![Behördenzugriff auf Nutzerdaten – CLOUD Act, DSGVO, E-Evidence-VO Behördenzugriff auf Nutzerdaten – CLOUD Act, DSGVO, E-Evidence-VO](https://www.haufe.de/image/cloud-sicherheit-237850-3.jpg?trafo=21x10&width=300&digest=MgY6BBrOUduAkxmICl9GVm4mwSSp6x_2kiTHlBNf7Hg%3D)
CLOUD Act in Kraft, E-Evidence-VO und Durchführungsabkommen in Verhandlung
Die USA beschlossen im März 2018 den „Clarifying Lawful Overseas USE of Data Act“ („CLOUD Act“). Der CLOUD Act resultierte aus dem damals laufenden Supreme Court Verfahren zwischen den USA und der Microsoft Corporation im „Microsoft Ireland Case“ und trat noch vor der gerichtlichen Entscheidung und ohne internationale Rücksprachen in Kraft.
US-Behörden dürfen auf Nutzerdaten der Unternehmen zugreifen
Der neu eingefügte § 2713 in Chapter 121 des 18. US Codes berechtigt US-Behörden weltweit auf von US-Unternehmen (Anbieter elektronischer Kommunikations- oder Cloud-Dienste) gespeicherte Nutzerdaten, einschließlich personenbezogene Daten, zuzugreifen. Dies gilt unabhängig davon, ob sich die Server innerhalb oder außerhalb der USA befinden (grenzüberschreitend) und erfolgt durch direkte Anordnung (Direktzugriff) an die betroffenen Unternehmen.
Eine vorherige Überprüfung durch Gerichte oder Behörden des Staates, in dem sich die Server befinden, ist nicht vorgesehen.
Auch EU plant Behördenzugriff auf in Unternehmen gespeicherte Nutzerdaten
Die EU-Kommission schlug indes im April 2018 die „Verordnung über Europäische Herausgabeanordnungen und Sicherungsanordnungen für elektronische Beweismittel in Strafsachen“ (E-Evidence-VO) vor, um EU-Behörden (ebenfalls durch schlichte Herausgabeanordnung) grenzüberschreitenden Direktzugriff auf sämtliche von EU-Unternehmen gespeicherte Nutzerdaten zu ermöglichen.
Betroffen sind Unternehmen, die elektronische Kommunikationsdienste oder Dienste der Informationsgesellschaft, einschließlich soziale Netzwerke, Online-Marktplätze und andere Hosting-Dienste, erbringen.
CLOUD Act bereits in Kraft getreten ist, E-Evidence-VO wird verhandelt
Während der CLOUD Act bereits in Kraft getreten ist, wird über die E-Evidence-VO noch verhandelt. Der derzeitige Entwurf wird von deutschen Mitgliedsvertretern aufgrund fehlenden Grundrechtsschutzes, insbesondere bei der Herausgabe von Inhaltsdaten, stark kritisiert. Das Trilog-Verfahren soll voraussichtlich Ende 2019 erfolgen.
Im Juni 2019 beauftragte der Rat der EU die EU-Kommission damit, ein bilaterales Durchführungsabkommen mit den USA auszuhandeln. Dieses soll insbesondere Rechtsklarheit darüber schaffen, wann ein Unternehmen in der EU einer Herausgabeanordnung auf Grundlage des CLOUD Acts nachkommen muss und dadurch nicht gegen Gesetze der EU oder des Mitgliedsstaates verstößt.
Zeitnahes Durchführungsabkommen zur Datenherausgabe an US-Behörden notwendig
Trotz der Kritik, die EU-Mitgliedsstaaten haben sich noch nicht auf eigene Regelungen bezüglich des grenzüberschreitenden Direktzugriffs auf Daten einigen können, besteht eine besondere Dringlichkeit dafür, das Durchführungsabkommen mit den USA zeitnah abzuschließen.
Denn problematisch ist, dass Art. 48 der Datenschutz-Grundverordnung für die rechtmäßige Herausgabe personenbezogener Daten an staatliche Stellen eines Drittlandes grundsätzlich ein Rechtshilfeabkommen oder eine ähnliche Übereinkunft zwischen Drittland und der EU oder dem betreffenden Mitgliedstaat verlangt.
