Warum der Serverstandort die Frage nicht beantwortet

Kurz gesagt

„Rechenzentrum in Deutschland" ist eine Aussage über den Speicherort und fast keine über den Zugriff. Wer wirklich wissen will, wer an seine Daten kommt, braucht vier Angaben statt einer: wo sie liegen, wem der Anbieter gehört, wen er beauftragt und wer im Betrieb tatsächlich zugreifen kann. Die vier können auseinanderfallen, und die Standortangabe verdeckt das. Für Ihr Unternehmen heißt das: Der Satz ist kein Prüfergebnis, sondern der Anfang von vier Fragen.

Was die Angabe tatsächlich sagt

Die Auskunft „unsere Daten liegen in einem Rechenzentrum in Deutschland" kann völlig zutreffen. Sie beschreibt, an welchem geografischen Ort die Datenträger stehen, auf denen Ihre Daten im Ruhezustand liegen. Das ist eine echte Information, und sie ist für einige Fragen die richtige: für Laufzeiten im Netz oder für die Ausfallsicherheit eines Standorts.

Für die Frage, wer auf Ihre Daten zugreifen kann, ist sie schwach. Zugriff hängt nicht daran, wo ein Gerät steht, sondern daran, wer administrative Rechte hat, wessen Recht für diesen Jemand gilt und welche Dritten im Betrieb beteiligt sind. Diese drei Größen sind vom Standort unabhängig, und sie werden mit der Standortangabe leicht für erledigt gehalten.

Genau das macht die Angabe so bequem. Sie ist leicht zu geben, leicht zu belegen, im Zweifel zutreffend und beantwortet die schwierige Frage nicht.

Die vier Angaben, die auseinanderfallen

Wo die Daten liegen

Das ist die Standortangabe selbst. Fragen Sie dazu drei Dinge nach: Gilt sie für alle Datenarten, auch für Sicherungen, Protokolldateien und die Daten in Vorschau- oder Testumgebungen? Gilt sie dauerhaft oder nur im Normalbetrieb? Und wer betreibt das Rechenzentrum, wenn es nicht der Anbieter selbst ist?

Die dritte Frage trennt zwei Rollen, die in Vertriebsunterlagen leicht zu einer verschmelzen: den Betreiber des Rechenzentrums und den Anbieter des Dienstes. Der Ort kann einem Dritten gehören, der Dienst darauf einem Vierten.

Wem der Anbieter gehört

Ein Unternehmen mit Sitz in Deutschland kann eine Tochtergesellschaft sein. Das ist weder ungewöhnlich noch ein Makel, aber es ist eine Angabe, die die Standortauskunft nicht enthält.

Welchem Recht ein Anbieter unterliegt, sagt die Standortauskunft ebenfalls nicht. Wie weit das reichen kann, zeigt der Wortlaut des US-Rechts: Ein Anbieter, der US-Recht unterliegt, muss Inhalte und Kundendaten herausgeben, die sich in seinem Besitz, seiner Obhut oder seiner Kontrolle befinden, unabhängig davon, ob sie innerhalb oder außerhalb der USA liegen. Der Speicherort kommt in dieser Vorschrift nicht als Kriterium vor. Maßgeblich ist, worüber der Adressat der Anordnung verfügen kann. Ob ein bestimmter Anbieter, etwa über seine Unternehmensgruppe, darunter fällt, sagt die Vorschrift nicht, und dieser Artikel sagt es auch nicht.

Daraus folgt nicht, dass die Nutzung eines solchen Dienstes unvertretbar wäre. Es folgt, dass die Standortangabe diese Frage nicht beantwortet und dass Eigentumsverhältnisse und Rechtsraum eigene Fragen sind.

Wen der Anbieter beauftragt

Ein Dienst wird nicht unbedingt vollständig vom Anbieter selbst erbracht. Beteiligt sein können ein Rechenzentrumsbetreiber, ein Anbieter für Sicherungen, weitere für den Versand von Benachrichtigungen, für Fehlerprotokolle, für Telemetrie, für den Kundendienst.

Für personenbezogene Daten gilt dazu ein Grundsatz aus der Datenschutz-Grundverordnung: Ein Auftragsverarbeiter darf weitere Auftragsverarbeiter nur mit vorheriger schriftlicher Genehmigung des Verantwortlichen hinzuziehen; dem weiteren Auftragsverarbeiter sind dieselben Datenschutzpflichten aufzuerlegen, und der erste haftet gegenüber dem Verantwortlichen für deren Einhaltung.

Praktisch heißt das: Es gibt eine Liste, und Sie haben ein Interesse daran, sie zu kennen. Die Genehmigung kann gesondert oder allgemein erteilt werden; bei einer allgemeinen Genehmigung informiert der Auftragsverarbeiter über jede beabsichtigte Änderung, und der Verantwortliche erhält die Möglichkeit, dagegen Einspruch zu erheben. Diese Benachrichtigungen sind der Ort, an dem sich eine Anbieterkette im Laufe von Jahren still verändert.

