Warum ist das für Unternehmen relevant?
Unternehmen, die entweder eine Niederlassung innerhalb der EU haben oder Daten von EU-Bürgern verarbeiten, weil sie auf dem europäischen Markt tätig sind, unterliegen der Datenschutzgrundverordnung (DSGVO). In Artikel 48 schreibt diese vor, dass die Übermittlung von Daten an Drittländer ausschliesslich mit rechtlicher Grundlage erfolgen darf (meist sogenannte bilaterale Rechtshilfeabkommen).
Konkret bedeutet das für US-Unternehmen: Halten sie sich an den Cloud Act, verstossen sie gegen die DSGVO. Halten sie die DSGVO ein, verstossen sie gegen den Cloud Act. Da ihnen in den USA rechtliche Konsequenzen drohen, die den Fortbestand des Unternehmens bedrohen können, entscheiden sie sich im Zweifelsfall für den Cloud Act.
Sind Sie mit Ihrem Unternehmen Kunde bei einem der genannten US-Unternehmen (oder einem vergleichbaren Anbieter aus den USA), können Sie also nie sicher sein, dass Ihre gespeicherten Daten nicht weitergegeben werden. Es obliegt Ihnen, dafür zu sorgen, dass die Daten nicht für Unbefugte zugänglich sind: Der Cloud Act ist laut Europäischem Datenschutzausschuss keine ausreichende Grundlage, Daten zu übermitteln.
Dass Sie durch die Nutzung der genannten Dienste gegen den vorgeschriebenen Datenschutz verstossen, ist nicht das einzige Risiko: Auch Ihre vertraulichen Unternehmensinformationen können weitergegeben werden, wenn Sie sie über ein Unternehmen speichern, das dem Cloud Act unterliegt. Industriespionage ist möglich – unter Umständen verlieren Sie wichtige Wettbewerbsvorteile.
Was muss man beachten, wenn man US-Anbieter nutzt?
US-amerikanische Unternehmen sind eifrig um Schadensbegrenzung bemüht. Die meisten von ihnen werben inzwischen mit EU-basierten Rechenzentren, etwa:
- Microsoft 365 EU Data Boundary
- Google Sovereign Control
- Amazon European Sovereign Cloud
Das ist allerdings Augenwischerei – der Cloud Act gilt auch für diese Rechenzentren.
Für alle diese Anbieter sind die erhobenen Daten Gold wert, daher sammeln sie sie in Mengen. Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg (LfDI) hat gemeinsam mit dem Kulturministerium des deutschen Bundeslandes eine funktionell eingeschränkte und möglichst datenschutzkonforme Version von Microsoft 365 für den Schulbetrieb getestet und immer noch viele Punkte gefunden, die gegen den Einsatz sprechen:
- Das Nutzerverhalten wird vollständig und im Detail protokolliert.
- E-Mails werden analysiert.
- Die vollständige Deaktivierung der Verarbeitung personenbezogener Daten ist nicht möglich – sie wird in einem für die Diensterbringung nicht erforderlichen Umfang weiterhin durchgeführt.
- Der LfDI erhielt auch im direkten Gespräch keine vollständige Übersicht über sämtliche Verarbeitungen personenbezogener Daten von Vertretern Microsofts.
- Messungen zeigten die Übermittlung von Daten an über 500 Microsoft-Server, die nicht unterbunden werden konnten; die Zwecke waren nur in den wenigsten Fällen dokumentiert.
Kurz: Die Übertragung der Daten an die US-Anbieter lässt sich nicht komplett unterbinden und in vielen Fällen noch nicht einmal nachvollziehen. Nutzt Ihr Unternehmen Dienste dieser Anbieter, gibt es keinen zuverlässigen Weg, Ihre Daten und vertraulichen Informationen vor Weiterleitung zu bewahren.
Wie kann ein Unternehmen sich davor schützen?
Die Lösung in diesem Dilemma klingt radikal einfach, kann aber eine grosse Umstellung bedeuten. Nutzen Sie Plattformen, die keine Verbindungen zu den USA haben – also:
- keine US-Unternehmen sind
- keine Niederlassungen in den USA haben
- nicht an der US-amerikanischen Börse notiert sind
- keine US-amerikanische Infrastruktur für die Datenspeicherung nutzen
Solche Unternehmen unterliegen ausschliesslich den europäischen Anforderungen an Compliance und Datenschutz. Zusätzlich sind folgende Punkte wichtig:
- Achten Sie darauf, dass eine client-seitige Verschlüsselung möglich ist und der Provider selbst keinen Zugriff hat.
- Wählen Sie einen Anbieter, bei dem Sie Zugangsberechtigungen individuell verteilen können.
- Schliessen Sie mit dem Anbieter einen detaillierten Auftragsverarbeitungsvertrag ab, in dem Sie regeln, wie Daten DSGVO-konform verarbeitet werden dürfen.
Achten Sie auch darauf, dass das europäische Unternehmen nicht von einem US-amerikanischen Konzern aufgekauft wurde: Es unterliegt sonst ebenfalls dem Cloud Act.
Warum sind Open Circle-Lösungen vom Cloud Act nicht betroffen?
Open Circle ist ein Schweizer Unternehmen, das grossen Wert auf Unabhängigkeit legt:
- Wir bieten skalierbare IT-Lösungen, die auf Open-Source-Technologien basieren.
- Unser Unternehmen hat weder einen Sitz in den USA noch nutzt es Angebote von amerikanischen Konzernen.
- Wir nutzen ausschliesslich Rechenzentren in der Schweiz.
- Wir sind ISO-zertifiziert und bieten höchste Standards.
Unsere Lösungen erleichtern Ihnen die DSGVO-konforme Speicherung Ihrer Daten und zum Beispiel die Einhaltung des deutschen Bundesdatenschutzgesetzes oder des Schweizer Bundesgesetz für über den Datenschutz (DSG).
Fazit: Gehen Sie auf Nummer sicher
Auch wenn die Nutzung von Systemen wie Microsoft 365 oder iCloud im ersten Moment alternativlos erscheinen mag: Das ist nicht der Fall. Die Umstellung lohnt sich für die Sicherheit der Daten Ihrer Kunden und Ihrer Unternehmensgeheimnisse. Wir sorgen dann für die weitergehende Sicherheit, indem wir Ihnen die vom Cloud Act nicht betroffene Datenspeicherung ermöglichen. Sprechen Sie uns einfach an.
