Was heißt schon „souverän“? – Teil 2 Auch europäische Provider würden Kundendaten aushändigen

Anbieter zum Thema

Impossible Cloud GmbH

OVHcloud

IONOS SE

myLoc managed IT AG

plusserver gmbh

mehr weniger

NTT DATA Deutschland SE

weniger

Hyperscaler mit Clouds in den USA würden Kundendaten an Behörden übergeben, wenn ein entsprechender Gesetzesentwurf oder eine „Executive Order“ dies verlangt, das haben wir im ersten Teil dieser Artikelserie unzweifelhaft festgestellt. Wie aber steht es bei den Providern mit europäischen Wurzeln? Ein Überblick.

Sind Kundendaten bei deutschen bzw. europäischen Providern in absolut sicheren Händen? Können weder Gangster noch Behörden darauf zugreifen? Insbesondere die Zudringlichkeit der zweiteren hat uns dazu veranlasst, bei den hiesigen Providern nachzufragen: Würden sie Kundendaten herausgeben, wenn das Gesetz das von ihnen verlangt?

Falk Weinreich, General Manager Central Europe für den europäischen Cloud-Anbieter OVHcloud, gibt im Gespräch mit CloudComputing-Insider eine eindeutige Antwort: „Bei OVHcloud halten wir uns an die Gesetzgebung des Landes, in dem das betroffene Unternehmen tätig ist und in dem die Daten gespeichert werden. So handeln wir nach der europäischen Gesetzgebung in Europa, nach der indischen Gesetzgebung in Indien oder an der US-amerikanischen Gesetzgebung in den USA. Mit anderen Worten: Wir befolgen deutsche Gerichtsbeschlüsse, wenn diese in Deutschland gespeicherte Daten betreffen. Dasselbe gilt für die USA und Indien.“

Angeblich schützt das vor der Zudringlichkeit des CLOUD Acts, den wir im ersten Teil als Grund für die Bereitschaft zur Herausgabe von Kundendaten amerikanischer Hyperscaler ausgemacht hatten. Weinreich betonte, dass die Daten der europäischen Kunden vor extraterritorialer Gerichtsbarkeit geschützt seien. „Aus diesem Grund werden die Daten unserer europäischen Kunden nicht in den USA gespeichert, sondern in Europa. Unsere Kunden haben die vollkommene Wahlfreiheit, in welchem Land ihre Daten gespeichert werden sollen. (…) Wir garantieren, dass ein Zugriff auf Daten durch Dritte bei OVHcloud nicht geschieht, dank starker europäischer Gesetze wie beispielsweise der DSGVO, die den Datenschutz und die Nutzer an erste Stelle heben.“

Auch Plusserver unterbreitet eine „souveräne“ Offerte mit europäischen Wurzeln und will mit dem CLOUD Act ebenfalls nichts zu tun haben – schließlich unterhalte Plusserver keine Niederlassung in den USA. Der deutsche Managed-Cloud-Anbieter war zwar früher Teil der Host Europe Group, die von dem US-Unternehmen GoDaddy übernommen wurde, stellte sich dann aber wieder auf eigene Beine. Der Fokus liegt auf dem deutschen, österreichischen und Schweizer Markt. Geschäftsführer Tobias Meier erklärte gegenüber CloudComputing-Insider: „Wir schützen die Daten unserer Kunden mit höchster Priorität. Wir speichern und verarbeiten alle Daten ausschließlich in deutschen Rechenzentren und gestalten unsere Prozesse von Anfang an transparent.“ Wenn Dritte Zugriff verlangten, dann müsse das aber geprüft werden.

Christoph Herrnkind, CEO der WiiT AG, die ursprünglich in Mailand angetreten war, nun aber einen Gutteil ihres Umsatzes hierzulande erzielt, wird konkreter: „Wir unterliegen als deutsches Unternehmen deutschem Recht und werden entsprechende Gerichtsbeschlüsse bzw. behördliche Anordnung nach rechtlicher Prüfung umsetzen bzw. Folge leisten. Wir stehen in keinem Konzernverbund mit US-Unternehmen und fallen daher insbesondere auch nicht in den Bereich des CLOUD Acts oder können über US Executive Orders zur Herausgabe gezwungen werden.“

Europäische Clouds bewahren zumindest vor US-Zugriffen

Eine in Europa gehostete Cloud gibt also US-Gerichten oder -Präsidenten keine Chance für den Zugriff. Dr. Christian Kaul, COO & Co-Founder Impossible Cloud, erklärte übereinstimmend zu den vorher genannten Kollegen von ihm, dass sein Unternehmen „keine Kundendaten an ausländische Behörden übergibt“. Und das aus gutem Grunde, nämlich dem Gesetz: „Unsere Antwort auf die Frage, ob wir auf Grundlage einer US-Executive Order oder eines ausländischen Gerichtsbeschlusses Kundendaten herausgeben würden, lautet klar: Nein. Das widerspricht nicht nur unserer Firmenphilosophie, sondern auch der geltenden Rechtslage in Europa.“

