Sicherheit

Für die rechtliche Betrachtung des Betriebs der PAGENTUS-Plattform in der deutschen AWS Region eu- central-1 sind die zwei Aspekte „Vereinbarkeit mit dem deutschen Bundesdatenschutzgesetz und der europäischen Datenschutzgrundverordnung“5, 6 sowie „Zugriffe Dritter“7 zu betrachten.

Das Bundesdatenschutzgesetz (BDSG) und die europäische Datenschutzgrundverordnung (EU-DSGVO) schreiben für die Auftragsverarbeitung einen gültigen, datenschutzkonformen Auftragsverarbeitungsvertrag (AVV) vor. Im Vertragsverhältnis zwischen AWS und der Eurobase GmbH tritt AWS als Auftragsverarbeiter (englisch Processor) in Erscheinung, während die Eurobase GmbH die verantwortliche Stelle (englisch Controller) ist. AWS erhebt oder verarbeitet in dieser Situation keine Daten über die Kunden in PAGENTUS. Dies gilt insbesondere für personenbezogene Daten.

In der Beziehung zwischen PAGENTUS-Kunde und der Eurobase GmbH ist der Kunde die verantwortliche Stelle und die Eurobase GmbH der Auftragsverarbeiter. In dieser Situation erhebt die Eurobase GmbH nur diejenigen personenbezogenen Daten, die für die Vertragserfüllung notwendig sind. Dies sind zum Beispiel Abrechnungsdaten, E-Mail-Adressen und Namen der einzelnen Benutzer. Als Verantwortliche Stelle legt jedoch der Kunde fest, welche Daten in PAGENTUS abgelegt sowie zu welchem Zweck diese verarbeitet werden.

In diesem Zusammenhang wird noch einmal darauf hingewiesen, dass die Daten der PAGENTUS-Kunden nur in Deutschland verarbeitet und gespeichert werden. Es findet keine Übertragung der Kundendaten durch die Eurobase GmbH oder AWS in andere Länder statt – vergleiche Abschnitt PAGENTUS BEI AMAZON WEB SERVICES[8].

Eurobase hat mit Amazon Web Services EMEA SARL in Luxemburg einen Vertrag zur Auftragsverarbeitung geschlossen, der alle notwendigen Punkte im Sinne des Bundesdatenschutzgesetzes und der EU-DSGVO erfüllt. Die Kunden der PAGENTUS-Kunden schließen einen individuellen Vertrag zur Auftragsverarbeitung mit der Eurobase GmbH. Auf diese Weise ist die gesamte Kette von der Datenübertragung, -verarbeitung und -speicherung konform zur EU-DSGVO sowie dem Bundesdatenschutzgesetz.

Zugriff auf die in PAGENTUS abgelegten Daten haben zunächst nur die jeweiligen Kunden bzw. Benutzer der PAGENTUS-Plattform.

Darüber hinaus können ausgewählte technische Mitarbeiter der Eurobase GmbH im Rahmen der Entwicklung und des Betriebs der Plattform in Kontakt mit personenbezogenen Daten kommen. Ein Zugriff auf Daten findet nur nach expliziter Weisung des Kunden statt9. Dies ist zum Beispiel der Fall, wenn ein Kunde eine unvollständige oder fehlerhafte Verarbeitung von Daten reklamiert und der Zugriff auf die Daten für die nähere Untersuchung explizit durch den Kunden freigegeben wird.

Zugriffe weitere Unterauftragnehmer, wie zum Beispiel AWS sind technisch ausgeschlossen.

Die Eurobase GmbH und ihre Mitarbeiter unterliegen nach deutschem Recht legalen Auskunftsanfragen deutscher Strafverfolgungsbehörden. Diese Strafverfolgungsbehörden können auch die Herausgabe von Daten anordnen, denen wir nach juristischer Prüfung nachgehen müssen. Hierbei ist zu beachten, dass diese Auskunftsanfragen stets nur in engen Grenzen gültig sind. Während zum Beispiel ein Auskunftsanspruch nach den Daten einer Person oder Firma diese Grenzen einhält, ist die pauschale Herausgabe aller in PAGENTUS gespeicherten Daten nicht mehr gesetzeskonform.

Sollte ein entsprechendes Auskunftsersuchen an die Eurobase GmbH gestellt werden, so wird dieses zunächst von unserem Justiziar unter Einbeziehung von Fachanwälten geprüft. Falls das Auskunftsersuchen legal ist, wird die Eurobase GmbH dieses gemäß der deutschen Gesetzgebung befolgen.

Strafverfolgungsbehörden könnten sich grundsätzlich auch an AWS wenden, um die Herausgabe von Daten aus der PAGENTUS-Plattformzu verlangen. AWS ist jedoch weder technisch noch organisatorisch in der Lage, die Daten aus der PAGENTUS-Plattform herauszugeben – siehe dazu Abschnitt TECHNISCHE BETRACHTUNG.

Sollte sich also eine deutsche Ermittlungsbehörde anstatt an die Eurobase GmbH an AWS wenden, um Daten oder Daten aus der PAGENTUS-Plattform einzusehen, so würde AWS diese Anfrage an die Eurobase GmbH weiterleiten, da AWS sie nicht beantworten kann. Diese Weiterleitung von Auskunftsanfragen ist explizit vertraglich in diesem Sinne zwischen AWS und der Eurobase GmbH geregelt.

