Schweizer Server, US-Konzern: Wer kann auf Ihre Daten zugreifen?

Viele Cloud-Angebote werben mit «Daten in der Schweiz». Das klingt nach Sicherheit. Es beantwortet aber nur eine Frage: Wo steht der Server? Die wichtigere Frage lautet: Wem untersteht die Firma, die den Server betreibt?

Ihre Daten gehören Ihnen. Herausgeben muss sie der Anbieter.

Fotos, Dokumente und Firmendaten bleiben Ihr Eigentum, auch in der Cloud. Wenn eine Behörde Zugriff verlangt, wendet sie sich aber nicht an Sie, sondern an den Anbieter, bei dem die Daten liegen. Dieser untersteht dem Recht seines Landes und kann dort zur Herausgabe verpflichtet werden.

Was der Clarifying Lawful Overseas Use of Data Act (CLOUD Act) regelt

Der CLOUD Act ist ein US-Gesetz von 2018. Er sagt im Kern: Ein Anbieter, der der US-Gerichtsbarkeit untersteht, muss Daten herausgeben, die sich in seinem Besitz oder unter seiner Kontrolle befinden. Das gilt auch dann, wenn die Daten im Ausland gespeichert sind.

Für Sie heisst das: Betreibt ein US-Konzern oder eine Firma mit entsprechender Verbindung zu den Vereinigten Staaten von Amerika (USA) ein Rechenzentrum in Zürich, schützt der Standort allein nicht vor einem US-Herausgabebefehl.

Was der CLOUD Act nicht ist

Ein Freipass ist er nicht. US-Behörden brauchen dafür eine rechtliche Grundlage, bei Inhalten in der Regel einen richterlich genehmigten Beschluss. Anbieter können sich in bestimmten Fällen dagegen wehren. Es geht also nicht um Massenüberwachung, sondern darum, dass der Zugriff rechtlich möglich ist. Ob und wie oft er stattfindet, ist eine andere Frage.

Worauf Sie achten können

• Rechtlicher Hauptsitz: In welchem Land ist die Firma registriert?
• Konzernzugehörigkeit: Gehört der Anbieter zu einem Konzern in einem anderen Land?
• Verschlüsselung: Kann der Anbieter Ihre Daten lesen, oder verschlüsseln Sie sie selbst, bevor sie hochgeladen werden? Was der Anbieter nicht lesen kann, kann er auch nicht lesbar herausgeben.
• Datenexport: Wie kommen Sie an Ihre Daten, wenn Sie den Anbieter wechseln wollen?
• Speicherort: Er bleibt relevant, zum Beispiel für Datenschutzrecht und Latenz, aber er ist nicht das einzige Kriterium.

Fazit

Wer wissen will, wer auf seine Daten zugreifen kann, schaut zuerst auf den Firmensitz und die Konzernstruktur des Anbieters. Der Serverstandort ist eine Zusatzinformation.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.