Datensouveränität und der CLOUD Act: warum die EU zählt
Was ist der CLOUD Act und was bedeutet er für Ihre E-Mail?
Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ist ein US-Gesetz aus dem Jahr 2018. Kurz gesagt kann es Anbieter, die dem US-Recht unterliegen, verpflichten, Daten an US-Behörden herauszugeben, unabhängig davon, ob diese Daten in den USA oder außerhalb gespeichert sind.
Für E-Mail ist der Kern davon: der physische Standort der Server ist nicht ausschlaggebend. Unterliegt Ihr Anbieter dem US-Recht, dann kann diese Gesetzgebung theoretisch eine Rolle spielen, auch wenn die Daten in einem europäischen Rechenzentrum liegen. Genau deshalb sind "wo liegen meine Daten" und "welchem Recht unterliegt mein Anbieter" zwei verschiedene Fragen.
Warum es darauf ankommt
Für alle, die mit vertraulichen Daten arbeiten, ist das keine Theorie. Ein Arzt, Anwalt oder Buchhalter hat oft eine Pflicht zur Verschwiegenheit und Sorgfalt. Wenn eine ausländische Behörde theoretisch Zugriff auf Daten verlangen kann, die Sie verwalten, kollidiert das mit dem Versprechen, das Sie Ihren Kunden oder Patienten geben.
Datensouveränität ist die Idee, dass Ihre Daten dem Recht der Rechtsordnung unterliegen, für die Sie sich entscheiden, und nicht dem eines Landes, mit dem Sie nie etwas zu tun haben. Für europäische Organisationen bedeutet das: unter der DSGVO, mit den dazugehörigen Garantien. Sobald eine andere Rechtsordnung mitspielen kann, verlieren Sie einen Teil dieser Sicherheit.
Es gibt auch eine praktische Seite. Kunden und Aufsichtsbehörden fragen immer häufiger, wo Ihre Daten liegen und welchem Recht sie unterliegen. "Bei einem europäischen Anbieter, unter der DSGVO" ist eine Antwort, die Vertrauen schafft. "Das weiß ich eigentlich nicht" ist es nicht.
Wie es funktioniert
Stellen Sie sich einen Tresor vor, der in Rotterdam steht, aber einem Unternehmen in New York gehört. Der Tresor steht physisch in den Niederlanden, aber der Eigentümer unterliegt US-Regeln. Bittet eine US-Behörde den Eigentümer um den Inhalt, spielt US-Recht mit, trotz des Standorts des Tresors. So ungefähr funktioniert es mit Daten bei einem Anbieter unter US-Recht.
Die umgekehrte Situation gibt Ruhe. Liegt Ihre E-Mail bei einem Anbieter, der vollständig dem europäischen Recht unterliegt, mit Servern in Europa, dann ist der anwendbare Rahmen die DSGVO. Ausländische Behörden haben dann keinen einfachen Weg über den Anbieter; der Zugriff läuft über europäische Rechtsrahmen und die Zusammenarbeit zwischen Ländern. Das macht das Bild für Sie ein gutes Stück vorhersehbarer.
Möchten Sie den Unterschied zwischen beiden Welten breiter betrachten, lesen Sie Europäisches vs. amerikanisches E-Mail-Hosting.
Beachten Sie aber: hier geht es darum, was theoretisch möglich ist, nicht darum, was täglich geschieht. Die meisten Menschen bekommen es nie mit einer konkreten Anfrage zu tun. Der Punkt ist die Sicherheit im Voraus: bei einem Anbieter unter europäischem Recht wissen Sie, welchen Regeln Sie unterliegen und welche Garantien gelten. Für alle, die beruflich Verschwiegenheit garantieren müssen, ist diese Vorhersehbarkeit oft wichtiger als die Wahrscheinlichkeit, dass es je schiefgeht. Sie bauen Ihre Vereinbarungen schließlich auf dem auf, was möglich ist, nicht auf Glück.
Worauf Sie achten sollten
Ein paar Aufmerksamkeitspunkte und Missverständnisse:
- "Meine Daten liegen in Europa, also bin ich auf der sicheren Seite." Nicht unbedingt. Der Datenstandort zählt, aber wenn der Anbieter dem US-Recht unterliegt, kann Gesetzgebung wie der CLOUD Act trotzdem mitspielen. Fragen Sie auch nach der Rechtsordnung des Anbieters, nicht nur nach dem Serverstandort.
- "Das ist nur etwas für große Unternehmen." Die Regeln rund um Sorgfalt und Vertraulichkeit gelten für jeden, der mit fremden Daten arbeitet, auch für eine kleine Praxis oder einen Verein.
- Beim Anbieter nicht nachhaken. Ein zuverlässiger Anbieter gibt eine klare Antwort auf die Frage, wo Ihre Daten liegen und welchem Recht sie unterliegen. Bekommen Sie keine klare Antwort, ist das an sich schon ein Signal.
- Denken, es sei ein technisches Detail. Es ist eine Entscheidung über Recht und Verfügungsgewalt. Für sensible Daten wiegt diese Entscheidung genauso schwer wie die Technik.
Dies sind allgemeine Aufmerksamkeitspunkte, kein abschließendes rechtliches Urteil für Ihre Situation. Ziehen Sie im Zweifel einen Spezialisten zurate.
Und bei Mailflux
Mailflux hostet Ihre E-Mail in Europa, DSGVO-konform, auf Ihrer eigenen Domain. Das bedeutet, dass Ihre Nachrichten den europäischen Datenschutzregeln unterliegen und dass Sie ohne Umschweife erklären können, wo Ihre Daten liegen. Zweifeln Sie, wo Ihre Mail eigentlich landet, hilft Ihnen wo liegt meine E-Mail weiter.
In jedem Tarif enthalten sind verschlüsselte Verbindungen, Filterung gegen Spam, Phishing und Malware, automatische Backups und optional Zwei-Faktor-Authentifizierung. Ihre Inhalte werden nicht für Werbung gescannt. So behalten Sie selbst die Kontrolle über Ihre Korrespondenz und die Sicherheit über das darauf anwendbare Recht. Mehr dazu unter Europäisches E-Mail-Hosting auf Ihrer eigenen Domain.
FAQ
Häufig gestellte Fragen
Betrifft mich der CLOUD Act als europäischer Nutzer?
Indirekt kann das sein. Nutzen Sie einen Anbieter, der dem US-Recht unterliegt, dann kann der CLOUD Act bei Anfragen von US-Behörden eine Rolle spielen, auch wenn Ihre Daten in Europa liegen. Bei einem Anbieter, der vollständig dem europäischen Recht unterliegt, ist dieses Risiko kleiner. Ziehen Sie im Zweifel einen Spezialisten zurate.
Sind Daten in einem europäischen Rechenzentrum immer vor ausländischem Zugriff sicher?
Der Standort hilft, ist aber nicht die ganze Geschichte. Was auch zählt, ist, welcher Rechtsordnung der Anbieter unterliegt. Ein europäischer Serverstandort bei einem Anbieter unter US-Recht bietet weniger Sicherheit als ein Anbieter, der vollständig unter europäischem Recht operiert.
Was bedeutet Datensouveränität genau?
Datensouveränität bedeutet, dass Ihre Daten dem Recht der Rechtsordnung unterliegen, die Sie wählen, statt ausländischer Gesetzgebung. Für europäische Organisationen läuft das auf die DSGVO hinaus, mit den dazugehörigen Garantien darüber, wie mit personenbezogenen Daten umgegangen wird.