Seit dem Urteil des Europäischen Gerichtshofs vom Juli 2020 stellt uns fast jeder Mittelständler im Erstgespräch dieselbe Frage. Können wir unsere Daten überhaupt noch in der Cloud lassen? Die ehrliche Antwort ist unbequem: Es kommt darauf an, welche Daten Sie meinen und wohin sie fließen.
Früher war die Wahl zwischen Cloud und eigenem Server vor allem eine Rechnung. Betriebskosten gegen Anschaffung, Flexibilität gegen Kontrolle. Diese Rechnung gibt es weiterhin. Sie ist nur nicht mehr die einzige, die Sie aufmachen müssen.
Was das Urteil praktisch geändert hat
Der EuGH hat das Privacy Shield gekippt, also die Vereinbarung, auf die sich viele Unternehmen bei Datentransfers in die USA gestützt haben. Die Standardvertragsklauseln hat das Gericht nicht kassiert. Es hat aber klargestellt, dass sie kein Automatismus sind. Wer sie unterschreibt, muss zusätzlich prüfen, ob im Zielland ein Schutzniveau herrscht, das dem europäischen im Wesentlichen entspricht. Fällt die Prüfung negativ aus, brauchen Sie zusätzliche Maßnahmen. Oder Sie lassen den Transfer.
Das ist der eigentliche Punkt, und er wird gern überlesen. Die Verantwortung für diese Prüfung liegt bei Ihnen als verantwortlicher Stelle. Nicht bei einem Anbieter, der Ihnen ein Zertifikat auf die Website legt.
Der AV-Vertrag ist nicht das Ende der Prüfung
Wir haben ja einen AV-Vertrag. Diesen Satz hören wir oft, und er ist nicht falsch. Er ist nur unvollständig. Ein Vertrag zur Auftragsverarbeitung regelt das Verhältnis zwischen Ihnen und Ihrem Dienstleister. Er regelt nicht, ob eine Behörde in einem Drittland auf Daten zugreifen darf, die bei einem dort ansässigen Konzern liegen, selbst wenn der Server physisch in Frankfurt steht. Genau daran hat sich das Gericht gestört. Der Firmensitz des Anbieters kann relevanter sein als der Standort des Rechenzentrums.
Der AV-Vertrag ist also der Anfang der Prüfung. Nicht ihr Ende.
Wann ein europäischer oder eigener Server sinnvoll ist
Wir raten immer dann dazu, wenn die Daten von sich aus heikel sind. Gesundheitsdaten. Personalakten. Konstruktionsdaten, aus denen ein Wettbewerber Ihr halbes Produkt rekonstruieren könnte. Auch Kundendaten, bei denen ein Leck Sie nicht nur ein Bußgeld kostet, sondern Vertrauen.
Der zweite Fall ist banaler und trotzdem häufiger. Sie brauchen ohnehin eine Software, die es von der Stange nicht gibt. Wenn wir eine Fachanwendung bauen, entscheiden wir gemeinsam mit Ihnen, wo sie später läuft, und zwar bevor die erste Zeile Code entsteht. Das gehört bei uns zur Auftragsentwicklung von Software und ist kein nachgelagerter Betriebsentscheid.
Wann die Cloud die richtige Wahl bleibt
Öfter, als es die Debatte vermuten lässt. Ein Betrieb mit sieben Mitarbeitern wird keinen eigenen Server mit Redundanz, Backup-Konzept und geregeltem Patch-Rhythmus betreiben, und er sollte es auch gar nicht erst versuchen. Für Terminplanung, Buchhaltung und Schriftverkehr gibt es europäische Anbieter, die das zuverlässiger hinbekommen als eine halb gewartete Kiste im Raum neben dem Kopierer.
Das Homeoffice der letzten anderthalb Jahre hat diesen Punkt verschärft. Wer von überall arbeiten muss, braucht Systeme, die von überall sicher erreichbar sind. Das ist mit einem guten Cloud-Dienst meist leichter zu bauen als mit einem VPN-Provisorium, das im März 2020 entstanden ist und das seitdem niemand mehr angefasst hat.
Worauf Sie im Anbietervertrag achten
Fragen Sie nach dem Konzernsitz, nicht nur nach dem Rechenzentrum. Lassen Sie sich alle Unterauftragnehmer nennen, auch die für Support und Monitoring. Klären Sie, wer die Schlüssel hält, wenn verschlüsselt wird. Verschlüsselung hilft nur so lange, wie der Anbieter Ihre Daten nicht selbst im Klartext braucht, um seine Funktionen zu liefern. Und schauen Sie sich an, was bei einer Kündigung passiert: In welchem Format bekommen Sie Ihre Daten zurück, und wie lange dauert das?
Selbst hosten ist kein Freifahrtschein
Ein Satz, den wir gern in jedes Beratungsgespräch schreiben würden: Ein eigener Server nimmt Ihnen die Verantwortung nicht ab, er gibt sie Ihnen zurück. Updates, Backups, Wiederherstellungstests, Zugriffsrechte, physische Sicherheit. Wenn dafür niemand zuständig ist, ist der eigene Server nicht sicherer als die Cloud. Er ist nur schlechter gewartet und fühlt sich sicherer an, weil er im eigenen Haus steht. Dieses Gefühl ist ein schlechter Ratgeber.
Häufige Fragen
Sind Dienste aus den USA seit Schrems II verboten?
Nein. Sie sind prüfpflichtig. Sie müssen für jeden Transfer bewerten, ob Standardvertragsklauseln und zusätzliche Maßnahmen zusammen ein angemessenes Schutzniveau herstellen, und diese Bewertung dokumentieren.
Reicht es, wenn das Rechenzentrum in Deutschland steht?
Nicht automatisch. Entscheidend ist auch, wer rechtlich Zugriff auf die Systeme nehmen kann. Ein deutscher Standort löst das Problem nicht von allein, wenn der Anbieter einem Recht außerhalb der EU unterliegt.
Was kostet ein eigener Server im laufenden Betrieb?
Die Hardware ist der kleinere Posten. Rechnen Sie mit dauerhaftem Aufwand für Wartung, Backups, Tests und Erreichbarkeit. Wer diesen Aufwand nicht einplanen kann oder will, fährt mit einem europäischen Anbieter besser.
Wenn Sie gerade vor dieser Entscheidung stehen und nicht wissen, in welche Schublade Ihr Fall gehört, sortieren wir das mit Ihnen. Ein Gespräch, unverbindlich und ohne Verkaufsdruck.
Dieser Beitrag gehört zu unserem Wissens-Hub Individuelle Softwareentwicklung.