Seitdem der EuGH das Privacy-Shield-Abkommen gekippt hat, herrscht Unsicherheit, ob und wie US-Clouddienste datenschutzkonform genutzt werden können

Der Trend zur Nutzung von unterschiedlichsten Cloudlösungen reißt nicht ab: Von der einfachsten Form des Datastorage über den Bezug von "Software as a Service" bis hin zu innovativen Start-up-Lösungen, die auf Clouddiensten aufbauen, werden die Anwendungen laufend erweitert.

Die Vorteile liegen dabei klar in der hohen Skalierbarkeit, in geteilten Ressourcen und in damit einhergehender bedarfsgerechter Nutzung und Abrechnung. Am von US-Anbietern dominierten Markt kommen aber spätestens seit dem Fall des EU-US-Privacy-Shield-Abkommens durch den Europäischen Gerichtshof (EuGH) Zweifel auf, ob und in welchem Ausmaß Clouddienste datenschutzkonform genutzt werden können. Dabei kommt es in der Praxis auf die konkreten Regelungen und eine saubere Risikoabwägung an.

Auch wenn der Cloudprovider nicht selbst in den USA niedergelassen ist, greifen die europäischen Tochterunternehmen als Vertragspartner regelmäßig auf das Headquarter und/oder andere Subdienstleister mit Sitz in den USA zurück. Selbst dort, wo in der Praxis ein bestimmter Speicherort innerhalb der EU als Region oder Geolocation ausgewählt werden kann - oftmals auch als "data-at-rest" bezeichnet -, ist der Zugriff für US-Unternehmen in der Regel nicht ausgeschlossen.

Im Gegenteil ist das dort vorhandene Know-how meist unabdingbar, damit der Anbieter die vereinbarten Funktionen und Dienste auch tatsächlich erbringen kann. Ohne Einbeziehung von international verstreuten Subdienstleistern wäre der gewöhnlich vorausgesetzte und von den Kunden gewünschte Support rund um die Uhr gar nicht möglich. Eine autarke EU-Lösung führt daher - wenn überhaupt angeboten - regelmäßig zu höheren Preisen und/oder Einschränkungen der Funktionalität oder Verfügbarkeit.