Ruhe vor dem Sturm: CLOUD Act

Einhaltung    | 10. April 2018

Die jüngsten Entwicklungen im Gerichtsverfahren zwischen der US-Regierung und Microsoft haben Auswirkungen auf Unternehmen, die weltweit Dienste anbieten. Der Clarifying Lawful Overseas Use of Data Act (CLOUD Act) soll die Art und Weise vereinfachen, wie Strafverfolgungsbehörden an personenbezogene Daten gelangen, die von in den USA ansässigen Technologieunternehmen gespeichert werden.

Was ist passiert:

Im Dezember 2013 erließ ein US-amerikanischer Friedensrichter auf Grundlage des Stored Communications Act (SCA) einen Haftbefehl an Microsoft zur Herausgabe von Daten, die in einem Microsoft-Rechenzentrum in Irland gehostet wurden. Microsoft weigerte sich, den Teilen des Beschlusses nachzukommen, die die Herausgabe von Daten aus seinem irischen Rechenzentrum verlangten, da der Haftbefehl gegen europäisches Recht verstößt.

Microsoft legte gegen die Entscheidung Berufung beim US-amerikanischen Second Circuit Court ein, der von verschiedenen Parteien Eingaben zur Unterstützung von Microsoft erhielt. Die irische Regierung reichte eine Stellungnahme ein, in der sie erklärte, dass der Haftbefehl gegen die Datenschutzrichtlinie der Europäischen Union und Irlands eigene Datenschutzgesetze verstoße und dass die US-Regierung den seit langem bestehenden Rechtshilfevertrag zwischen den USA und Irland hätte nutzen sollen, der die Erhebung von Daten auf der Grundlage lokaler Haftbefehle erlaubt. Der zweite US-Bezirksgerichtshof entschied zugunsten von Microsoft und das US-Justizministerium legte Berufung beim Obersten Gerichtshof ein.

Die mündliche Verhandlung des Falls fand am 27. Februar statt. Im März verabschiedete der US-Kongress jedoch den Clarifying Lawful Overseas Use of Data Act (CLOUD Act), und der Präsident unterzeichnete ihn. Dieses Gesetz änderte den SCA dahingehend, dass in den USA ansässige Dienstanbieter die in ihrem Besitz befindlichen Daten herausgeben müssen, unabhängig davon, wo auf der Welt sich die Daten befinden. Aufgrund dieser Entwicklung forderte das US-Justizministerium den Obersten Gerichtshof auf, den Fall als gegenstandslos abzuweisen, und Microsoft erhob keinen Einspruch.

Schon vor dieser Entscheidung waren erhebliche Fragen in Bezug auf den Zugriff der US-Regierung auf Daten von Bürgern in anderen Ländern aufgeworfen worden.

Die Artikel-29-Arbeitsgruppe hatte einen Bericht veröffentlicht, der Zweifel daran aufkommen lässt, ob die USA die Anforderungen des US/EU-Datenschutzschild-Abkommens einhalten. In dem Bericht empfahlen sie, neue Verhandlungen zwischen den USA und der EU aufzunehmen, um einen Plan zur Schließung einiger identifizierter Lücken zu entwickeln. Die Arbeitsgruppe warnte, dass sie, falls keine Maßnahmen ergriffen würden, die Angelegenheit vor Gericht bringen würde, um das Privacy Shield-Abkommen für ungültig erklären zu lassen.

Auswirkungen auf den Markt:

All dies geschieht im Kontext des Inkrafttretens der EU-Datenschutz-Grundverordnung, die strenge Anforderungen an Unternehmen stellt, die mit den Daten von EU-Bürgern umgehen. Insbesondere heißt es in Artikel 48 der EU-Datenschutz-Grundverordnung:

 Jedes Urteil eines Gerichts oder Tribunals und jede Entscheidung einer Verwaltungsbehörde eines Drittlandes, die einen Verantwortlichen oder Auftragsverarbeiter zur Übermittlung oder Offenlegung personenbezogener Daten verpflichtet, kann nur dann anerkannt oder in irgendeiner Weise vollstreckt werden, wenn es auf einem zwischen dem ersuchenden Drittland und der Union oder einem Mitgliedstaat geltenden internationalen Abkommen, wie etwa einem Rechtshilfeabkommen, beruht, unbeschadet anderer Gründe für die Übermittlung gemäß diesem Kapitel.

 Dies steht im direkten Widerspruch zu den Anforderungen des CLOUD Act, die die Notwendigkeit der Verwendung des MLAT-Ansatzes direkt außer Kraft setzen.

Natürlich bleiben viele Fragen offen, wessen Gesetze relevanter sind, welchen Status zuvor vereinbarte Verträge und Abkommen haben und einige andere Fragen. Dies wird wahrscheinlich auch erhebliche Auswirkungen auf US-Unternehmen haben, da Abonnenten zu Cloud-Dienstanbietern in ihren lokalen Rechtsräumen wechseln – oder zumindest zu solchen in Rechtsräumen, in denen es keine derartigen rechtlichen Verwicklungen gibt.

Echoworx ist ein in Kanada ansässiges Unternehmen, und das geltende kanadische Gesetz verlangt die Nutzung von Rechtshilfeabkommen (MLATs), wenn diese Daten im Ausland gespeichert werden. Echoworx verpflichtet sich außerdem, die Datenschutz- und Rechtsanforderungen der Länder zu erfüllen, in denen es tätig ist. Echoworx fügt weiterhin Rechenzentren auf der ganzen Welt hinzu, um sicherzustellen, dass die Daten so nah wie möglich am Ursprungsland oder der Ursprungsregion gespeichert werden. Wir betreiben derzeit Rechenzentren in den USA, Großbritannien, Irland, Mexiko und Kanada, um sicherzustellen, dass Daten gemäß den Vorschriften und Gesetzen gespeichert und verwaltet werden können, denen unsere Kunden unterliegen.

Von David Broad CISSP, Leiter für Informationssicherheit und -prüfung, Echoworx