Als wir Caroline Olstedt Carlström treffen, kommt sie immer wieder auf denselben Punkt zurück: wie leicht Unternehmen glauben, die Kontrolle zu haben, nur weil ihnen jemand gesagt hat, dass sie sie hätten.
In mehr als 25 Jahren bei unter anderem DLA Piper, Klarna und Cirio hat sie fast alles gehört. Manche Aussagen lassen sie jedoch noch immer aufhorchen. Etwa wenn ein CEO eines SaaS-Unternehmens, das sensible Daten verarbeitet, behauptet:
„AWS EU ist vollständig von AWS getrennt und unterliegt nicht dem CLOUD Act. Aus DSGVO-Sicht ist das wasserdicht.“
„Dieser CEO steht juristisch auf sehr dünnem Eis“, sagt Caroline Olstedt Carlström.
Genau hier beginnt einer der bequemsten Mythen überhaupt: die Vorstellung, dass Daten auf magische Weise sicher werden, nur weil sie in Europa liegen. Dass die physische Speicherung in einer europäischen Region eine Art rechtliche Immunität schaffen würde. Doch so funktioniert der CLOUD Act nicht.
„Die Gesetzgebung wirkt extraterritorial. Es spielt praktisch keine Rolle, ob es sich um eine Tochtergesellschaft handelt oder ob das Rechenzentrum zufällig in der EU steht“, sagt Caroline Olstedt Carlström.
Der CLOUD Act verpflichtet US-Dienstleister unter bestimmten Voraussetzungen dazu, Daten herauszugeben, die sich in ihrem Besitz befinden oder unter ihrer Kontrolle stehen – unabhängig davon, wo sie physisch gespeichert sind. Entscheidend ist nicht der Standort des Servers, sondern welches Unternehmen die Daten kontrolliert. Dass AWS EU als eigenständige europäische Einheit vermarktet wird, ändert nichts daran, dass der Dienst von einem US-Unternehmen erbracht wird oder dessen Kontrolle unterliegt und damit der amerikanischen Gerichtsbarkeit untersteht.Caroline Olstedt Carlström, Partnerin der Anwaltskanzlei Cirio.
Harte Sanktionen für Unternehmen, die sich nicht fügen
Und die amerikanischen Technologiekonzerne? Sie haben keine Wahl. Sie müssen die angeforderten Daten herausgeben.
„Andernfalls drohen hohe Geldstrafen, der Verlust staatlicher Aufträge und Zertifizierungen. Für Führungskräfte und Verantwortliche, die bewusst beschließen, einer Anordnung eines Bundesgerichts nicht nachzukommen, können die Konsequenzen sogar persönliche strafrechtliche Verantwortung und letztlich Freiheitsstrafen sein“, sagt Caroline Olstedt Carlström.
Das ist keine Grauzone. So ist das System aufgebaut.
Die Nebelwände
Gleichzeitig geht das Marketing weiter. „EU-Regionen“. „Lokale Datenhaltung“. „Souveräne Lösungen“. Das klingt solide, fast selbstverständlich, und für viele Kunden reicht das aus, um sich sicher zu fühlen.
„Sie sind äußerst geschickt in ihrer Argumentation. Sie verlagern die Verantwortung auf den Kunden, und man muss schon sehr gut informiert sein, um ihre Argumente zu durchschauen“, sagt Caroline Olstedt Carlström.
Und es funktioniert. In der Praxis gibt es Organisationen, die behaupten, die sensiblen Daten ihrer Kunden auf den europäischen Servern von Amazon seien vollständig abgesichert.
Was man dir nicht erzählt
Dann gibt es noch ein Detail, das in Verkaufsgesprächen nur selten erwähnt wird: sogenannte Gag Orders. Wenn US-Behörden Daten anfordern, kann dem Unternehmen untersagt werden, darüber zu informieren.
Das bedeutet, dass eine Organisation alle Prozesse befolgt, Risikobewertungen durchgeführt, Verträge abgeschlossen und Kontrollen dokumentiert haben kann – und dennoch nicht weiß, was tatsächlich mit ihren Daten geschehen ist.
Das ist der entscheidende Unterschied zwischen dem Glauben, Kontrolle zu haben, und tatsächlicher Kontrolle. Die Snowden-Enthüllungen haben bereits vor Jahren gezeigt, dass staatlicher Zugriff auf Daten ohne Wissen der Betroffenen erfolgen kann – nicht über technische Hintertüren, sondern über direkte Anordnungen an die Anbieter. Seitdem lautet die relevantere Frage nicht mehr, ob ein Zugriff möglich ist, sondern wo, wie und ohne wessen Wissen er erfolgt.
DSGVO: Die Verantwortung liegt bei dir
Nach der DSGVO trägt letztlich nicht der Cloud-Anbieter die Verantwortung für die Daten. Verantwortlich ist die Stelle, die über die Daten entscheidet – der Verantwortliche im Sinne der Datenschutzgesetzgebung. Und diese Verantwortung endet nicht bei der eigenen Organisation, sondern erstreckt sich über die gesamte Lieferkette.
