EU-Datensouveränität für Compliance-Dokumente: Warum die Jurisdiktion zählt, wenn Sie die Datei nicht löschen können
Datensouveränität ist eines dieser Themen, die mehr Hitze als Licht erzeugen. Manchmal wird sie als Protektionismus im juristischen Gewand dargestellt, manchmal als echtes Governance-Anliegen. Im Kontext alltäglicher Anwendungsdaten ist die Unterscheidung oft akademisch.
Für compliance-sensible Dokumente (Rechnungen mit 7-jährigen Aufbewahrungspflichten, Verträge unter Legal Hold, behördliche Einreichungen, die weder geändert noch gelöscht werden dürfen) ist die Unterscheidung nicht akademisch. Sie hat rechtliche Folgen.
Dieser Artikel vertritt ein konkretes Argument: Wenn Sie ein Dokument nicht löschen können, zählt sein Speicherort mehr als sonst, und “Ort” bedeutet Jurisdiktion, nicht nur Geografie.
Das übliche Argument der Datenresidenz
Das häufigste Argument für in der EU gehostete Infrastruktur ist die DSGVO-Konformität: Personenbezogene Daten sollen den Europäischen Wirtschaftsraum nicht ohne geeignete Garantien verlassen. Das ist eine echte Anforderung, und für Anwendungen, die personenbezogene Daten verarbeiten, ist sie wichtig.
Aber sie ist nicht das stärkste Argument dafür, Compliance-Dokumente in Europa zu halten. Das DSGVO-Argument gilt für Daten, die personenbezogene Daten enthalten können oder auch nicht. Compliance-Dokumente enthalten oft personenbezogene Daten, doch gegenüber der Kernfrage ist das fast zweitrangig.
Das stärkere Argument betrifft das, was mit Dokumenten geschieht, die Sie rechtlich aufbewahren müssen und rechtlich nicht löschen dürfen.
Aufbewahrungsrecht und das Problem des Infrastrukturzugriffs
Die Aufbewahrungspflichten für Rechnungen in der EU betragen typischerweise 7 Jahre. Unterlagen des niederländischen öffentlichen Sektors können nach der Archiefwet eine Aufbewahrung von 20 Jahren erfordern. Das sind keine weichen Leitlinien. Wer die vorgeschriebenen Unterlagen nicht aufbewahrt, setzt sich steuerlichen Sanktionen, dem Verlust des Vorsteuerabzugs und aufsichtsrechtlichen Sanktionen aus.
Die Kehrseite der Aufbewahrungspflichten: Die aufbewahrten Dokumente dürfen während des Aufbewahrungszeitraums nicht gelöscht werden. Dokumente unter Legal Hold dürfen überhaupt nicht gelöscht werden, bis der Hold aufgehoben ist.
Daraus entsteht aus Infrastruktursicht eine ungewöhnliche Lage: Sie haben Daten, die Sie rechtlich aufbewahren müssen und deren Löschung Ihnen rechtlich untersagt sein kann, gespeichert auf Infrastruktur, die ein Dritter kontrolliert. Die Frage lautet: Wer hat sonst noch Zugriff auf diese Daten, auf welcher Rechtsgrundlage, und was kann er damit tun?
Die Frage des CLOUD Act
Der Clarifying Lawful Overseas Use of Data Act (CLOUD Act) ist ein 2018 erlassenes US-Bundesgesetz, das es US-Strafverfolgungsbehörden erlaubt, US-Unternehmen (einschließlich Cloud-Anbietern) zur Herausgabe von Daten zu verpflichten, die auf ihren Servern gespeichert sind, unabhängig davon, wo diese Server physisch stehen.
Die praktische Folge: Daten eines europäischen Unternehmens auf der Infrastruktur eines US-Hyperscalers können grundsätzlich von US-Strafverfolgungsbehörden abgerufen werden, ohne dass das europäische Unternehmen benachrichtigt wird, vorbehaltlich der Verfahrensanforderungen des CLOUD Act.
