Offshore-Hosting und die DSGVODie Verordnung folgt Ihnen, nicht dem Rack.

Der Satz, den dieser Markt falsch darstellt

Die Behauptung wird fast nie klar ausgesprochen, und deshalb hält sie sich. Sie kommt als Andeutung daher: Die Server sind offshore, das Unternehmen ist offshore, also liegen die europäischen Regeln irgendwo hinter Ihnen. Liest man die Verordnung, bricht die Andeutung in einem einzigen Satz zusammen.

Artikel 3 legt fest, für wen die DSGVO gilt, und erwähnt an keiner Stelle, wo sich die Hardware befindet. Absatz 1 besagt, dass die Verordnung für die Verarbeitung durch einen in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiter gilt, unabhängig davon, ob die Verarbeitung in der Union stattfindet oder nicht. Absatz 2 geht den umgekehrten Weg: Ein Unternehmen ganz ohne Niederlassung in der Union unterliegt der Verordnung trotzdem, wenn es Personen in der Union Waren oder Dienstleistungen anbietet oder ihr Verhalten dort beobachtet.

Das ist keine Enttäuschung, und es lohnt sich, das gleich vorab zu sagen. Der Grund, einen Server zu verlegen, ist, dass ein Gericht in einem Land keinen Datenträger in einem anderen anordnen kann. Dieser Grund bleibt unangetastet. Was mit der Maschine wandert, ist eine Compliance-Pflicht, kein rechtliches Risiko, und die beiden werden ständig verwechselt, weil man für beides das Wort „Jurisdiktion“ verwendet.

An wen von beiden sich die Verordnung richtet

Zwei Rollen, definiert in Artikel 4, getrennt durch eine einzige Frage: Wer entschieden hat, wofür die Daten bestimmt sind.

Fast jede Diskussion über Hosting und die DSGVO ist im Kern eine Diskussion über diese Tabelle. Ein Anbieter kann nicht stellvertretend für Sie konform sein, weil die meisten Pflichten dem Verantwortlichen obliegen und sich nicht per Vertrag abwälzen lassen. Was ein Anbieter sein kann, ist ein Auftragsverarbeiter, dessen Wahl Sie rechtfertigen können — das ist Artikel 28, ein Dokument und kein Gefühl.

Artikel 28 Absatz 3 listet auf, was dieser Vertrag enthalten muss, und die Liste ist kurz genug, um sie mit Ihrer eigenen abzugleichen. Nur auf dokumentierte Weisung verarbeiten. Alle Personen mit Zugriff zur Vertraulichkeit verpflichten. Die Sicherheitsmaßnahmen nach Artikel 32 treffen. Keinen Unterauftragsverarbeiter ohne Erlaubnis hinzuziehen. Ihnen helfen, Anfragen betroffener Personen zu beantworten. Ihnen bei Verletzungen und Abschätzungen helfen. Am Ende alles löschen oder zurückgeben. Ihnen geben, was Sie zur Überprüfung all dessen brauchen.

Was als Übermittlung gilt

Kapitel V — Artikel 44 bis 49 — regelt die Übermittlung personenbezogener Daten an ein Drittland. Ein Drittland ist alles außerhalb des Europäischen Wirtschaftsraums, also der siebenundzwanzig Mitgliedstaaten plus Island, Liechtenstein und Norwegen. Die DSGVO wurde 2018 in das EWR-Abkommen übernommen, weshalb diese drei innerhalb der Linie liegen und nicht bloß in ihrer Nähe.

Artikel 44 formuliert den Grundsatz: Eine Übermittlung darf nur stattfinden, wenn der Rest des Kapitels erfüllt ist. Danach gibt es drei Wege, absteigend danach geordnet, wie leicht sie sich im Alltag handhaben lassen.

In der letzten Zeile landet improvisierte Compliance meistens, und sie hält nicht. Artikel 49 ist für das Gelegentliche und das Konkrete geschrieben. Eine Kundendatenbank drei Jahre lang auf einem Server zu hosten, ist keins von beidem.

