Art. 23 ff. Data Act durch die Brille eines Juristen Wie Cloud Switching, Data Act und Digitale Souveränität zusammenhängen

Anbieter zum Thema

Impossible Cloud GmbH

Die Regelungen im Data Act Artikel 23 ff. zum Cloud Switching beschäftigen die Akteure in der IT-Branche. Am 12. September treten diese in Kraft. Ein fachlich versierter Jurist analysiert für IT-BUSINESS die Situation im Detail.

Der Data Act könnte das Cloud Computing revolutionieren: Die bisherigen Einschränkungen durch Vendor-Lock-Ins sollen weitgehend aufgehoben und der Wechsel zwischen Anbietern erleichtert werden. Damit könnte die Abhängigkeit von einzelnen Anbietern der Vergangenheit angehören. Auch dem Ziel einer Souveränen Cloud kommt man so ein gutes Stück näher. Könnte dies den Startschuss für ein neues Zeitalter der Freiheit in der Cloud bedeuten? Dr. Lars Lensdorf, Partner bei Covington & Burling kennt die juristischen Aspekte im Detail.

Was wird sich ändern?

Die Regelungen im Data Act Artikel 23 ff. zum Cloud Switching für die IT-Branche werden nicht spurlos an der Branche vorbeigehen. Lensdorf ordnet ein: „Bisher wurde der Wechsel zu einem anderen Cloud-Anbieter für Kunden oftmals erschwert was zu Lock-In-Effekten führte.“ Mit dem Data Act soll der Wettbewerb rund um datengetriebene Geschäftsmodelle, laut dem Juristen, geöffnet und zugleich der Anbieterwechsel für Kunden erleichtert werden. „Vorkommerzielle, gewerbliche, technische, vertragliche und organisatorische Hindernisse sollen nunmehr durch die Art. 23 ff. Data Act beseitigt werden“, erklärt der Partner bei Covington & Burling und führt aus, dass dies verschiedene Aspekte betrifft, nämlich:

• vereinfachten Datenzugriff,

• vereinfachte Datenportabilität,

• Interoperabilität,

• standardisierte Schnittstellen,

• kundenfreundliche Regelungen zur Beendigung eines Cloud-Vertrags sowie

• die schrittweise Abschaffung von Wechselentgelten.

Zudem sollten IaaS-Anbieter für eine Trennung der von ihnen auf Basis der IaaS-Leistungen erbrachten weiteren Leistungen sorgen, soweit dies technisch durchführbar ist.

Was steht im Data Act?

Um diesen Zielen zu entsprechen, enthalte Art. 25 allgemeine Vorgaben für die Vertragsgestaltung, die auf der Anbieterseite wohl in den meisten Fällen zu einer Anpassung der bestehenden Verträge führen wird, so der Jurist.

Art. 26 und Art. 28 Data Act legen demnach Informationspflichten für Cloud-Anbieter fest, die ebenfalls in den meisten Fällen auf Anbieterseite heute so noch nicht umgesetzt sein dürften.

Ein besonderes Augenmerk sei auf Art. 29 Data Act zu richten, der eine schrittweise Abschaffung von Wechselentgelten vorsieht.

In technischer Hinsicht kommt schließlich Art. 30 Data Act eine besondere Bedeutung zu. Art. 30 Data Act unterscheidet zwischen IaaS-, PaaS- und SaaS-Anbietern.

IaaS-Anbieter haben den Wechsel gemäß Art. 30 (1) Data Act dadurch zu ermöglichen, dass sie Kapazitäten, angemessene Informationen, Dokumentationsmaterial, technische Unterstützung und gegebenenfalls die erforderlichen Instrumente bereitstellen.

PaaS- und SaaS-Anbieter haben laut Lensdorf gemäß Art. 30 (2) Data Act unentgeltlich offene Schnittstellen bereit zu stellen. Darüber hinaus haben sie für eine Kompatibilität mit gemeinsamen Spezifikationen auf der Grundlage offener Interoperabilitätsspezifikationen oder harmonisierter Interoperabilitätsnormen zu sorgen.

