Datensouveränität und digitale Abhängigkeit
Ein Rechenzentrum in der EU beantwortet die Frage nicht. Maßgeblich ist, wer auf die Daten zugreifen kann und welchem Recht dieser Zugriff unterliegt.
Souveränität ist in der Diskussion oft ein Bekenntnis. Rechtlich ist sie eine Zusammensetzung aus mehreren Fragen, die sich getrennt beantworten lassen und unterschiedlich schwer wiegen.
Vier Ebenen, die auseinanderzuhalten sind
- RechtAnbieter und Konzern unterliegen jeweils einem eigenen Recht. Eine Herausgabepflicht daraus lässt sich vertraglich nicht abbedingen.
- ZugriffIm Klartext arbeiten können Administratoren, Support und Unterauftragnehmer. Der Ort der Speicherung sagt darüber nichts.
- BetriebBetrieb, Aktualisierung und Überwachung liegen häufig beim Anbieter. Ein Modell, das ohne ihn nicht funktioniert, erzeugt Abhängigkeit unabhängig vom Vertrag.
- AusstiegÜber die Schwere eines Wechsels entscheiden Datenformate, Schnittstellen, Migrationsaufwand und Fristen. Erst sie zeigen, ob eine Alternative real ist.
Was hilft und was nur beruhigt
Wirkt
- Schlüsselhoheit auf eigener Seite, ohne dass der Anbieter im Klartext arbeiten kann
- Begrenzung des Fernzugriffs mit Protokollierung und Freigabe im Einzelfall
- Vertraglich zugesicherte Rückgabe in einem dokumentierten Format, mit Frist
- Offene Schnittstellen und Standards, damit eine Alternative technisch möglich bleibt
Wirkt kaum
- Ein Rechenzentrum in der EU bei fortbestehender Konzernbindung an einen Drittstaat
- Zusicherungen, fremdem Recht nicht zu folgen, die der Anbieter nicht einhalten könnte
- Verschlüsselung, deren Schlüssel beim Anbieter liegen
- Bekenntnisse zur Souveränität ohne entsprechende Klausel im Vertrag
Abgrenzung zum Datenschutz
Souveränität und Datenschutz überschneiden sich, sind aber nicht dasselbe. Der Drittlandtransfer ist eine datenschutzrechtliche Frage mit eigenen Instrumenten. Wie sie zu beantworten ist, steht unter Drittlandtransfer. Die Frage der Souveränität stellt sich darüber hinaus auch dort, wo gar keine personenbezogenen Daten betroffen sind, etwa bei Konstruktionsdaten oder Quelltext.
In die Beschaffung übersetzt
- Welche Daten sind so kritisch, dass ein fremder Zugriff das Vorhaben scheitern ließe?
- Welche Konzernstruktur steht hinter dem Anbieter und welchem Recht folgt sie?
- Wer hat administrativen Zugriff, aus welchen Ländern und wird das protokolliert?
- Wo liegen die Schlüssel und wer kann sie technisch erlangen?
- Welche Ausstiegsrechte, Fristen und Formate stehen im Vertrag?
- Gibt es eine Alternative, die im Bedarfsfall in vertretbarer Zeit erreichbar wäre?
Souveränität als Anforderung formulieren?
Wir übersetzen den Anspruch in Kriterien und Klauseln, die im Vertrag halten.
Anforderungen schärfenHäufige Fragen
Reicht es nicht, wenn die Daten in der EU liegen?
Der Ort der Speicherung ist nur einer von mehreren Faktoren. Unterliegt der Anbieter oder seine Muttergesellschaft dem Recht eines Drittstaats, kann dort eine Herausgabepflicht bestehen, unabhängig davon, wo die Daten physisch liegen. Hinzu kommt der Fernzugriff aus dem Support. Beides ist getrennt zu betrachten.
Löst Verschlüsselung das Problem?
Nur wenn der Anbieter die Schlüssel nicht hat und sie technisch auch nicht erlangen kann. Verschlüsselung, deren Schlüssel beim Anbieter liegen oder in dessen Umgebung verarbeitet werden, verlagert das Problem, sie beseitigt es nicht. Zu klären ist, wer im Klartext arbeiten kann und wann.
Welcher Vertragspunkt entscheidet über die Verhandlungsposition?
Der Ausstieg. Ein Rückgabeanspruch in gängigem Format und vertretbarer Zeit schafft die eigene Verhandlungsposition. Ohne diese Regelung geht jede Preiserhöhung aus der schwächeren Lage über die Bühne. Der Vertrag nimmt sie deshalb auf, bevor sie gebraucht wird, nicht danach.