Microsoft reagiert erneut auf die Langzeitfolgen des EuGH-Urteils „Schrems II“. Nachdem der europäische Gerichtshof das EU-US Privacy Shield Abkommen, welches einen legitimen datenschutzrechtlichen Austausch von personenbezogenen Daten zwischen Europa und den USA gewährleistete, gekippt hatte, sind ausreichend geeignete Garantien für einen Datentransfer Mangelware. Aktuell sind die EU-Standardvertragsklauseln (SCCs) das einzige Mittel auf das sich amerikanische Unternehmen berufen, um weiterhin Daten mit europäischen Unternehmen auszutauschen. Einige wenige Unternehmen versuchen diese minimale Anforderung (Abschluss der SCCs) noch weiter zu verstärken. Sei es mit weiterführenden Maßnahmen oder unter Aufrechterhaltung der alten Zertifizierungsvorgaben des gescheiterten Privacy Shields Abkommens. Mit seiner Pressemitteilung heute schreitet Microsoft weiter als großer Tec-Gigant beispielhaft voran, um die Vorgaben der DSGVO und die Rechtssprechung des EuGH zu erfüllen.
„Wir haben heute ein wichtiges Versprechen für unsere Kunden in Europa gegeben. Microsoft wird es in der EU ansässigen Kunden aus dem öffentlichen Sektor und Unternehmenskunden künftig ermöglichen, all ihre Daten innerhalb der EU zu verarbeiten und zu speichern. In anderen Worten: Wir werden keine Daten dieser Kunden aus der EU heraus transferieren müssen. Diese Zusage gilt für alle zentralen Cloud-Dienste von Microsoft – Azure, Microsoft 365 und Dynamics 365. Mit dieser Maßnahme gehen wir über unsere bestehenden Zusagen bei der Datenspeicherung hinaus. Wir sprechen von einer „EU Data Boundary for the Microsoft Cloud“, einer EU-Datengrenze für unsere Cloud-Lösungen.“
Microsoft war einer der wenigen großen US-Konzerne, welche von Anfang an versuchten die Vorgaben der DSGVO und des EuGH-Urteils in ihre europäische Unternehmenspolitik einfließen zu lassen. Mit der heutigen Veröffentlichung der zukünftigen Möglichkeiten geht Microsoft einen großen Schritt in Richtung des europäischen Marktes. Microsoft zieht EU-Datengrenze: Ab Ende 2022 werden wir personenbezogene Daten europäischer Kunden innerhalb der EU speichern und verarbeiten. Diese Verpflichtung gilt für unsere drei zentralen Cloud-Dienste Azure, Microsoft 365 und Dynamics 365.
GUTER ANSATZ, SCHWIERIGE UMSETZUNG?
Zwar geht Microsoft ganz klar einen weiteren großen Schritt in Richtung DSGVO-Konformität, trotzdem bleibt abzuwarten wie das in der Praxis künftig umgesetzt werden wird. Als Verantwortlicher der Datenverarbeitung und letztlich auch Eigentümer der Daten ist immer noch der US-Konzern, der somit auch weiterhin der amerikanischen Rechtssprechung und den zuständigen Ermittlungsbehörden unterworfen ist.
Laut Microsoft-Chef kann jedes europäisches Unternehmen seine Cloud-Daten selber schützen.
„Viele unserer Dienste legen die Kontrolle über die Verschlüsselung der Daten in die Hände der Kunden“
Wäre es den Verantwortlichen der Daten wirklich möglich eigens über die Verschlüsselung und somit auch über die Schlüssel zu bestimmen, wäre ein großer Schritt in die Unabhängigkeit gemacht. Laut EDSA (Der EDSA ist eine unabhängige europäische Einrichtung mit Rechtspersönlichkeit, die zur einheitlichen Anwendung der Datenschutzvorschriften in der Europäischen Union beiträgt und die Zusammenarbeit zwischen den Aufsichtsbehörden fördert) würde eine Verschlüsselung der Daten ausreichen um zusätzliche Garantien zu den Standardvertragsklauseln zu gewährleisten. Somit wäre eine Datenübertragung auch weniger problematisch. Fehlt noch die genaue Definition nach Art. 44 ff DSGVO, dass also keine Übermittlung in Drittstaaten stattfindet, sofern die Daten Europa nicht verlassen. Hier muss man abwarten, wie die Datenschutz Aufsichtsbehörden diesen Schritt von Microsoft beurteilen und auslegen.