Ist das so? Noch immer gibt es kein Abkommen zwischen der EU und den USA, was verhindert, dass Ihre Daten an das FBI, CIA, NSA und noch so manch andere Behörden gelangen. Dabei betrifft es nicht nur die aktuellen Änderungen bei WhatsApp oder Facebook. Eine kleine Lösung wurde inzwischen durch die Europäische Union vorbereitet.

Warum können die USA das überhaupt?

2018 haben die USA den sogenannten CLOUD Act ins Leben gerufen. Mit diesem Gesetz erlangen die Behörden aus den USA Zugriff auf gespeicherte Daten im Internet. Es soll helfen, Terrorismus sowie Kriminalität effektiv zu bekämpfen. Brisant an dem Gesetz ist, dass hierdurch Strafverfolgungsbehörden aus den USA sowie im US-Ausland Zugriffsanfragen an Cloud-Betreiber richten können.

Die Cloud-Betreiber sind verpflichtet den Anfragen stattzugeben. In dem Gesetz sind zwar nur Cloud-Betreiber mit einem Hauptsatz in den USA gemeint, schaut man sich die großen Cloud-Anbieter an, so sind das die größten: Google, AWS, Microsoft, Apple, Adobe, etc. Stellt eine solche Behörde eine Anfrage, so erhält sie Einblick in alle Daten, welche in der Cloud gespeichert sind. Wer nun denkt, dass dies nur Dateien betrifft, irrt. Auch Daten aus Cloud-Computing fallen unter dieses Gesetz. Wer also beispielsweise bei Amazon oder Microsoft Rechenkapazität in Form eines Servers gemietet hat, dessen Daten können ebenfalls durch die Behörden abgefragt werden.

Aber die Server stehen doch in Deutschland?

Da macht der CLOUD Act keinen Unterschied. Für diesen ist es egal, ob die Daten im In- oder Ausland liegen. Entscheidend ist nur, dass der Hauptsitz des Unternehmens in den USA ist. Selbst wenn Microsoft & Co Werbung machen, dass Server in Deutschland stehen und die Daten aus Deutschland nur dort gespeichert werden. Stellt die CIA oder das FBI eine Anfrage auf Herausgabe der Daten, so darf der Anfrage nicht widersprochen werden. Dass so eine Abfrage nicht dem Dateninhaber mitgeteilt wird, brauchen wir hier nicht betonen.

In der Folge können von jeder Person und Unternehmen Daten angefragt werden, wenn diese für Ermittlungen relevant erscheinen. Dass dabei auch Daten von Personen oder Firmen abgefragt und in die Hände der Behörden gelangen, welche vollkommen unschuldig sind, dürfte klar sein.

Ebenso wichtig ist die Frage, was mit den Daten Ihrer Kunden bei einer solchen Anfrage passiert. Haben Sie beispielsweise Ihre Branchen- bzw. ERP-Software in einer Cloud gehostet (Cloud Computing), so können die Behörden auf diese Daten ebenso zugreifen. In diesem Fall erhalten die Behörden nicht nur Kenntnis über die Daten Ihres Unternehmens, sondern auch von denen Ihrer Kunden.

Welche Rechtsordnung gewinnt?

Genau hier liegt das Problem. Anbieter von Cloudlösungen mit Sitz in den USA unterliegen auf der einen Seite dem CLOUD Act in den USA und auf der anderen Seite der europäischen Datenschutzgrundverordnung. Entscheidend ist nicht, wo die Daten verarbeitet werden. Der Dienstleister steckt am Ende immer in der Zwickmühle. Egal wie er seine Dienstleistung anbietet, gegen eine gesetzliche Regelung verstößt er. Gerade darin liegt die Gefahr für Sie als SHK-Betrieb. Sie können nicht prüfen und schon gar nicht sicherstellen, dass der Anbieter sich für die DSGVO entscheidet. Entscheidet er sich gegen die DSGVO, sind Sie als Verantwortlicher für den Verstoß gegen die Datenschutzregeln verantwortlich.

Kann man da nichts machen?

Die Europäische Union hat aktuell im Juni Standardvertragsklauseln entworfen, die einen sicheren Datenaustausch mit Drittländern ermöglichen sollen, nachdem der Europäische Gerichtshof im letzten Jahr das EU-US-Privacy-Shield gekippt hatte. Dadurch wurde ein sicherer Datenaustausch mit den USA unmöglich. In den neuen Standardvertragsklauseln berücksichtigte die Europäische Union das Urteil. Die Standardvertragsklauseln gelten nicht automatisch. Sie müssen vertraglich zwischen dem Cloudanbieter bzw. Dienstleister und Ihnen, als Nutzer, vereinbart werden. Die Vereinbarung verpflichtet den Dienstleister verbindlich, den Schutz der wesentlichen Rechte der Betroffenen in der EU, das sind Sie als Handwerksunternehmen und Ihre Kunden, zu gewährleisten.

Näheres zum Urteil finden Sie unten als Download.

Ist die Gefahr damit gebannt?

Aber Vorsicht: Nicht alle Unsicherheiten werden durch die Vereinbarung von Standardvertragsklauseln aus dem Weg geräumt! Können Sicherheitsbehörden eines Drittstaats wie den USA in unverhältnismäßiger Weise auf Daten zugreifen, legalisiert dies nie einen Datentransfair!

Allein die Suche nach Anbietern außerhalb der USA und anderen europäischen Lösungen ist sinnvoll. Denn die Sicht auf den Datenschutz ist in anderen Rechtsordnungen anders. Sicher ist: Auch Abkommen mit Drittstaaten können durch Gerichte gekippt werden. Dann beginnt die Lösungssuche erneut.

Weitere Abhilfe schafft es, die Software fest zu installieren oder Daten in eine eigene Cloud zu legen. Auch einen eigenen Server zu betreiben wäre derzeit noch angebracht, sollte die Alternative AWS oder ein ähnlicher Anbieter sein. Konkret heißt das genau hinzuschauen, wo der Server gehostet wird und auf Office365 oder die Adobe DC (Document Cloud) u. ä. erstmal zu verzichten.

Wo gibt es weitere Informationen?

In diesem Artikel auf T3N wird das noch eingehender beschrieben. Auch netzpolitk.org hat in einem Artikel darüber berichtet. Bei Wikipedia gibt es eine Zusammenfassung zum CLOUD Act.