Die acht Regionen, sortiert danach, wie Kapitel V sie bezeichnet

Das ist der Teil, den ein Hosting-Unternehmen beantworten kann und ein Rechtsblog nicht, weil es eine Tatsache über ein konkretes Netzwerk ist und kein allgemeiner Grundsatz. Die acht Regionen in diesem Netzwerk fallen in drei Gruppen, und der Abstand zwischen der ersten Gruppe und der letzten sind zwei Dokumente.

Vier der acht sind überhaupt keine Übermittlung. Das ist mehr wert als das meiste, was über Offshore-Hosting und Compliance veröffentlicht wird, und es ist ein Satz, den niemand sagen will, der eines von beidem verkauft, weil er das schwierige Produkt für die Hälfte des Netzwerks überflüssig macht.

Die Hälfte der Frage, die nicht das Rack betrifft

Wo der Datenträger steht, entscheidet, ob eine Übermittlung vorliegt. Mit welchem Unternehmen Sie den Vertrag geschlossen haben, entscheidet, wer ihn hält, und diese beiden fallen öfter auseinander, als sie sollten.

Ein Anbieter mit Racks in Frankfurt und einer Muttergesellschaft in Kalifornien exportiert Ihre Daten, ob nun etwas über ein Kabel läuft oder nicht, weil der Auftragsverarbeiter einer Jurisdiktion unterliegt, die ihn erreichen kann. Das ist keine hypothetische Unterscheidung. Es ist der Grund, warum die Unternehmensstruktur eines Anbieters eine datenschutzrechtliche Tatsache ist und keine Nebensächlichkeit.

Die Struktur hier sind acht Jurisdiktionen und acht getrennte Unternehmen, festgelegt in Klausel 1 der Nutzungsbedingungen. Ein Server in Reykjavík wird mit der isländischen Gesellschaft vertraglich vereinbart, die innerhalb des EWR liegt, weshalb die erste Zeile der obigen Tabelle sagt, was sie sagt. Wenn Sie die Seite eines anderen Anbieters lesen, ist das die Frage, die Sie stellen sollten: nicht wo der Server steht, sondern welches Unternehmen auf der Rechnung steht und wo dieses Unternehmen sitzt.

Was Artikel 46 tatsächlich von Ihnen verlangt

Wenn Sie eines der drei Drittländer nutzen, ist der Aufwand real, aber er ist begrenzt, und er hat sich seit 2021 kaum verändert.

1. Die Übermittlung dokumentieren. Welche Kategorien personenbezogener Daten, über wen, an welche Gesellschaft, in welchem Land, und in welcher Form sie ankommen — lesbar, oder verschlüsselt unter einem Schlüssel, den Sie behalten haben.
2. Das Instrument einrichten. In der Praxis heißt das: die Standardvertragsklauseln, die die Kommission im Juni 2021 verabschiedet hat, in dem Modul, das zur Beziehung passt. Verantwortlicher zu Auftragsverarbeiter ist Modul Zwei, und genau das ist die Miete eines Servers.
3. Das Zielland prüfen. Seit der Gerichtshof der Europäischen Union im Juli 2020 Schrems II entschieden hat, ist die Unterschrift unter die Klauseln nicht das Ende: Sie müssen prüfen, ob das Recht im Zielland einer Behörde einen Zugriff erlaubt, den die Klauseln nicht überstehen. Der Europäische Datenschutzausschuss hat die Methode 2021 veröffentlicht, sie umfasst sechs Schritte.
4. Ergänzen, was auch immer die von der Prüfung gefundene Lücke schließt; das ist der nächste Abschnitt, denn es gibt eigentlich nur eine Maßnahme, die sie schließt.
5. Ein Datum draufsetzen. Die Prüfung betrifft das Recht eines Landes, und das Recht eines Landes ändert sich, ohne Bescheid zu geben. Einmal ist keine Compliance; ein Überprüfungsintervall ist es.

