Warum billiges Daten-Offshoring nach Asien zur teuren juristischen Zeitbombe wird

In einer Zeit strenger Umsetzung der DSGVO-Regularien ist der physische Standort Ihrer Datenverarbeitung kein Detail, sondern ein direktes Compliance-Risiko. Lesen Sie, warum billiges Offshoring nach Asien juristisch teuer werden kann.

Viele Unternehmen denken, juristisch sei alles in Ordnung, sobald sie einen Vertrag mit einem BPO-Partner in Indien oder den Philippinen unterzeichnet haben. Man fügt ein paar Standardklauseln ein, jeder setzt eine Unterschrift darunter, und die Sache ist erledigt. Oder?

Leider ist die Realität deutlich widerspenstiger. Seit dem Gerichtsurteil im bekannten „Schrems II“-Fall liegen Datenströme in sogenannte „Drittländer“ unter einem Vergrößerungsglas. Der simple Fakt ist: Wer Verwaltungsarbeit auslagert, bleibt selbst gesamtschuldnerisch haftbar für die Route, die die Daten zurücklegen. Ein Stück Papier schützt Sie nicht vor der Gesetzgebung eines anderen Landes.

Die Illusion der digitalen Wolke: Warum haben Daten eine physische Adresse?

Wir sprechen oft darüber, als wäre es Magie: „Wir legen es in die Cloud.“ Dieser Begriff klingt schön abstrakt und sicher. Er ruft ein Bild von Dateien hervor, die irgendwo sicher in der Luft schweben, losgelöst von Landesgrenzen und Regeln.

Aber seien wir ehrlich: Diese Wolke existiert überhaupt nicht. Daten haben immer eine physische Adresse. Ihre Kundendaten und Finanzunterlagen befinden sich schlicht auf einer Festplatte. Diese Festplatte steckt in einem Server-Rack, und dieses Rack steht in einem großen Rechenzentrum, das Strom frisst und gekühlt werden muss.

Und das Wichtigste: Dieses Gebäude steht auf dem Boden eines spezifischen Landes.

Ihr Vertrag vs. lokale Gesetzgebung

Hier drückt für viele CFOs und DPOs der Schuh. Da dieser Server auf ausländischem Hoheitsgebiet steht, gelten die Gesetze jenes Landes (das Territorialitätsprinzip). Dies steht oft im Widerspruch zu dem, was Sie vertraglich vereinbart haben.

Angenommen, Sie lagern Arbeit an einen Partner außerhalb der EU aus. In Ihrem Vertrag steht deutlich, dass niemand ungefragt auf die Daten zugreifen darf. Aber in vielen Ländern – denken Sie an Teile Asiens oder sogar die USA – haben lokale Behörden und Nachrichtendienste weitreichende Befugnisse. Wenn diese bei Ihrem Partner anklopfen, um Daten einzusehen, muss dieser Partner oft kooperieren. Lokale Gesetzgebung gewinnt fast immer gegen Ihren Vertrag.

Selbst „Verschlüsselung“ (Encryption) ist dann keine Wunderlösung. Oft werden die Daten von Personal vor Ort verarbeitet, was bedeutet, dass die Daten zu irgendeinem Zeitpunkt lesbar sein müssen. Oder der „Schlüssel“ ist im Besitz des Providers, der gesetzlich gezwungen werden kann, diesen herauszugeben.

Die Gefahr des „Mirroring“

Dann gibt es noch ein Risiko, das oft übersehen wird: unsichtbare Kopien. Viele Cloud-Anbieter nutzen Techniken, um Systeme schnell und stabil zu halten. Sie kopieren Daten vorübergehend auf andere Server, wenn viel los ist im Netzwerk. Dies nennt man „Mirroring“ oder Load-Balancing.

Es kann also durchaus passieren, dass Ihre Daten morgens an einem sicheren Ort liegen, aber nachmittags vorübergehend auf einen Server in einem Land mit zweifelhaftem Datenschutzniveau gespiegelt werden. Ohne dass Sie es bemerken oder die Erlaubnis dazu gegeben haben, verstoßen Sie gegen die Regeln der Datensouveränität der EU.

Kurzum: Solange Sie nicht sicher wissen, wo die Standbeine der Server im Boden verankert sind, gehen Sie ein unsichtbares, aber ernsthaftes Risiko ein.

Warum sind Asien und die USA juristischer Treibsand (Schrems II & SCCs)?

