Cloud Act, FISA und Datensouveränität

Beschäftigte müssen nicht beurteilen, welches Recht gilt: Ihre Aufgabe ist es, die vom Unternehmen gewählten Werkzeuge nicht zu umgehen. Ein privater oder kostenloser Cloud-Dienst, den jemand für ein Arbeitsdokument nutzt, entzieht sich der Wahl des Hosting-Anbieters, der Klassifizierung der Daten und dem Vertrag, den die Geschäftsleitung möglicherweise ausgehandelt hat.

Das CERT-FR erinnert zudem daran, dass die Kunden von Cloud-Diensten in der Cloud erhebliche Verantwortung bei der Verwaltung von Daten und Identitäten tragen¹. Wer eine Datei teilt oder ein Dokument hochlädt, handelt mit Daten des Unternehmens.

Daraus folgen zwei Gewohnheiten: die bereitgestellten oder freigegebenen Werkzeuge nutzen und der IT-Abteilung eine nicht freigegebene Cloud-Nutzung melden; nachfragen, bevor große Datenbestände mit Gesundheitsdaten, Daten über Straftaten oder Daten Minderjähriger dort abgelegt werden, die die CNIL zu den sensiblen Daten zählt⁵.

Die Wahl des Hosting-Anbieters wird ebenso zu einer Rechtsentscheidung wie zu einer technischen. Das CERT-FR schreibt, es sei unerlässlich, diese Risiken im Einzelfall zu bewerten¹.

Für die sensibelsten Verarbeitungen empfiehlt die CNIL, einen Anbieter zu wählen, der ausschließlich europäischem Recht unterliegt und das angemessene Schutzniveau bietet⁵. Das CERT-FR nennt ein zweites Risiko. Ein Dienst eines ausländischen Anbieters kann Exportbeschränkungen oder Sanktionen unterliegen, die sich im Lauf der Zeit ändern können, was die Verfügbarkeit von Daten und Anwendungen betrifft¹.

Kapitel V der DSGVO regelt die Übermittlung personenbezogener Daten in Drittländer. Artikel 44 legt den Grundsatz fest: Eine Übermittlung findet nur statt, wenn die Bedingungen des Kapitels eingehalten werden, damit das durch die Verordnung gewährleistete Schutzniveau nicht untergraben wird³.

Das Kapitel sieht mehrere Wege vor. Der Angemessenheitsbeschluss der Kommission erfordert keine besondere Genehmigung (Artikel 45)³. Fehlt er, sind geeignete Garantien möglich, insbesondere verbindliche interne Datenschutzvorschriften oder Standarddatenschutzklauseln (Artikel 46)³. Für besondere Situationen gibt es Ausnahmen, etwa die ausdrückliche Einwilligung der betroffenen Person (Artikel 49)³.

Artikel 48 behandelt den konkreten Fall einer ausländischen Anordnung: Die Entscheidung eines Gerichts oder einer Verwaltungsbehörde eines Drittlands, die eine Übermittlung oder Offenlegung von Daten verlangt, kann nur anerkannt oder vollstreckbar werden, wenn sie auf einer internationalen Übereinkunft beruht, etwa einem Rechtshilfeabkommen³.

Auf amerikanischer Seite erläutert die Kommission, dass dem Angemessenheitsbeschluss eine Executive Order des Präsidenten vom 7. Oktober und eine Verordnung des US-Justizministers vorausgingen. Diese Texte führten verbindliche Garantien ein, um auf das Urteil Schrems II des Gerichtshofs der Europäischen Union vom Juli 2020 zu antworten: Der Zugriff der Nachrichtendienste wird auf das Notwendige und Verhältnismäßige begrenzt, und es gibt einen unabhängigen Rechtsbehelfsmechanismus für Beschwerden von Europäern⁴. Diese Garantien gelten für alle Übermittlungen an amerikanische Unternehmen, unabhängig vom verwendeten Übermittlungsinstrument⁴.

Auf französischer Seite enthält Version 3.2 des Referenzrahmens SecNumCloud der ANSSI Schutzanforderungen gegenüber der Anwendung dieser extraterritorialen Gesetze¹. Die CNIL stellt klar, dass diese Zertifizierung einen Schutz vor Zugriffen ausländischer Behörden ermöglicht⁵.

Der Angemessenheitsbeschluss zum Data Privacy Framework ist angenommen und gilt für teilnehmende amerikanische Unternehmen⁴. Die DSGVO sieht eine regelmäßige Überprüfung eines Angemessenheitsbeschlusses mindestens alle vier Jahre vor, und die Kommission kann ihn aufheben, ändern oder aussetzen, wenn das Schutzniveau nicht mehr angemessen ist³.

Die europäische Zertifizierung EUCS war im Juli 2024 noch ein Entwurf. Zu diesem Zeitpunkt stellte die CNIL fest, dass der von der ENISA geleitete Entwurf es nicht mehr erlaubte, sicherzustellen, dass der Hosting-Anbieter keiner außereuropäischen Gesetzgebung unterliegt, selbst auf den höchsten Stufen und selbst auf freiwilliger Basis⁵. Sie forderte, Kriterien der Immunität gegenüber außereuropäischen Gesetzen wieder aufzunehmen, angelehnt an SecNumCloud⁵. Diese Frage sollte neu erörtert werden, sobald die neue Europäische Kommission gebildet ist⁵. In Frankreich sieht das von der CNIL genannte Gesetz vom 21. Mai, das sogenannte SREN-Gesetz, vor, dass der Cloud-Dienst bei Daten von besonderer Sensibilität für den Staat Sicherheits- und Datenschutzkriterien umsetzen muss, um jeden Zugriff durch Behörden von Drittstaaten zu verhindern, der nach dem Recht der Union oder eines Mitgliedstaats nicht zulässig ist⁵. Die Doktrin „Cloud au centre“ verlangt ihrerseits von den Behörden, sicherzustellen, dass in der Cloud gehostete Daten „d'une sensibilité particulière“ keinen außereuropäischen Gesetzen unterliegen⁵.