Wie der CLOUD Act die DSGVO-Konformität für Unternehmen in der EU in Frage stellt

Da Unternehmen zunehmend auf Cloud-Speicherlösungen angewiesen sind, insbesondere auf S3-kompatible Backup-Dienste, wenden sich viele in der Europäischen Union (EU) an Anbieter für sichere Datenspeicherung. Wenn diese Dienste jedoch von in den USA ansässigen Unternehmen angeboten werden, stellt der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) eine erhebliche Bedrohung dar — nicht nur für die Einhaltung der DSGVO (General Data Protection Regulation), sondern auch für die Sicherheit sensibler Daten, einschließlich Prototypen, Kundendaten und privater Informationen.

Der CLOUD Act und die DSGVO: Ein Rechtskonflikt mit schwerwiegenden Auswirkungen

Der 2018 erlassene CLOUD Act ermöglicht es den US-Strafverfolgungsbehörden, in den USA ansässige Unternehmen zu zwingen, Zugriff auf Daten zu gewähren, unabhängig davon, wo die Daten physisch gespeichert sind. Dies schließt Daten ein, die innerhalb der EU gespeichert, aber von US-Unternehmen oder deren Tochtergesellschaften verwaltet werden. Die DSGVO, die zum Schutz der Privatsphäre der EU-Bürger konzipiert wurde, regelt streng, wie personenbezogene Daten verarbeitet, gespeichert und übertragen werden können, insbesondere in Drittländer wie die Vereinigten Staaten.

Der CLOUD Act birgt jedoch echte Risiken, die über die Einhaltung der DSGVO hinausgehen und die Sicherheit und Vertraulichkeit aller Arten sensibler Daten gefährden, darunter geistiges Eigentum, Prototypen für Forschung und Entwicklung (F&E), Kundendaten und private Kommunikation.

Wichtige Funktionen sind gefährdet

1. In EU-Rechenzentren gespeicherte Daten: Obwohl Daten in EU-Rechenzentren gespeichert werden, kann der CLOUD Act in den USA ansässige Unternehmen dazu zwingen, diese Daten an US-Behörden zu übergeben. Dies untergräbt nicht nur den Schutz der DSGVO und die Datenhoheit der EU, sondern setzt auch wichtige Geschäftsinformationen wie Prototypen oder strategische Pläne einem potenziellen unbefugten Zugriff aus.

2. Unveränderlicher Speicher: Unveränderliche Speicherfunktionen schützen Daten vor Änderungen oder Löschungen und sorgen so für Sicherheit vor Manipulationen. Nach dem CLOUD Act könnten die US-Behörden jedoch den Zugriff verlangen und die Anbieter dazu zwingen, diese Schutzmaßnahmen zu deaktivieren. Dies beeinträchtigt die Integrität sensibler Daten, auf die sich Unternehmen verlassen, um Wettbewerbsvorteile wie firmeneigene Designs oder Forschungs- und Entwicklungsergebnisse zu wahren.

3. Verschlüsselung der Daten: Verschlüsselung ist eine wichtige Sicherheitsmaßnahme zum Schutz von Daten im Ruhezustand und bei der Übertragung. Wenn Verschlüsselungsschlüssel von einem in den USA ansässigen Anbieter kontrolliert werden, könnten die US-Behörden den Anbieter zur Offenlegung zwingen, wodurch verschlüsselte sensible Daten wie Kundendaten oder vertrauliche E-Mails zugänglich und anfällig werden.

4. Zugriffskontrolle und Identitätsmanagement: Zugriffskontrollen und Identitätsmanagement sind zwar entscheidend, um den Datenzugriff auf autorisiertes Personal zu beschränken, aber der CLOUD Act kann diese Schutzmaßnahmen außer Kraft setzen. US-Anbieter könnten gezwungen sein, US-Strafverfolgungsbehörden Zugriff zu gewähren und dabei strenge Sicherheitsprotokolle zum Schutz sensibler Kundeninformationen, Geschäftsgeheimnisse und anderer vertraulicher Daten zu umgehen.

