Was heißt schon „souverän“? – Teil 2 Hoster in der EU: Immun gegen US-Gesetz, nicht gegen nationale Anfragen

Anbieter zum Thema

Impossible Cloud GmbH

OVHcloud

IONOS SE

myLoc managed IT AG

plusserver gmbh

mehr weniger

NTT DATA Deutschland SE

weniger

Hyperscaler mit Clouds in den USA würden Kundendaten an Behörden übergeben, wenn ein entsprechender Gesetzesentwurf oder eine „Executive Order“ dies verlangt, das haben wir im ersten Teil dieser Artikelserie unzweifelhaft festgestellt. Wie aber steht es bei den Providern mit europäischen Wurzeln?

Sind Kundendaten bei deutschen bzw. europäischen Providern in absolut sicheren Händen? Können weder Gangster noch Behörden darauf zugreifen? Würden sie Kundendaten herausgeben, wenn das Gesetz das von ihnen verlangt? Viele international arbeitende Kunden europäischer Cloud-Provider haben Angst vor willkürlichen Zugriffen und verspüren Unsicherheit durch die „unbeständigen“ Entscheidungen und die Vielzahl der Executive Orders der US-Regierung.

Der Schutz vor extraterritorialen Gesetzen ist aber genau der Punkt, bei dem sich europäische Cloud-Anbieter abgrenzen möchten von den US-Anbietern. „Souverän“ bedeute in diesem Fall für europäische Kunden: sicher vor extraterritorialer Jurisdiktion bzw. sicher vor US-Zugriffen.

Datenkonflikt zwischen Europa und Amerika

Microsoft-Vertreter bestätigt unter Eid Risiko für europäische Daten

Falk Weinreich, General Manager Central Europe für den europäischen Cloud-Anbieter OVHcloud, gibt im Gespräch mit CloudComputing-Insider eine eindeutige Antwort: „Bei OVHcloud halten wir uns an die Gesetzgebung des Landes, in dem das betroffene Unternehmen tätig ist und in dem die Daten gespeichert werden. So handeln wir nach der europäischen Gesetzgebung in Europa, nach der indischen Gesetzgebung in Indien oder an der US-amerikanischen Gesetzgebung in den USA. Mit anderen Worten: Wir befolgen deutsche Gerichtsbeschlüsse, wenn diese in Deutschland gespeicherte Daten betreffen. Dasselbe gilt für die USA und Indien.“

Weinreich betont, dass die Daten der europäischen Kunden vor extraterritorialer Gerichtsbarkeit geschützt seien. „Aus diesem Grund werden die Daten unserer europäischen Kunden nicht in den USA gespeichert, sondern in Europa. Unsere Kunden haben die vollkommene Wahlfreiheit, in welchem Land ihre Daten gespeichert werden sollen. (…) Wir garantieren, dass ein Zugriff auf Daten durch Dritte bei OVHcloud nicht geschieht, dank starker europäischer Gesetze wie beispielsweise der DSGVO, die den Datenschutz und die Nutzer an erste Stelle heben.“

Auch Plusserver unterbreitet eine „souveräne“ Offerte mit europäischen Wurzeln und will mit dem CLOUD Act ebenfalls nichts zu tun haben – schließlich unterhalte Plusserver keine Niederlassung in den USA. Der deutsche Managed-Cloud-Anbieter war zwar früher Teil der Host Europe Group, die von dem US-Unternehmen GoDaddy übernommen wurde, stellte sich dann aber wieder auf eigene Beine. Der Fokus liegt auf dem deutschen, österreichischen und Schweizer Markt. Geschäftsführer Tobias Meier erklärte gegenüber CloudComputing-Insider: „Wir schützen die Daten unserer Kunden mit höchster Priorität. Wir speichern und verarbeiten alle Daten ausschließlich in deutschen Rechenzentren und gestalten unsere Prozesse von Anfang an transparent.“ Wenn Dritte Zugriff verlangten, dann müsse das aber geprüft werden.

Hier spricht Meier einen sehr wichtigen Punkt an: „Souverän“ bedeutet nicht automatisch „safe“ vor Behörden. Europäische Hoster sind nicht komplett immun gegen Behördenzugriffe – weder aus Deutschland noch der EU!

Denn europäische Unternehmen müssen sich sehr wohl nationalen Gerichtsbeschlüssen beugen. Allerdings: Die Hürden für einen Richterbeschluss nach deutschem und EU-Recht sind sehr hoch und es gibt wenig Raum für Willkür. So können „Executive Orders“ in unserem nationalen Rechtssystem (sowohl in Deutschland als auch der EU) nicht stattfinden. Und hier schützt auch die DSGVO die Daten der Kunden.