Wer ist ein „Datenverarbeitungsdienst“?

„Um den Anforderungen zu entsprechen, werden Anbieter in einem ersten Schritt ihre Produkte und Dienste darauf hin überprüfen müssen, ob diese einen ‚Datenverarbeitungsdienst‘ im Sinne des Data Act darstellen, für den die vorstehend skizzierten Anforderungen gelten“, führt der Jurist aus. Ein „Datenverarbeitungsdienst“ ist gemäß Art. 2 Nr. 8 Data Act demnach genau genommen „eine digitale Dienstleistung, die einem Kunden bereitgestellt wird und einen flächendeckenden und auf Abruf verfügbaren Netzzugang zu einem gemeinsam genutzten Pool konfigurierbarer, skalierbarer und elastischer Rechenressourcen zentralisierter, verteilter oder hochgradig verteilter Art ermöglicht, die mit minimalem Verwaltungsaufwand oder minimaler Interaktion des Diensteanbieters rasch bereitgestellt und freigegeben werden können.“

Abwägungsfragen bei einzelnen Leistungen

Lensdorf antizipiert, dass nach den Erwägungsgründen des Data Act IaaS-, PaaS- und SaaS-Leistungen hiervon auf jeden Fall erfasst werden, allerdings wird es seiner Erfahrung nach bei vielen Leistungen nicht so klar und einfach sein zu bestimmen, ob diese von der Definition des „Datenverarbeitungsdienst“ erfasst werden. „Sofern die Überprüfung ergibt, dass Leistungen unter den Begriff des ‚Datenverarbeitungsdienst‘ fallen, sind die vorstehend skizzierten Anpassungen vorzunehmen“, legt sich Lensdorf fest. Hinsichtlich der vertraglichen Anpassungen könne man die von der EU-Expertengruppe im April dieses Jahres veröffentlichten Standardvertragsklauseln als Hilfestellung betrachten, rät der Jurist. Ziel der unverbindlichen Klauseln sei es, die Verhandlungen und den Abschluss fairer, angemessener, nicht-diskriminierender und ausgewogener Verträge zu unterstützen. Die EU-Kommission wird den Bericht voraussichtlich in eine offizielle Empfehlung überführen“, so der Partner einer Kanzlei.

Digitale Souveränität

Die Frage liegt auf der Hand: Wie stärkt der Data Act die Digitale Souveränität der EU-Mitgliedsstaaten gegenüber US-amerikanischen Hyperscalern?

Lensdorfs Antwort auf diese Frage ist differenziert: „Ziel des Data Acts ist ein Binnenmarkt für Daten zur globalen Wettbewerbsfähigkeit und Datensouveränität Europas.“ Unter Digitaler Souveränität kann man unter anderem die Fähigkeit von Individuen und Institutionen verstehen, in einer digitalen Welt selbstbestimmt und verantwortungsbewusst handeln zu können. Dies werde dann dadurch erreicht, dass Kunden in EU-Mitgliedsstaaten nicht mehr an Hyperscaler gebunden sein sollen und ihnen die Möglichkeit gegeben wird, ihre Daten ungehindert zu bewegen.

„Inwieweit ausländische politische Bestrebungen die Digitale Souveränität beeinträchtigen könnten, kann ich aktuell nicht abschließend beurteilen“, räumt Lensdorf ein. Der Data Act wird ihm zufolge jedoch für die Digitale Souveränität im Allgemeinen durch die Stärkung der Unabhängigkeit von Kunden und deren Entscheidungsfreiheit gegen internationale Tech-Unternehmen und konkurrierende Rechtsordnungen eine große Rolle spielen.