„Der Verantwortliche trägt die Verantwortung über die gesamte Kette von Unterauftragnehmern hinweg“, sagt Caroline Olstedt Carlström.
Hier wird es wirklich unangenehm.
Nehmen wir ein typisches Szenario: Ein Krankenhaus nutzt einen SaaS-Anbieter, der seine Dienste wiederum auf AWS betreibt. Auf dem Papier sieht alles korrekt aus. Es gibt Auftragsverarbeitungsverträge, Sicherheitsbeschreibungen und Compliance-Dokumentation.
Doch wenn Daten auf Grundlage amerikanischer Gesetze angefordert werden, sieht die Realität anders aus.
Ein Unternehmen wie AWS muss dem CLOUD Act folgen. Der SaaS-Anbieter gerät zwischen verschiedene Rechtsordnungen. Doch das Krankenhaus bleibt als Verantwortlicher nach der DSGVO letztlich für die Daten verantwortlich.
Dort landen die Konsequenzen: mögliche Sanktionen, Vertragsverletzungen und vielleicht am schwersten wiegend der Verlust der Kontrolle über sensible Informationen.
Gleichzeitig enthalten Verträge oft beruhigend klingende Formulierungen wie: „Wir geben keine Daten heraus, sofern wir nicht gesetzlich dazu verpflichtet sind.“
„Das Problem ist, dass genau diese Ausnahme der Kern des CLOUD Act ist“, sagt Caroline Olstedt Carlström. Selbst wenn die Struktur auf dem Papier robust erscheint, bleibt also ein Riss im Fundament. Denn in dem Moment, in dem eine gesetzliche Herausgabepflicht entsteht, kann die Kontrolle über die Daten bereits verloren sein.
„Aber wir sind doch gar nicht interessant“
Das häufigste Argument ist vielleicht auch das menschlichste: „Wir sind eine kleine Gesundheitsklinik im Süden Gotlands. Warum sollte sich jemand für uns interessieren?“
Und tatsächlich mag die Wahrscheinlichkeit gering sein, dass genau diese Organisation ins Visier gerät. Doch eine geringe Wahrscheinlichkeit ist nicht dasselbe wie kein Risiko. Vor allem entscheidet die Organisation selbst nicht darüber, wann sie relevant wird.
Genau hier gehen viele Risikobewertungen in die Irre. Man verwechselt „unwahrscheinlich“ mit „unwichtig“ und Bequemlichkeit mit Kontrolle. Das Recht interessiert sich jedoch nicht dafür, wie intuitiv sich etwas anfühlt. Wer sensible Daten verarbeitet und eine Lieferkette nutzt, die der US-Gerichtsbarkeit unterliegt, trägt dieses Risiko – auch wenn man lieber nicht darüber nachdenken möchte. Damit wird es zur Aufgabe des Verantwortlichen, dieses Risiko auf die eine oder andere Weise zu managen.
FOMO bestimmt mehr als das Recht
Sobald die Frage die Geschäftsleitung erreicht, läuft es oft nach demselben Muster ab. „Alle anderen nutzen AWS.“ „Wir machen eine Risikobewertung.“ „Das wird schon passen.“
Caroline Olstedt Carlström beschreibt eine starke FOMO – die Angst, etwas zu verpassen –, insbesondere im aktuellen KI-Boom.
„Viele rennen einfach mit, weil alle anderen es tun. Aber in einer Compliance-Umgebung, in der Risikomanagement gefordert ist, ist ‚alle anderen machen es auch‘ kein relevantes Argument“, sagt sie.
Natürlich gibt es auch eine technische Realität dahinter. Die Plattformen sind leistungsfähig, die Funktionen attraktiv und die Abhängigkeit oft real. Ein Wechsel oder eine Migration kann schwierig, teuer und zeitaufwendig sein. Doch das ändert nichts an der grundlegenden Frage. Es handelt sich nicht nur um eine technische Entscheidung. Es ist eine geschäftliche Entscheidung mit rechtlichen und strategischen Konsequenzen.
Und jetzt ist es Sache des Vorstands
Was früher als Thema für die IT-Abteilung oder die Informationssicherheit behandelt werden konnte, ist inzwischen auf die Führungsebene gerückt. Mit NIS2 und der neuen Cybersicherheitsgesetzgebung reicht es nicht mehr aus, wenn ein Techniker oder Jurist die Risiken verstanden hat.
Vorstände und Geschäftsleitungen müssen die Risiken verstehen, Position beziehen und ihre Entscheidungen begründen können. Es reicht nicht mehr zu sagen: „Alle anderen nutzen Microsoft.“
Die Führungsebene betroffener Organisationen muss die Cybersicherheitsmaßnahmen des Unternehmens genehmigen und trägt persönliche Verantwortung für deren Einhaltung. Die Sicherheit der Lieferkette – einschließlich der Wahl des Cloud-Anbieters – wird damit ausdrücklich Teil dieser Verantwortung.
„Erst wenn man der Realität ehrlich ins Auge blickt, kann man eine informierte Entscheidung treffen. Vielleicht keine bequeme Entscheidung. Aber eine echte“, sagt Caroline Olstedt Carlström.