Früher war die Welt des Outsourcings schön übersichtlich. Sie wollten Arbeit an einen Partner in Indien oder den Philippinen auslagern? Kein Problem. Sie luden einen Standardvertrag von der EU-Website herunter, die sogenannten Standard Contractual Clauses (SCCs), ließen beide Parteien unterschreiben und das Ganze verschwand in einer Schublade. Juristisch waren Sie „abgedeckt“.

Aber diese Zeiten sind vorbei. Und zwar gründlich.

Der Fall des „Privacy Shield“ und das Urteil im Fall Schrems II haben die Regeln komplett verändert. Für viele Unternehmen fühlt sich dies wie juristischer Treibsand an: Je mehr Sie versuchen, mit Papierkram abzudichten, desto tiefer versinken Sie in den Risiken.

Der Kater des Schrems-II-Urteils

Lassen wir die juristische Sprache kurz beiseite. Worum ging es in diesem Fall eigentlich? Der österreichische Datenschutzaktivist Max Schrems zog vor Gericht, weil seine Facebook-Daten in die Vereinigten Staaten gesendet wurden. Sein Punkt war simpel: In den USA haben Nachrichtendienste (wie die NSA) weitreichende Rechte, Daten einzusehen. Viel mehr, als in Europa erlaubt ist.

Der höchste europäische Richter gab ihm recht. Das Urteil war klar: Wenn die Regierung eines Landes einfach so in Ihren Daten schnüffeln darf, sind diese Daten dort nicht sicher.

Dies gilt nicht nur für die USA. Es gilt für jedes Land außerhalb des Europäischen Wirtschaftsraums (EWR), das keinen „Angemessenheitsbeschluss“ hat. Und das sind genau die Länder, wo viele günstige Backoffice-Partner sitzen: Indien, die Philippinen und viele andere asiatische Länder. Die lokale Gesetzgebung dort gibt Behörden oft einen Freibrief, um Daten anzufordern, ohne dass Sie als europäischer Kunde etwas dagegen tun können.

Warum ein Vertrag (SCC) Sie nicht mehr rettet

Noch immer denken viele Geschäftsführer: „Aber wir haben doch diese Standard Contractual Clauses unterschrieben? Dann liegt das Risiko beim Lieferanten, nicht bei uns.“

Falsch. Ein Vertrag ist lediglich eine Vereinbarung zwischen zwei Unternehmen. Er ist Papier. Und Papier gewinnt niemals gegen das Gesetz.

Angenommen: Sie haben einen Vertrag mit einem Rechenzentrum in Mumbai. Darin wird hoch und heilig versprochen, dass niemand Ihre Daten einsehen darf. Aber dann klopft die indische Regierung auf Basis lokaler Sicherheitsgesetze an. Ihr Lieferant steht dann vor der Wahl: den Vertrag brechen oder das Gesetz brechen? Sie wählen immer das lokale Gesetz, um ihre Lizenz nicht zu verlieren.

Die SCCs sind seit Schrems II also zu einem Papiertiger degradiert, es sei denn, Sie können knallhart beweisen, dass die lokalen Gesetze keinen Eingriff in den europäischen Datenschutz darstellen. Und das ist fast unmöglich.

Der administrative Albtraum: das DTIA

Weil diese Standardverträge nicht mehr wasserdicht sind, hat die Aufsichtsbehörde eine neue Verpflichtung erdacht: das Data Transfer Impact Assessment (DTIA).

Wollen Sie personenbezogene Daten in ein „Drittland“ senden? Dann müssen Sie vorab eine umfassende Untersuchung durchführen. Sie müssen buchstäblich die Gesetzgebung jenes Landes analysieren und einschätzen, ob Ihre Daten durch lokale Spionage oder behördliche Überwachung gefährdet sind.

Dies ist kein simples Formular. Es ist eine komplexe juristische Untersuchung, an der teure Anwälte tagelang arbeiten. Und das Ergebnis? Das ist oft trotzdem negativ. Denn wie garantieren Sie zu 100 %, dass ein ausländischer Nachrichtendienst nicht mitschaut?

Für die meisten KMU und Konzernabteilungen ist dies eine unmögliche Aufgabe. Es macht günstiges Outsourcing nach Asien unterm Strich auf einmal sehr teuer und riskant. Sie halsen sich Compliance-Kopfschmerzen auf, die Sie mit keinem Vertrag der Welt freikaufen können.

Wie garantiert EU-Nearshoring „Compliance by Default“?

