cloud-act-vs-dsgvo-art-48-dsgvo

Drittstaatliches Herausgabeverlangen datenschutzrechtlich prüfen

1. Einsatzlage

Ein Anbieter oder eine Konzerngesellschaft erhält von einer Behörde oder einem Gericht außerhalb des Europäischen Wirtschaftsraums ein Herausgabeverlangen. Zu klären sind Verpflichteter, Reichweite, internationale Rechtshilfe, Übermittlungsgrundlage, Widerspruchsmöglichkeiten und technische Datenhoheit.

2. Normenanker

• Artikel 48 DSGVO: Anerkennung oder Vollstreckbarkeit einer drittstaatlichen Entscheidung über Datenherausgabe grundsätzlich nur auf Grundlage eines internationalen Übereinkommens, unbeschadet anderer Übermittlungsgründe des Kapitels V.
• Artikel 5, 6 und 9 DSGVO: Zweckbindung, Datenminimierung, Rechtsgrundlage und besondere Kategorien.
• Artikel 44 bis 49 DSGVO: Drittlandübermittlung, Angemessenheit, Garantien und eng auszulegende Ausnahmen.
• Artikel 28 und 32 DSGVO: Weisungsbindung, Informationspflichten, Sicherheit und technische Kontrollmöglichkeiten.
• Artikel 33 und 34 DSGVO nur prüfen, wenn die Offenlegung eine Verletzung des Schutzes personenbezogener Daten darstellt; ein Behördenverlangen ist nicht automatisch eine meldepflichtige Datenpanne.
• Paragraf 203 StGB und berufs- oder sektorbezogene Geheimnisnormen, soweit die betroffenen Daten hierunter fallen.

3. Rechtsprechungs- und Quellenanker

• EuGH, Urteil vom 16. Juli 2020 - C-311/18, Schrems II: Bei Übermittlungsinstrumenten ohne Angemessenheitsbeschluss müssen Exporteur und Empfänger prüfen, ob das Drittlandsrecht ein im Wesentlichen gleichwertiges Schutzniveau ermöglicht, und erforderlichenfalls wirksame zusätzliche Maßnahmen treffen.
• Europäischer Datenschutzausschuss, Leitlinien 02/2024 zu Artikel 48 DSGVO, endgültige Fassung vom 5. Juni 2025: Ein drittstaatliches Ersuchen ist nicht selbst die Übermittlungsgrundlage. Bindungswirkung, internationale Vereinbarung, Rechtsgrundlage und Kapitel V sind schrittweise zu prüfen.
• Ein US-amerikanisches Herausgabegesetz schafft für den europäischen Exporteur nicht ohne Weiteres eine Rechtsgrundlage nach der DSGVO. Zugleich darf seine tatsächliche Bindungswirkung auf Empfänger und Konzerngesellschaften nicht ignoriert werden.

4. Prüfprogramm

1. Original des Ersuchens sichern, Legal Hold auslösen und spontane Offenlegung stoppen. Frist, Geheimhaltungsklausel und Sanktionen notieren.
2. Adressat, ausstellende Stelle, Rechtsgrundlage, territoriale Reichweite und tatsächliche Verfügungsgewalt über Daten und Schlüssel klären.
3. Datenlandkarte erstellen: betroffene Personen, Kategorien, Speicherorte, Mandanten, Verantwortlicher, Auftragsverarbeiter und Unterauftragnehmer.
4. Internationalen Rechtshilfeweg prüfen. Besteht ein anwendbares Übereinkommen oder soll die ersuchende Stelle an eine zuständige inländische Behörde verwiesen werden?
5. Europäische Rechtsgrundlage und Übermittlungsinstrument getrennt bestimmen. Artikel 49 nicht als Dauerlösung für systematische Zugriffe verwenden.
6. Einwände und Begrenzungen im Drittstaat prüfen: Zuständigkeit, Überbreite, comity, Schutzanordnung, Benachrichtigung, zeitliche und sachliche Eingrenzung.
7. Technische Maßnahmen bewerten: kundenseitig gehaltene Schlüssel, Datenminimierung, Segmentierung, Protokollierung und kontrollierter Export. Bloße Transportverschlüsselung genügt nicht, wenn der Empfänger entschlüsseln kann.
8. Melde-, Informations- und Vertragsfolgen prüfen. Verantwortlichen, Auftragsverarbeiter, Betroffenen und Aufsicht nur nach der jeweils einschlägigen Norm informieren.

5. Arbeitsergebnis

Liefere Vier-Stufen-Prüfung nach Artikel 48 und Kapitel V, Daten- und Schlüsselmatrix, Fristenblatt, Antwort an die ersuchende Stelle, Eskalationsvermerk für den Verantwortlichen und dokumentierte Freigabe oder Ablehnung. Jede Offenlegung wird auf das rechtlich und technisch notwendige Minimum begrenzt.

6. Belege und Aktenlücken

• vollständiges Ersuchen, Zustellungs- und Fristnachweis
• Vertrags-, Konzern- und Unterauftragnehmerkette
• Datenfluss-, Speicherort- und Schlüsselkonzept
• Auftragsverarbeitungsvertrag und Übermittlungsinstrument
• anwendbare Rechtshilfeabkommen und lokale Rechtsauskunft