CLOUD Act und Gesundheitsdaten: Datenresidenz, Behördenzugriffe und Verschlüsselung getrennt prüfen
Ein europäisches Rechenzentrum beantwortet nicht jede Zugriffsfrage. Wie Einrichtungen Drittlandbezug und technische Schutzmaßnahmen sachlich bewerten.
Redaktioneller Stand:
Hintergrund & Quellenbefund
Bei einer Cloud-Prüfung sind Speicherort, beteiligte Unternehmen und tatsächliche Zugriffsmöglichkeiten auseinanderzuhalten. Für die europäische Bewertung von Drittlandsanordnungen erläutert der EDSA Artikel 48 DSGVO: Eine ausländische Herausgabeanordnung schafft nicht automatisch die erforderliche Grundlage für eine Offenlegung aus der EU. Eine Übermittlung muss zusätzlich die einschlägigen Datenschutzvoraussetzungen erfüllen. [1]
Kapitel V DSGVO kennt unterschiedliche Übermittlungsinstrumente. Die bloße Zugehörigkeit eines Anbieters zu einem US-Konzern ist deshalb kein Ersatz für die Prüfung des konkreten Dienstes und auch kein hinreichender Beleg, dass sämtliche Verarbeitungen verboten seien. Umgekehrt beseitigt ein europäischer Speicherort nicht jede mögliche Drittlandsübermittlung oder jeden Fernzugriff. [2]
Verschlüsselung ist eine wichtige Sicherheitsmaßnahme. Für ihre Wirkung ist entscheidend, wer Schlüssel nutzen kann und wo Daten im Klartext benötigt werden. Ein vom Kunden verwalteter Schlüssel schützt nicht automatisch vor jedem Zugriff, wenn der Dienst während der Verarbeitung entschlüsseln muss. [3]
Einordnung & Grenzen
Dieser Beitrag gibt keine pauschale Zulassung oder Ablehnung von AWS, Azure, Google Cloud oder europäischen Alternativen. Er behauptet auch keinen voraussetzungslosen weltweiten Zugriff sämtlicher US-Behörden. Ein Anbietername allein ersetzt weder eine aktuelle Vertragsprüfung noch eine rechtliche Bewertung.
Einfach erklärt
Fiktives Praxisbeispiel: Eine Klinik vergleicht zwei Dienste mit EU-Speicherung. Beim ersten kann nur die Klinik die gespeicherten Inhalte entschlüsseln; beim zweiten verarbeitet der Dienst sie im Klartext. Beide Angebote haben denselben Speicherort, aber unterschiedliche technische Zugriffsvoraussetzungen.
Empfehlungen für die Praxis
Unsere Empfehlung: Zeichnen Sie den Datenweg einschließlich Fernwartung und Unterauftragnehmern auf. Lassen Sie sich erklären, welche Daten der Anbieter technisch lesen kann und welche vertraglichen Zusagen für Behördenanfragen bestehen. Allgemeine Aussagen zur Datenresidenz sollten durch den konkreten Leistungsumfang ergänzt werden.
Prüfen Sie die jeweils einschlägige Übermittlungsgrundlage und erforderliche zusätzliche Maßnahmen. Bewerten Sie Schlüsselverwaltung getrennt für Speicherung, Sicherungen und laufende Verarbeitung. Testen Sie auch Wiederherstellung und einen Verlust des eigenen Schlüsselzugangs.
Dokumentieren Sie offene Fragen und verbleibende Risiken, bevor produktive Gesundheitsdaten verarbeitet werden. Die sichere Entscheidung kann je nach Aufgabe unterschiedlich ausfallen; ein pauschales Herkunftsurteil oder ein Verschlüsselungsversprechen ohne Architekturprüfung hilft dabei nicht.