Wie europäische Daten in der Cloud geschützt sind

Es ist an der Zeit, einiges klarzustellen. In jedem Fall kommen Unternehmen nicht umhin, genau zu prüfen, wem sie ihre Daten anvertrauen.

Die jüngsten Aussagen zum USA Patriot Act und seine Auswirkung auf Daten in der Cloud haben in der vergangenen Woche viele Unternehmen in Europa in Unruhe versetzt: Einige der Berichte lösen das unbehagliche Gefühl aus, die US-Behörden erhielten durch dieses Gesetz die Vollmacht, auf sämtliche Daten zuzugreifen – unabhängig von ihrem Speicherort. Doch Panik wäre fehl am Platze. Stattdessen sollten Unternehmen sich nur einmal mehr ins Bewusstsein rufen, dass eine ausführliche Evaluation im Vorfeld der Nutzung von Cloud Computing unerlässlich ist.

Eingeführt nach den Anschlägen vom 11. September 2011 als ein Anti-Terror-Gesetz, erlaubt der Patriot Act amerikanischen Behörden weitreichenden Zugriff auf Daten von US-Unternehmen und ihren Kunden, unabhängig vom Speicherort. Außerdem verbietet das Gesetz den Anbietern, die Datenweitergabe gegenüber ihren Kunden offenzulegen. Der Patriot Act ist eine gesetzliche Maßnahme der Vereinigten Staaten, um sich selbst und ihre Interessen zu schützen. Dies mag gerade angesichts der Ereignisse von 9/11 ein nachvollziehbarer Wunsch der USA sein. Europäischen Unternehmen jedoch, die diesem Wunsch nicht nachkommen und ihre Daten vor dem Zugriff von US-Behörden schützen wollen, bleibt nur eine Möglichkeit: sich für einen Anbieter zu entscheiden, der eben nicht dem USA Patriot Act unterliegt.

Das EU-Recht verbietet europäischen Cloud-Providern strikt die Weitergabe von Kundendaten in andere Regionen. Konkret heißt dies: Europäische Cloud-Anbieter können von US-Behörden nicht gezwungen werden, Daten von Nicht-Amerikanern herauszugeben – es sei denn, der Kunde gibt sein ausdrückliches Einverständnis. Das Gesetz ist hier eindeutig; es gibt keine rechtlichen Streitpunkte. Beauftragt ein europäischer Kunde einen europäischen Provider, und speichert dieser die Daten in Europa, so greift europäisches Recht.

Auf den ersten Blick scheint das dem globalen Konzept von Cloud Computing zu widersprechen, lebt dieses doch vom Gedanken standardisierter, vereinheitlichter und ortsunabhängiger Services für einen globalen Massenmarkt. Doch ist die Idee der Clouddamit wirklich in Gefahr? Keineswegs. Den tatsächlichen Nutzen von Cloud Computing nämlich beeinträchtigt die amerikanische Rechtslage nicht. Sie ruft uns nur einmal mehr ins Gedächtnis, dass bei aller berechtigten Euphorie für die Cloud eines nicht aus dem Fokus geraten darf: eine sorgfältige Prüfung im Vorfeld eines Service-Vertrags. Da gilt es, sich ganz genau über den möglichen Provider und seine Bedingungen zu informieren. Und auch das Kleingedruckte zu lesen. So können Unternehmen mögliche Folgen besser abschätzen – und Risiken entweder eliminieren oder eben in Kauf nehmen.

Doch die aktuelle Diskussion hat auch für die Anbieter von Cloud Computing-Diensten Konsequenzen: Sie müssen feststellen, dass es nicht mehr ausreicht, sich über Technologien und Dienstgütevereinbarungen zu positionieren. Künftig kann auch der Standort eines Rechenzentrums – und damit der rechtliche Rahmen, dem der Provider unterliegt – zum Differenzierungsmerkmal werden.

Amerikanische Kunden mögen, da sie dem Patriot Act unterliegen, augenblicklich keine Alternativen haben. Für Europa jedoch gilt: Eine Datenweitergabe ohne das ausdrückliche Einverständnis des Kunden ist gesetzlich nicht legitimiert.