„Ihre Daten bleiben in Europa“: Der Satz beruhigt, doch er erzählt nur die halbe Geschichte. Ich erkläre Ihnen einfach, was der CLOUD Act und das Urteil Schrems II bedeuten, und wie Sie die Daten Ihrer Mandanten unter Ihrer eigenen Rechtsordnung behalten.
Viele Softwareanbieter aus den USA versprechen es Ihnen: Ihre Daten liegen in Frankfurt, Dublin oder Paris. Das stimmt. Doch der Serverstandort ist nur ein Teil der Antwort. Der andere Teil ist das Land des Unternehmens, das die Software herausgibt.
Ganz offen: Für die Einkaufsliste des Teams spielt das keine Rolle. Für die Unterlagen in den Akten Ihrer Mandanten lohnen sich zehn Minuten Lesezeit.
Der CLOUD Act, einfach erklärt
Der 2018 in den USA verabschiedete CLOUD Act erlaubt US-Behörden, von einem Unternehmen unter US-Recht die Daten zu verlangen, die es kontrolliert, egal wo auf der Welt sie gespeichert sind.
Konkret: Stammt Ihre Software von einem US-Unternehmen, ändern Server in Europa nichts an dieser Regel. Und Sie werden nicht unbedingt darüber informiert.
Schrems II: Die Antwort Europas
Im Juli 2020 hat der Gerichtshof der Europäischen Union den Privacy Shield für ungültig erklärt, das Abkommen, das Datenübermittlungen in die USA regelte.
„Die Anforderungen des innerstaatlichen Rechts der Vereinigten Staaten […] führen zu Einschränkungen des Schutzes personenbezogener Daten, die nicht so geregelt sind, dass sie Anforderungen genügen, die den im Unionsrecht verlangten im Wesentlichen gleichwertig sind.“
EuGH, Urteil Schrems II, 16. Juli 2020, Rechtssache C-311/18
Ein neuer Rahmen, das Data Privacy Framework, wurde 2023 verabschiedet. Er macht vieles für viele Unternehmen einfacher. Trotzdem ist er umstritten, so wie seine beiden Vorgänger. Wer den Schutz sensibler Akten allein darauf baut, nimmt eine Unsicherheit in Kauf.
Was das für eine Kanzlei bedeutet
Anwalt, Steuerberater, Makler, Heilberufler: Sie verarbeiten fast immer personenbezogene Daten, oft sensible. Vertrauen Sie diese Daten einem US-Auftragsverarbeiter an, verlangt die DSGVO, dass Sie das Übermittlungsrisiko selbst bewerten und es bei einer Prüfung begründen können.
Der Vertrag Ihres Anbieters dokumentiert dessen eigene Konformität. Ihre Analyse erstellen Sie selbst. Und genau dieses Dokument wird man von Ihnen verlangen.
So prüfen Sie, ob ein Anbieter wirklich europäisch ist
- Schauen Sie ins Impressum. Ist das Unternehmen hinter der Software in einem EU-Land eingetragen?
- Schauen Sie, wer es kontrolliert. Eine europäische Tochter eines US-Konzerns kann weiter US-Recht unterliegen.
- Schauen Sie, wo der Hoster sitzt. Ein europäischer Hoster, unabhängig von US-Konzernen, rundet die Antwort ab.
So behält Client Vault Ihre Daten bei Ihnen
Client Vault ist ein sicherer digitaler Tresor, den Sie auf Ihrer eigenen WordPress-Website installieren. Herausgeber ist Sdravobiz, ein europäisches Unternehmen. Vor allem speichert es nichts beim Anbieter: Ihre Unterlagen liegen auf Ihrem Server, bei dem Hoster und in dem Land, die Sie wählen.
- Keine Übermittlung an den Anbieter: Die Dokumente bleiben auf Ihrer Installation.
- AES-256-verschlüsselte Dateien ab dem ersten Moment.
- Ein versiegeltes Aktivitätsprotokoll, das jeden Upload und jeden Abruf datiert.
- Ein ZIP-Export, um eine Akte mit wenigen Klicks herauszugeben.
Das Ergebnis: Ihre Risikoanalyse wird kürzer und belastbarer. Für die Wahl Ihres Hosters habe ich OVH, Scaleway, Infomaniak und o2switch verglichen. Und damit Ihre Mandanten beruhigt sind, finden Sie hier fünf fertige Antworten.
Sie sind eine WordPress-Agentur?
Viele Ihrer Kunden wissen nicht, dass US-Software eine zusätzliche Analyse erfordert. Eine Installation auf ihrem eigenen Server, in ihren Farben, ist ein wertvoller Rat und eine Leistung, die Sie abrechnen können.
Was Client Vault nicht leistet
Ganz offen: Es geht nicht darum, alle US-Werkzeuge zu verbannen. Für interne Nachrichten oder Teamnotizen ist das Risiko oft gering und die Analyse einfacher. Wirklich wichtig wird die Frage bei den sensiblen Daten Ihrer Mandanten.
Client Vault ist außerdem ein Plugin, das Ihnen gehört: Ihre Website braucht Updates und Backups, am besten in den Händen einer Agentur Ihres Vertrauens.
Der nächste Schritt
Client Vault
Die Daten Ihrer Mandanten, unter Ihrer Rechtsordnung
Im Videocall schauen wir, wo Ihre Daten heute liegen, und ich zeige Ihnen den Tresor auf Ihrem eigenen Server.
- Der Tresor aus Sicht Ihres Mandanten
- Verschlüsselung und Aktivitätsprotokoll
- Der Export einer Akte
- Ihre Fragen zum Hosting
Häufige Fragen
Was ist der CLOUD Act?
Ein US-Gesetz von 2018, das US-Behörden erlaubt, von einem Unternehmen unter US-Recht die Daten zu verlangen, die es kontrolliert, egal wo sie gespeichert sind.
Ist Software mit Hosting in Europa vor dem CLOUD Act geschützt?
Nicht unbedingt. Unterliegt der Anbieter US-Recht, reicht der europäische Serverstandort nicht aus.
Was hat das Urteil Schrems II verändert?
Es hat 2020 den Privacy Shield für ungültig erklärt und europäische Unternehmen verpflichtet, das Risiko jeder Übermittlung in die USA selbst zu bewerten.
Löst das Data Privacy Framework die Frage?
Es vereinfacht Übermittlungen an zertifizierte Unternehmen, ist aber umstritten. Für sensible Daten ist es am entspanntesten, sie unter Ihrer eigenen Rechtsordnung zu behalten.
Wo werden die Daten mit Client Vault gespeichert?
Auf Ihrem eigenen Server, bei dem Hoster und in dem Land Ihrer Wahl. Beim Anbieter wird nichts gespeichert.
