DSGVO und Cloud-Speicherung: Rechtskonformer Umgang mit Personenbezogenen Daten

DSGVO Arti­kel 44 – 49: Dritt­land­trans­fer #

Was ist ein Dritt­land­trans­fer? #

Dritt­land: Ein Land außer­halb der EU/EWR (z. B. USA, Chi­na, Singapur)

Dritt­land­trans­fer: Das Über­tra­gen von Per­so­nen­da­ten in die­se Länder

Pro­blem: Län­der außer­halb EU haben oft weni­ger Daten­schutz. Die DSGVO sagt: Du darfst nur trans­fe­rie­ren, wenn das Dritt­land ein ​“ange­mes­se­nes Schutz­ni­veau” hat.

Wel­che Län­der sind ​“ange­mes­sen”? #

EU-Kom­­mis­­si­on hat fol­gen­de Län­der als ange­mes­sen zertifiziert:

• Schweiz
• Japan
• Süd­ko­rea
• Ver­ei­nig­tes König­reich (UK) — provisorisch
• Argen­ti­ni­en
• Kana­da
• Uru­gu­ay
• Neu­see­land

Bewusst NICHT auf der Liste:

• ❌ USA (wegen CLOUD Act, Pri­va­cy Shield wur­de aufgehoben)
• ❌ Chi­na
• ❌ Indi­en
• ❌ Aus­tra­li­en

Aber: EU-US DPF erlaubt wie­der US-Tran­s­­fers (seit Juli 2023), mit DPF-Zertifikat.

Trans­fers ohne Ange­mes­sen­heits­be­schluss (Art. 46 – 49) #

Wenn das Land nicht ​“ange­mes­sen” ist, brau­chen Sie eines die­ser Instrumente:

1. Stan­dard Con­trac­tu­al Clau­ses (SCC)

Was ist das? Ver­trag­li­che Klau­seln, die der Auf­trags­ver­ar­bei­ter (z. B. AWS) unter­schreibt. Die­se sagen: ​“Wir hal­ten DSGVO-Stan­­dards ein, auch wenn Dritt­land nicht tut.”

Pro­blem: Schrems II hat gezeigt, dass SCCs nicht immer rei­chen (CLOUD Act über­schreibt Vertrag).

Wann nut­zen: Z. B. AWS mit SCC ist ​“wahr­schein­lich okay”, aber nicht 100% rechts­si­cher.

2. Bin­ding Cor­po­ra­te Rules (BCR)

Was ist das? Inter­ne Kon­zern­richt­li­ni­en (für Kon­zer­ne mit meh­re­ren Stand­or­ten). Der Kon­zern ver­pflich­tet sich, über­all glei­che Daten­­­schutz-Stan­­dards zu halten.

Wann nut­zen: Nur für Kon­zer­ne (nicht KMU), und nur wenn alle Stand­or­te DSGVO-Anfor­­de­run­­gen erfüllen.

3. Ade­quacy Decis­i­ons (für Aus­tra­li­en, Kana­da, etc.)

Was ist das? Ein Beschluss der EU-Kom­­mis­­si­on, dass das Land ange­mes­se­nes Schutz­ni­veau hat.

Wann nut­zen: Wenn Ihr Dritt­land auf der Lis­te ist (Schweiz, Japan, UK, etc.).

---

DSGVO Arti­kel 28: Auf­trags­ver­ar­bei­tung #

Was ist Auf­trags­ver­ar­bei­ter? #

Ver­ant­wort­li­cher: Das Unter­neh­men, das Daten sam­melt (z. B. Sie)

Auf­trags­ver­ar­bei­ter: Das Unter­neh­men, das Daten für Sie ver­ar­bei­tet (z. B. Cloud-Provider)

Bei­spiel:

• Sie sam­meln Kun­den­da­ten (Ver­ant­wort­li­cher)
• Sie spei­chern sie bei AWS S3 (Auf­trags­ver­ar­bei­ter)
• AWS darf die Daten NUR gemäß Ihrer Anwei­sun­gen verarbeiten

Anfor­de­run­gen für Auf­trags­ver­ar­bei­tung #

Sie müs­sen mit dem Auf­trags­ver­ar­bei­ter einen Ver­trag abschlie­ßen (Data Pro­ces­sing Agree­ment, DPA):

Wich­ti­ge Punk­te im DPA:

• [ ] Zweck und Art der Verarbeitung
• [ ] Sicher­heits­maß­nah­men (Kryp­to, Zugriffskontrolle)
• [ ] Ort der Ver­ar­bei­tung (Cloud-Regi­on)
• [ ] Dau­er der Verarbeitung
• [ ] Recht des Ver­ant­wort­li­chen auf Audits
• [ ] Löschung nach Vertragsenende
• [ ] Unter­auf­trags­ver­ar­bei­ter (wenn AWS sub-con­­trac­­tor nutzt)

Gro­ße Clouds haben DPA-Templates:

• AWS hat ​“Data Pro­ces­sing Addendum”
• Micro­soft Azu­re hat ​“Data Pro­ces­sing Supplement”
• Goog­le Cloud hat ​“Data Pro­ces­sing Amendment”

Wich­tig: Ohne DPA ver­stößt Sie gegen DSGVO Art. 28.

