Auch ein Cloud-Dienst im Ausland ist eine Datenübermittlung

Bei der Wahl der Infrastruktur einer Software wird der Standort der Server meist über Preis und Geschwindigkeit diskutiert. Diese Wahl hat aber auch eine Seite der Datenübermittlung, und sie später zu ändern, ist nicht leicht.

Fragt man ein Unternehmen, ob es Daten ins Ausland übermittelt, lautet die Antwort meist Nein. Fragt man anschließend, welche Dienste genutzt werden, entsteht eine Liste: Cloud-Hosting, E-Mail, Kundensupport-Software, ein Analysewerkzeug, ein Zahlungsdienstleister, ein Backup-Dienst.

Bei den meisten Diensten auf dieser Liste stehen die Server nicht in der Türkei. Die eigentliche Antwort war also Ja, nur wusste das Unternehmen es nicht.

Dieses Missverständnis kommt vom Wort "Übermittlung" selbst. Es klingt nach einer bewussten Handlung, dem Nehmen und Versenden einer Datei. Doch auch das Vorhalten von Daten auf einem System im Ausland oder ihre dortige Verarbeitung ist eine Übermittlung. Ein gesonderter Versand ist dafür nicht nötig.

Wo eine Übermittlung tatsächlich beginnt

Artikel 9 des türkischen Gesetzes Nr. 6698 regelt Übermittlungen ins Ausland. Die Schwierigkeit in der Praxis liegt nicht in der Vorschrift selbst, sondern darin, festzustellen, wann eine Übermittlung tatsächlich stattgefunden hat.

Alle drei folgenden Fälle begründen eine Übermittlung: Daten werden auf einem Server im Ausland gehostet; ein Team im Ausland kann zu Supportzwecken auf das System zugreifen; Daten werden im Ausland verarbeitet und das Ergebnis zurückgeschickt. Der dritte Fall wird am häufigsten übersehen. Wer einen Textanalysedienst nutzt und dieser Dienst im Ausland sitzt, dessen eingereichter Text wird dort verarbeitet. Dass das Ergebnis zurückkommt, bedeutet nicht, dass keine Übermittlung stattgefunden hat.

Genau dieses Merkmal hat unsere eigene Website. Das Freitextfeld auf der Startseite sendet den eingegebenen Text zur Analyse an einen Anbieter im Ausland. Deshalb hat unser Datenschutzhinweis dafür einen eigenen Abschnitt, und eine besuchende Person kann die gesamte übrige Website durchsehen, ohne dieses Feld je zu nutzen. Dass ohne Nutzung der Funktion keinerlei Übermittlung entsteht, war eine ebenso bewusste Designentscheidung wie die Funktion selbst.

Die fehlende Spalte im Verzeichnis

Die meisten Datenverzeichnisse führen Kategorie, Zweck und Aufbewahrungsfrist auf. Die fehlende Spalte lautet: In welchem Land liegen diese Daten physisch?

Fügt man diese Spalte hinzu, ändert sich das Bild. Ein Teil der Daten, die ein Unternehmen im eigenen Rechenzentrum vermutet hat, liegt in Wirklichkeit im Ausland. Backups werden dabei besonders häufig übersehen, weil der Backup-Dienst meist von einem separaten Anbieter kommt und niemand nachsieht, wo er sitzt.

Bei der Erstellung des Verzeichnisses muss der Anbieter direkt gefragt werden. Enthält der Vertrag eine Zusage zur Datenresidenz, sollte sie schriftlich eingeholt werden. Fehlt eine solche Zusage, kann der Anbieter die Anordnung einseitig ändern, ohne dass Sie davon erfahren.

Die Subunternehmerkette

Die zweite Ebene ist noch weniger sichtbar. Der von Ihnen genutzte Anbieter greift für seine eigene Infrastruktur womöglich selbst auf weitere Anbieter zurück.

Sie nutzen eine Kundensupport-Software, diese Software läuft bei einem Cloud-Anbieter, für die Suchfunktion wird ein weiterer Dienst genutzt, und für den Versand von Benachrichtigungen besteht eine Verbindung zu einem dritten Anbieter. Ihre Daten wandern durch diese gesamte Kette.

Diese Kette vollständig zu kontrollieren ist nicht möglich, sie sichtbar zu machen aber schon. Der Vertrag sollte eine Meldepflicht für den Einsatz von Subunternehmern sowie ein Widerspruchsrecht bei einer Änderung vorsehen. Die meisten Unternehmensanbieter bieten das bereits an, man muss nur danach fragen.

Was zu tun ist

Der erste Schritt ist die Erstellung eines Diensteverzeichnisses: Name jedes genutzten externen Dienstes, wofür er verwendet wird, auf welche Kategorien personenbezogener Daten er zugreifen kann und wo seine Server stehen.

Steht diese Tabelle, gibt es drei Optionen: den Dienst durch eine in der Türkei gehostete Alternative ersetzen, zur türkischen Region des Anbieters wechseln, sofern vorhanden, oder die Übermittlung mit einem der gesetzlich vorgesehenen Mechanismen auf eine rechtliche Grundlage stellen.

Alle drei haben ihren Preis, und die richtige Wahl hängt von der Art der Tätigkeit ab. Keine davon zu wählen, die Lage also gar nicht erst zu bemerken, ist jedoch die teuerste Option. Denn dann gibt auch der eigene Datenschutzhinweis falsche Auskunft, und eine einzige Lücke verletzt gleich zwei Pflichten auf einmal.

Die Regeln in diesem Bereich entwickeln sich weiter, und Kurul-Beschlüsse zeichnen den Rahmen von Zeit zu Zeit neu. Vor der Wahl eines Übermittlungsmechanismus sollte der aktuelle Stand geprüft werden.