Datenschutz am seidenen Faden Warum europäische Datenräume US-Zugriff nicht ausschließen

Anbieter zum Thema

Connect4Video GmbH

netfiles GmbH

STACKIT GmbH & Co. KG

Yorizon GmbH & Co. KG

Amazon, Microsoft und Google haben kürzlich damit begonnen, für ihre „souveräne Cloud“ zu werben. Dieses Konzept soll es Kunden ermöglichen, ihre Daten ausschließlich innerhalb Europas zu hosten und dort verarbeiten zu lassen. Die aktuelle politische Lage könnte aber diesen Vorstoß gefährden. Unternehmen sind daher gut beraten, ihre Cloud-Strategie rechtzeitig zu überdenken.

Die Europäische Kommission hat die Klassifizierung der USA als „sicheres Drittland“ für den Datenaustausch in diesem Rahmenvertrag an bestimmte Voraussetzungen gebunden. Diese Voraussetzungen beinhalten eine effektive Datenschutzaufsicht und verbindliche rechtliche Garantien, wie sie durch die Executive Order (EO) 14086 bereitgestellt werden. Im Januar 2025 hat US-Präsident Donald Trump drei Mitglieder des Privacy and Civil Liberties Oversight Boards (PCLOB), das für die Datenschutzaufsicht zuständig ist, entlassen. „Das transatlantische Datenschutzabkommen hängt seither am seidenen Faden einer einzigen präsidialen Verordnung“, kommentiert Dr. Stefan Volck, CPO Vistameet bei Connect4Video, ein deutscher Cloud-Videokonferenzanbieter.

Unter CIOs in Europa – meint er – geht seither die Angst um, dass der US-Präsident in einem nächsten Schritt die EO 14086 aufkündigt. Annulliert Trump die „Executive Order 14086“, verliere das Transatlantic Data Privacy Framework zwischen der Europäischen Union und den Vereinigten Staaten endgültig seine Rechtsgrundlage. Volck ergänzt: „Tritt dieses Szenario ein, wären Unternehmen beim Datenverkehr zwischen dem europäischen und dem US-amerikanischen Rechtsraum – wie schon einmal nach dem Ende des ‚Privacy Shield‘-Abkommens 2020 festgestellt – nicht mehr ausreichend abgesichert.“ Für europäische Unternehmen, deren digitale Infrastruktur in der Tool-Welt von Microsoft, Google und Amazon verankert ist, würden hier beträchtliche Risiken entstehen.

Erzählung von sogenannter souveränen Cloud geht nicht auf

Die Big Tech Microsoft, Google und Amazon, die den Großteil des europäischen Cloud-Marktes versorgen, haben bereits reagiert und souveräne Cloud-Angebote angekündigt. Volck erläutert: „Microsoft, Anbieter der verbreiteten Office 365-Suite, verspricht eine Datenaußengrenze (EU Data Boundary) für eine ‚souveräne Cloud‘ und einen ‚Data Guardian‘ sowie milliardenschwere Investitionen in europäische Rechenzentren. Das Narrativ klingt plausibel: Wenn Unternehmensdaten von Bukarest bis Lissabon den europäischen Rechtsraum nicht verlassen, bleiben sie dem Zugriff der USA entzogen.“

Doch diese Erzählung geht nicht auf: Der Clarifying Lawful Overseas Use of Data (CLOUD) Act erlaubt US-Behörden weitreichenden Zugriff auf europäische Kundendaten, und das auch extraterritorial. Das Gesetz verpflichtet auch rechtlich eigenständige Töchter der großen Cloud-Anbieter dazu, Daten herauszugeben. Avancierte technische Sicherheitskonzepte wie „bring your own key“ bieten hier keinen ausreichenden Schutz.

„Dass Microsoft im Zuge US-amerikanischer Sanktionen bereits das Konto des Chefanklägers des Internationalen Gerichtshofs gesperrt hat, ist ein Alarmsignal und zeigt, dass amerikanische Interessen im Einzelfall europäische Datensicherheit willkürlich aushebeln können“, fügt Volck hinzu.

