Die Folgen des Cloud Acts für den Datenschutz Supreme Court stellt Microsoft-Verfahren ein

Cloud Act, zweiter Teil: Das Verfahren gegen Microsoft zur Herausgabe von in Irland gespeicherten Daten ist letzte Woche vom Obersten Gerichtshof der Vereinigten Staaten eingestellt worden. Was sich zunächst positiv anhört, könnte weitreichende Auswirkungen auf das internationale Cloud Business haben - Stichwort Datenschutz.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

SEPPmail - Deutschland GmbH

Brainloop AG

Am 23. März 2018 war von der US-amerikanischen Regierung mit dem Cloud Act ziemlich unerwartet und ohne große Beachtung in der Medienlandschaft ein neues Gesetz verabschiedet worden. Es soll den Zugriff auf Daten in anderen Ländern in Zukunft erleichtern. Dabei spielt es offenbar keine Rolle, ob hierdurch Datenschutzgesetze der betroffenen Länder eingehalten bzw. auch gebrochen werden. Das dürfte für US-amerikanische Cloud-Anbieter weitreichende Auswirkungen haben, denn Datenschutz und Datensicherheit genießen hierzulande eine hohe Priorität - und das mit Recht.

Die USA verschärfen Überwachung von Internet-Diensten

Der lange Arm der USA - Neues Cloud-Gesetz in Kraft

Pikante Randnotiz: Das Gesetz war als so genannter Afterthought im Rahmen einer Haushaltsdebatte entschieden worden und damit ohne ausführliche Debatte „durch die Hintertür“ in den Gesetzgebungsprozess der USA eingegangen.

Rechtssicherheit für die einen, Unsicherheit für die anderen

Der Cloud Act wurde wider Erwarten spontan von großen amerikanischen Herstellern wie Apple und Microsoft begrüßt. Das verwundert etwas. Hatten sie sich doch in den letzten Jahren und Monaten gegenüber den Forderungen der US-Regierung zur Herausgabe von Daten standhaft gezeigt und immer wieder betont, wie wichtig ihnen der Schutz von Kundendaten und Privatsphäre wäre. Die nun erfolgte Zustimmung ist nach Ansicht von Brainloop so zu bewerten, dass der Cloud Act den US-amerikanischen Anbietern nun mehr Rechtssicherheit gibt und sie nicht weiter zwischen den Stühlen europäischer und US-amerikanischer Gesetzgebung sitzen. Ob dadurch aber Klagen aus Europa abgewendet werden können bleibt erst einmal abzuwarten.

Die Folgen des Cloud Acts

Der Cloud Act sieht vor, dass Daten auf Basis von bilateralen Vereinbarungen ausgetauscht werden. Schon heute bestehen vergleichbare Vereinbarungen zwischen den USA und anderen Ländern wie beispielsweise der globale automatische Informationsaustausch. Im Zuge des Cloud Acts müssen US-Anbieter in Zukunft Daten auf Servern in anderen Ländern herausgeben - bislang galt hier primär immer die Gesetzgebung des Landes, in dem sich die Daten/Server/Rechenzentren befanden.

Doch das ist mit dem Cloud Act nun hinfällig, vielmehr drängt sich der Gedanke auf, die USA sehen das Internet - und damit auch Services aus der Public Cloud als ihr Eigentum an, getreu dem Motto „Wer hat´s erfunden?" Dieser Punkt war auch Stein des Anstoßes in dem nun beigelegten Microsoft-Fall, in dem es um die Herausgabe von Daten aus einem Rechenzentrum in Irland ging. So war die US-Justiz bereits im Jahre 2014 der Meinung, Daten, die im Internet kursieren, gehören den Amerikanern. Hierzu ein Kommentar von Fabasoft vom August 2014:

Brainloop sieht in dem aktuellen Fall nun ein weiteres Beispiel einer schrittweisen Aufweichung der regionalen Datensouveränität, basierend auf einem grundsätzlich anderen kulturellen Verständnis von IT-Sicherheit und Datenschutz. Angefangen vom Patriot Act, der Zugriff auf Daten in den USA auch ohne Gerichtsbeschluss ermöglicht, über breit angelegte Überwachungsprogramme wie Prism und den Druck, der auf US-Anbieter zur Herausgabe von Daten ausgeübt wird (Apple, Microsoft), bis hin zum Cloud Act. Individuelle Verfehlungen wie kürzlich von Facebook und Cambridge Analytica kommen erschwerend hinzu.

So überraschend der Cloud Act verabschiedet wurde, so sehr kann man gespannt sein, was als nächstes kommt. Der Gesetzentwurf von 2016 zur verpflichtenden Einrichtung von Backdoors durch US-Hersteller, um die Verschlüsselung zu umgehen, konnte nach öffentlichen Protesten bislang noch abgewendet werden.

Mögliche Folgen für europäische Unternehmen

Alle Daten, die mit US-amerikanischen Unternehmen und Personen ausgetauscht werden und die im Zugriff amerikanischer Anbieter sind, sind vom Cloud Act potenziell gefährdet. Dazu gehören nicht nur Dateien auf Fileservern sondern auch E-Mails. Was das für die Strafverfolgung von VW und Bosch beispielsweise bei der Dieselgate-Affäre bedeutet hätte, lässt sich nur schwer ermessen.

De facto ist jedoch eine erhöhte Unsicherheit in Bezug auf die Datensouveränität bei der Zusammenarbeit mit US-Unternehmen zu erwarten. Auf lange Sicht kann sich das außerdem nach Ansicht von Thomas Deutschmann, CEO von Brainloop als problematisch für US-amerikanische Softwarehersteller herausstellen.

Datenschutzkonformer Einsatz von Office 365

Fakt ist außerdem, dass sich europäische Unternehmen spätestens ab 25. Mai 2018 strikt an die verschärfte Datenschutzgrundverordnung halten müssen. Inwieweit der nun von der U.S. Regierung legitimierte Datenabfluss mit europäischem und deutschem Recht vereinbar ist, wird wohl noch so manchen Datenschützer und auch Gerichte beschäftigen.

Zu klären ist damit auch, ob ein datenschutzkonformer Einsatz beispielsweise von Office 365 nach dem Cloud Act überhaupt noch gewährleistet werden kann, schließlich handelt es sich hierbei um eine Auftragsdatenverarbeitung, die im Art. 28 DSGVO klar geregelt ist. Inwieweit nun eine Herausgabe von Daten aus der Microsoft Cloud an US-Behörden datenschutzrechtliche Probleme mit sich bringen kann, darüber hat sich „Dr. Datenschutz" im Internet-Blog Datenschutzbeauftragter-info.de Gedanken gemacht. Das Resümee: der Cloud Act schafft lediglich auf US-Seite Klarheit, sorgt auf europäischer Seite jedoch erneut für Rechtsunsicherheit. Weiterer Ausgang ungewiss.

Privacy Shield und Standardvertragsklauseln

Neue Unsicherheit für den Datenaustausch in der Cloud

(ID:45264872)