Hintergrund
Wo Ihre Daten liegen — und wer darauf zugreifen kann
Ein Blick auf internationale Herausgabepflichten und darauf, warum der Serverstandort allein die Frage nicht beantwortet.
Der sogenannte CLOUD Act („Clarifying Lawful Overseas Use of Data Act") ist ein US-Bundesgesetz aus dem Jahr 2018. Es regelt, dass US-Behörden unter bestimmten Voraussetzungen von Unternehmen, die dem US-Recht unterliegen, die Herausgabe von Daten verlangen können, die sich in deren Besitz, Obhut oder Kontrolle befinden — und zwar unabhängig davon, in welchem Land diese Daten gespeichert sind. Für die Frage, ob eine Herausgabepflicht besteht, kommt es also nicht in erster Linie auf den Standort des Rechenzentrums an, sondern darauf, welchem Recht das kontrollierende Unternehmen unterliegt.
Hintergrund war ein länger währender Rechtsstreit über E-Mails, die auf Servern innerhalb der EU lagen und die US-Ermittler herausverlangten. Bevor eine höchstrichterliche Entscheidung erging, schuf der US-Gesetzgeber mit dem CLOUD Act eine ausdrückliche gesetzliche Grundlage.
Wen es betrifft
Betroffen sind grundsätzlich Anbieter, die dem US-Recht unterliegen, und damit die von ihnen bereitgestellten Dienste — etwa Cloud-Speicher, Office- und Kollaborationsplattformen, E-Mail-Dienste oder Rechenzentrumsleistungen. Auch europäische Rechenzentren und vertragliche Zusicherungen zur Datenhaltung in der EU ändern an dieser Rechtslage im Grundsatz nichts, weil nicht der Speicherort, sondern die Kontrolle über die Daten maßgeblich ist. Anbieter selbst haben in öffentlichen Anhörungen eingeräumt, einen behördlichen Zugriff nicht vollständig ausschließen zu können.
Eine wichtige Unterscheidung: lokal betriebene Software
Zu unterscheiden ist zwischen Software, die auf Ihrer eigenen Hardware läuft, und Diensten, bei denen Daten beim Anbieter liegen. Daten, die ausschließlich lokal in Ihrer eigenen Infrastruktur gespeichert sind, befinden sich regelmäßig nicht in der Kontrolle eines Anbieters — er kann sie folglich auch nicht herausgeben. Relevant wird die Frage dort, wo Daten den eigenen Bereich verlassen: bei Cloud-Diensten, anbieterseitigen Benutzerkonten, automatischer Synchronisation oder Telemetriedaten.
Der Konflikt mit der DSGVO
Aus europäischer Sicht stellt eine solche Herausgabe eine Datenübermittlung dar, für die die DSGVO eigene Anforderungen kennt: Artikel 48 DSGVO sieht für Herausgabeverlangen von Behörden aus Drittstaaten grundsätzlich den Weg über ein Rechtshilfeabkommen vor. Anbieter, die beiden Rechtsordnungen unterliegen, können damit in eine Spannungslage geraten. Für Verantwortliche, die besonders sensible Daten verarbeiten, verbleibt ein Restrisiko, das sich vertraglich nicht in jedem Fall vollständig ausschließen lässt.
Was das für IC27 Evo KI bedeutet
IC27 Evo KI läuft in Ihrer eigenen IT — die Verfahrensdaten bleiben dort, wo Sie sie verantworten. Für die KI-Funktionen gilt: Personenbezogene und datenschutzkritische Inhalte werden ausschließlich von europäischen Modellen innerhalb der EU verarbeitet; für rein technische Aufgaben ohne Personenbezug können Sie das Modell frei wählen. So behalten Sie die Entscheidung darüber, welche Daten wohin gelangen.