259-mal. So oft nimmt der Text des Data Privacy Framework zwischen der EU und den USA auf ein einziges Wort Bezug: Unabhängigkeit. Gemeint ist die Unabhängigkeit der Federal Trade Commission, jener US-Behörde, die den Datenschutz überwachen soll. Auf dieser Annahme ruht die gesamte Konstruktion des Abkommens.
Diese Annahme trägt nicht mehr. Der Oberste Gerichtshof der USA hat entschieden, dass der Präsident die Leitung der Behörde entlassen darf. Damit ist die vorausgesetzte Unabhängigkeit keine Rechtstatsache mehr. Sie ist zu einer Frage politischen Wohlwollens geworden. In der Fachöffentlichkeit gilt das Abkommen seither weithin als nicht mehr zu retten.
Für Unternehmen in Europa ist das keine juristische Fußnote. Es ist eine Betriebsfrage.
Das Muster ist bekannt
Wir haben an dieser Stelle vor wenigen Wochen über Erdgas geschrieben. Jahrzehntelang verlässlich, preiswert, bequem, bis die Kontrolle plötzlich woanders lag und aus einer Abhängigkeit ein strategisches Risiko wurde. Die Technik war dabei nie das Problem. Die Pipelines funktionierten.
Beim transatlantischen Datentransfer wiederholt sich dieses Muster, und es hat bereits Beispiele. Dem Chefankläger des Internationalen Strafgerichtshofs wurde der Zugang zu seinen Diensten entzogen. Einzelnen Richtern und Mitgliedern von Nichtregierungsorganisationen erging es ähnlich. In keinem dieser Fälle hat die Technik versagt. Es hat sich lediglich gezeigt, wer über den Schalter verfügt.
Zwei bis drei Jahre sind kein Aufschub
Formal bleibt das DPF vorerst in Kraft. Entweder hebt die EU-Kommission es auf, oder es wird vor dem EuGH gekippt. Realistisch sind dafür zwei bis drei Jahre anzusetzen.
Diese Zeit lässt sich auf zwei Arten nutzen. Man kann sie aussitzen und darauf hoffen, dass sich politisch etwas fügt. Oder man nutzt sie als Zeitfenster, um die eigene Datenverarbeitung geordnet dorthin zu bringen, wo sie rechtlich unstrittig ist. Der Unterschied zwischen beiden Wegen zeigt sich nicht heute. Er zeigt sich an dem Tag, an dem das Urteil vorliegt. Wer dann erst anfängt, migriert unter Zeitdruck. Und Zeitdruck ist in regulierten Umgebungen der teuerste Betriebszustand, den es gibt.
„Rechtsgrundlagen kann man nicht patchen. Wenn eine Datenverarbeitung nur so lange zulässig ist, wie ein Angemessenheitsbeschluss hält, dann reden wir über ein Verfügbarkeitsrisiko. Genau so behandeln wir es auch. Als Frage des Betriebsmodells, nicht als Frage der Vertragsanlage." Tobias Lehner, CTO synaforce
Standardvertragsklauseln lösen das Problem nicht
Ein verbreiteter Reflex lautet: Fällt das DPF, weichen wir auf Standardvertragsklauseln aus. Das greift zu kurz. Auch Standardvertragsklauseln setzen voraus, dass im Empfängerland ein im Kern gleichwertiges Schutzniveau erreichbar ist. Genau dieser Punkt steht mit der FTC-Entscheidung infrage. Ein Vertrag bindet den Vertragspartner. Die Behörde, die auf die Daten zugreifen will, bindet er nicht.
Der eigentliche Konflikt liegt tiefer. Der Schutzanspruch der DSGVO und der Zugriffsanspruch von US-Institutionen sind in ihrer Grundlogik schwer vereinbar. Kein Abkommen der Welt löst diesen Widerspruch durch Formulierungskunst auf.
Was das konkret bedeutet
KRITIS und regulierte Bereiche: Hier zählt, ob ein Transfer im Audit nachweisbar zulässig ist. Wo Verarbeitung, Speicherung und Betrieb im EU-Rechtsraum liegen und über ISO/IEC 27001, BSI C5, ISAE 3402 und DIN EN 50600 CAT III belegt sind, entfällt die Diskussion über Angemessenheitsbeschlüsse vollständig.
