Datensouveränität: Ihre Daten in der EU, nicht außerhalb Ihrer Kontrolle
Souveräne Daten in der EU, ohne Zugriff nach dem US CLOUD Act. Wir betreiben unsere souveräne Cloud in einem Rechenzentrum innerhalb der Europäischen Union, unter der Jurisdiktion eines EU-Mitgliedstaates.
Beratung vereinbarenWas Datensouveränität wirklich bedeutet
Datensouveränität beantwortet eine einzige praktische Frage: Wer hat die tatsächliche Kontrolle über Ihre Daten und nach welchem Recht wird über den Zugriff darauf entschieden? Das ist nicht dasselbe wie der Standort des Servers.
Wo die Daten physisch liegen
Die Datenresidenz beschreibt ausschließlich den geografischen Speicherort. Sie sagt Ihnen, dass Ihre Daten in Frankfurt, Amsterdam oder Prag liegen. Sie sagt jedoch nichts darüber aus, wer rechtlich zur Herausgabe der Daten gezwungen werden kann und nach welcher Rechtsordnung eine solche Anordnung zu beurteilen ist.
Wessen Recht auf die Daten anwendbar ist
Die Datensouveränität umfasst die Jurisdiktion des Anbieters, seine Eigentümerstruktur und das auf den Vertrag anwendbare Recht. Erst diese Kombination bestimmt, wer tatsächlichen Zugriff auf Ihre Daten hat und welche außereuropäischen Vorschriften den Anbieter erreichen können.
Warum der Datenstandort allein nicht genügt
Unternehmen fragen zu Recht, ob es genügt, dass ein Anbieter ein Rechenzentrum in der Europäischen Union betreibt. Die Antwort ist sachlich: Für die DSGVO ist nicht der Standort des Servers maßgeblich, sondern die Frage, ob den Anbieter das Recht eines Drittlandes erreicht. Ein Rechenzentrum in der EU schützt Sie nicht, wenn der Betreiber einer US-Konzernmutter gehört.
Die DSGVO gilt in der gesamten EU identisch
Die DSGVO ist eine Verordnung, also ein unmittelbar anwendbarer Rechtsakt mit identischem Wortlaut in allen Mitgliedstaaten. Eine Verarbeitung in der Tschechischen Republik ist eine Verarbeitung innerhalb der Europäischen Union. Es handelt sich nicht um eine Drittlandsübermittlung, Sie benötigen weder Standardvertragsklauseln noch zusätzliche Maßnahmen nach Schrems II. Für Ihr Verzeichnis von Verarbeitungstätigkeiten ist der Fall damit deutlich einfacher als bei einem US-Anbieter mit Standort in der EU.
Eine tschechische GmbH unterliegt nicht dem US CLOUD Act
Your Technology ist eine tschechische GmbH nach tschechischem Recht, ohne US-Muttergesellschaft. Der US CLOUD Act erfasst Anbieter, die der Jurisdiktion der Vereinigten Staaten unterliegen. Die europäischen Gesellschaften der US-Hyperscaler (Microsoft, Amazon Web Services, Google) sind Tochtergesellschaften amerikanischer Konzerne und unterliegen dieser Jurisdiktion daher auch dann, wenn die Daten physisch in einem Rechenzentrum innerhalb der Europäischen Union liegen. Maßgeblich ist die Kontrolle über den Anbieter, nicht der Standort des Servers. Genau an dieser Stelle entscheidet sich Datensouveränität, und genau hier unterscheiden wir uns.
Vertragsverhältnis nach dem Recht eines EU-Mitgliedstaates
Dienstleistungsvertrag, SLA und Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO unterliegen dem Recht eines EU-Mitgliedstaates, der Gerichtsstand bleibt in der EU. Sie setzen Ihre Ansprüche in einem europäischen Rechtsumfeld durch und nicht über eine ausländische Konzerngesellschaft.
Häufig niedrigere Gesamtkosten bei gleicher Compliance
Die Betriebskosten in der Tschechischen Republik liegen in der Regel unter denen vergleichbarer Anbieter in Westeuropa, während der Rechtsrahmen derselbe ist. Für dasselbe Schutzniveau nach der DSGVO zahlen Sie damit meist weniger, ohne Kompromisse bei der Jurisdiktion einzugehen.
- Daten in einem Rechenzentrum innerhalb der EU
- Betreiber ist Tochtergesellschaft eines US-Konzerns
- Unterliegt dem US CLOUD Act auch bei Datenhaltung in der EU
- Vertragsbedingungen folgen den Regeln des globalen Konzerns
- Daten in einem Rechenzentrum in der Tschechischen Republik
- Eigentümerstruktur und Sitz in der Europäischen Union
- Unterliegt weder dem US CLOUD Act noch FISA 702
- Vertrag und SLA nach dem Recht eines EU-Mitgliedstaates
Wie wir das lösen
Wir behaupten Souveränität nicht, wir verankern sie in der Architektur der Dienstleistung. So sieht das in unserer Private Cloud konkret aus.
