Amazon Web Services (AWS) - Aktuelle Rechtslage bzgl. Datenschutz

Cloud Hosting bringt viele Vorteile, wie z. B. Skalierbarkeit auf Abruf und eine hervorragende Verfügbarkeit. Ambient empfiehlt seinen Partnern in den allermeisten Situationen das Hosting bei einem der großen Managed-Cloud-Provider und oft arbeiten wir hier mit AWS zusammen. Unsere Ambient Shared Cloud, bei der sich mehrere Kunden die Ressourcen eines Kubernetes-Clusters teilen, liegt ebenfalls bei AWS. Wir haben das Glück häufig an Anwendungen zu arbeiten, welche Kern-Geschäftsprozesse unserer Kunden unterstützen und sensible Daten verwalten. Da legen unsere Kunden zu Recht großen Wert auf Sicherheit und Datenschutz. Und so werden wir immer wieder nach der datenschutzrechtlichen Situation beim Hosting mit US-Cloud-Unternehmen wie AWS gefragt. In diesem Artikel geben wir einen Überblick über die aktuelle rechtliche Lage.

Welche Fragestellungen gibt es beim Einsatz von AWS?

AWS als Unternehmen mit Hauptsitz in den USA unterliegt dem US-CLOUD Act, ein US-amerikanisches Gesetz aus dem Jahr 2018, das US-Behörden den Zugriff auf Daten US-amerikanischer IT-Unternehmen und Cloud-Provider ermöglicht, die außerhalb der USA gespeichert sind. AWS ist damit auf Anfrage der amerikanischen Sicherheitsbehörden nicht nur zur Herausgabe der eigenen Daten verpflichtet, sondern auch zur Herausgabe der Daten seiner Kunden, sofern sich diese in dessen Kontrolle und Obhut befinden. Letzteres ist vor allem bei den Daten der Fall, die von einem Kunden wie Ambient Innovation in der Cloud-Infrastruktur von AWS gespeichert sind. Durch den CLOUD Act können damit auch alle Daten, die von Ambient Innovation in einem europäischen Rechenzentrum von AWS gespeichert sind, in die Hände von US-Behörden gelangen – auch wenn der Vertrag mit der europäischen Amazon-Tochter Amazon Web Services EMEA SARL in Luxembourg geschlossen ist. Damit ist ein europäisches Datenschutzniveau nicht gewährleistet und der Einsatz von AWS könnte gegen die DSGVO verstoßen.

Was für Schutzmaßnahmen hat AWS ergriffen?

Der Auftragsverarbeitungsvertrag mit AWS beinhaltet die erforderlichen aktuellen Standardvertragsklauseln. Diese allein vermögen es jedoch nicht, ein angemessenes Schutzniveau herzustellen, weshalb AWS und seine Kunden zur Implementierung von SCCs zusätzliche Maßnahmen ergreifen müssen.

Im Rahmen eines „Modells der geteilten Verantwortung“ nimmt AWS selbst zusätzliche technische, organisatorische und vertragliche Maßnahmen in Angriff, andere obliegen wiederum den Kunden und damit Ambient (siehe unten). Zusätzliche vertragliche Maßnahme auf Seiten von AWS ist gemäß einer Ergänzung zum Auftragsverarbeitungsvertrag1, dass sich AWS verpflichtet, Anfragen von US-amerikanischen Behörden stets sorgfältig zu prüfen und ggf. abzuwehren.

Außerdem ist AWS Mitglied im CISPE (Cloud Infrastructure Services Providers in Europe), einem Zusammenschluss von Entscheidungsträgern aus dem Cloud-Computing-Bereich.  Der CISPE Data Protection Code of Conduct (CISPE-Kodex) ist ein Datenschutz-Verhaltenskodex für Anbieter von Cloud-Infrastruktur-Services gemäß Artikel 40 der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union, dem sich auch AWS verpflichtet hat. Er wurde im Mai 2021 vom Europäischen Datenschutzausschuss (EDPB) genehmigt und im Juni 2021 von der französischen Datenschutzbehörde (CNIL), die als federführende Aufsichtsbehörde fungiert, offiziell angenommen.

Die Einhaltung des Verhaltenskodexes bedeutet jedoch nicht die Einhaltung der Datenschutz-Grundverordnung, sondern schafft lediglich Vertrauen in die Einhaltung von gewissen Standards. Er verpflichtet Cloud-Infrastruktur-Dienstanbieter u.a. dazu, ihren Kunden die Wahl zu geben, Dienste zur Speicherung und Verarbeitung von Kundendaten ausschließlich im Europäischen Wirtschaftsraum (EWR) zu nutzen. Ambient Innovation hat diese Wahlmöglichkeit in der AWS Infrastruktur wahrgenommen, sodass die Serverstandorte in Deutschland/ Europa liegen

Wie hoch ist das Risiko des Einsatzes von AWS im Hinblick auf Zugriffsanfragen von Behörden?

AWS veröffentlicht regelmäßig einen Bericht über Informationsanfragen (IRR)2 über die Art und den Umfang der bei ihr eingehenden behördlichen Anfragen. Laut eigener Einschätzung würden die bereitgestellten Informationen zeigen, dass die Offenlegung von Kundendaten durch AWS auf staatliche Informationsanfragen selten sind.

Wie bewerten die Datenschutzbehörden und Gerichte den Einsatz von AWS?

Im März letzten Jahres hat das oberste französische Verwaltungsgericht Conseil d’Etat entschieden, dass die Verwendung von AWS als Provider nicht automatisch dazu führe, dass die Verarbeitung der personenbezogenen Daten gegen die DSGVO verstoße, wenn angemessene zusätzliche Maßnahmen von AWS und dem Kunden ergriffen worden seien. Das Zauberwort heißt hier Verschlüsselung. Kernelement einer datenschutzrechtlich zulässigen Nutzung ist die Verschlüsselung der Daten, so dass AWS im Falle einer Zugriffsanfrage allenfalls verschlüsselte Daten herausgeben kann, ohne selbst den Schlüssel zu besitzen.

Aktuell prüft der Europäische Datenschutzbeauftragte, ob die Nutzung von AWS durch mehrere EU-Institutionen rechtmäßig ist.

Wie lässt sich der Einsatz von AWS möglichst datenschutzkonform gestalten?

Es