Impossible Cloud betreibe – genau wie die vorher genannten Wettbewerber - seine gesamte Infrastruktur ausschließlich in zertifizierten Rechenzentren innerhalb Europas. „Diese Standorte unterliegen vollständig europäischem Datenschutzrecht. Das bedeutet: Nur europäische Behörden könnten unter sehr engen Voraussetzungen Zugriff verlangen; zum Beispiel im Rahmen eines rechtmäßigen deutschen Ermittlungsverfahrens mit richterlicher Anordnung. Und selbst dann ist der Zugriff auf relevante Daten beschränkt, nicht global, nicht präventiv, nicht flächendeckend“, so Kaul.

Ausländische Behörden, etwa aus den USA, hätten auf das System keinen Zugriff, weder technisch noch rechtlich. „Ein US-Gesetz wie der Cloud Act kann nur bei US-Unternehmen oder deren Tochtergesellschaften durchgesetzt werden. Impossible Cloud ist kein US-Unternehmen, keine Tochter, kein Reseller.“ Kaul sieht sich und sein Unternehmen daher nicht nur als Technologieanbieter, sondern als „Garant für digitale Souveränität“: „Unsere Kunden wissen, wo ihre Daten liegen, wer sie schützt und vor allem, wer keinen Zugriff darauf hat. In Zeiten wachsender geopolitischer Spannungen ist das kein Nice-to-have, sondern eine strategische Notwendigkeit.“

Portfolio gestalten im Zeichen von Cloud Act, DSGVO und Co.

Wie bleiben Dienstleister digital souverän?

Eindeutige rechtliche Grundlage

Provider mit einer in der EU beheimateten Cloud können sich also gegen Bestrebungen von US-Behörden zum Abgriff von Daten wehren. Aber lassen wir uns nicht verwirren: Jeder der genannten Provider würde Kundendaten an Behörden übergeben, ganz wie von Herrnkind und Kaul beschrieben, sofern die rechtliche Grundlage dafür gegeben ist.

Dies nannte auch Michael Olma, bei NTT Data als Data Protection Officer tätig, im Gespräch mit CloudComputing-Insider als zwingenden Grund: „Eine Datenweitergabe erfolgt ausschließlich dann, wenn eine eindeutige rechtliche Grundlage vorliegt. Gerichtsbeschlüsse oder behördliche Anordnungen können eine solche Rechtsgrundlage darstellen, jedoch nur unter der Voraussetzung, dass sämtliche DSGVO-Anforderungen erfüllt sind. Hierbei prüfen wir insbesondere die Notwendigkeit und Verhältnismäßigkeit der angeforderten Datenverarbeitung. NTT habe strenge datenschutzrechtliche Prüfverfahren etabliert, um zu gewährleisten, dass jeder einzelne Fall einer behördlichen Datenanfrage detailliert analysiert und bewertet wird. „Dabei arbeiten wir eng mit unseren Datenschutzbeauftragten und Rechtsexperten zusammen“, so Olma.

Eine beinahe identische Aussage kommt von einem Pressesprecher von Ionos: „Der Schutz von Kunden- und Nutzerdaten ist für Ionos von zentraler Bedeutung. Selbstverständlich kommen wir im Rahmen der gesetzlichen Bestimmungen Anordnungen von Strafverfolgungsbehörden und Gerichten nach. Eine Herausgabe von Daten erfolgt dabei nur in dem Umfang, in dem wir dazu verpflichtet sind. Entsprechende Anordnungen werden in jedem Einzelfall geprüft, um sicherzustellen, dass die Rechte unserer Kundinnen und Kunden geschützt werden und alle Anforderungen an datenschutzrechtliche Bestimmungen erfüllt sind.“

Fazit

Damit ist klar: Europäer sind auch nur Amerikaner, wenn es um den Datenschutz geht: Hiesige Provider werden Kundendaten auf rechtlich nicht anfechtbares Verlangen hin durchaus an europäische Behörden ausgegeben. Anwender dürfen lediglich auf den Schutz vor einem Zugriff durch US-Behörden hoffen.

Hilft der Einsatz des Gaia-X-Frameworks, Daten vor Behördenzugriff zu schützen? Die Antwort darauf sowie ein Überblick über die wesentlichen Gesetze zum Thema finden Sie in unserem dritten Teil der Serie.

Was heißt schon „souverän“?

US-Provider würden Kundendaten aushändigen

Was heißt schon „souverän“? – Teil 3

Schützt Gaia-X vor Behördenzugriffen auf Daten?

(ID:50496742)