---

“Ange­mes­se­nes Schutz­ni­veau” — Was bedeu­tet das? #

Die DSGVO sagt, Daten dür­fen nur in Län­der mit ​“ange­mes­se­nem Schutz­ni­veau” trans­fe­riert werden.

Was ist ​“ange­mes­sen”?

• Ähn­li­che Daten­­­schutz-Gese­t­­ze wie DSGVO
• Trans­pa­renz (Benut­zer sol­len wis­sen, wer auf Daten zugreift)
• Kon­trol­lier­te Zugriffs­rech­te (nicht Blan­­ko-Zugriffs­­rech­­te für Geheimdienste)
• Recht auf Beschwer­de gegen Regierungs-Zugriffe
• Enforce­ment (wer setzt Daten­schutz durch?)

USA pro­ble­ma­tisch, weil:

• ❌ CLOUD Act erlaubt Geheim­diens­ten Massenüberwachung
• ❌ Kei­ne ech­te Trans­pa­renz über Zugriffe
• ❌ Kei­ne effek­ti­ve Beschwer­de­mög­lich­keit für Betroffene
• ✅ Aber: EU-US DPF (seit 2023) soll das verbessern

---

Prak­ti­sche Impli­ka­tio­nen #

Sze­na­rio 1: Kun­den­da­ten bei AWS US #

Was ist legal?

• Mit DPF-Zer­­ti­­fi­­kat (AWS hat das): Ja, aktu­ell legal
• Mit Stan­dard Con­trac­tu­al Clau­ses (allein): Wahr­schein­lich, aber rechtsunsicher
• Ohne irgend­wel­che Maß­nah­men: ❌ Nein, illegal

RTC: 6 – 18 Mona­te, wenn Daten­schutz­be­hör­de kon­trol­liert und fin­det, dass es falsch war.

Sze­na­rio 2: Kun­den­da­ten bei euro­päi­scher Cloud (z. B. Sca­le­way) #

Was ist legal?

• ✅ Ja, auto­ma­tisch okay (euro­päi­sches Unter­neh­men, EU-Datenschutz)
• Nur DPA erfor­der­lich (Stan­­dard-Vor­­la­­ge)

Sze­na­rio 3: Kun­den­da­ten bei chi­ne­si­scher Cloud (z. B. Ali­baba Cloud Chi­na) #

Was ist legal?

• ❌ Ohne spe­zi­el­le Ange­­mes­­sen­heits-Beschluss nein
• Nur mög­lich mit SCC ODER BCR, aber: Chi­na Daten­­­schutz-Risi­­ko sehr hoch
• Emp­feh­lung: Nicht machen

---

Häu­fi­ge Fra­gen #

Reicht ein DPA aus, um US-Cloud zu nut­zen? Nein. Ein DPA regelt nur, wie der Cloud-Pro­­vi­­der Ihre Daten behan­delt. Es schützt nicht vor CLOUD Act. Sie brau­chen auch:

• DPF-Zer­­ti­­fi­­kat (AWS hat), oder
• Stan­dard Con­trac­tu­al Clau­ses + zusätz­li­che Schutzmaßnahmen

Was ist eine zusätz­li­che Schutz­maß­nah­me? Z. B.:

• Encryp­ti­on at Rest (mit Keys, die Sie halten)
• Pseud­ony­mi­sie­rung (Namen ent­fer­nen, nur Num­mern speichern)
• Data Mini­miza­ti­on (nur not­wen­di­ge Daten speichern)

Was pas­siert, wenn ich nicht DSGVO-kon­­­form bin? Buß­gel­der bis 4% des glo­ba­len Jah­res­um­sat­zes (kann Mil­lio­nen EUR sein). Plus: Betrof­fe­ne kön­nen Sie verklagen.

Sind deut­sche Cloud-Pro­­vi­­der siche­rer? Ja, auto­ma­tisch DSGVO-kon­­­form. Aber: Teu­rer (30 – 50% mehr als AWS). Trade-off zwi­schen Kos­ten und Sicherheit.

---