Christoph Herrnkind, CEO der WiiT AG, die ursprünglich in Mailand angetreten war, nun aber einen Gutteil ihres Umsatzes hierzulande erzielt, wird konkreter: „Wir unterliegen als deutsches Unternehmen deutschem Recht und werden entsprechende Gerichtsbeschlüsse bzw. behördliche Anordnung nach rechtlicher Prüfung umsetzen bzw. Folge leisten. Wir stehen in keinem Konzernverbund mit US-Unternehmen und fallen daher insbesondere auch nicht in den Bereich des CLOUD Acts oder können über US Executive Orders zur Herausgabe gezwungen werden.“

Europäische Clouds bewahren zumindest vor US-Zugriffen

Eine in Europa gehostete Cloud gibt also US-Gerichten oder -Präsidenten keine Chance für den Zugriff. Dr. Christian Kaul, COO & Co-Founder Impossible Cloud, erklärte übereinstimmend zu den vorher genannten Kollegen von ihm, dass sein Unternehmen „keine Kundendaten an ausländische Behörden übergibt“. Und das aus gutem Grunde, nämlich dem Gesetz: „Unsere Antwort auf die Frage, ob wir auf Grundlage einer US-Executive Order oder eines ausländischen Gerichtsbeschlusses Kundendaten herausgeben würden, lautet klar: Nein. Das widerspricht nicht nur unserer Firmenphilosophie, sondern auch der geltenden Rechtslage in Europa.“

Impossible Cloud betreibe – genau wie die vorher genannten Wettbewerber - seine gesamte Infrastruktur ausschließlich in zertifizierten Rechenzentren innerhalb Europas. „Diese Standorte unterliegen vollständig europäischem Datenschutzrecht. Das bedeutet: Nur europäische Behörden könnten unter sehr engen Voraussetzungen Zugriff verlangen; zum Beispiel im Rahmen eines rechtmäßigen deutschen Ermittlungsverfahrens mit richterlicher Anordnung. Und selbst dann ist der Zugriff auf relevante Daten beschränkt, nicht global, nicht präventiv, nicht flächendeckend“, so Kaul.

Ausländische Behörden, etwa aus den USA, hätten auf das System keinen Zugriff, weder technisch noch rechtlich. „Ein US-Gesetz wie der CLOUD Act kann nur bei US-Unternehmen oder deren Tochtergesellschaften durchgesetzt werden. Impossible Cloud ist kein US-Unternehmen, keine Tochter, kein Reseller.“ Kaul sieht sich und sein Unternehmen daher nicht nur als Technologieanbieter, sondern als „Garant für digitale Souveränität“: „Unsere Kunden wissen, wo ihre Daten liegen, wer sie schützt und vor allem, wer keinen Zugriff darauf hat. In Zeiten wachsender geopolitischer Spannungen ist das kein Nice-to-have, sondern eine strategische Notwendigkeit.“

Vorratsdatenspeicherung versus Quick Freeze

Wird die Vorratsdatenspeicherung eingefroren oder nicht?

Eindeutige rechtliche Grundlage

Provider mit einer in der EU beheimateten Cloud können sich also gegen Bestrebungen von US-Behörden zum Abgriff von Daten wehren. Aber lassen wir uns nicht verwirren: Jeder der genannten Provider müsste Kundendaten an Behörden übergeben, sofern die rechtliche Grundlage dafür gegeben ist.

Dies nannte auch Michael Olma, bei NTT Data als Data Protection Officer tätig, im Gespräch mit CloudComputing-Insider als zwingenden Grund: „Eine Datenweitergabe erfolgt ausschließlich dann, wenn eine eindeutige rechtliche Grundlage vorliegt. Gerichtsbeschlüsse oder behördliche Anordnungen können eine solche Rechtsgrundlage darstellen, jedoch nur unter der Voraussetzung, dass sämtliche DSGVO-Anforderungen erfüllt sind. Hierbei prüfen wir insbesondere die Notwendigkeit und Verhältnismäßigkeit der angeforderten Datenverarbeitung. NTT habe strenge datenschutzrechtliche Prüfverfahren etabliert, um zu gewährleisten, dass jeder einzelne Fall einer behördlichen Datenanfrage detailliert analysiert und bewertet wird. „Dabei arbeiten wir eng mit unseren Datenschutzbeauftragten und Rechtsexperten zusammen“, so Olma.

Eine beinahe identische Aussage kommt von einem Pressesprecher von Ionos: „Der Schutz von Kunden- und Nutzerdaten ist für Ionos von zentraler Bedeutung. Selbstverständlich kommen wir im Rahmen der gesetzlichen Bestimmungen Anordnungen von Strafverfolgungsbehörden und Gerichten nach. Eine Herausgabe von Daten erfolgt dabei nur in dem Umfang, in dem wir dazu verpflichtet sind. Entsprechende Anordnungen werden in jedem Einzelfall geprüft, um sicherzustellen, dass die Rechte unserer Kundinnen und Kunden geschützt werden und alle Anforderungen an datenschutzrechtliche Bestimmungen erfüllt sind.“

Fazit

Damit ist klar: Hiesige Provider werden Kundendaten auf rechtlich nicht anfechtbares Verlangen hin durchaus an europäische Behörden ausgegeben. Anwender sind aber gegen den Zugriff durch US-Behörden gefeit.

Es ist wichtig zu betonen, dass die Herausgabe von Kundendaten durch europäische Provider ausschließlich auf Grundlage europäischer oder nationaler Gerichtsanordnung heraus, aber nicht auf Basis nicht-europäischer Gesetze wie dem US-CLOUD-Act, erfolgen kann und muss. Somit schützt eine Speicherung in der EU zwar nicht vor behördlichen Zugriffsansprüchen, aber absolut vor extraterritorialer Jurisdiktion (oder Willkür…).

Hilft der Einsatz des Gaia-X-Frameworks, Daten vor Behördenzugriff zu schützen? Die Antwort darauf sowie ein Überblick über die wesentlichen Gesetze zum Thema finden Sie in unserem dritten Teil der Serie.

Trump gefährdet deutsche Wirtschaft

Startups distanzieren sich von den USA

Digitale Souveränität

Verbraucher suchen Alternativen zu US-Tech-Produkten

(ID:50536803)