Der Cloud Act und die Cloud

Während der Data Act in der EU entstanden ist, spielt der Cloud Act in den USA eine Rolle und taucht immer wieder in Zusammenhang mit Fragestellungen rund um das Thema Digitale Souveränität auf. Der Cloud Act ist seit dem 23. März 2018 in Kraft und es stellt sich die Frage, welche Rolle dieser bei bestehenden Cloud-Verträgen mit US-Hyperscalern spielt. „Der Cloud Act – Cloud steht übrigens nicht für ‚Cloud Computing‘, sondern ist eine Abkürzung von ‚Clarifying Lawful Overseas Use of Data‘ - legt fest, unter welchen Bedingungen US-Behörden Zugriff auf Daten erhalten können, die bei US-Unternehmen gespeichert sind, selbst wenn die Daten physisch außerhalb der USA liegen.“, erläutert Lensdorf. Insofern werden US-Hyperscaler vom Anwendungsbereich des Cloud Acts erfasst.

Zusammenhang mit dem Data Act

„Für den Datenzugriff des Kunden im Sinne des Data Acts dürfte sich jedoch hierdurch wenig ändern“, bringt es der Partner einer großen Kanzlei auf den Punkt. „Die Daten, auf die durch den Cloud Act zugegriffen werden kann, sind häufig personenbezogene Daten, sodass sich der Cloud Act vielmehr im Spannungsverhältnis mit der DSGVO befindet“. Da die DSGVO strenge Vorschriften über den Austausch personenbezogener Daten mit Drittstaaten enthält, könne es in dem Zusammenhang zu Rechtskonflikten kommen, insbesondere – so der Jurist – wenn ein Unternehmen, das den Bestimmungen der DSGVO unterliegt, von einem US-Gericht zur Offenlegung von Daten aufgefordert wird, aber die DSGVO dem entgegensteht. Lensdorf weiß: „Von größerem Interesse dürfte deshalb sein, wie sich das Spannungsverhältnis zwischen DSGVO und Cloud Act entwickelt, insbesondere auch vor dem Hintergrund des seit Juli 2023 geltenden EU-US Data Privacy Framework.“ Für die Kunden eines US-Hyperscalers sei zunächst wichtig, dass sie sich diesen Herausforderungen bewusst sind, sich mit diesen im Vorfeld des Vertragsschlusses auseinandersetzen und die Überlegungen sowie die ergriffenen Maßnahmen dokumentieren.

Vertragsrechtliche Konsequenzen

Was ändert sich in Bezug auf Cloud-Verträge mit US-Hyperscalern, wenn sowohl der EU Data Act als auch der Cloud Act gelten? Diese Frage beantwortet Lensdorf aus mehreren Blickwinkeln: „Der Cloud Act ist meines Erachtens im Zusammenspiel mit dem Data Act weniger relevant, da der Data Act in Bezug auf Cloud-Leistungen vor allem den Zweck hat, die Abhängigkeit des Kunden vom Cloud-Anbieter zu verhindern.“ Der Cloud Act soll hingegen den US-Behörden die Möglichkeit eröffnen, von einem Provider Daten zum Zwecke der Strafverfolgung herauszuverlangen, auch wenn diese Daten außerhalb der USA gespeichert werden, wenn Gesetze des jeweiligen Landes dies ausschließen.

Verträge sind einzuhalten

Der Grundsatz, dass Verträge einzuhalten sind, ist ein Eckpfeiler des Vertragsrechts. Doch wie wirkt sich dieser Grundsatz auf bestehende Verträge zwischen europäischen Kunden und US-Hyperscalern aus, wenn sie mit neuen regulatorischen Anforderungen konfrontiert werden?