Die Maßnahme, die die Lücke tatsächlich schließt

Die ergänzenden Maßnahmen, die der Ausschuss beschreibt, enttäuschen bei genauem Lesen meistens. Vertragliche und organisatorische Maßnahmen halten einen Staat nicht auf, der die Macht zum Zwang hat, und der Ausschuss sagt das unverblümt. Eine technische Maßnahme übersteht die Analyse, und es ist dieselbe, die anderswo auf dieser Website aus Gründen empfohlen wird, die mit der DSGVO nichts zu tun haben.

Wenn die Daten verschlüsselt ankommen, unter einem Schlüssel, der Ihre Kontrolle nie verlässt, kann der Auftragsverarbeiter, der sie hält, niemandem etwas Lesbares vorlegen — keinem Gericht, nicht Ihnen, nicht sich selbst. Die Empfehlungen des Ausschusses behandeln starke Verschlüsselung mit einem beim Exporteur verbleibenden Schlüssel als wirksame Maßnahme für gespeicherte Daten, und behandeln einen Auftragsverarbeiter, der die Daten im Klartext braucht, als Fall, in dem keine Maßnahme greift. Das ist die ehrliche Position: Man kann sich nicht per Vertrag davon freikaufen, dass jemand einen Datenträger lesen kann.

Die Unterscheidung, die in der Praxis zählt, ist die zwischen Speicherung und Verarbeitung. Ein Objektspeicher mit verschlüsselten Archiven ist der einfache Fall. Eine laufende Datenbank auf einer virtuellen Maschine ist der schwierige, weil der Schlüssel im Arbeitsspeicher liegen muss, auf Hardware, die jemand anderes anfassen kann. Was Ihr Anbieter noch lesen kann arbeitet genau heraus, wo diese Grenze verläuft, und endet nicht mit einer Beruhigung.

Artikel 48, der in die andere Richtung weist

Kapitel V enthält einen Artikel, der in diesem Markt selten zitiert wird und es verdient hätte. Artikel 48 besagt, dass ein Urteil eines Gerichts oder eine Entscheidung einer Verwaltungsbehörde eines Drittlands, die einen Verantwortlichen oder Auftragsverarbeiter zur Offenlegung personenbezogener Daten verpflichtet, nur dann anerkannt oder vollstreckt werden darf, wenn sie auf einer internationalen Übereinkunft beruht — in der Praxis ein Rechtshilfeabkommen.

Als Anweisung an einen Anbieter gelesen, sagt das etwas Konkretes: Eine Anordnung aus einem Land ohne Zuständigkeit ist im europäischen Recht kein Grund, irgendetwas herauszugeben. Ein Anbieter, der trotzdem gehorcht, ist nicht vorsichtig. Er nimmt eine rechtswidrige Übermittlung vor und nennt sie Kooperation.

Dieses Netzwerk kommt aus der anderen Richtung zur gleichen Antwort, und das seit 2019, was sich nachprüfen statt nur behaupten lässt: 164 Anfragen von Strafverfolgungsbehörden, von denen 31 etwas erbracht haben, keine Anordnung mit Schweigepflicht in 29 veröffentlichten Quartalen, und was herausgegeben wurde, waren eine E-Mail-Adresse und eine Aufstellung von Beträgen. Der Leitfaden zur Strafverfolgung nennt die Hürde in einem Satz: eine Anordnung eines Gerichts, das für die belangte Gesellschaft zuständig ist.

Was sich nicht ändert, egal wo die Maschine steht

Das ist der Abschnitt, der einen Verkauf kostet, also der, den es sich lohnt, zweimal zu lesen. Jeder der folgenden Punkte gehört Ihnen als Verantwortlichem, und keine Hosting-Entscheidung rührt auch nur einen davon an.

Sechs Zeilen, eine Antwort. Das Wort, das hier für Verwirrung sorgt, ist „Jurisdiktion“, und es übernimmt zwei Aufgaben gleichzeitig: Es beantwortet, wer den Datenträger zwingen kann, und es beantwortet, nach wessen Regeln Sie sich richten. Ein Serverumzug ändert das Erste und lässt das Zweite exakt so, wie es war.

