Der CLOUD Act: Was Sie wissen müssen

Wo befinden sich meine persönlichen Daten und muss ich mich darum kümmern? Diese Frage wird immer relevanter, während wir uns dem Ende eines digitalen Jahrzehnts nähern und der Beginn eines neuen bevorsteht.

Datenauswirkungen am Ende der 2020er Jahre

Im 20. Jahrhundert war nur wenigen Menschen das Ausmaß des bevorstehenden Kampfes um Daten bewusst. Jeder, der ein Computergerät besitzt und/oder Zugang zum Internet hat, ist an diesem Spiel beteiligt. Der Gewinn umfasst Profit, Einfluss, Kontrolle und die Möglichkeit, hinter den Kulissen auf Informationen über eine Person oder ein Unternehmen zuzugreifen.

Da Unternehmen weiterhin bestrebt sind, sich stärker zu integrieren und mit ihrem Kundenstamm zu vernetzen, steigt der Bedarf an Privatsphäre und Datenschutz. Da es für ein Unternehmen mit einer Webadresse keine klaren Grenzen gibt, ist der Weg für eine Eskalation von internationalem Betrug und Cyberkriminalität geebnet. Dies wiederum öffnet Regierungen Tür und Tor, neue Gesetze zu entwerfen und auf der Suche nach Datenspuren über Grenzen hinwegzugreifen; ihr Handeln wird mit der Notwendigkeit begründet, die Daten von Einzelpersonen zu schützen. Dadurch wird die Kluft zwischen Datenschutz und Datenoffenlegung immer größer. Gleichzeitig schwindet das Territorialitätsprinzip, ein Fundament des Völkerrechts, allmählich.

Der CLOUD Act

Die jüngste Einführung des „Clarifying Lawful Use of Overseas Data Act“ (auch bekannt als CLOUD Act) durch die amerikanische Regierung dient dazu, die Argumente für eine grenzüberschreitende staatliche Überwachung zu stärken. In erster Linie ändert der CLOUD Act den Stored Communications Act (SCA) von 1986. Er ermöglicht es den Bundesstrafverfolgungsbehörden, in den USA ansässige Technologieunternehmen per Durchsuchungsbeschluss oder Vorladung zu zwingen, angeforderte Daten bereitzustellen, die auf Servern gespeichert sind, unabhängig davon, ob die Daten in den USA oder auf ausländischem Boden gespeichert sind. Bis zum 23. März 2018 war die einzige Möglichkeit für die amerikanische Regierung, auf Daten im Ausland zuzugreifen, der Abschluss eines Rechtshilfeabkommens (Mutual Legal-Assistance Treaty), einer Vereinbarung, bei der zwei Länder zustimmen, Informationen auszutauschen und zusammenzuarbeiten, um eine rechtliche Untersuchung zu lösen.

Der CLOUD Act trägt der Datenverschlüsselung gebührend Rechnung. Er hält die Regierung auch davon ab, ihn zu nutzen, um darauf zu bestehen, dass Unternehmen ihre Verschlüsselung lockern. Dies ist ein Prozess, der für die Sicherheit von Daten wesentlich ist. Dennoch halten viele das Gesetz auf einer grundlegenden Ebene für fehlerhaft. Neben anderen Bedenken fällt auf, dass das Gesetz in einer abrupten Art und Weise entworfen wurde. Zudem wurde es ohne eine öffentliche, eingehende Diskussion als Teil des Haushaltsgesetzes der Regierung, dem Omnibus, erlassen. Darüber hinaus ermöglicht der CLOUD Act ausländischen Staaten, ein „Executive Agreement“ mit dem US-Präsidenten, dem Außenministerium oder dem Justizminister abzuschließen und in den USA gespeicherte Daten anzufordern, indem sie sich direkt an Unternehmen wenden und so die staatliche Kontrolle effektiv umgehen. Infolgedessen wurde im Netz eine Welle negativer Reaktionen als Reaktion auf die absehbaren globalen Auswirkungen auf die Menschenrechte und das Völkerrecht ausgelöst.

Anwendung des CLOUD Act

Der CLOUD Act gilt bereits für Technologieunternehmen wie Google, Facebook, Twitter und Instagram. Facebook und Google haben tatsächlich zusammen mit Apple und Microsoft an dem neuen Gesetzesentwurf mitgewirkt. Die Zusammenarbeit der Regierung mit diesen Unternehmen deutet auf eine Verschiebung des Gleichgewichts hin zu den großen Anbietern technischer Lösungen hin. Alle Unternehmen werden in der Verantwortung stehen, einen gesetzlichen Vertreter für Angelegenheiten der Datenoffenlegung zu benennen. Die kleineren Akteure, Start-ups und Innovatoren, könnten ihrerseits mit dem zusätzlichen Verwaltungsaufwand zu kämpfen haben.

Die globale Agenda

Als Folge des Cloud Act hat die Europäische Kommission einen gesetzgeberischen Schritt unternommen, um Datenabfragen zu ermöglichen. Die Kommission wird auch den Weg für die Nutzung elektronischer Beweismittel freimachen, die von in der EU registrierten Unternehmen gespeichert werden, unabhängig von den spezifischen Datenschutzgesetzen der Mitgliedstaaten. Daraus folgt logischerweise, dass das Gesetz eine Kettenreaktion auslösen wird. Andere Länder werden die Gesetze zur Offenlegung von Daten spiegeln und ebenfalls grenzüberschreitende Informationen anfordern. Dies wiederum kann zu einer allgemeinen Verschlechterung des Datenschutzniveaus auf der ganzen Welt führen.

Was bedeutet das für CloudSigma?

CloudSigma hat eine einzigartige Position inmitten einer Welle der Unsicherheit, die sich um den Cloud Act herum aufbaut. CloudSigma isoliert jeden Cloud-Standort, den es betreibt, wo auch immer auf der Welt er sich befindet. Beispielsweise betreibt eine australische Einheit ihre Standorte in Australien. Sie unterliegen daher ausschließlich australischem Recht. Ebenso unterliegen die Schweizer Standorte weder der EU, den USA noch einer anderen Gerichtsbarkeit außer der Schweiz. Daher können CloudSigma-Kunden leicht kontrollieren, unter welchen Gerichtsbarkeiten sie operieren.

Darüber hinaus können Kunden sicherstellen, dass sie selbst die relevanten Datenschutzanforderungen, denen sie unterliegen können. Dies steht in starkem Kontrast zum globalisierten Ansatz vieler anderer Anbieter. Dieser Ansatz setzt Kunden potenziell zahlreichen Gerichtsbarkeiten aus, einschließlich der USA und anderen Ländern. So könnten Daten gegen ihren Willen und unter Verstoß gegen lokale Datenschutzgesetze zugänglich sein. Infolgedessen könnten die Daten sie wiederum ohne eigenes Verschulden einer Haftung aussetzen. Ein solches Szenario ist durch die Nutzung eines Anbieters wie CloudSigma vermeidbar.