Die im politischen Raum stehende Beendigung der Datenschutz-Sicherheitsgarantien durch die amerikanische Regierung wird Volck nach für europäische Unternehmen zum strategischen Risiko. Deshalb sollten sie den Einsatz amerikanischer Tech-Tools in ihrer digitalen Infrastruktur kritisch prüfen. Gerade deutsche Unternehmen treffen diese Entwicklungen empfindlich. „Viele von ihnen arbeiten derzeit intensiv daran, KI-Workflows und Cloud-Dienste in ihre Unternehmensprozesse zu integrieren“, so Volck. Für die verantwortungsvolle IT-Planung würden sich in dieser Situation drei wichtige Handlungsfelder ergeben:

• Datenflüsse transparent machen: Zunächst ist es empfehlenswert, sämtliche internationale Datenübermittlungen systematisch zu überprüfen. Dabei sollten insbesondere Datenflüsse in Drittländer – allen voran in die USA – auf Basis des Verzeichnisses von Verarbeitungstätigkeiten gemäß Artikel 30 der Datenschutzgrundverordnung (DSGVO) identifiziert werden. Auch indirekte Zugriffsoptionen über Datenschnittstellen, Support-Anfragen oder vernetzte Software-Services im Sinne der Artikel 44 ff. DSGVO können dazugehören.

• Alternative Rechtsinstrumente erwägen: CIOs sollten darüber hinaus auch alternative Transfermechanismen wie Standardvertragsklauseln nach Artikel 46 Absatz 2 lit. c DSGVO in Erwägung ziehen. Diese erfordern jedoch ein sogenanntes Transfer Impact Assessment (TIA), das prüft, ob die Klauseln im Drittland praktisch auch durchgesetzt werden könnten.

• Exit-Strategie entwickeln und erproben: CIOs sollten bereits jetzt einen Exit-Plan für ein Szenario vorbereiten, in dem das transatlantische Datenschutzabkommen aufgehoben wird – unabhängig davon, ob Washington oder Brüssel dafür verantwortlich zeichnen. Besonders alternative Lösungen für Echtzeit-Workloads wie Videotelefonie, Contact-Center-Integrationen oder automatisierte Chat-Assistants, die Gesprächsdaten in Sekundenbruchteilen verarbeiten, sollten im derzeitigen Normalbetrieb getestet werden, bevor sie die bisherigen Tools und Abläufe ersetzen.

Podcast: Digitale Souveränität oder digitale Kolonie?

„Unternehmen gefährden ihre Existenz!“

Digitale Souveränität liegt nicht mehr allein in der IT-Abteilung

Wie aufwendig solche Exit-Prozesse sind, hängt von vielen Faktoren wie der Größe des Unternehmens, den internen Anwendungsfällen und der digitalen Infrastruktur ab. Klar ist laut Volck auch: Der Aufbau digitaler Souveränität im Unternehmen liegt nicht mehr allein in der IT-Abteilung. Sie sei zu einer zentralen Frage der unternehmerischen Sorgfaltspflicht geworden.

Angesichts der veränderten politischen Großwetterlage haben viele Unternehmen bereits begonnen, den Wechsel zu europäischen Cloud-Anbietern vorzubereiten, auf lokale Datenverarbeitung umzustellen oder beispielsweise bestimmte Verarbeitungstätigkeiten einzuschränken beziehungsweise auszusetzen. Europäische Cloud-Anbieter erleben derzeit eine deutlich gestiegene Nachfrage, die substanzielle Sicherheitsbedenken und „Go-European“-Initiativen befeuern.

Alternative Cloud-Dienste: Wechselstrategie gut vorbereiten

So geht „Onshoring“ von Cloud-Anbietern aus den USA

Es bleibt abzuwarten, ob aus diesen Initiativen auf lange Sicht eine lokale Cloud-Branche entsteht, die den rasch steigenden Bedarf an rechtssicherer und verlässlicher digitaler Infrastruktur decken kann. Ein solches Szenario wäre vermutlich nur realistisch, wenn die EU und ihre Mitgliedstaaten den erforderlichen politischen Rahmen schaffen, um lokale Anbieter umfassend zu unterstützen.

Abschließend rät Volck: „Im Hier und Jetzt ist für Unternehmen entscheidend, dass sie digitale Souveränität aus der Sphäre abstrakter Strategiepapiere lösen und als festen Parameter unternehmerischen Entscheidens etablieren. Wer sich heute gründlich vorbereitet, vermeidet morgen den Schock, über Nacht die rechtlichen Grundlagen für Betrieb, Compliance und Wettbewerbsfähigkeit neu justieren zu müssen.“

(ID:50513980)