Für die meisten Daten ist das eine theoretische Sorge. Das Volumen routinemäßiger Geschäftsdaten, das tatsächlich Gegenstand von Anfragen nach dem CLOUD Act wird, ist gering, und die Verfahren zur Erlangung solcher Daten sind nicht trivial.
Für Compliance-Dokumente sieht die Rechnung aus zwei Gründen anders aus.
Erstens betreffen Compliance-Dokumente oft die geschäftlich sensibelsten Bereiche eines Unternehmens: Lieferantenpreise, Kundenkonditionen, Vertragswerte, behördliche Meldungen. Das sind Dokumente, an denen Wettbewerber und Regierungen mit Handelsinteressen aktiv interessiert sein könnten.
Zweitens bedeuten Aufbewahrungspflichten, dass die Daten über lange Zeiträume existieren. Eine Anfrage nach dem CLOUD Act im 5. Jahr eines 7-jährigen Aufbewahrungszeitraums betrifft Daten, die per Definition für den laufenden Geschäftsbetrieb wesentlich sind.
Der CLOUD Act bedeutet nicht, dass die Nutzung von US-Hyperscaler-Infrastruktur illegal ist oder dass routinemäßig auf Daten zugegriffen wird. Er bedeutet, dass der Rechtsrahmen gilt, der diese Möglichkeit schafft, und dass der Cloud-Anbieter einer gültigen rechtlichen Anordnung nur begrenzt widerstehen kann. Das Risikoprofil unterscheidet sich von reiner EU-Infrastruktur.
Was “EU-souverän” in der Praxis bedeutet
“EU-souverän” wird im Marketing locker verwendet, und es lohnt sich, genau zu sein, was es voraussetzt.
Mindestens bedeutet EU-souveräne Infrastruktur:
Alle Daten bleiben im Europäischen Wirtschaftsraum. Nicht nur die primäre Region: Auch Backups, Disaster Recovery und jede Replikation müssen im EWR bleiben. Grenzüberschreitende Datenübermittlungen in Jurisdiktionen außerhalb des EWR erfordern entweder einen Angemessenheitsbeschluss (der widerrufen werden kann) oder verbindliche geeignete Garantien.
Der Infrastrukturbetreiber unterliegt für die betreffenden Daten keinen Datenzugriffsgesetzen außerhalb der EU. Das heißt, der Betreiber ist kein US-Unternehmen und keine US-Tochtergesellschaft, die für die Daten, die Sie dort speichern, Verpflichtungen aus dem CLOUD Act unterläge. In der EU ansässige Unternehmen ohne US-Konzernstruktur unterliegen nicht dem CLOUD Act.
Die physischen Zugangskontrollen unterliegen EU-Jurisdiktion. Der Rechenzentrumsbetrieb unterliegt EU-Recht, nicht dem Recht der Jurisdiktion, in der der Hyperscaler gegründet ist.
Es gibt keine Abhängigkeit von Infrastruktur US-amerikanischen Ursprungs, über die auf die Daten zugegriffen werden könnte. Wer ein europäisches Rechenzentrum für die Primärspeicherung nutzt, aber den gesamten Datenverkehr über ein CDN US-amerikanischen Ursprungs leitet oder sich auf eine Schlüsselverwaltungsinfrastruktur US-amerikanischen Ursprungs stützt, führt jurisdiktionelle Abhängigkeiten durch die Hintertür wieder ein.
Echte Souveränität hängt nicht an der Flagge auf dem Gebäude. Es geht um den Rechtsrahmen, der regelt, wer unter welchen Umständen auf die Daten zugreifen kann.
Warum das gerade für Dokumente zählt, die Sie nicht löschen können
Zurück zur Ausgangsbeobachtung: Compliance-Dokumente unterliegen Aufbewahrungspflichten. Sie dürfen während des Aufbewahrungszeitraums nicht gelöscht werden.
Verbinden Sie das nun mit der Frage der souveränen Infrastruktur. Ein Dokument, das auf Nicht-EU-Infrastruktur unter einem Nicht-EU-Rechtsrahmen gespeichert ist und das Sie 7 Jahre lang nicht löschen können, ist ein Dokument, dessen Zugriffsprofil Sie 7 Jahre lang nicht vollständig kontrollieren können.
