DSGVO-konformes Datenschutzniveau per Verschlüsselung

Regularien wie die Europäische Datenschutz-Grundverordnung (DSGVO) verlangen von Unternehmen ein hohes Maß an Kontrolle über ihre Daten, um den sachgemäßen Umgang stets sicherzustellen. Eine Eigenschaft, die in Cloud-Umgebungen erschwert wird, weshalb viele Unternehmen dem Wechsel in die Cloud skeptisch gegenüberstehen. Client-seitige Verschlüsselung kann Anwender dabei unterstützen, die Umsetzung ihrer Datenschutzrichtlinien auch auf die Cloud auszuweiten und die Auflagen gemäß DSGVO zu erfüllen.

OneDrive, SharePoint oder AWS – die Cloud gilt aus betrieblicher Sicht für viele Unternehmen als attraktiv. Allerdings können Datensicherheitsbelange den Wechsel in die Cloud bremsen. Es bestehen Zweifel daran, ob die Daten dort ausreichend vor unbefugtem Zugriff gesichert werden und die Anforderungen an den Datenschutz eingehalten werden können.

Neben branchenspezifischen Vorgaben und dem Bundesdatenschutzgesetz ist insbesondere die DSGVO maßgeblich für das Schutzniveau von Daten in Unternehmen. Sie regelt den Umgang mit personenbezogenen Daten und somit der sensibelsten Datenkategorie. Um diese zu schützen, müssen Unternehmen geeignete technisch-organisatorische Maßnahmen ergreifen, die die folgenden Vorgaben erfüllen:

• Nachgewiesener Zugriff nur für berechtigte Personen (Art. 5, Ziffer 2, DSGVO): Prinzipiell muss der Kreis der Berechtigten, die auf personenbezogene Daten Zugriff bekommen, möglichst klein gehalten werden. Dies dient dem Schutz vor unrechtmäßiger und unbefugter Verarbeitung. Die Personen mit befugtem Zugriff müssen von den Unternehmen fortlaufend dokumentiert werden.
• Verzeichnispflicht über die Empfänger von Daten (Art. 30, Ziffer 1, DSGVO): Unternehmen müssen nachweisen, welchen Empfängern gegenüber personenbezogene Daten offengelegt wurden. Darunter fallen beispielsweise Behörden, Sozialversicherungen, Banken oder unternehmensinterne Stellen wie Betriebsärzte. Die Offenlegung personenbezogener Daten an weitere Empfänger ist fortlaufend zu dokumentieren.

Besondere Sorgfaltspflicht gilt bei der Nutzung von Cloud-Diensten. In ihrer Rolle als Auftragsdatenverarbeiter tragen Unternehmen ebenso wie der Cloud-Anbieter Verantwortung für die Sicherheit der Daten. Kommen sie dieser Verpflichtung nicht nach, können sie im Schadensfall zur Verantwortung gezogen werden.

Cloud Provider wie Microsoft implementieren starke Schutzmaßnahmen, um Kundendaten zu sichern. Dies beinhaltet auch den Schutz vor unerwünschtem Zugriff und nicht berechtigter Verwendung durch unbefugte Dritte. Paradoxerweise kann dennoch nicht ausgeschlossen werden, dass ebendies geschieht.

Microsoft fällt als Anbieter elektronischer Kommunikationsdienste mit Sitz in den USA unter die Bestimmungen des US-Cloud Act (Clarifying Lawful Overseas Use of Data, CLOUD). Cloud-Anbieter unterliegen damit der Pflicht, US-Sicherheitsbehörden auf Ersuchen hin Zugriff auf Kundendaten zu gewähren – selbst wenn die Daten sich in europäischen Rechenzentren befinden. Dies beschränkt sich nicht nur auf persönliche Daten von US-Bürgern sondern auch auf Personen ohne Wohnsitz in den USA, wie unter anderem EU-Bürger. Werden Daten von EU-Bürgern an US-Behörden übergeben, handelt es sich dabei um eine unrechtmäßige Übertragung von Daten in EU-Drittstaaten.

Außerdem ist es möglich, dass dies ohne Kenntnis der Cloud-nutzenden Unternehmen geschieht. Das heißt: Die betroffenen Unternehmen wissen womöglich nichts davon und können der Benachrichtigungspflicht gegenüber den Betroffenen nicht nachkommen. Zudem wären sie unter Umständen mit schuldig an diesem Vergehen, da man unterstellen könnte, dass sie die Herausgabe von Kundendaten bei der Entscheidung für einen US-Cloud-Anbieter sozusagen billigend in Kauf genommen haben.