Gesundheitswesen: Patientendaten sind besonders geschützte Daten nach Artikel 9 DSGVO. Für Kliniken und Medtech-Unternehmen ist die DPF-Debatte deshalb unmittelbar betriebsrelevant. Wer hier auf auditierbare Betriebsmodelle setzt, ist von einem wegfallenden Abkommen strukturell nicht betroffen.
Software-Hersteller und SaaS-Anbieter: Wer eine Anwendung als Service anbietet, verantwortet auch die Rechtsgrundlage der darunterliegenden Infrastruktur und wird von Kunden zunehmend danach gefragt. Ein europäischer Verarbeitungsort entwickelt sich damit vom Compliance-Detail zum Vertriebsargument.
IT-Systemhäuser: Die Frage „Wo liegen die Daten unserer Kunden eigentlich?" kommt derzeit häufiger, als sie noch vor einem Jahr kam. Wer darauf eine belegbare Antwort geben kann, führt ein anderes Gespräch.
Souveränität heißt nicht Abschottung
Es geht nicht darum, US-Technologie pauschal auszuschließen. Der Punkt ist, keine Abhängigkeit einzugehen, die man im Ernstfall nicht auflösen kann. Genau deshalb setzen wir bei der synaforce Cloud auf OpenStack mit KVM als offenen Industriestandard, auf hybride Architekturen ohne erzwungene Komplettmigration und auf Rechenzentren in Deutschland und der Schweiz. Hofkirchen etwa mit DIN EN 50600 CAT III, DIN ISO 50001, PUE 1.1 und Strom zu 100 Prozent aus erneuerbaren Quellen.
Den Unterschied macht dabei nicht der Standort allein. Entscheidend ist die Kombination aus europäischem Rechtsraum, offener Technologie und einem Betriebsmodell, das nachvollziehbar bleibt.
Der Weg dorthin ist Alltagsarbeit
Ein Rechenzentrum in Europa ist die Voraussetzung. Die eigentliche Arbeit beginnt danach.
Deshalb hört unsere Leistung nicht bei der Bereitstellung von Infrastruktur auf. Wir betreiben die Systeme im Tagesgeschäft, mit definierten Verantwortlichkeiten, Monitoring, Support und den Nachweisen, die im Audit gebraucht werden. Und wir begleiten die Transformation dorthin. In vielen Projekten führen wir sie selbst durch.
Das ist der Punkt, an dem sich souveräne Infrastruktur von souveränem Betrieb unterscheidet. Eine Plattform kann man buchen. Ein Betriebsmodell muss über Jahre tragen, auch dann, wenn Anforderungen sich ändern, Systeme wachsen und ein Auditor konkrete Fragen stellt.
Fazit
In der politischen Debatte wird derzeit vorgeschlagen, ein weniger angreifbares Abkommen durch Regulierung zu flankieren, die Anreize setzt, personenbezogene Daten im EU-Rechtsraum zu verarbeiten. Das käme auch der Wirtschaft zugute. Diesmal der europäischen.
Wir teilen diese Einschätzung und ergänzen sie um einen praktischen Punkt. Unternehmen müssen auf diese Regulierung nicht warten. Die Infrastruktur, um Daten vollständig im europäischen Rechtsraum zu betreiben, existiert bereits. Sie ist auditierbar, sie ist skalierbar, und sie ist anschlussfähig an das, was heute läuft.
Wichtig ist dabei eine realistische Erwartung. Digitale Souveränität ist kein Schalter, den man umlegt. Wer über den Schalter verfügt, ist ja gerade die Frage, um die es geht. Souveränität entsteht in vielen kleinen Schritten: eine Anwendung nach der anderen, ein Datenbestand nach dem anderen, mit klaren Prioritäten und ohne Betriebsunterbrechung. Kein großer Sprung. Viele kleine Schritte, die in dieselbe Richtung führen.
Genau so haben wir es bei synaforce eingerichtet. Souveränität entsteht nicht durch ein Abkommen. Sie entsteht durch Entscheidungen über den eigenen Betrieb, und durch die Menschen, die diesen Betrieb jeden Tag führen.
Sie möchten wissen, welche Ihrer Workloads von einem Wegfall des DPF betroffen wären und in welcher Reihenfolge eine Migration sinnvoll ist? Sprechen Sie uns an.
#synaforce #DigitaleSouveränität #DSGVO #Datenschutz #SouveräneCloud #OpenStack
.jpg)
