Schlagwort: Cloud-Dienste

Microsoft zieht EU-Datengrenze und verspricht damit eine Speicherung und Verarbeitung von Daten ausschließlich in der EU

7. Mai 2021

Microsoft kündigte in einem Blogbeitrag vom 6. Mai 2021 an, ab Ende 2022 personenbezogene Daten europäischer Kunden nur noch innerhalb der EU zu verarbeiten und speichern. Dies gelte, so Microsoft, für alle zentralen Cloud-Dienste von Microsoft, d.h. Azure, Microsoft 365 und Dynamics 365. Microsoft verspricht mit seinem “EU Data Boundary for the Microsoft Cloud”, d.h. einer EU-Datengrenze für seine Cloud-Lösungen, zukünftig keine Daten seiner Kunden mehr aus der EU heraus transferieren zu müssen. Das Angebot richte sich an Kunden aus dem öffentlichen Sektor und Unternehmenskunden, so der Konzern.

Damit reagiert Microsoft erneut auf das vom Europäischen Gerichtshof (EuGH) im Juli letzten Jahres ergangene Schrems-II-Urteil, dass das Datenschutzabkommen Privacy Shield und damit die rechtliche Grundlage für den Transfer personenbezogener Daten zwischen der EU und den USA wegen ungenügenden Datenschutzes gekippt hat. Nach Ansicht des EuGH haben die USA kein mit der EU vergleichbares Datenschutzniveau. Begründet wird dies insbesondere damit, dass US-Geheimdienste aufgrund des US Gesetzes “Cloud Act” einen umfangreichen Zugriff auf die bei amerikanischen Unternehmen gespeicherten Daten haben.

Geplant ist laut Microsoft in den kommenden Monaten in einen engen Austausch mit seinen Kunden aber auch den Aufsichtsbehörden zu gehen, um damit den Vorschriften zum Schutz der Daten gerecht zu werden. Ob dieses Vorhaben gelingen wird, bleibt abzuwarten. Unklar bleibt auch noch, ob dadurch die Unsicherheiten bei einem Datentransfer zwischen Europa und den USA beseitigt werden kann. Zunächst ist weiterhin der Microsoft-Konzern rechtlich für die Clouddaten verantwortlich. Dies könne laut dem österreichischen Datenschutzaktivist Max Schrems nur dadurch behoben werden, “wenn eine völlig weisungsfreie Einheit in der EU, bei der die Daten bleiben, erreicht würde” – so Schrems gegenüber der Deutschen Presse-Agentur.

Microsoft verweist diesbezüglich auf seine Nutzer selbst. Diese könnten bereits jetzt durch die Verwendung von kundenverwalteten Schlüsseln, die Verschlüsselung ihrer Daten selbst konfigurieren und insbesondere kontrollieren und damit vor einem unzulässigen Zugriff durch staatliche Stellen schützen.

Die Aufsichtsbehörden haben sich zu dem Plan von Microsoft noch nicht geäußert. Vielmehr haben diese erst vor kurzem eine Task-Force eingerichtet, um den Risiken bei der Nutzung von Cloud-Diensten entgegenzuwirken.

Drittstaatenübermittlung: Risiken bei der Nutzung von US-Cloud Anbietern – Datenschutzbehörden richten Task Force ein

17. Februar 2021

Immer wieder verlagern europäische Firmen ihre Daten auf die Server von US Konzernen und das obwohl der Europäische Gerichtshof im Juli letzten Jahres in dem sogenannten Schrems-II-Urteil das Datenschutzabkommen Privacy Shield und damit die rechtliche Grundlage für den Transfer personenbezogener Daten zwischen der EU und den USA wegen ungenügenden Datenschutzes gekippt hat.

Problematisch an diesem Datentransfer und einer Zusammenarbeit mit US-Cloud-Diensten ist insbesondere, dass US-Geheimdienste einen umfangreichen Zugriff auf die bei den amerikanischen Unternehmen gespeicherten Daten haben – und dass auch dann, wenn die Daten in Europa gespeichert werden.

