Aktuell | Cloud-Datenschutz | c't

Microsofts rein europäische Cloud

Microsoft unternimmt einen neuen Anlauf, in der EU ansässigen Kunden aus dem öffentlichen Sektor und Unternehmenskunden DSGVO-kompatible Cloud-Services zur Verfügung zu stellen.

Künftig sollen in der Cloud von Microsoft gespeicherte und verarbeitete Daten europäischer Behörden und Großunternehmen („Enterprise Customers“) die EU nicht mehr verlassen. Diese Zusage, gültig für Azure, Microsoft 365 (inklusive Office) und Dynamics 365, macht Brad Smith, President und Chief Legal Officer bei Microsoft, in einem Blogbeitrag (siehe ct.de/yx8d). Microsoft nennt diese Initiative „EU Data Boundary for the Microsoft Cloud“. Die technische Entwicklung hierzu sei angelaufen, Smith nennt aber keinen Abschlusstermin.

Die Ankündigung wirkt insofern etwas befremdlich, als Microsoft schon seit rund zwei Jahren verspricht, die Daten europäischer Kunden auf EU-Servern zu speichern. Die dafür eingeführten Rechenzentrumsregionen garantieren jedoch lediglich, ruhende Daten, etwa auf OneDrive oder Sharepoint, auf regionalen Servern zu halten.

Inhalte, die durch Azure-Dienste wie zum Beispiel die Cognitve Services, darunter Übersetzung und Textanalyse, von Microsoft-Servern verarbeitet werden, können hingegen durchaus in die USA transferiert werden. Das bestätigte uns ein Microsoft-Mitarbeiter in einem Gespräch anlässlich des Praxisartikels „Microsoft Office ohne Cloud“ in c’t 8/2021, S. 154.

Möglicherweise soll sich genau das mit der „EU Data Boundary“-Initiative ändern. Smith schließt ausdrücklich Diagnosedaten, Supportdaten und nicht näher spezifizierte „Service-generierte Daten“ ein. Ob dieses Statement aber tatsächlich auch zu übersetzende und anderweitig durch Azure-Dienste verarbeitete Inhalte abdeckt, bleibt unklar.

Wovon hingegen bei Microsofts Ankündigung nicht die Rede ist: Technisch dürften dem Konzern auch künftig alle Möglichkeiten offenstehen, aus den USA auch in der EU gespeicherte Daten abzugreifen. Zwar sagt Smith, Microsoft werde alle unrechtmäßigen Aufforderungen zur Datenherausgabe anfechten, wann immer es dafür eine rechtliche Basis gebe. Er schließt aber nicht aus, auch Anfragen zu befriedigen, die im Konflikt mit EU-Recht stehen, sondern verspricht für diesen Fall „Monetary Compensation“. Der Begriff könnte für Schadenersatz oder auch nur für Gebührenerlass stehen. Auf jeden Fall erführe der Kunde dann wenigstens von der Abfrage. (hps@ct.de)

Microsofts Blogbeitrag: ct.de/yx8d