„Dass bestehende Verträge aufgrund neuer regulatorischer Anforderungen angepasst werden müssen, ist keine neue Entwicklung, sondern ein bereits etablierter Mechanismus“, führt Lensdorf aus. „Gerade in regulierten Bereichen, wie beispielsweise bei Banken, Finanzdienstleistern und Versicherungen, ist die Anpassung bestehender Verträge an neue regulatorische Anforderungen gang und gäbe.“

Ähnlich wie bei DORA

Zu nennen sei in diesem Zusammenhang beispielsweise das Erfordernis von Anpassungen an den Digital Operational Resilience Act – kurz DORA. Der Grundsatz „pacta sunt servanda“ beschreibt laut dem Rechtswissenschaftler das Prinzip der Vertragstreue zwischen den Vertragsparteien. Die Umsetzung neuer regulatorischer Vorgaben durch Vertragsparteien soll hingegen die Gesetzeskonformität des Vertrages herstellen. In der Regel enthalten Verträge demnach mal mehr, mal weniger ausdifferenzierte Regelungen zu der Frage, wie mit regulatorischen Anpassungen beziehungsweise Änderungen umzugehen ist. „Aber selbst wenn der Vertrag hierzu keine expliziten Regelungen enthält, kann sich eine Anpassungsverpflichtung in bestimmten Bahnen aus vertraglichen Neben- bzw. Treuepflichten oder aus dem gesetzlichen Institut der Störung der Geschäftsgrundlage (§ 313 BGB) ergeben“, führt Lensdorf aus.

Nicht „Ob“, sondern „Wie“

Erfahrungsgemäß geht es laut dem Juristen bei diesen Verhandlungen dann weniger um das „Ob“ der Vertragsanpassung als vielmehr um das „Wie“, insbesondere um die kaufmännischen Parameter. „Da das ‚Wie‘ weitgehend der Privatautonomie der Vertragsparteien unterliegt, rate ich dringend dazu, dieses Thema im Vertrag zu adressieren“, so der Jurist. „Da wir alle keine Hellseher sind und es in der Regel, insbesondere bei langfristigen Verträgen, schwer ist, mögliche gesetzlich erforderliche Anpassungen und ihre Konsequenzen vollumfänglich zu antizipieren, empfehle ich, Grundprinzipien und Leitplanken zu vereinbaren, auf deren Basis dann eine Lösung im jeweiligen Einzelfall verhandelt werden kann.“

Die Rolle der EU-Standardvertragsklauseln

In welchem Umfang werden die EU-Standardvertragsklauseln (Standard Contractual Clauses, SCCs) zukünftig eine Rolle bei der Ausgestaltung internationaler Datentransfers spielen, insbesondere in Verträgen mit US-Hyperscalern, um den Anforderungen des Data Act gerecht zu werden? Diese Frage beantwortet Lensdorf vielschichtig: „Bei dem Begriff EU-Standardvertragsklauseln ist zu differenzieren zwischen a) den EU-Standardvertragsklauseln im Sinne des Datenschutzrechts, die als Grundlage für Transfers in Drittstaaten mit einem nicht adäquaten Datenschutzniveau dienen können und b) EU-Standardvertragsklauseln im Sinne des Data Act, die die Vertragsparteien bei der Ausarbeitung und Aushandlung von Verträgen mit fairen, angemessenen und nichtdiskriminierenden vertraglichen Rechten und Pflichten unterstützen sollen“, erläutert der Jurist.

Ausgewogenes Verhältnis zwischen Nutzern und Anbietern

Während Erstere für Datentransfers in Drittstaaten verbindlich seien und von den Parteien grundsätzlich nicht geändert werden sollten, stellen die EU-Standardvertragsklauseln gemäß Art. 41 Data Act unverbindliche Musterklauseln dar. Und zwar Musterklauseln, „die die vertraglichen Vorgaben in Bezug auf das Cloud Switching in einem ausgewogenen Verhältnis zwischen Nutzern und Anbietern regeln sollen“, konkretisiert er. Die Europäische Kommission habe demnach nunmehr mit dem Dokument „Final Report of the Expert Group on B2B data sharing and Cloud computing contracts” diese EU-Standardvertragsklauseln nach dem Data Act erstmals veröffentlicht.