Das bereits bestehende Rechtshilfeabkommen zwischen der EU und den USA kann hierfür nicht herangezogen werden, da dieses kaum Regeln zum Datenschutz enthält. Dies wurde durch das European Data Protection Board (EDPB) und den European Data Protection Supervisor (EDPS) in ihrer unverbindlichen Stellungnahme vom Juli 2019 bestätigt. Ohne ein solches Abkommen bedarf es einer Rechtfertigung für die Datenübermittlung nach Art. 6 und 49 DSGVO.
Inwieweit die Herausgabe der Nutzerdaten an US-Behörden auf Art. 6 und 49 DSGVO gestützt werden kann, ist jedoch unklar. Entgegen einiger Stimmen, die eine Datenherausgabe an US-Behörden für rechtmäßig halten, da dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sei (Art. 49(1)(e) DSGVO), sind EDPB und EDPS der Auffassung, die Herausgabe könne grundsätzlich nur auf Art. 6 und 49 DSGVO gestützt werden, um lebenswichtige Interessen des Betroffenen zu schützen. Diese strenge Auffassung macht es jedoch schwierig, den CLOUD Act und die DSGVO in Einklang zu bringen.
Was sollen Unternehmen bei Behördenanfragen nach Nutzerdaten tun?
Betroffene Unternehmen stehen daher vor besonderen Herausforderungen. Eine Lösung des Dilemmas ist jedenfalls bis zum Abschluss des Durchführungsabkommens nicht absehbar. Sich als Kunde für ein Unternehmen zu entscheiden, das nicht vom CLOUD Act betroffen ist, kann regelmäßig nicht die Lösung sein.
Insbesondere für global tätige Unternehmen ist es zur Wahrung ihrer Globalität notwendig und gefragt, die Leistungen internationaler Hyperscale Cloud Provider in Anspruch zu nehmen. Auch ist es wenig erfolgsversprechend, von einem betroffenen Unternehmen eine – etwa im Vertrag zur Auftragsverarbeitung verschriftlichte – Garantie dafür zu verlangen, keine personenbezogenen Daten in ein Drittland zu übermitteln.
Kunden sollten sich daher darauf konzentrieren ein Unternehmen als Partner auszuwählen, das effiziente Datensicherungsmaßnahmen ergreift, Transparenz über den Speicherort der Daten und die Datenflüsse bietet und offen dafür ist, sich bei Herausgabeanordnungen für ihre Kunden einzusetzen und sie mit notwendigen Informationen auf dem Laufenden zu halten.
-
Wohnrecht auf Lebenszeit trotz Umzugs ins Pflegeheim?
2.0272
-
Überbau und Konsequenzen – wenn die Grenze zum Nachbargrundstück ignoriert wurde
1.993
-
Brief- und Fernmelde-/ Kommunikationsgeheimnis: Was ist erlaubt, was strafbar?
1.704
-
Gerichtliche Ladungen richtig lesen und verstehen
1.597
-
Einbau von Klimaanlage bei Eigentumswohnung: Anspruch auf Zustimmung?
1.320
-
Formwirksamkeit von Dokumenten mit eingescannter Unterschrift
1.1721
-
Verdacht der Befangenheit auf Grund des Verhaltens des Richters
1.106
-
Wann muss eine öffentliche Ausschreibung erfolgen?
1.033
-
Voraussetzungen und Fristen für die Wiedereinsetzung
1.027
-
Welche Maßnahmen drohen beim Ausbleiben der Partei?
1.022
-
Strafanträge sind jetzt digital möglich
16.08.2024
-
Reform: Erstellung öffentlicher Urkunden künftig elektronisch
23.05.2024
-
Neues Selbstbestimmungsgesetz soll kurzfristig in Kraft treten
22.04.2024
-
EM in Deutschland: „Public Viewing“ bis in die Nacht
11.04.2024
-
Brief- und Fernmelde-/ Kommunikationsgeheimnis: Was ist erlaubt, was strafbar?
19.03.2024
-
Wann muss eine öffentliche Ausschreibung erfolgen?
05.03.2024
-
Wichtige Grundsätze des BGH zum Zeugnisverweigerungsrecht
07.02.2024
-
Reform des BND-Gesetzes spätestens zum 1. Januar 2024
25.09.2023
-
Bundesregierung beschließt neues Staatsangehörigkeitsrecht
14.09.2023
-
Bundesjustizminister plant Bürokratieentlastungsgesetz
11.09.2023