Wer tatsächlich zugreifen kann

Die letzte Angabe ist die unbequemste, weil sie nicht im Vertrag steht, sondern im Betrieb. Wer administriert die Systeme, und von wo? Wie läuft der Kundendienst, wenn jemand ein Problem meldet, und kann ein Mitarbeitender dabei in Ihre Daten sehen? Gibt es eine Vier-Augen-Regel, eine Protokollierung, eine Freigabe durch Sie?

Fragen Sie hier nicht nach Zusicherungen, sondern nach dem Verfahren. „Können Ihre Mitarbeiter auf unsere Daten zugreifen?" lässt sich mit einem Nein beantworten. „Was passiert technisch, wenn wir einen Fehler melden, den Sie nur an echten Daten nachvollziehen können?" verlangt eine Beschreibung.

Was das Recht dazu sagt, referiert

Drei Punkte gehören in dieses Bild, und dieser Artikel gibt sie wieder, ohne sie auszulegen.

Für personenbezogene Daten: Ein Urteil oder eine Behördenentscheidung aus einem Drittland, die von einem Verantwortlichen oder Auftragsverarbeiter die Übermittlung oder Offenlegung personenbezogener Daten verlangt, darf nur anerkannt oder vollstreckbar werden, wenn sie auf eine in Kraft befindliche internationale Übereinkunft wie ein Rechtshilfeabkommen gestützt ist. Die Vorschrift regelt Anerkennung und Vollstreckbarkeit; sie beschreibt nicht, wie sich ein Anbieter in einem Pflichtenkonflikt tatsächlich verhält.

Für nicht-personenbezogene Daten: Anbieter von Datenverarbeitungsdiensten müssen angemessene technische, organisatorische und rechtliche Maßnahmen treffen, um staatlichen Zugang von Drittländern zu in der Union gespeicherten nicht-personenbezogenen Daten zu verhindern, soweit er dem Unionsrecht oder mitgliedstaatlichem Recht widerspräche. Sie betrifft damit Datenarten wie Konstruktions- und Betriebsdaten, soweit sie nicht personenbezogen sind und der Anbieter in den Anwendungsbereich der Verordnung fällt.

Zu Angemessenheitsbeschlüssen: Wenn ein Anbieter auf einen solchen Beschluss verweist, ist das eine Aussage über einen Zustand, nicht über eine Eigenschaft. Ein Angemessenheitsbeschluss muss einen Mechanismus zur regelmäßigen Überprüfung mindestens alle vier Jahre vorsehen, und die Kommission widerruft, ändert oder setzt ihn aus, wenn ein angemessenes Schutzniveau nicht mehr gewährleistet ist. Für Ihre Planung heißt das, dass diese Grundlage überprüfbar ist und sich ändern kann.

Was davon in Ihrer Lage gilt, sagt dieser Artikel nicht; siehe den rechtlichen Hinweis oben.

Was ein Testat leistet und was nicht

Manche Anbieter verweisen auf ein Testat, etwa nach dem Kriterienkatalog C5 des Bundesamts für Sicherheit in der Informationstechnik. Das ist ein brauchbarer Beleg, und es hilft, seinen Zuschnitt zu kennen.

Die Erfüllung der C5-Kriterien wird durch Wirtschaftsprüfer testiert, die direkt vom Cloud-Anbieter beauftragt werden. Die Auditoren untersuchen, ob die Kriterien derzeit erfüllt sind und, je nach Prüfungstyp, auch, ob sie in der Vergangenheit durchgängig erfüllt waren. Daraus folgen drei nützliche Nachfragen: Welcher Prüfungstyp, welcher Zeitraum, und welcher Dienst in welcher Ausprägung war Gegenstand?

Ein Testat ist damit eine geprüfte Aussage über einen definierten Gegenstand in einem definierten Zeitraum. Es ist kein laufendes Urteil und keine Aussage über Dienste, die nicht Gegenstand waren.

Der Fragenkatalog fürs Anbietergespräch

Acht Fragen, gegliedert nach den vier Angaben und ergänzt um eine Frage nach Prüfungen und Testaten. Sie sind so formuliert, dass eine ausweichende Antwort als solche erkennbar wird.

1. Für welche Datenarten gilt die Standortangabe, und gilt sie auch für Sicherungen, Protokolle und Testumgebungen?
2. Wer betreibt das Rechenzentrum, und in welchem Verhältnis stehen Sie zu diesem Betreiber?
3. Wem gehört Ihr Unternehmen, und welchen Rechtsordnungen unterliegt die Unternehmensgruppe?
4. Welche Unterauftragnehmer setzen Sie ein, und wo finde ich die aktuelle Liste?
5. Wie werde ich über eine Änderung dieser Liste informiert, und wie kann ich einer Änderung widersprechen?
6. Beschreiben Sie den Ablauf, wenn Ihr Kundendienst einen Fehler an echten Daten nachvollziehen muss.
7. Welche Ihrer Mitarbeitenden haben administrativen Zugriff, von welchen Standorten aus, und wie wird das protokolliert?
8. Auf welche Prüfungen oder Testate stützen Sie Ihre Angaben, für welchen Gegenstand und welchen Zeitraum?