Zumindest ein hilfreiches Tool

„Auch wenn die Klauseln unverbindlich sind, kann davon ausgegangen werden, dass sie aufgrund der zu Beginn bestehenden Rechtsunsicherheit zumindest zunächst als ein hilfreiches Tool sowohl für die Provider- als auch die Kundenseite dienen werden“, antizipiert der Anwalt. Zugleich sollten sich Provider demnach Argumente für den Fall überlegen, wenn sie die vorgeschlagenen Musterklauseln nicht in ihre Vertragspraxis übernehmen. Lensdorf geht davon aus, dass zumindest große, verhandlungsstarke Kunden zu einem gewissen Grad auf die Übernahme der Musterklauseln, wenn auch nicht wortwörtlich, so zumindest hinsichtlich ihrer Kernregelung, bestehen werden.

Praxisgerecht gedacht: Hyperscalern geben Vertragsklauseln vor

In Bezug auf die Verhandlungsmacht der Kunden stellt sich die Frage, ob angesichts der marktdominierenden Position von Hyperscalern realistischerweise überhaupt die Möglichkeit besteht, individuelle Vertragsklauseln auszuhandeln. Dr. Lensdorf ordnet die Sachlage ein: „Vor dem Hintergrund, dass es auf dem globalen Markt nur wenige, dominierende Hyperscaler gibt, erscheint es eher unwahrscheinlich, dass Kunden die Möglichkeit haben werden, individuelle Vertragsklauseln auszuhandeln.“ Ausnahmen werde es seiner Einschätzung nach allenfalls bei sehr großen Kunden geben, die über eine entsprechend starke Verhandlungsposition verfügen.

Der Data Act relativiert die Marktmacht

Allerdings gilt jedenfalls für den Zugang zu Daten, die Weitergabe von Daten und den Anbieterwechsel, dass sich diese Problematik durch den Data Act relativieren dürfte, „da teilweise harmonisierte Bedingungen geschaffen werden und die Vertragsklauseln der Hyperscaler, die nicht den Anforderungen des Data Act entsprechen, gegebenenfalls im Rahmen eines gerichtlichen Prozesses angegriffen und durch die zuständige Aufsichtsbehörde sanktioniert werden können“, führt der Jurist aus.

Rechtsfolgen missbräuchlicher Klauseln

Vergleichbar mit dem deutschen AGB-Recht enthält der Data Act mit Art. 13 auch Regelungen und Rechtsfolgen zu missbräuchlichen Klauseln, führt der Fachjurist aus. Dies allein stärke jedoch die Verhandlungsposition nur bedingt. „Im Falle der Nichtumsetzung könnte sich der Betroffene zusätzlich bei der zuständigen Aufsichtsbehörde (Bundesnetzagentur) beschweren, welche für die Anwendung und Durchsetzung des Data Acts nach dem aktuellen Entwurf der Durchführungsverordnung zum Data Act zuständig sein wird“, skizziert Lensdorf. Der Entwurf sieht aktuell demnach in den vertragliche Vorgaben zum Cloud Switching einen Bußgeldtatbestand vor, sofern ein Vertrag nach Art. 25 Abs. 1 Satz 1 in Verbindung mit Absatz 2 und Absatz 3 des Data Acts

• nicht,

• nicht richtig,

• nicht vollständig,

• nicht in der vorgeschriebenen Weise oder

• nicht rechtzeitig bereitgestellt wurde.

Denkbar ist laut Lensdorf in dem Zusammenhang eine Sanktionierung von nicht Data Act konformen Klauseln der Cloud-Anbieter auch über die Einflugschneise des Lauterkeitsrechts in Form von § 3a UWG, wie der Jurist erläutert.

