Da­ten­ho­heit: Data So­ve­reig­n­ty erklärt

Da­ten­ho­heit be­zeich­net die Ver­fü­gungs­be­fug­nis über Daten und dient als Sam­mel­be­griff für die vielen Facetten im Zu­sam­men­hang mit der Ver­ar­bei­tung digitaler Daten – dazu zählen der Schutz, die Ver­schlüs­se­lung, die Über­tra­gung und die Spei­che­rung. Wer Daten in der Cloud speichert oder IT-Dienste von externen Dienst­leis­tern nutzt, muss auf einen an­ge­mes­se­nen Da­ten­schutz achten und die recht­li­chen Re­ge­lun­gen kennen. Welche Vorgaben gibt es zur Da­ten­ho­heit und wie bewahren Sie sich Ihre Data So­ve­reig­n­ty?

Da­ten­ho­heit (engl. Data So­ve­reig­n­ty) ist ein recht­li­cher Begriff, der sich auf ge­setz­li­che Richt­li­ni­en im Zu­sam­men­hang mit Daten bezieht. Da­ten­ho­heit ist zudem eng verknüpft mit Da­ten­schutz, Da­ten­sou­ve­rä­ni­tät, Cloud Computing und tech­no­lo­gi­scher Sou­ve­rä­ni­tät. Gesetze zur Da­ten­ho­heit schaffen Regeln für die Ver­fü­gungs­be­fug­nis von Re­gie­run­gen und Un­ter­neh­men über digitale Nutzer- und Ge­schäfts­da­ten. Da­ten­ho­heit bezieht sich somit konkret auf die Fragen:

• Wem gehören Daten?
• Wer darf Daten speichern?
• Wie dürfen Daten ge­spei­chert werden?
• Wie dürfen Daten verwendet werden?
• Wie sind Daten zu schützen?
• Was passiert bei Da­ten­miss­brauch?

Da immer mehr kleine und mit­tel­stän­di­sche Firmen Cloud Computing, also die Aus­la­ge­rung von Fir­men­da­ten und -tech­no­lo­gie auf externe Server, zu schätzen wissen, ist die Bedeutung von Da­ten­ho­heit nicht zu ver­nach­läs­si­gen. Ins­be­son­de­re wenn Server in Ländern liegen, in denen Da­ten­schutz­richt­li­ni­en nicht eu­ro­päi­schen Standards ent­spre­chen, sollte die Frage der Data So­ve­reig­n­ty eindeutig geklärt sein.

Die Vorteile von Cloud Computing sind bestens bekannt. Sobald sensible Daten jedoch nicht un­ter­neh­mens­in­tern, sondern auf externen Servern und mög­li­cher­wei­se in anderen Ländern ge­spei­chert werden, stellen sich die Fragen nach Da­ten­si­cher­heit und Da­ten­be­sitz.

Wenn ver­trag­lich nicht anders geregelt, besteht bei Dritt­an­bie­tern die Gefahr, dass Daten ana­ly­siert und verkauft werden. Un­ter­neh­men, die per­sön­li­che Daten ver­ar­bei­ten, sind in der EU jedoch dazu ver­pflich­tet, höchste Da­ten­si­cher­heit zu ga­ran­tie­ren. Daher kommt es auf nach­weis­ba­ren Da­ten­schutz und moderne Com­pli­ance-Richt­li­ni­en an. Sowohl bei Un­ter­neh­men, die ihre IT auslagern, als auch bei Un­ter­neh­men, die IT-Dienste anbieten. Verliert oder ver­nach­läs­sigt ein Un­ter­neh­men die Da­ten­ho­heit über Geschäfts- und Kun­den­da­ten, kann das schwer­wie­gen­de recht­li­che Kon­se­quen­zen haben.

Daten können im Internet, in Un­ter­neh­mens­netz­wer­ken und in der Cloud folgende drei Stadien einnehmen:

• Data-in-use: Daten, die gerade benutzt werden
• Data-in-motion: Daten, die gerade über­tra­gen werden
• Data-at-rest: Daten, die lokal oder in der Cloud ge­spei­chert sind

Vor der zu­neh­men­den Di­gi­ta­li­sie­rung wurde Da­ten­ho­heit vor allem im Zu­sam­men­hang mit Data-at-rest, also ge­spei­cher­ten Daten, dis­ku­tiert. Heute gelten andere Maßstäbe: Da­ten­si­cher­heit, Re­vi­si­ons­si­cher­heit und Data So­ve­reig­n­ty gelten un­ab­hän­gig vom Spei­cher­ort, vor allem wenn externe Anbieter Un­ter­neh­mens­da­ten ver­ar­bei­ten. Un­ter­neh­men müssen sich ihre Da­ten­ho­heit für alle drei Stadien bewahren. Umsetzen lässt sich dieser hohe Maßstab an den Da­ten­schutz durch Ver­schlüs­se­lungs­soft­ware, die dafür sorgt, dass nur auf­trag­ge­ben­de Un­ter­neh­men sensible, ver­schlüs­sel­te Daten de­co­die­ren können.