Bei einer Rechnung mit üblichen Aufbewahrungspflichten mag das ein akzeptables Risiko sein. Bei einem Vertrag mit einer sensiblen Preisstruktur, einer behördlichen Einreichung oder Dokumenten, die wegen eines laufenden Streitfalls unter Legal Hold stehen, sieht das Risikoprofil anders aus.
Dass Sie das Dokument nicht löschen können, bedeutet auch, dass Sie die Exposition nicht durch Entfernen der Daten mindern können. Bei Cloud-Objektspeicher mit Object Lock im COMPLIANCE-Modus sind Sie konstruktionsbedingt für die Dauer der Aufbewahrungsfrist an die Existenz des Dokuments gebunden. Die Wahl der Jurisdiktion lässt sich daher nicht ohne Weiteres rückgängig machen, sobald die Sperre gesetzt ist.
Die On-Premises-Option
Für Organisationen, bei denen Datensouveränität eine harte Anforderung ist (keine Präferenz, sondern eine rechtliche oder vertragliche Pflicht), ist ein On-Premises-Betrieb die vollständigste Lösung.
Beim On-Premises-Betrieb liegen die Daten vollständig in der eigenen Infrastruktur der Organisation, unter ihren eigenen Sicherheitskontrollen, ohne Abhängigkeit von externen Cloud-Anbietern. Die jurisdiktionelle Frage lautet dann: Welches Recht gilt für die eigene Infrastruktur der Organisation? Für EU-Organisationen, die innerhalb der EU tätig sind, lautet die Antwort: EU-Recht.
Ein On-Premises-Betrieb bringt Betriebskosten mit sich: Die Organisation ist für Verfügbarkeit, Backup, Disaster Recovery und Kapazitätsplanung verantwortlich. Für regulierte Einrichtungen, bei denen Datenresidenz eine Compliance-Anforderung ist, sind diese Kosten aber typischerweise bereits als Teil der grundlegenden Sicherheitsarchitektur akzeptiert.
BYOS, also das Mitbringen eines eigenen S3-kompatiblen Speichers, ist eine Zwischenoption. Die Anwendungsschicht bleibt ein Dienst, aber die Daten liegen im eigenen Speicher-Bucket der Organisation, der im eigenen Cloud-Konto der Organisation unter der von ihr gewählten Jurisdiktion betrieben wird. Der Anwendungsanbieter hält die Dokumente nicht; er verarbeitet sie und schreibt sie in den Bucket der Organisation.
Die praktische Frage für Compliance-Teams
Die Frage für Compliance-Teams, die Dokumenteninfrastruktur bewerten, ist nicht, ob EU-Souveränität ein nettes Extra ist. Sie lautet, ob die rechtlichen und risikobezogenen Anforderungen der gespeicherten Dokumente (Aufbewahrungspflichten, Legal-Hold-Verfahren, regulatorische Sensibilität) sie erfordern.
Für Routinedokumente mit der üblichen 7-jährigen Aufbewahrung kann das Risiko aus einer Abhängigkeit von US-Hyperscalern akzeptabel sein. Viele Organisationen gehen diesen Kompromiss ein, und er verursacht selten Probleme.
Für Dokumente unter Legal Hold, mit langen Aufbewahrungszeiträumen, hoher geschäftlicher Sensibilität oder ausdrücklichen Anforderungen an die Datenresidenz in regulierten Branchenrahmenwerken lohnt es sich, die Frage ernsthaft zu stellen, bevor die Infrastrukturentscheidung festgeschrieben ist.
Sobald der Object Lock gesetzt ist und die Aufbewahrungsuhr läuft, lässt sich die Frage der Jurisdiktion nur noch schwer neu aufrollen.
SealDoc läuft auf EU-Infrastruktur in nach ISO 27001 zertifizierten europäischen Rechenzentren, ohne Abhängigkeit von einem US-Hyperscaler. Im Enterprise-Tarif können Organisationen mit BYOS ihren eigenen S3-kompatiblen Speicher mitbringen und selbst entscheiden, wo ihre Dokumente gespeichert werden und welcher Jurisdiktion sie unterliegen.