16.08.2021 Hermann-Josef Haag, Fachvorstand Personalwesen der DSAG

Souveränität über HR-Daten vs. US-Cloud-Act

Datensouveränität ist für die Verwaltung Kriterium Nr. 1 – an ihr bemisst sich die Handlungsfähigkeit eines Staates. Deshalb müssen öffentliche Verwaltungen, die ihre Personaldaten mit SAP-Software in der Cloud bearbeiten, ein besonderes Auge darauf haben, ob die Daten ausreichend vor Zugriff von außen geschützt sind.

Hermann-Josef Haag, Fachvorstand Personalwesen der Deutschsprachigen SAP-Anwendergruppe (DSAG)

Datenschutzrechtliche Probleme resultieren derzeit vor allem aus dem US-Cloud-Act, das 2018 in Kraft getretene Gesetz „Clarifying Lawful Overseas Use of Data Act“ zu Regelung des Zugriffs der US-Behörden auf Daten im Internet. Solange das einen Zugriff auf Daten außerhalb der USA ermöglicht, ist die Wahrung der digitalen Souveränität der öffentlichen Verwaltung im Sinne von Art. 28 DSGVO nicht gewährleistet.

Dies ist ein Artikel aus unserer Print-Ausgabe 7-8/2021. Bestellen Sie ein kostenfreies Probe-Abo.

Die Lösung wäre ein Cloud-Modell, bei dem der Betrieb allein in der Hoheit der Verwaltung verbleibt. Ein solches haben DSAG und weitere Anwenderorganisationen (u.a. zuständige Ministerien von Bund und Ländern) vor kurzem als Antwort auf den zunächst von SAP vorgestellten Cloud-in-Country-Ansatz erarbeitet, der hinsichtlich Datenschutz und Funktionalität als nicht ausreichend angesehen wurde. Das DSAG-Modell folgt dagegen den Vorgaben des IT-Planungsrates; es sieht ein öffentlich-rechtliches Rechenzentrum in Deutschland als „Private Cloud“ für den Betrieb aller SAP-HCM-Cloud-Lösungen der öffentlichen Verwaltung unter staatlicher Hoheit vor.

Auch privatwirtschaftliche Unternehmen müssen vor dem US-Cloud-Act geschützt bzw. über Möglichkeiten eines Zugriffs informiert werden. Deshalb muss SAP jetzt Transparenz schaffen und nachweisen, wo man personenbezogene Daten speichert bzw. verarbeitet (nur in Deutschland?) – und ob Daten in andere Länder (insbesondere USA) übertragen werden. Denn letzteres ist – trotz EuGH-Schrems-2-Urteil zur Aufhebung des Privacy-Shields – noch immer möglich, sofern vertraglich vereinbart. Zu klären ist außerdem, wie die Hyperscaler Microsoft, AWS und Google mit den Daten umgehen.

Jeder ERP-Anbieter muss Unternehmen, die in die Cloud gehen, ausreichend darüber informieren, wo seine Server stehen und wie die aktuelle Bedingungen für den Cloud-Betrieb aussehen. Die Kunden müssen über die Konsequenzen des Cloud-Betriebs aufgeklärt werden und darüber, was sie tun können, um diesen sauber und transparent zu halten. Auch Hilfe bei der Anpassung ihrer AGBs wäre sinnvoll; nicht jedes Unternehmen kann nämlich in Vollzeit eine juristische Fachkraft nur für Fragen des Cloud-Betriebs abstellen.