Warten auf „Schrems III“

Ausblick auf ein mögliches ‚Schrems III‘: Nach den Urteilen Schrems I und Schrems II, wie hoch schätzen Sie die Wahrscheinlichkeit ein, dass ein weiteres EuGH-Urteil (möglicherweise Schrems III) zukünftige Abkommen erneut kippen könnte? Was könnte zu einem solchen Urteil führen?

Zur Schrems-III-Frage geht Lensdorf davon aus, dass grundsätzlich ein Risiko bestehe, dass der EuGH auch das jetzt geltende EU-US Data Privacy Framework kippt. „Andererseits enthält das neue Abkommen viele Elemente und Kriterien, welche denen der DSGVO entsprechen oder zumindest mit diesen vergleichbar sind“, so der Rechtsgelehrte. Folgerichtig lasse sich schwer abschätzen, ob der EuGH das zukünftige Abkommen kippen könnte. „Vieles wird davon abhängen, inwieweit bisher zugesagte Schutzmaßnahmen der USA unter der Trump-Administration weiterhin Bestand haben oder ob diese wesentlich geändert werden“, ordnet der Jurist ein.

Dynamik in der US-Politik

Kritisch für den weiteren Bestand des EU-US Data Privacy Framework können nach Ansicht von Lensdorf beispielsweise Entwicklungen wie die Ende Januar dieses Jahres sein, als drei demokratische Mitglieder durch die neue Trump-Administration aufgefordert wurden, das Privacy and Civil Liberties Oversight Board (PCLOB) zu verlassen. „Das PCLOB ist eines der wenigen unabhängigen Aufsichtsgremien in den USA, das sich mit der Überprüfung von Überwachungspraktiken und dem Schutz der Privatsphäre befasst.“ Ihm komme eine entscheidende Rolle bei der Einhaltung des EU-US Data Privacy Framework zu, indem es Beschwerden europäischer Bürger zu Datenschutzverletzungen prüft. Verlassen die drei Mitglieder das Gremium, könnte man an der Unabhängigkeit und Handlungsfähigkeit des Gremiums zweifeln, findet er. Wie Behörden und Datenschützer darauf reagieren, bleibe abzuwarten.

Bestand von Datenschutzabkommen

So bleibt die Frage, welche Maßnahmen erforderlich wären, um sicherzustellen, dass zukünftige transatlantische Datenschutzabkommen robust genug sind, um einem gerichtlichen Überprüfungsprozess standzuhalten. Lensdorf erläutert in dieser Frage, dass es mit dem EU-US Data Privacy Framework gegenwärtig ein wirksames Abkommen gebe. „Auch wenn immer wieder kritische Töne zu vernehmen sind und auch die aktuellen Entwicklungen in den USA sicher sorgfältig zu beobachten und zu bewerten sind, ändert das erst einmal nichts daran, dass ein Datentransfer auf Basis des EU-US Data Privacy Framework möglich ist“, betont Lensdorf. Sollte das EU-US Data Privacy Framework eines Tages vom EuGH kassiert werden, werde man die Ursachen und Gründe genau analysieren müssen. Die Grundsätze seien relativ einfach: „Es muss sichergestellt werden, dass für die Übermittlung personenbezogener Daten in die USA ein mit der EU im Wesentlichen vergleichbares Datenschutzniveau auf Seiten der USA besteht“, erklärt der Jurist die Voraussetzung. Wesentliche Elemente hierfür seien unter anderem: die Zusicherung einer transparenten Verarbeitung der Daten in den USA,angemessene Rechtsbehelfe für Betroffene aus der EU wie Auskunftsrechte, Widerspruchsrechte und effektiver Rechtsschutz. US-Behörden dürften demnach außerdem nicht anlasslos auf personenbezogene Daten zugreifen, sondern nur „in angemessener und verhältnismäßiger Weise“. „Der Teufel steckt – wie so häufig im Leben – im Detail“, fasst Lensdorf die Rechtslage zusammen.

(ID:50457553)