- Infrastruktur betrieben im Rechenzentrum in der Tschechischen Republik
- Das Rechenzentrum erfüllt den Tier-III-Standard (Verfügbarkeit 99,98 %)
- Die Daten verlassen die Europäische Union nicht, Backups und Replikate eingeschlossen
- Betreiber ist Your Technology, eine Gesellschaft nach tschechischem Recht
- Dedizierte Ressourcen und vollständige Isolation von anderen Kunden
- Betriebs- und Sicherheitsstandards des Rechenzentrums orientieren sich an der Normenreihe ISO 27001 und ISO 27017
- Zugriff auf Daten ausschließlich auf vertraglicher Grundlage und über kontrollierte Rollen
- Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO als Bestandteil der Leistung
- Datenexport in gängigen Formaten jederzeit während der Vertragslaufzeit
- Nachweisbare Löschung der Daten nach Beendigung der Zusammenarbeit
Relevante Rechtsakte, kurz erklärt
Vier Regelwerke, die in der Diskussion um Datensouveränität am häufigsten auftauchen, und warum sie relevant sind.
DSGVO (Datenschutz-Grundverordnung)
Regelt die Verarbeitung personenbezogener Daten in der gesamten Europäischen Union. Eine Übermittlung in ein Drittland erfordert eine gesonderte Rechtsgrundlage. Eine Verarbeitung innerhalb der EU benötigt diese nicht.
Schrems II
Urteil des Gerichtshofs der Europäischen Union, das den Privacy Shield für ungültig erklärt und die Anforderungen an Übermittlungen personenbezogener Daten in die USA verschärft hat. Es betont, dass auch der tatsächliche Zugriff von Drittlandsbehörden zu bewerten ist.
US CLOUD Act
Ermöglicht US-Behörden, Daten von Anbietern unter US-Jurisdiktion anzufordern, unabhängig davon, in welchem Land die Daten gespeichert sind. Entscheidend ist damit die Stellung des Anbieters, nicht der Standort des Servers.
FISA 702
Rechtsgrundlage für die Überwachung der Kommunikation von Personen außerhalb der USA über amerikanische Anbieter elektronischer Kommunikationsdienste. Sie war einer der zentralen Kritikpunkte im Urteil Schrems II.
Diese Zusammenfassung dient der allgemeinen Orientierung und stellt keine Rechtsberatung dar. Bitte lassen Sie die konkrete Situation Ihres Unternehmens von Ihrem Rechtsbeistand oder Ihrem Datenschutzbeauftragten bewerten.
Was Unternehmen uns am häufigsten fragen
Wo genau liegen unsere Daten?
Ihre Daten liegen physisch im Rechenzentrum in der Tschechischen Republik, also innerhalb der Europäischen Union. Auch Backups und eventuelle Replikate bleiben in der EU. Wir verlagern Kundendaten niemals ohne Ihre ausdrückliche Zustimmung auf außereuropäische Cloud-Plattformen.
Unterliegen Sie dem US CLOUD Act?
Nein. Your Technology ist eine nach tschechischem Recht gegründete Gesellschaft mit beschränkter Haftung, ohne US-Muttergesellschaft und ohne Gesellschaft unter der Jurisdiktion der Vereinigten Staaten. Der US CLOUD Act erfasst Anbieter unter US-Jurisdiktion, was auf uns nicht zutrifft.
Reicht Tschechien für die DSGVO-Compliance aus?
Ja. Die DSGVO ist eine Verordnung der Europäischen Union und gilt in allen Mitgliedstaaten im gleichen Wortlaut. Eine Verarbeitung in der Tschechischen Republik ist eine Verarbeitung innerhalb der EU, es liegt also keine Drittlandsübermittlung vor und zusätzliche Maßnahmen nach Schrems II entfallen.
Was ist der Unterschied zum Rechenzentrum eines US-Anbieters in der EU?
Der Unterschied liegt nicht im Speicherort, sondern in der Jurisdiktion des Betreibers. Die europäische Gesellschaft eines US-Hyperscalers ist Tochtergesellschaft eines amerikanischen Konzerns, der US CLOUD Act erfasst sie daher auch dann, wenn die Daten in einem Rechenzentrum innerhalb der EU liegen. Bei einem Anbieter ohne US-Bezug existiert diese Rechtsgrundlage für eine Herausgabe schlicht nicht.
Was passiert, wenn wir unsere Daten exportieren oder löschen möchten?
Einen Datenexport in gängigen Formaten stellen wir jederzeit während der Vertragslaufzeit bereit. Nach Beendigung der Zusammenarbeit löschen wir die Daten nach dem vereinbarten Verfahren, einschließlich der Backups innerhalb der vereinbarten Aufbewahrungsfrist, und weisen Ihnen die Löschung nach.
Können wir den Betrieb auditieren lassen?
Ja. Umfang der Auditrechte, des Reportings und der Mitwirkung vereinbaren wir im Vertrag und im Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO. Wir stellen Nachweise zum Speicherort, zu den zugriffsberechtigten Rollen sowie zu den Betriebs- und Sicherheitsmaßnahmen bereit.
Wie würde souveräner Betrieb bei Ihnen aussehen?
Wir gehen mit Ihnen Ihre aktuelle Umgebung, die jurisdiktionellen Risiken und die Migrationsoptionen durch. Unverbindlich und ohne Marketingfloskeln.
Beratung vereinbaren