Drittlandübermittlung bei Cloud-Anbietern: Was bei US-Konzernen zu prüfen ist

Auch wenn Ihre Daten in einem Rechenzentrum in Deutschland oder der EU liegen, kann eine Übermittlung in ein Drittland vorliegen, etwa wenn der Anbieter zu einem Konzern außerhalb der EU gehört, Support-Personal in einem Drittland Zugriff hat oder Unterauftragnehmer dort sitzen. Die DSGVO erlaubt solche Übermittlungen nur mit einer Rechtsgrundlage nach Art. 44 ff. DSGVO. Für die USA kommt seit dem Beschluss der EU-Kommission vom Juli 2023 das EU-U.S. Data Privacy Framework in Betracht, sofern der Empfänger zertifiziert ist. Dieser Guide erklärt, wie Sie die Lage strukturiert prüfen. Er ersetzt keine Rechtsberatung, und Sie sollten den aktuellen Stand vor Ihrer Entscheidung bei den Aufsichtsbehörden prüfen.

Was ist eine Drittlandübermittlung?

Eine Übermittlung liegt vor, wenn personenbezogene Daten einem Empfänger in einem Land außerhalb des Europäischen Wirtschaftsraums zugänglich gemacht werden. Dazu zählt nicht nur die Speicherung, sondern auch der Fernzugriff, beispielsweise durch einen Administrator in einem Drittland. Für Cloud Hosting bedeutet das: Der Speicherort allein entscheidet nicht. Fragen Sie auch, wer von wo aus auf Systeme und Daten zugreifen darf.

Mögliche Rechtsgrundlagen

Das Data Privacy Framework

Das EU-U.S. Data Privacy Framework ermöglicht Datenübermittlungen an US-Unternehmen, die sich zertifiziert haben, ohne dass zusätzliche Garantien nötig sind. Sie können die Zertifizierung eines Empfängers in der öffentlichen Liste prüfen. Der Rahmen war und ist Gegenstand rechtlicher Auseinandersetzungen, nachdem frühere Regelungen vom Europäischen Gerichtshof für ungültig erklärt worden waren. Prüfen Sie deshalb vor jeder Entscheidung den aktuellen Rechtsstand auf den Seiten der Europäischen Kommission, des Europäischen Datenschutzausschusses und der deutschen Aufsichtsbehörden und planen Sie ein, die Bewertung regelmäßig zu wiederholen.

Transfer-Folgenabschätzung

Verlassen Sie sich auf Standardvertragsklauseln, müssen Sie nach der Rechtsprechung des Europäischen Gerichtshofs prüfen, ob das Recht im Zielland die Wirksamkeit der Klauseln beeinträchtigt, und bei Bedarf zusätzliche Maßnahmen ergreifen. Eine solche Abschätzung dokumentiert typischerweise:

1. Welche Daten übermittelt werden und wie sensibel sie sind
2. Wer Empfänger ist und welche Zugriffsmöglichkeiten bestehen
3. Welche gesetzlichen Zugriffsrechte staatlicher Stellen im Zielland gelten
4. Welche technischen Maßnahmen das Risiko senken, etwa Verschlüsselung mit Schlüsseln unter Ihrer Kontrolle
5. Das Ergebnis und die Begründung der Entscheidung

Technische Schutzmaßnahmen

Verschlüsselung kann das Risiko erheblich senken, wenn der Anbieter keinen Zugriff auf die Schlüssel hat. Wichtig ist, wo Schlüssel liegen und wer sie verwalten kann. Prüfen Sie:

• Verschlüsselung auf Anwendungsebene, bevor Daten die Plattform erreichen
• Eigene Schlüsselverwaltung (Customer-managed Keys) statt anbietereigener Schlüssel
• Pseudonymisierung oder Minimierung der gespeicherten Daten
• Zugriffsprotokolle und Freigabeprozesse für Support-Zugriffe

Organisatorische Optionen

Wenn die rechtliche Prüfung aufwendig oder unsicher ist, können Sie das Risiko durch die Anbieterwahl verringern: Anbieter mit Sitz in der EU ohne Konzernbezug zu Drittländern, klare Vertragsregeln zu Support-Zugriffen oder die Beschränkung des Cloud-Einsatzes auf Daten ohne Personenbezug. Auch eine Aufteilung ist denkbar: sensible Daten bei einem EU-Anbieter, weniger sensible Dienste bei einem anderen. Vergleichen Sie dazu die Anbietertypen.

Vorgehen in der Praxis

1. Datenarten und Schutzbedarf bestimmen.
2. Vom Anbieter Standorte, Unterauftragnehmer und Zugriffsmöglichkeiten erfragen.
3. Rechtsgrundlage dokumentieren, bei Zertifizierung unter dem Data Privacy Framework die Zertifizierung prüfen.
4. Bei Standardvertragsklauseln eine Transfer-Folgenabschätzung durchführen.
5. Technische Maßnahmen festlegen und umsetzen.
6. Entscheidung dokumentieren und jährlich oder bei Rechtsänderungen überprüfen.
7. Verträge und Verzeichnis der Verarbeitungstätigkeiten anpassen, siehe DSGVO-Guide.

Häufige Fehler

• Anzunehmen, ein EU-Rechenzentrum schließe jede Drittlandproblematik aus.
• Die Zertifizierung unter dem Data Privacy Framework nicht zu prüfen oder nicht zu dokumentieren.
• Zusatzmaßnahmen zu beschreiben, die im Alltag nicht umgesetzt werden.
• Rechtsänderungen nicht zu beobachten und die Bewertung nie zu aktualisieren.
• Keine Alternative zu betrachten, falls ein Rechtsrahmen wegfällt.

Wann Sie Fachleute einbeziehen sollten

Datenübermittlungen in Drittländer sind ein komplexes und sich wandelndes Rechtsgebiet. Bei sensiblen Daten, großen Mengen oder Konzernstrukturen sollten Sie Datenschutzbeauftragte oder spezialisierte Anwälte einbinden und den Kontakt zur zuständigen Aufsichtsbehörde nicht scheuen.

Häufige Fragen

Ist ein US-Anbieter mit Rechenzentrum in Frankfurt zulässig?

Das kann zulässig sein, wenn Rechtsgrundlage, Vertrag und Maßnahmen stimmen. Der Standort Frankfurt löst die Frage von Fernzugriffen und Konzernstruktur nicht automatisch. Prüfen Sie den Einzelfall.

Brauche ich bei zertifizierten Anbietern noch eine Transfer-Folgenabschätzung?

Bei einer Übermittlung auf Grundlage des Angemessenheitsbeschlusses ist sie in der Regel nicht erforderlich. Die Zertifizierung des Empfängers sollten Sie jedoch prüfen und dokumentieren.

Wie oft sollte ich die Bewertung überprüfen?

Mindestens bei Änderungen des Rechtsrahmens, beim Wechsel von Unterauftragnehmern und regelmäßig, etwa jährlich.

Quellen und weiterführende Informationen

• Europäische Kommission — Beschlüsse und Informationen zu Datenübermittlungen
• Europäischer Datenschutzausschuss (EDSA) — Leitlinien zu Übermittlungen in Drittländer
• Bundesbeauftragte für den Datenschutz und die Informationsfreiheit — Informationen für Unternehmen
• Datenschutzkonferenz — Orientierungshilfen der deutschen Aufsichtsbehörden