Im Zusammenhang mit amerikanischen Cloud-Anbietern wird besonders die Sorge vor dem Zugriff amerikanischer Ermittlungsbehörden und Geheimdienste auf Daten deutscher Kunden genannt. Aus rechtlicher Sicht ist diese Sorge jedoch ebenfalls unbegründet.

Zunächst gelten für Auskunftsanfragen amerikanischer Ermittlungsbehörden an AWS in den USA ähnliche Hürden wie für deutsche Behörden in Deutschland. Auskunftsanfragen müssen konkret und legal sein. Amazon Web Service Inc. in den USA prüft entsprechende Anfragen auf juristische Korrektheit.

Unabhängig von der rechtlichen Betrachtung ist Amazon Web Service Inc. in den USA jedoch technisch nicht in der Lage, einen legalen Auskunftsanspruch nach Daten in der PAGENTUS-Plattform zu beantworten und würde diesen an die Eurobase GmbH weiterleiten – siehe Abschnitt AUSKUNFTSANFRAGEN DEUTSCHER STRAFVERFOLGUNGSBEHÖRDEN AN AWS. Da die deutsche Eurobase GmbH jedoch nicht an ausländische Gesetze gebunden ist, würden wir einer solchen Anfrage nicht nachgehen. Der amerikanischen Ermittlungsbehörde bliebe dadurch nur noch ein Amtshilfeersuchen an eine entsprechende deutsche Behörde übrig, der wir wie oben beschrieben nachgehen würden.

Im Folgenden werden, die am häufigsten genannten US-amerikanischen Gesetzgebungen zu Auskunftsersuchen separat betrachtet.

Der CLOUD-Act hat bestehende US-amerikanisches Strafprozessbefugnisse von US-Behörden für Cloud-Service-Provider klargestellt. Diese sind grundsätzliche vergleichbar mit den Befugnissen aus der deutschen Strafprozessordnung. Der CLOUD-Act kommt nur im Einzelfall und stets unter Richtervorbehalt bei der Bekämpfung von schweren Straftaten zum Einsatz[10].

Der CLOUD-Act setzt keine deutschen Gesetze außer Kraft, sondern erkennt dieses explizit an. Er findet nur Anwendung, falls die betroffene, natürliche oder juristische Person die US-amerikanische Staatsangehörigkeit besitzt oder in den USA angesiedelt ist[11].

Der Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorism Act (USA-PATRIOT-Act) sowie die Nachfolgeregelung Uniting and Strengthening America by Fulfilling Rights and Ensuring Effective Discipline Over Monitoring Act (USA-FREEDOM-Act) sind Anti-Terror- Gesetzgebungen, die sich an Geheimdienste der USA richten. Sie sind vergleichbar mit den Regelungen und Ermächtigungen der deutschen Nachrichtendienste BND, MAD und teilweise auch des BKA. PATRIOT-Act und FREEDOM-Act ermöglichen es den US-amerikanischen Diensten im Rahmen von Ermittlungen auf Informationen ausländischer Geheimdienste zuzugreifen. Für jedes Auskunftsersuchen ist ein richterlicher Beschluss erforderlich, der nachweist, dass das Ersuchen den amerikanischen Gesetzen entspricht.

Der FSIA-Act regelt die Zuständigkeit US-amerikanischer Gerichte im Zusammenhang mit Klagen gegen andere Staaten bzw. deren Behörden, Ämtern etc[12].

Auskunftsanfragen können natürlich auch aus anderen Drittländern gestellt werden. Je nach nationaler Gesetzgebung gelten meist für Auskunftsanfragen ausländischer Ermittlungsbehörden an AWS ähnliche Hürden wie für deutsche und US-amerikanische Behörden. Auskunftsanfragen müssen konkret und legal sein. AWS würde eine solche Auskunftsanfrage nur nach juristischer Prüfung akzeptieren.

Auch bei diesen Anfragen gilt jedoch, dass AWS technisch nicht in der Lage ist, einen legalen Auskunftsanspruch nach Daten in der PAGENTUS-Plattform zu beantworten und würde diesen an die Eurobase GmbH weiterleiten – siehe vorherigen Abschnitt.

Eine weitere Sorge betrifft weiterführende, geheimdienstliche Zugriffe. An dieser Stelle spielt es keine Rolle, aus welchem Land diese Geheimdienste agieren. Man kann jedoch zwischen legalem und illegalem Handeln von Geheimdiensten unterscheiden.

Handelt ein Geheimdienst gemäß der ihn ermächtigenden Gesetze, so gelten die oben genannten Überlegungen. Handelt ein Geheimdienst illegal, wie es spätestens seit den Veröffentlichungen von Edward Snowden zahlreich dokumentiert worden ist, können nur technische Maßnahmen einen Zugriff verhindern oder zumindest erschweren – siehe Abschnitt TECHNISCHE BETRACHTUNG. Diese Art des illegalen Zugriffs ist auch nicht mehr an einen bestimmten Cloud Anbieter wie AWS gebunden, sondern trifft für jeden Cloud Anbieter, Co-Location-Betreiber, Hosting Provider etc. zu.

Unabhängig vom rechtlichen Anspruch auf Herausgabe von Daten sei nochmals darauf hingewiesen,, dass die PAGENTUS-Plattform darüber hinaus  modernste, dem Stand der Technik entsprechende Verschlüsselungsmethoden und Sicherheitsmechanismen verwendet um die Daten ihrer Kunden bestmöglich zu schützen.