Un­ter­neh­men im öf­fent­li­chen Sektor und in der freien Wirt­schaft müssen in Zeiten der Di­gi­ta­li­sie­rung zwei Grund­re­geln beachten, um Da­ten­si­cher­heit zu ga­ran­tie­ren:

1. IT-In­fra­struk­tur muss jederzeit sicher, flexibel und modern sein.
2. Die Da­ten­ho­heit über Kunden-, Nutzer- und Ge­schäfts­da­ten muss ga­ran­tiert sein.

Nur mit ent­spre­chen­den Si­cher­heits­vor­keh­run­gen und ver­trag­li­chen Re­ge­lun­gen können Firmen Ge­schäfts­ge­heim­nis­se schützen und per­sön­li­che Daten gemäß den EU-Da­ten­schutz­richt­li­ni­en ver­ar­bei­ten. Firmen sollten stets wissen, wie Dritt­dienst­leis­ter mit Daten umgehen und welche Nut­zungs­rech­te sie haben. Da es auch in Sachen Data So­ve­reig­n­ty recht­li­che Un­klar­hei­ten und Grauzonen gibt, sollte ver­trag­lich geregelt sein, was mit Daten geschieht und wie sie ge­spei­chert, ver­ar­bei­tet und über­tra­gen werden.

Ein kleines Beispiel:

Möchte ein Pro­duk­ti­ons­un­ter­neh­men die eigene Leistung erhöhen, kann es die Cloud- und Web-Dienste eines Managed Service Providers nutzen. Per Da­ten­ana­ly­se könnte dieser Anbieter bei­spiels­wei­se Prognosen zu War­tungs­auf­ga­ben erstellen und das Op­ti­mie­rungs­po­ten­zi­al des Un­ter­neh­mens fest­stel­len.

Obwohl in diesem Fall das auf­trag­ge­ben­de Un­ter­neh­men die Da­ten­ho­heit haben sollte, bedeutet das nicht, dass es zwangs­läu­fig auch Zugriff auf sämtliche Da­ten­ana­ly­sen des be­auf­trag­ten Un­ter­neh­mens hat. Wenn nicht anders ver­trag­lich geregelt, kommt hinzu, dass Teile der Daten wei­ter­ver­wen­det oder an Dritte verkauft werden könnten. Hier entstehen durch mangelnde Da­ten­ho­heit ein Si­cher­heits­ri­si­ko und ein Wett­be­werbs­nach­teil für Un­ter­neh­men.

Ob für kleine Online-Händler oder vernetzte Groß­pro­duk­ti­on – die Aus­wer­tung von Kunden- und Ge­schäfts­da­ten ist wichtig, um Pro­duk­ti­on und Dienst­leis­tun­gen an Kun­den­er­war­tun­gen und -verhalten an­zu­pas­sen. Da es heute fast unmöglich ist, Daten her­me­tisch vom Zugriff Dritter ab­zu­schot­ten, sind recht­li­che Rah­men­be­din­gun­gen nötig. Neben in­di­vi­du­el­len Ver­trags­re­ge­lun­gen zwischen Auf­trag­ge­bern und Dienst­leis­tern sind nationale und in­ter­na­tio­na­le Da­ten­schutz­ver­ord­nun­gen wie die EU-Da­ten­schutz-Grund­ver­ord­nung (DSGVO) und das deutsche Bun­des­da­ten­schutz­ge­setz ent­schei­den­de Richt­li­ni­en in puncto Da­ten­ho­heit.

Zum Vergleich: In den USA gibt es kein all­ge­mei­nes Da­ten­schutz­ge­setz, das grund­sätz­li­che Richt­li­ni­en für den Schutz von Per­so­nen­da­ten vorgibt. Während es in der EU spe­zi­fi­sche Da­ten­schutz-Re­ge­lun­gen für Branchen gibt, beruht der Da­ten­schutz hier auf der Selbst­ver­pflich­tung von US-Un­ter­neh­men. Hinzu kommt, dass US-Behörden um­fas­sen­de Ver­fü­gungs­be­fug­nis­se über Daten haben. Nutzen deutsche oder eu­ro­päi­sche Un­ter­neh­men die Dienste von ame­ri­ka­ni­schen Cloud-Anbietern oder Web-Dienst­leis­tern können somit Da­ten­schutz­lü­cken entstehen.

