Was ist Datensouveränität, und warum ist sie für deine Fotos wichtig?
Datensouveränität erscheint in fast jeder Datenschutzerklärung und auf jeder Marketingseite. Cloud-Anbieter verweisen darauf. Regierungen verwenden den Begriff in Gesetzen. Startups bauen ganze Marken darauf auf. Doch fragt man drei Menschen, was er bedeutet, bekommt man meist vier verschiedene Antworten.
Das ist ein Problem, denn der Begriff hat eine spezifische Bedeutung, und der Unterschied zwischen der technischen Definition und der Marketing-Version ist der Unterschied zwischen echtem Schutz und einer juristischen Hintertür.
Was Datensouveränität wirklich bedeutet
Datensouveränität ist das Prinzip, dass Daten den Gesetzen des Landes unterliegen, in dem sie physisch gespeichert sind. Stehen deine Fotos auf Servern in Deutschland, gilt deutsches Recht. Stehen sie in Irland, gilt irisches Recht. Und weil Irland und Deutschland beide EU-Mitgliedstaaten sind, regeln EU-Verordnungen wie die GDPR, wie die Daten erhoben, verarbeitet und geteilt werden dürfen.
Das Konzept klingt einfach. In der Praxis wird es durch drei Dinge kompliziert, die die meisten Datenschutzseiten nicht ausführen.
Die drei Ebenen der Souveränität
Um zu verstehen, ob ein Dienst tatsächlich Datensouveränität bietet, musst du drei getrennte Fragen stellen.
Wo befinden sich die Daten physisch? Auf diese Ebene konzentrieren sich die meisten. Wenn ein Dienst “Daten in der EU gespeichert” schreibt, bedeutet das üblicherweise, dass die Server in einem EU-Rechenzentrum stehen. Notwendig, aber nicht ausreichend.
Wer betreibt die Infrastruktur? Der physische Server kann in Frankfurt stehen, aber wenn ein US-Cloud-Anbieter ihn betreibt, unterliegt der Betreiber US-Recht. Stellt die US-Regierung eine Anfrage, reagiert der Betreiber, unabhängig davon, wo die Maschine steht.
Wo hat das Unternehmen seinen Sitz? Diese Ebene bestimmt, welchen Gesetzen das Unternehmen selbst folgen muss. Ein in Kalifornien ansässiges Unternehmen unterliegt US-Recht, einschließlich des CLOUD Act, unabhängig davon, wo seine Server oder Kunden sich befinden.
Damit Datensouveränität hält, müssen alle drei Ebenen übereinstimmen. Der Server muss im relevanten Rechtsraum stehen, der Betreiber muss dem Recht dieses Raums unterliegen, und das Unternehmen darf nicht rechtlich verpflichtet sein, Anfragen einer ausländischen Regierung zu erfüllen.
Warum “in der EU gespeichert” nicht ausreicht
Die Kluft zwischen Marketing-Aussage und juristischer Realität wurde 2020 mit einem Urteil des Gerichtshofs der Europäischen Union deutlich, bekannt als Schrems II. Das Gericht stellte fest, dass die Übermittlung personenbezogener Daten aus der EU in die USA Europäer nicht ausreichend vor US-Überwachungsgesetzen schützt, selbst wenn die Daten den Atlantik nie überqueren.
Die Begründung des Gerichts war direkt. Hält ein US-Unternehmen die Daten, greift US-Recht darauf zu, egal wo die Server stehen. Der Speicherort allein bestimmt nicht, welche Gesetze gelten.
Deshalb ist “in der EU gehostet” ein häufiger Satz und eine schwache Aussage. Sie deckt nur die erste der drei Ebenen ab. Ohne die anderen beiden hält der versprochene Schutz nicht stand.
Was der CLOUD Act ändert
Der US CLOUD Act wurde 2018 verabschiedet. Er gibt US-Behörden die Befugnis, US-Unternehmen zur Herausgabe von Daten zu zwingen, die sie halten oder kontrollieren, unabhängig davon, wo diese Daten physisch gespeichert sind.
Das bedeutet: Ein US-Cloud-Anbieter, der Server in den Niederlanden betreibt, kann rechtlich gezwungen werden, Daten auf diesen Servern an US-Behörden herauszugeben. Die niederländische Regierung muss nicht informiert werden. Der betroffene Nutzer muss nicht benachrichtigt werden. Die Datenschutzgarantien der GDPR heben die Anfrage nicht auf.
Die GDPR begrenzt, was Unternehmen aus eigenem Antrieb mit deinen Daten tun. Der CLOUD Act erlaubt einem bestimmten externen Akteur, diese Begrenzung zu überschreiben. Beide Gesetze sind gleichzeitig in Kraft, und sie zeigen in entgegengesetzte Richtungen.
Unser Kollege hat eine ausführlichere Erklärung geschrieben, wie der CLOUD Act funktioniert und was er für Fotospeicherung bedeutet.
Was echte EU-Datensouveränität voraussetzt
Damit ein Dienst echte EU-Datensouveränität bietet, müssen drei Bedingungen erfüllt sein.
Die Daten müssen auf Servern innerhalb der EU gespeichert sein. Der Infrastrukturbetreiber muss EU-Recht unterliegen. Das Unternehmen, dem der Dienst gehört, muss in der EU ansässig sein und frei von einer US-Muttergesellschaft.
Sind alle drei erfüllt, unterliegt der Dienst EU-Recht, und nur EU-Recht. Eine Anfrage der US-Regierung hat keinen rechtlichen Weg zu den Daten.
Fehlt auch nur eine der drei, ist die Souveränitätsaussage unvollständig. Sie kann weiterhin Verbesserungen gegenüber anderen Optionen bieten, aber nicht den Schutz, den der Begriff suggeriert.
Warum das für deine Fotos wichtig ist
Fotos gehören zu den persönlichsten Datenkategorien, die du irgendwo hochlädst. Sie enthalten dein Gesicht, die Gesichter der Menschen, die dir nahestehen, die Orte, an denen du warst, und die Zeitstempel deines Alltags. Der Metadaten-Artikel zeigt, wie viele Informationen eine einzelne Fotodatei enthält.
Wenn du entscheidest, wo diese Bibliothek gespeichert wird, ist die Souveränitätsfrage nicht abstrakt. Sie bestimmt, wer den Zugriff auf diese Fotos erzwingen kann, unter welchem rechtlichen Rahmen und mit welchen Rechtsmitteln.
Was PixelUnion tut
PixelUnion ist in der EU ansässig. Unsere Server stehen in der EU. Unsere Infrastruktur wird nach EU-Recht betrieben. Es gibt keine US-Muttergesellschaft, und es gibt keinen rechtlichen Weg, auf dem der CLOUD Act die Daten unserer Kunden erreicht.
Das ist keine Marketing-Entscheidung. Es ist eine strukturelle Entscheidung darüber, was “in der EU gespeichert” bedeuten muss, damit die Aussage ehrlich ist.
Der GDPR-Artikel behandelt die Rechte, die die Verordnung dir gibt, und wie sie in der Praxis wirken. Datensouveränität ist die grundlegende Bedingung, die diese Rechte überhaupt durchsetzbar macht.
Möchtest du sehen, wie sich EU-Souveränität in eine funktionierende Alternative zu US-Diensten übersetzt? Unser Kollege hat eine praktische Anleitung zusammengestellt, wie man vollständig von Big Tech wegwechselt, mit konkreten Alternativen für jeden Dienst.