cambridge Analytica kommen erschwerend hinzu.

Bitkom warnt Obersten US-Gerichtshof vor Zugriff auf Daten in Europa

Entscheidung über Zugriff auf Daten von US-Unternehmen in Europa steht bevor

Bitkom warnt Obersten US-Gerichtshof vor Zugriff auf Daten in Europa

24.01.18 - In Kürze wird aus den USA ein wegweisendes Urteil des dortigen Obersten Gerichtshofs erwartet. Im Februar 2018 will er darüber entscheiden, ob eine US-Behörde von Unternehmen direkten Zugriff auf Personendaten verlangen kann, die außerhalb der USA gespeichert sind. lesen

So überraschend der Cloud Act verabschiedet wurde, so sehr kann man gespannt sein, was als nächstes kommt. Der Gesetzentwurf von 2016 zur verpflichtenden Einrichtung von Backdoors durch US-Hersteller, um die Verschlüsselung zu umgehen, konnte nach öffentlichen Protesten bislang noch abgewendet werden.

Mögliche Folgen für europäische Unternehmen

Alle Daten, die mit US-amerikanischen Unternehmen und Personen ausgetauscht werden und die im Zugriff amerikanischer Anbieter sind, sind vom Cloud Act potenziell gefährdet. Dazu gehören nicht nur Dateien auf Fileservern sondern auch E-Mails. Was das für die Strafverfolgung von VW und Bosch beispielsweise bei der Dieselgate-Affäre bedeutet hätte, lässt sich nur schwer ermessen.

De facto ist jedoch eine erhöhte Unsicherheit in Bezug auf die Datensouveränität bei der Zusammenarbeit mit US-Unternehmen zu erwarten. Auf lange Sicht kann sich das außerdem nach Ansicht von Thomas Deutschmann, CEO von Brainloop als problematisch für US-amerikanische Softwarehersteller herausstellen.

Datenschutzkonformer Einsatz von Office 365

Fakt ist außerdem, dass sich europäische Unternehmen spätestens ab 25. Mai 2018 strikt an die verschärfte Datenschutzgrundverordnung halten müssen. Inwieweit der nun von der U.S. Regierung legitimierte Datenabfluss mit europäischem und deutschem Recht vereinbar ist, wird wohl noch so manchen Datenschützer und auch Gerichte beschäftigen.

Zu klären ist damit auch, ob ein datenschutzkonformer Einsatz beispielsweise von Office 365 nach dem Cloud Act überhaupt noch gewährleistet werden kann, schließlich handelt es sich hierbei um eine Auftragsdatenverarbeitung, die im Art. 28 DSGVO klar geregelt ist. Inwieweit nun eine Herausgabe von Daten aus der Microsoft Cloud an US-Behörden datenschutzrechtliche Probleme mit sich bringen kann, darüber hat sich „Dr. Datenschutz" im Internet-Blog Datenschutzbeauftragter-info.de Gedanken gemacht. Das Resümee: der Cloud Act schafft lediglich auf US-Seite Klarheit, sorgt auf europäischer Seite jedoch erneut für Rechtsunsicherheit. Weiterer Ausgang ungewiss.

Neue Unsicherheit für den Datenaustausch in der Cloud

Privacy Shield und Standardvertragsklauseln

Neue Unsicherheit für den Datenaustausch in der Cloud

19.10.17 - Unternehmen müssen wie selbstverständlich Daten von Kunden austauschen, auch von Ländern der EU in die USA. Durch einen neuen Gerichtsbeschluss sind die dafür aktuell gültigen rechtlichen Bestimmungen – Standardvertragsklauseln und/oder das sogenannte „Privacy Shield“-Verfahren - neuerlich unsicher. lesen

Deutsche Clouds sind sicher – aber auch sicher genug?

Branchenumfrage

Deutsche Clouds sind sicher – aber auch sicher genug?

10.04.18 - Deutschland ist bei der Absicherung von Daten in der Cloud international führend. Das ist die gute Nachricht. Die schlechte lautet, dass der Feind nie schläft. Das gilt insbesondere in Zeiten des Internets und der Schatten-IT. Wo also müssen deutsche Anwender (und Anbieter) die Sicherheitsschrauben noch weiter anziehen? lesen

Kommentare werden geladen....

Kommentar zu diesem Artikel abgeben

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 45264007 / Risk Management)