Zwei Hinweise zum Gebrauch. Halten Sie zu jeder Antwort fest, wer sie wann gegeben hat und worauf sie sich bezog; eine Anbieterauskunft ohne Datum ist nach einem Jahr wertlos. Und behandeln Sie eine nicht beantwortete Frage als Ergebnis, nicht als Lücke: Sie wissen danach, wo im Ernstfall nachzusehen ist.

Warum daraus kein Anbieterurteil folgt

Dieser Artikel bewertet keine Anbieter, und zwar nicht aus Vorsicht, sondern weil die Bewertung von Ihrer Lage abhängt.

Ein Dienst, bei dem alle vier Angaben klar sind und einzelne davon Ihnen nicht gefallen, ist besser handhabbar als einer, bei dem drei ungeklärt bleiben. Die Antworten ergeben kein Ja oder Nein, sondern eine Einordnung: Bei welchen Daten ist diese Konstellation für Sie tragbar, und bei welchen nicht?

Anbieterherkunft allein ist kein vollständiges Qualitäts- oder Souveränitätsurteil. Sie ist eine von mehreren Eigenschaften, und dieser Artikel liefert die anderen.

Für KI-Dienste kommt eine fünfte Frage hinzu, nämlich was mit Ihren Eingaben über die Antwort hinaus geschieht; sie steht in Den Kontext behalten: Wissen, Zugriff und Weiternutzung. Wie die Antworten in die Zulassung von KI-Diensten für bestimmte Daten eingehen, steht in Regeln für den KI-Einsatz: Freiräume, Schutz und Grenzen. Woher die Liste der Dienste kommt, auf die Sie diese acht Fragen anwenden, steht in Die eigenen digitalen Abhängigkeiten erfassen. Wie sich dieser Schritt in den Gesamtablauf einfügt, steht im Leitfaden Digitale Abhängigkeiten erkennen und gestalten.

Häufige Fragen

Ist ein deutscher Anbieter damit immer die sichere Wahl?

Nein, und die Frage ist in dieser Form nicht beantwortbar. Ein deutscher Anbieter beantwortet eine der vier Angaben günstig und die anderen drei nicht automatisch: Auch er beauftragt Unterauftragnehmer, auch bei ihm gibt es administrativen Zugriff, und auch er kann zu einer Gruppe gehören. Umgekehrt kann ein Dienst mit ausländischem Eigentümer bei den übrigen drei Angaben sehr klar sein. Entscheidend ist die Kombination, nicht ein einzelnes Merkmal.

Der Anbieter beantwortet die Fragen nicht. Was jetzt?

Notieren Sie es und behandeln Sie es als Information. Eine unbeantwortete Frage zu den Unterauftragnehmern oder zum Zugriff im Kundendienst ist kein Beweis für ein Problem, aber sie verändert die Einordnung dieses Eintrags. Bei einem Dienst, an dem ein kritischer Geschäftsvorgang hängt, ist die Nichtbeantwortung selbst ein Grund, die Alternativen früher anzusehen; wie Sie sie vergleichen, steht in Alternativen vergleichen: Kriterien und Zielkonflikte.

Reicht nicht der Auftragsverarbeitungsvertrag?

Er ist die Grundlage und deckt vor allem die dritte Angabe ab, also die Unterauftragnehmer. Zwei Lücken bleiben. Erstens betrifft er nur personenbezogene Daten; Ihre Konstruktions-, Kalkulations- und Betriebsdaten kommen darin nicht vor. Zweitens beschreibt er Pflichten und nicht den Betrieb: Zu den tatsächlichen Zugriffen im Kundendienst sagt er nicht zwingend etwas, und die Eigentumsverhältnisse des Anbieters gehören nicht zu dem, was der zitierte Grundsatz regelt. Lesen Sie ihn, und stellen Sie die übrigen Fragen trotzdem.

Müssen wir das für alle Dienste machen?

Nein. Der Aufwand lohnt für die Einträge, bei denen ein Ausfall oder ein Datenabfluss das Geschäft trifft, und das sollte ein kleiner Teil Ihrer Liste sein. Für den Rest genügt die Standortangabe zusammen mit dem Wissen, dass sie nur ein Teil des Bildes ist. Welche Einträge oben landen, entscheidet der Bewertungsschritt, beschrieben in Welche Abhängigkeit wirklich gefährlich ist.