Ein aktuelles Rechtsgutachten zeigt: Selbst in der EU gespeicherte Daten in US-Unternehmens-Clouds sind vor dem Zugriff US-amerikanischer Behörden nicht sicher.
Hintergrund: US-Gesetze und ihre globale Reichweite
Im Auftrag des Bundesinnenministeriums haben Rechtswissenschaftler:innen der Universität zu Köln untersucht, welche Befugnisse US-Behörden beim Zugriff auf Cloud-Daten in Europa besitzen. Das Gutachten wurde nach einer Anfrage auf Grundlage des Informationsfreiheitsgesetzes veröffentlicht. Es dokumentiert, dass US-Rechtsvorschriften wie der Stored Communications Act, ergänzt durch den sogenannten Cloud Act, sowie Abschnitt 702 des Foreign Intelligence Surveillance Act US-Behörden umfassende Zugriffsmöglichkeiten einräumen. Dabei spielt es keine Rolle, ob die Daten in den USA oder in europäischen Rechenzentren liegen. Entscheidendes Kriterium ist, ob das kontrollierende Unternehmen seinen Sitz in den Vereinigten Staaten hat.
Dem Gutachten zufolge müssen Unternehmen Daten auch dann herausgeben, wenn sie außerhalb der USA gespeichert sind. Ob ein Cloud-Anbieter mit Sitz in Europa als Tochtergesellschaft agiert, schützt die Daten nicht grundsätzlich. Ausschlaggebend ist, ob die US-Muttergesellschaft die entscheidende Kontrolle über die Daten hat. Dadurch kann der Zugriff auch auf solche Informationen erfolgen, die technisch und räumlich vollständig innerhalb Europas verwaltet werden.
Indirekter Zugriff und Handlungsoptionen
Die Reichweite der US-Gesetzgebung endet jedoch nicht bei Tochterunternehmen. Europäische Unternehmen können ebenfalls in den Anwendungsbereich geraten, sobald sie bedeutende Geschäftsbeziehungen mit den Vereinigten Staaten unterhalten. Damit betrifft die Problematik einen breiten Kreis von Firmen, die im europäischen Wirtschaftsraum tätig sind. Technische Schutzmaßnahmen wie Verschlüsselung verhindern laut Gutachten die Herausgabepflicht nicht in jedem Fall. US-amerikanisches Prozessrecht verpflichtet Unternehmen häufig dazu, relevante Daten zu speichern und auf Anforderung zur Verfügung zu stellen. Wer sich dieser Verpflichtung durch technische Abschottung entzieht, riskiert in den USA Bußgelder oder strafrechtliche Folgen.
Das europäische Datenschutzrecht bietet gewisse Schranken: Die Datenschutz-Grundverordnung erlaubt Aufsichtsbehörden, die Weitergabe von personenbezogenen Daten an Drittländer zu untersagen. Derzeit stützen sich Übermittlungen in die USA auf den Angemessenheitsbeschluss der EU-Kommission, das sogenannte EU-US Data Privacy Framework. Das Gutachten verdeutlicht jedoch, dass die globalen Zugriffsrechte der USA weiterhin zu rechtlichen Unsicherheiten führen und europäische Lösungen gestärkt werden sollten.
Was bedeutet das für Microsoft 365 und andere Clouddienste?
Trotz dieser Risiken bewerten einige Rechtsanwält:innen die Nutzung von Clouddiensten wie Microsoft 365 weiterhin als grundsätzlich datenschutzkonform. Sie argumentieren, das abstrakte Risiko durch die US-Rechtslage reiche allein nicht aus, um die Zuverlässigkeit eines Auftragsverarbeiters generell in Frage zu stellen. Erst bei nachgewiesenen systematischen Verstößen gegen europäisches Recht müsse die Nutzung überdacht werden. Verantwortliche sollten auf die Einhaltung der Compliance-Anforderungen achten und bei erhöhtem Risiko eine Datenschutz-Folgenabschätzung vornehmen. Andere Fachleute teilen diese Einschätzung allerdings nicht uneingeschränkt.
Via: Heise