Was eine Grenze tatsächlich ändert

• Wer überzeugt werden muss. Eine Anordnung muss von einem Gericht kommen, das für das Unternehmen zuständig ist, das den Datenträger hält, und acht Unternehmen in acht Ländern sind acht getrennte Auseinandersetzungen statt einer.
• Ob eine Mitteilung überhaupt Wirkung hat. Eine Takedown-Notice ist überall Korrespondenz; an manchen Orten ist es Korrespondenz, auf die ein Anbieter reagieren muss, und offshore bedeutet, dass er es nicht muss. Das ist das Thema des DMCA-Leitfadens.
• Was der Anbieter aufbewahren muss. Aufbewahrungspflichten sind Sache der Nationalstaaten. Rumänien hat seine eigene zweimal für nichtig erklärt, ohne Ersatz; Moldau und Panama schreiben keine vor. Was ein Anbieter nicht aufbewahren muss, kann er auch nicht herausgeben müssen.
• Ob die Übermittlung ein Instrument braucht. Das ist diese Seite hier — und das ist ein Aufwand an Papierkram, kein Risiko.

Was sich nicht ändert

• Ob die DSGVO für Sie gilt. Artikel 3, entschieden danach, wo Sie niedergelassen sind und wessen Daten Sie halten.
• Jede Pflicht aus der Tabelle oben. Verzeichnis, Sicherheit, Meldung von Verletzungen, Abschätzungen, Rechte der betroffenen Personen.
• Ihre eigenen Logs. Die Maschine, die Sie mieten, protokolliert Besucher nach Ihrer Konfiguration, in Ihrer Obhut, und man schreibt Ihnen deswegen — das ist ein eigener Leitfaden, weil es ein eigenes Problem ist.
• Ob man Sie erreichen kann. Wenn Sie in der Union niedergelassen sind, muss Ihre Aufsichtsbehörde nicht den Server erreichen. Sie muss Sie erreichen.

Ein Nachmittag, der die Frage klärt

Nichts davon braucht ein Tool, das Sie kaufen müssten, und die ganze Abfolge ist kürzer, als der Markt glauben macht.

1. Entscheiden, ob Sie überhaupt personenbezogene Daten von Personen in der Union verarbeiten. Wenn die ehrliche Antwort Nein ist — und das ist sie bei sehr vielen Projekten — ist alles oben nur Hintergrundlektüre, und Sie sind fertig.
2. Notieren, mit welcher Gesellschaft Sie für jede genutzte Region einen Vertrag haben und in welchem Land diese Gesellschaft sitzt. Nicht die Region: das Unternehmen auf der Rechnung.
3. Diese in die drei Gruppen der Tabelle einsortieren. Innerhalb des EWR, angemessen, oder keines von beidem.
4. Für alles in der dritten Gruppe die Klauseln von 2021 einrichten und die Zielland-Prüfung schreiben. Zwei Dokumente, einmal, pro Land.
5. Betrachten, was dort tatsächlich ankommt. Wenn die Antwort ein verschlüsseltes Archiv ist, dessen Schlüssel auf Ihrer eigenen Hardware liegt, das in der Prüfung so festhalten, denn das ist die Tatsache, die den Rest einfach macht.
6. Das alles in Ihr Verzeichnis nach Artikel 30 einarbeiten. Das ist das Dokument, nach dem eine Aufsichtsbehörde zuerst fragt und das die meisten Verantwortlichen zuletzt schreiben.
7. Ein Überprüfungsdatum auf die Prüfung setzen und sie dort ablegen, wo die nächste Person, die das anfasst, sie findet.

Das ist die ganze Übung, und sie steht zu nichts anderem auf dieser Website im Widerspruch — das ist der Satz, für den dieser Leitfaden existiert. Eine Jurisdiktion zu wählen, die Ihre Daten schützt, und die Regeln zu befolgen, die Ihre Nutzer schützen, sind keine gegensätzlichen Entscheidungen. Es ist dieselbe Entscheidung, von ihren beiden Enden her gelesen.

Fragen, die tatsächlich gestellt werden

Jeder Preis auf diesem Anwesen ist vollständig veröffentlicht, an einem Ort. Den gesamten Katalog ansehen