Derzeit ist ein Datentransfer daher nur dann datenschutzrechtlich unbedenklich, solange die beteiligten Unternehmen alternative Lösungen zur Aufrechterhaltung eines angemessenen Datenschutzniveaus verwenden, wie zum Beispiel EU-Standardvertragsklauseln nebst zusätzlicher Garantien. Diese müssen jedoch – im Gegensatz zu einem Transferabkommen – für jeden Verarbeitungsvertrag separat ausgehandelt werden. Dies ist nicht nur aufwendig, sondern in der Praxis auch nur schwer umsetzbar, da in den meisten Fällen mit Amazon, Microsoft oder Google kein individueller Verarbeitungsvertrag geschlossen wird. Aus diesem Grund wünschen sich sowohl Datenschützer als auch die Industrie ein neues Abkommen.

Ein solches ist bislang noch nicht in Sicht. Daher setzen zahlreiche deutsche Unternehmen weiter auf die Lösungen von US-Cloud-Anbietern oder steigen gerade erst auf diese um, statt sich von ihnen zu lösen.

Die deutschen Aufsichtsbehörden wollen nun härter durchgreifen und die Einhaltung der Bestimmungen der Datenschutzgrundverordnung stärker kontrollieren.

Wie das Handelsblatt berichtete, haben die Aufsichtsbehörden zur Cloud-Problematik eine spezielle Task Force eingerichtet. Dabei wollen sie stichprobenartig bundesweit Unternehmen auswählen, bei denen die Vermutung besteht, dass sie Dienstleister aus Drittstaaten verwenden. Die Task Force soll mit deutschen Unternehmen den Einsatz von US-Cloud-Diensten besprechen und gegebenenfalls Alternativen vorschlagen wie z.B. einen Wechsel des Anbieters oder eine Aussetzung der Datenübermittlung. Aber auch die Verhängung von Bußgeldern ist laut den Datenschutzbehörden dann angezeigt, wenn keine zufriedenstellende Lösung gefunden werden kann. Diese können bis zu 20 Mio. Euro betragen oder bis zu 4% des gesamten weltweit erzielten Jahresumsatzes.

Es bleibt daher abzuwarten, wie die Datenschutzbehörden im Rahmen ihrer Task Force vorgehen werden, welche Bußgelder verhängt werden und ab wann eine europäische Lösung für die Frage der Drittsaatenübermittlung gefunden wird.

Entwicklung der europäischen Dateninfrastruktur “GAIA-X”

27. Oktober 2020

Die Speicherung von Daten in Clouds ist nicht nur für private Nutzer interessant, deren lokaler Speicherplatz begrenzt ist oder die sich vor einem ungesicherten Verlust ihrer Daten sorgen. Ähnliche Erwägungen bewegen auch immer mehr Unternehmen dazu, ihre lokale informationstechnische Infrastruktur zu reduzieren und stattdessen auf cloud-basierte Angebote zu setzen.

GAIA-X als Alternative zu amerikanischen Cloud-Diensten?

Doch nicht erst seit der Schrems-II-Entscheidung des EuGH (wir berichteten) rückt immer mehr die Frage des Speicherorts in den Fokus. Auch wenn verschiedene Anbieter versichern, die Daten ihrer Kunden etwa nur auf Servern in der EU oder im EWR zu speichern, ist die Unsicherheit groß, ob auf die Daten nicht doch auch aus Drittstaaten zugegriffen werden kann. Verschiedene europäische Partner aus Verwaltung, Wissenschaft und Wirtschaft haben sich zusammengeschlossen, um eine “europäische” Cloud und Dateninfrastruktur zu entwickeln. Dieses Projekt – GAIA-X genannt – soll insbesondere Unternehmen die Möglichkeit geben, Daten und Dienste unabhängig von nicht-europäischen Anbietern, sicher und vertrauensvoll zu verwalten. Gleichzeitig soll die gemeinsame Infrastruktur und die Nutzung offener Technologien die Wettbewerbsfähigkeit europäischer Unternehmen im globalen Markt erhöhen.

Dieses Ziel soll durch ein “digitales Ökosystem” erreicht werden, in dem zentrale und dezentrale technologische Infrastruktur vernetzt wird. Dieses System soll offen und vernetzt sein, wobei Transparenz im Vordergrund stehe. Zudem sollen Open-Source-Software und Standards zur Verfügung gestellt werden, damit einerseits eine einfache Migration und Interoperabilität von Diensten erfolgen, andererseits durch gemeinsame Werte und Regulierungen ein hoher Sicherheitsstandard gewährleistet werden kann. Weitere Eckpfeiler des Sicherheitsstandards sind Compliance-Regeln sowie Zertifizierungs- und Akkreditierungsangebote.

