Datenschutz und die verlängerte Werkbank

Vor allem einfach einzusetzende Plug-And-Play-Services wie Apples iCloud sorgen für rechtliche Probleme. Die Nationale Initiative für Informations- und Internetsicherheit (NIFIS e.V.) stuft diesen Service sogar als "bedenklich" ein. Unternehmen, die personenbezogene Daten in die Apple-Wolke schieben, verstoßen gegen die Datenschutzgesetzgebung in Deutschland - mit den entsprechenden Folgen wie Geldstrafen und Imageschäden.

“Der Datenschutz in der Public Cloud ist ein Problem”, bestätigt Rechtsanwalt Dr. Jan Geert Meents von der Kanzlei DLA Piper. Der Münchner ist spezialisiert auf Rechtsfragen von IT-Outsourcing und betont: “Personenbezogene Daten dürfen nicht ohne weiteres im außereuropäischen Ausland gespeichert werden. Leider lässt sich das bei Public Cloud Services nicht ausschließen. Die Rechenzentren der Anbieter befinden sich häufig außerhalb der EU. Daher sollten Unternehmen nicht unüberlegt auf Public Cloud Services setzen.”

Wenn es um das Speichern von personenbezogenen Daten geht, ist das EU-Recht rigide: Es ist eigentlich nur erlaubt, wenn es einen gesetzlichen Erlaubnistatbestand gibt oder der Betreffende in die Speicherung eingewilligt hat. Dies geschieht im Prinzip bei der Aufnahme einer Geschäftsbeziehung, die oft ohne Speicherung von personenbezogen Daten gar nicht erst zustande kommt.

Das war es dann nach dem Buchstaben des Gesetzes. Personenbezogene Daten dürfen grundsätzlich nicht an Dritte weiter gegeben werden. Aber natürlich geschieht das jeden Tag, denn bereits seit Jahrzehnten nutzen Großunternehmen Rechenzentren für die Verarbeitung von Daten. Dafür gibt es weiteres Rechtskonstrukt: Der IT-Dienstleister darf die Daten im Rahmen einer vertraglich geregelten Auftragsdatenverarbeitung erhalten. Und er muss innerhalb der EU sitzen und alle Bedingungen des EU-Datenschutzes erfüllen.

Ausdrücklich verboten ist die Übertragung von Daten in ein Land, das nicht über ein Datenschutzniveau wie im Rechtsraum der EU verfügt. Dies betrifft auch Zweigstellen im Ausland oder auch nur den Zugriff von einem solchen “Drittland” aus. Theoretisch kann zwar ein Kunde die Zustimmung zur Auslandsspeicherung erteilen, doch dafür muss unter anderem der genaue Ort der Datenverarbeitung angeben werden - kaum möglich beim ortlosen Rechnen in der Wolke.

“Diese Regelung lässt sich in der Public Cloud nicht einhalten”, meint Jan Geert Meents. ”Es gibt allerdings eine sichere Variante: Die so genannte Eurocloud. Wenn Daten innerhalb des Europäischen Wirtschaftsraums gespeichert werden, ist das Konstrukt der Auftragsdatenverarbeitung jedenfalls nicht von vornherein ausgeschlossen. Bei der Auftragsdatenverarbeitung wird der Datentransfer an den Auftragsdatenverarbeiter nicht als Datenübertragung gesehen; dieser wird vielmehr als eine verlängerte Werkbank für das outsourcende Unternehmen tätig.”

Viele Anbieter wie Microsoft oder Amazon haben bereits die entsprechenden Angebote für Unternehmen. “Hierbei ist unter datenschutzrechtlichen Aspekten allerdings wichtig, dass zum Beispiel keine Backups in den USA gespeichert werden oder nicht von den USA aus darauf zugegriffen werden kann,” betont Meents. Dies gilt selbstverständlich auch für US-Geheimdienste.

Bildquelle: D. Braun  / pixelio.de