5. Auditprotokolle und Überwachung: Detaillierte Auditprotokolle sind für Transparenz und Rechenschaftspflicht beim Datenzugriff unerlässlich. Der CLOUD Act könnte es den US-Behörden ermöglichen, ohne Wissen des Dateneigentümers auf diese Protokolle zuzugreifen. Dies verstößt gegen die Transparenzanforderungen der DSGVO und riskiert die Offenlegung sensibler Geschäftsabläufe und Kundendaten.

Echte Bedrohungen für Unternehmen in der EU

Der Konflikt zwischen dem CLOUD Act und der DSGVO ist mehr als nur eine rechtliche Herausforderung; er ist eine direkte Bedrohung für die Sicherheit und Vertraulichkeit sensibler Daten, die von EU-Unternehmen gespeichert werden. Die Nichteinhaltung der DSGVO kann zu schweren Strafen führen, darunter Bußgelder in Höhe von bis zu 4% des weltweiten Jahresumsatzes eines Unternehmens. Das Risiko erstreckt sich jedoch auch auf den unbefugten Zugriff auf sensible Daten, was zu finanziellen Verlusten, Reputationsschäden und der Kompromittierung firmeneigener Informationen führen kann, die für den Wettbewerbsvorteil eines Unternehmens von entscheidender Bedeutung sind.

Wichtige Überlegungen zur Auswahl eines Dienstanbieters

Angesichts dieser schwerwiegenden Risiken sollten Unternehmen in der EU bei der Auswahl eines Cloud-Speicher- oder Backup-Anbieters die folgenden Vorsichtsmaßnahmen treffen:

1. Wählen Sie einen in der EU ansässigen Anbieter: Priorisieren Sie die Auswahl eines Cloud-Dienstanbieters, der in der EU ansässig ist und nicht dem CLOUD Act unterliegt. Dadurch wird sichergestellt, dass Ihre Daten, einschließlich sensibler Geschäftsinformationen, ausschließlich den EU-Gesetzen unterliegen, was einen stärkeren Schutz vor unbefugtem Zugriff durch Behörden außerhalb der EU bietet.

2. Garantien der Datenhoheit: Entscheiden Sie sich für Anbieter, die ausdrücklich garantieren, dass sowohl Daten als auch Verschlüsselungsschlüssel vollständig innerhalb der EU-Gerichtsbarkeit aufbewahrt werden. Dadurch wird das Risiko minimiert, dass Daten, ob Kundeninformationen oder Geschäftsgeheimnisse, durch den CLOUD Act gefährdet werden.

3. Fachwissen in den Bereichen Recht und Compliance: Wenden Sie sich an Rechtsexperten, die sich auf die DSGVO und den Datenschutz spezialisiert haben, um die Auswirkungen der Nutzung von Cloud-Diensten, insbesondere von in den USA ansässigen Unternehmen, vollständig zu verstehen. Dies ist entscheidend für die Entwicklung von Strategien, die die Einhaltung der Vorschriften sicherstellen und vor potenziellen Verstößen gegen sensible Daten schützen.

‍Fazit

Der CLOUD Act stellt eine erhebliche und direkte Bedrohung nicht nur für die Einhaltung der DSGVO dar, sondern auch für die Sicherheit sensibler Daten wie geistiges Eigentum, Kundeninformationen und firmeneigene Geschäftsdaten. Das Potenzial des unbefugten Datenzugriffs durch US-Behörden, der den DSGVO-Schutz umgeht, setzt Unternehmen erheblichen rechtlichen, finanziellen und betrieblichen Risiken aus. Für Unternehmen ist es von entscheidender Bedeutung, ihre Cloud-Dienstanbieter gründlich zu evaluieren, in der EU ansässige Alternativen in Betracht zu ziehen und robuste Datenschutzstrategien umzusetzen, um ihre sensiblen Daten zu schützen und die Einhaltung der EU-Vorschriften sicherzustellen.

‍

Foto von Christian Lue