Rechenzentrum & Cloud
Souveräne Cloud und CLOUD Act: Was das für Ihre Daten bedeutet
Eine souveräne Cloud ist ein Cloud-Angebot, bei dem Ihre Daten ausschließlich europäischem Recht unterliegen und kein Staat außerhalb der EU darauf zugreifen kann. Der Begriff ist wichtig geworden wegen des US-amerikanischen CLOUD Act. Dieses Gesetz kann US-Anbieter verpflichten, Daten an US-Behörden herauszugeben, auch wenn die Daten in einem Rechenzentrum in Europa liegen.
Dieser Artikel erklärt die Grundzüge. Er ersetzt keine Rechtsberatung. Wie die Lage für Ihr Unternehmen konkret aussieht, sollten Sie mit Ihrem Datenschutzbeauftragten oder einer Anwältin bzw. einem Anwalt klären.
Was Datensouveränität bedeutet
Datensouveränität heißt, dass ein Unternehmen selbst bestimmt, wo seine Daten liegen, wer darauf zugreift und welchem Recht sie unterliegen. Es geht also um mehr als den Speicherort. Ein Rechenzentrum in Frankfurt sagt noch nichts darüber, welche Behörden Zugriff verlangen können.
Entscheidend ist, welchem Rechtsraum der Anbieter unterliegt. Ein Anbieter mit Sitz in der EU unterliegt in erster Linie europäischem und nationalem Recht. Ein Anbieter, der zu einem US-Konzern gehört, kann zusätzlich an US-Recht gebunden sein, auch wenn er eine europäische Tochtergesellschaft betreibt.
Der CLOUD Act in Grundzügen
Der CLOUD Act ist ein US-Bundesgesetz aus dem Jahr 2018. Der Name steht für „Clarifying Lawful Overseas Use of Data Act“. Er regelt, dass US-Behörden von Anbietern, die US-Recht unterliegen, die Herausgabe von Daten verlangen können, wenn diese Daten im Besitz oder unter Kontrolle des Anbieters sind. Wo die Server stehen, spielt dafür keine entscheidende Rolle.
Betroffen sein können damit auch Daten europäischer Unternehmen, die bei einem US-Anbieter in einem EU-Rechenzentrum liegen. Das Gesetz sieht Möglichkeiten vor, solche Anordnungen anzufechten, wenn sie mit dem Recht eines anderen Staates kollidieren. Wie oft das in der Praxis gelingt, ist von außen schwer zu beurteilen.
Neben dem CLOUD Act gibt es weitere US-Gesetze, die Behörden Zugriffsmöglichkeiten auf Daten geben, etwa im Bereich der Auslandsaufklärung. Diese spielten in der Rechtsprechung des Europäischen Gerichtshofs zum Datentransfer in die USA eine wichtige Rolle.
Das Spannungsfeld mit der DSGVO
Die Datenschutz-Grundverordnung (DSGVO) erlaubt die Weitergabe personenbezogener Daten an Behörden außerhalb der EU nur unter bestimmten Bedingungen, zum Beispiel auf Grundlage eines internationalen Abkommens. Eine Herausgabe allein auf Basis einer US-Anordnung steht dazu in einem Spannungsverhältnis. Ein Anbieter kann so zwischen zwei Rechtsordnungen geraten.
Für den Datentransfer in die USA gibt es seit 2023 das EU-US Data Privacy Framework, einen Angemessenheitsbeschluss der EU-Kommission. Er erleichtert den Austausch mit zertifizierten US-Unternehmen. Frühere Abkommen hat der Europäische Gerichtshof jedoch gekippt, und auch dieses ist rechtlich umstritten. Unternehmen sollten daher nicht davon ausgehen, dass die Frage dauerhaft geklärt ist.
Als Auftraggeber bleiben Sie nach der DSGVO für die Daten Ihrer Kunden und Beschäftigten verantwortlich. Sie müssen prüfen, ob Ihr Cloud-Anbieter ein angemessenes Schutzniveau sicherstellt. Prüfen Sie dies im Einzelfall, am besten gemeinsam mit Ihrem Datenschutzbeauftragten.
Kriterien für eine souveräne Cloud-Lösung
Ob ein Angebot souverän ist, lässt sich an einigen Punkten prüfen. Ein Rechenzentrum in Europa allein reicht dafür nicht aus.
- Sitz des Anbieters: Hat das Unternehmen seinen Sitz in der EU und gehört es nicht zu einem Konzern mit Sitz außerhalb der EU?
- Rechtsraum: Unterliegt der Anbieter ausschließlich europäischem und nationalem Recht?
- Eigene Infrastruktur: Betreibt der Anbieter eigene Rechenzentren und eigene Hardware, oder mietet er sie bei einem außereuropäischen Hyperscaler, also einem großen Cloud-Konzern?
- Speicherort: Ist vertraglich festgelegt, in welchem Land die Daten liegen, auch Backups?
- AV-Vertrag: Gibt es einen Auftragsverarbeitungsvertrag nach DSGVO, der Unterauftragnehmer, Speicherorte und technische Schutzmaßnahmen offenlegt?
- Zugriff und Schlüssel: Wer hat administrativen Zugriff, und wer verwaltet die Schlüssel für die Verschlüsselung?
So unterstützt S.WERK
S.WERK betreibt eigene Rechenzentren in München, Nürnberg und Linz, Ihre Daten bleiben in Deutschland oder Österreich. Das Unternehmen ist nach ISO/IEC 27001 zertifiziert. Auch Sprachmodelle laufen auf eigener Hardware, Kundendaten werden nicht zum Training verwendet. Gemeinsam mit Ihnen klären wir, welche Systeme in eine souveräne Cloud gehören und wo Dienste wie Microsoft 365 weiter sinnvoll sind.
Mehr dazu: Souveräne Cloud · Souveräne KI · Beratungstermin vereinbaren
Häufige Fragen
Gilt der CLOUD Act auch für Daten in deutschen Rechenzentren?
Ja, wenn der Anbieter US-Recht unterliegt. Entscheidend ist nach dem CLOUD Act, ob der Anbieter Besitz oder Kontrolle über die Daten hat, nicht, wo die Server stehen.
Ist eine Cloud mit Rechenzentrum in der EU automatisch DSGVO-konform?
Nein, der Standort allein reicht nicht. Es kommt auch darauf an, welchem Recht der Anbieter unterliegt, welche Unterauftragnehmer er einsetzt und was im Auftragsverarbeitungsvertrag steht. Prüfen Sie dies im Einzelfall mit Ihrem Datenschutzbeauftragten.
Was ist eine souveräne Cloud?
Eine Cloud, bei der Daten ausschließlich europäischem Recht unterliegen und der Anbieter keinen Herausgabepflichten von Staaten außerhalb der EU unterworfen ist. Typische Merkmale sind ein Anbieter mit Sitz in der EU, eigene Infrastruktur und ein klar geregelter Speicherort.
Darf ich Microsoft 365 oder AWS noch nutzen?
Viele Unternehmen nutzen diese Dienste. Ob und wie das für Ihre Daten zulässig ist, hängt vom Einzelfall ab und sollte rechtlich geprüft werden. Oft ist es sinnvoll, besonders sensible Daten in einer souveränen Umgebung zu halten.
Wie sieht das bei Ihnen aus?
Wie das bei Ihnen aussieht, klären wir am besten im Gespräch. Wir sagen Ihnen, was davon für Ihren Betrieb wichtig ist.