Speicherorte und der US Cloud Act

Die von Microsoft in Deutschland verkauften M365-Abonnements werden größtenteils von Cloud-Servern in Deutschland, teilweise auch in anderen EU-Staaten gehostet; Standorte sind neben Berlin und Frankfurt etwa Irland, die Niederlande, Österreich und Finnland. Allerdings werden einzelne Dienste noch nicht in Europa gehostet – Sway etwa wird nach wie vor aus den USA bedient, wobei dieser Dienst allerdings nicht besonders kritisch ist.

Hinsichtlich einer Datenverarbeitung in den USA ist die Microsoft-Cloud damit „eigentlich“ unproblematisch. US-amerikanische Unternehmen sind jedoch unter allen Umständen verpflichtet, US-Behörden Daten – jedenfalls von US-amerikanischen Bürgerinnen und Bürgern – zur Verfügung zu stellen. Das sieht der „US Cloud Act“ vor.

Anbieter von elektronischen Kommunikationsdiensten oder Ferndienstleistungen [müssen] alle Anforderungen an die Offenbarung von Aufzeichnungen oder anderen Informationen eines Kunden oder Abonnenten im Besitz oder unter Kontrolle erfüllen, unabhängig davon, ob diese Kommunikation, Aufzeichnung oder andere Information innerhalb oder außerhalb der Vereinigten Staaten belegen ist.

18 USC § 2713 (Cloud Act)

Der US Cloud Act ist mit der DSGVO nicht vereinbar. Microsoft ist damit nach europäischem Recht nicht befugt, US-amerikanisches Recht zu befolgen – ein bislang ungelöstes Problem, das angesichts der aktuellen politischen Situation und Ereignisse besonders kritisch ist und letztlich die Politik zu einer Lösung fordert. Art. 48 DSGVO sieht zwar vor, dass die Übermittlung bestimmter Daten aufgrund eines internationalen Abkommens geregelt werden kann, und eine ähnliche Regelung findet sich auch im Cloud Act selbst – ein solches Abkommen gibt es derzeit aber nicht.