Laut DSGVO müssen Un­ter­neh­men, die per­so­nen­be­zo­ge­ne Daten ver­ar­bei­ten, „geeignete tech­ni­sche und or­ga­ni­sa­to­ri­sche Maßnahmen treffen, um ein dem Risiko an­ge­mes­se­nes Schutz­ni­veau zu ge­währ­leis­ten“. Da­ten­schutz und Da­ten­ho­heit sind für Un­ter­neh­men also komplexe Aufgaben. Vor allem die Balance zwischen dem Schutz von Un­ter­neh­mens­da­ten, per­so­nen­be­zo­ge­nen Daten und einer starken Markt­po­si­ti­on kann sich als schwierig erweisen. Da die DSGVO sich in erster Linie auf per­so­nen­be­zo­ge­ne Daten kon­zen­triert, müssen Firmen si­cher­stel­len, dass Nutzer über die Wei­ter­ver­ar­bei­tung ihrer Per­so­nen­da­ten in­for­miert sind und dieser bewusst zustimmen. Gleich­zei­tig ist die Analyse von Nut­zer­da­ten für digitale Firmen ein ent­schei­den­der Er­folgs­fak­tor.

Um Da­ten­ho­heit, Da­ten­schutz und Un­ter­neh­mens­er­folg zu har­mo­ni­sie­ren, empfiehlt sich die Ein­stel­lung von Da­ten­schutz­be­auf­trag­ten, die sich um die Da­ten­ho­heit Ihres Un­ter­neh­mens kümmern. Zudem ist in­di­vi­du­ell zu klären, welche Da­ten­schutz- und Da­ten­nut­zungs-Richt­li­ni­en Dritt­fir­men und Part­ner­un­ter­neh­men haben. Nicht zu vergessen ist die ob­li­ga­to­ri­sche Da­ten­schutz­er­klä­rung, die Ihre Maßnahmen zur sicheren Ver­ar­bei­tung von Daten trans­pa­rent kom­mu­ni­ziert. We­sent­li­che tech­ni­sche und or­ga­ni­sa­to­ri­sche Maßnahmen, die hier von Un­ter­neh­men zu beachten sind, umfassen:

• Pseud­ony­mi­sie­rung und Ver­schlüs­se­lung von Daten
• Ver­trau­lich­keit und In­te­gri­tät der Systeme
• Tech­ni­sche Be­last­bar­keit der Systeme
• Wie­der­her­stel­lung und Ver­füg­bar­keit von Daten nach tech­ni­schen Notfällen
• Re­gel­mä­ßi­ge Über­prü­fung, Bewertung und Eva­lu­ie­rung der Schutz­maß­nah­men
• Ein­hal­tung und Ein­ar­bei­tung der Da­ten­schutz­maß­nah­men durch Mit­ar­bei­ter

Gaia-X lautet die eu­ro­päi­sche In­itia­ti­ve für eine hoch­si­che­re, da­ten­schutz­kon­for­me und markt­taug­li­che Da­ten­in­fra­struk­tur in Europa. Gaia-X versteht sich als Ge­gen­ent­wurf zu man­gel­haf­ten Da­ten­schutz­be­stim­mun­gen im au­ßer­eu­ro­päi­schen Ausland, ins­be­son­de­re zum US-CLOUD-Act. US-Behörden können legal und ohne Rich­ter­be­schluss auf Daten zugreifen, sofern diese auf Servern liegen, die dem US-CLOUD-Act un­ter­ste­hen. Das gilt auch, wenn es sich um ame­ri­ka­ni­sche Provider mit eu­ro­päi­schen Rech­ner­zen­tren handelt.

Mit Partnern wie IONOS Cloud arbeitet Gaia-X an einer Da­ten­in­fra­struk­tur, die Europas Al­ter­na­ti­ve zum Cloud Computing durch Amazon Web Services, IBM, Google, Alibaba oder Microsoft Azure werden soll. So können Un­ter­neh­men Daten auf in­ner­eu­ro­päi­schen Rech­ner­zen­tren hoch­si­cher ver­ar­bei­ten, höchste Da­ten­si­cher­heit und Data So­ve­reig­n­ty genießen und den Abfluss von Industrie- und Per­so­nen­da­ten an au­ßer­eu­ro­päi­sche Akteure ver­hin­dern. Be­stand­teil der In­fra­struk­tur werden trans­pa­ren­te, frei wählbare Netz­kno­ten und Re­chen­zen­tren sein, deren Attribute, Fä­hig­kei­ten und An­for­de­run­gen klar kom­mu­ni­ziert sind. Kunden sollen mühelos Anbieter wechseln können, ohne sich durch Cloud- und Vendor-Lock-In von Web-Dienst­leis­tern und Managed Serivce Providern abhängig zu machen.