Ziele des Projekts

Folgende Ziele sind im Rahmen der Projektentwicklung besonders hervorgehoben:

  • Gewährleistung der Datenhoheit
  • Identität von Quelle und Empfänger der Daten zu gewährleisten
  • Implementierung von Zugriffs- und Nutzungsrechten
  • Branchenübergreifende Zusammenarbeit bei Entwicklung innovativer Services
  • Faire und transparente Geschäftsmodelle fördern und Rechtskonformität sicherstellen
  • Entwicklung gemeinsamer Modelle und Regeln für die Datenmonetarisierung

Bisher beteiligen sich mehr als 300 Organisationen aus verschiedenen Ländern – insbesondere aber aus Deutschland und Frankreich – an GAIA-X, darunter Unternehmen wie BMW, Robert Bosch, Deutsche Telekom, PlusServer oder Siemens. Einige der beteiligten Unternehmen haben auch bereits GAIA-X-kompatible Produkte angekündigt. Die Organisatoren des Projekts laden alle Interessierten dazu ein, sich ebenfalls in der Entwicklung zu engagieren. Eine prototypische Umsetzung soll bereits bis Ende 2020 erfolgen.

BfD der evangelischen Kirche zur Nutzung von Microsoft Cloud-Diensten

18. Februar 2020

Der Beauftragte für den Datenschutz (BfD) der Evangelischen Kirche Deutschland hat ein Rundschreiben an alle Landeskirchen und diakonischen Landesverbände verschickt, das Hinweise und Empfehlungen zur datenschutzkonformen Nutzung von Microsoft Cloud-Diensten gibt.

Die Konferenz der Beauftragten für den Datenschutz in der Evangelischen Kirche hatte bereits 2019 die Rahmenbedingungen für einen datenschutzkonformen Einsatz von Microsoft Cloud-Diensten aufgezeigt.

Danach bedarf es folgender Voraussetzungen:

  • Verschlüsselung der Daten
  • Unterbindung von Telemetriedaten mit Bezug auf personenbezogene Daten
  • Abschluss eines Auftragsverarbeitungsvertrags mit Microsoft
  • Abschluss einer Zusatzvereinbarung, mit der sich Microsoft der kirchlichen Datenschutzaufsicht unterstellt

Die Zusatzvereinbarung stellt sicher, dass im Falle einer unrechtmäßigen Datenverarbeitung die kirchliche Aufsichtsbehörde zu informieren ist. Sie ist von Microsoft bereits in mehreren Fällen unterzeichnet worden und dem Rundschreiben des BfD als Anlage ebenfalls beigefügt.

Cloud-Dienste im Test

25. April 2019

Die Stiftung Warentest hat elf Cloud-Anbieter verglichen. Am besten schnitt der deutsche Freemail-Anbieter Web.de mit seinem Online-Speicher ab, knapp gefolgt von der Magentacloud der Telekom.

Es wurden nur Anbieter von kostenfreien, deutschsprachigen und betriebssystemunabhängigen Cloud-Diensten wie Dropbox, OneDrive, Amazon und iCloud verglichen. Das Testergebnis setzt sich aus Noten für die Handhabung (40 % der Wertung), die technischen Funktionen (30 %) und für die Datensicherheit (30 %) zusammen. Einen pauschalen Notenabzug gab es beispielsweise bei Mängeln in der Datenschutzerklärung oder den Nutzungsbedingungen (z.B. nur auf Englisch vorhanden oder für schwammige Verweise) oder wenn Daten von der Smartphone-App an die Cloud mitübertragen wurden, die für die Funktion nicht notwendig sind.

Fünf von elf Anbietern erhielten die Endnote „gut“. Die schlechteste Note für Datensicherheit bekam – trotz Zweitplazierung in der Gesamtwertung – die Magentacloud  der Telekom (2,7). Den letzten Platz in der Gesamtwertung belegte der US-amerikanische Cloud-Dienst Sugarsync mit 3,5. Hier gab es vor allem Mängel beim Übertragen von zusätzlichen Daten an die Cloud und bei den Begleittexten.