Nach dem Lesen über Schrems II und amerikanische Spionagedienste verläßt Sie vielleicht der Mut. Müssen Sie dann alles wieder selbst im eigenen Land zu einem himmelhohen Stundensatz erledigen? Zum Glück nicht. Es gibt eine Lösung, die juristisch wasserdicht ist und dennoch die Kosten drückt.

Die Antwort liegt näher, als Sie denken: Bleiben Sie einfach innerhalb der Europäischen Union.

Der Komfort der europäischen Binnengrenzen

Viele Unternehmen vergessen, dass Länder wie Rumänien schon seit Jahren vollwertiges Mitglied der EU sind. Dies scheint ein geografisches Detail zu sein, macht aber juristisch einen himmelweiten Unterschied. Innerhalb des Europäischen Wirtschaftsraums (EWR) gilt nämlich das Prinzip des „freien Datenverkehrs“.

Einfach ausgedrückt: Daten von Amsterdam zu unserem Büro in Rumänien zu senden, ist juristisch genau dasselbe, wie Daten von Amsterdam nach Rotterdam zu senden.

Da Rumänien an exakt dieselbe DSGVO (GDPR) gebunden ist wie die Niederlande oder Deutschland, ist keine Rede von einer „Übermittlung in ein Drittland“. Sie müssen sich also überhaupt keine Sorgen über Angemessenheitsbeschlüsse oder heimliche Hintertüren für den lokalen Geheimdienst machen. Der rumänische Richter prüft nach denselben europäischen Datenschutzgesetzen wie der Richter in Den Haag oder Berlin.

Keine teuren Anwälte, kein DTIA

Dies erspart Ihnen nicht nur Kopfzerbrechen, sondern auch direkt Geld. Erinnern Sie sich noch an das komplexe Data Transfer Impact Assessment (DTIA), über das wir vorhin sprachen? Diese teure Risikoanalyse, die für Indien oder die Philippinen verpflichtend ist?

Wenn Sie sich für einen Partner innerhalb der EU entscheiden, kann dieser ganze Papierkram in den Papierkorb. Sie sind „Compliant by Default“. Sie müssen keine komplizierten juristischen Konstrukte aufbauen, um zu beweisen, dass Ihre Daten sicher sind, denn das Gesetz besagt bereits standardmäßig, dass sie sicher sind.

Datamondial: Doppelte Sicherheit mit ISO 27001

Natürlich ist Gesetzgebung das eine, aber die Praxis ist das andere. Bei Datamondial nehmen wir „juristische Gemütsruhe“ ernst. Deshalb verlassen wir uns nicht nur auf das europäische Gesetz, sondern bauen zusätzliche Sicherheit darauf auf.

Unsere Teams in Rumänien arbeiten nicht von einem Dachboden oder Küchentisch aus, wo Mitbewohner mitlesen können. Sie arbeiten aus physisch gesicherten Büros, die den strengsten ISO-27001-Normen entsprechen. Das bedeutet:

• Physische Zugangskontrolle: Nur autorisiertes Personal betritt die Arbeitsfläche.
• Clean Desk Policy: Keine herumliegenden Papiere oder personenbezogenen Daten.
• Geschlossene Systeme: Daten verlassen unsere gesicherte Umgebung nicht.

Wenn Sie sich dieser rechtlichen Rahmenbedingungen und der physischen Sicherheit sicher sind, können Sie beruhigt mit der tatsächlichen projektmäßigen Bereinigung unsauberer Daten durch ein sicheres Team beginnen. Sie lagern die Arbeit aus, behalten aber die Kontrolle, als wäre es Ihre eigene Abteilung.

Kurzum: Nearshoring in einen EU-Mitgliedstaat eliminiert die juristischen Risiken, die zu Asien gehören. Es gibt Ihnen den Raum, sich auf Ihren Prozess zu konzentrieren, anstatt auf das Kleingedruckte eines Vertrags. Wollen Sie genau wissen, wie wir DSGVO-konformes Arbeiten garantieren? Das ist in jedem Schritt unseres Prozesses verankert.

Checkliste: Ist Ihre aktuelle Datenmigration oder -verarbeitung wirklich 100 % sicher?

Schön, diese Theorie über Schrems II und amerikanische Spionagedienste. Aber wie sieht es eigentlich mit Ihren Prozessen aus? Viele Unternehmen finden erst heraus, dass ihr „sicherer“ Vertrag löchrig wie ein Käse ist, wenn die Aufsichtsbehörde vor der Tür steht.

Um schlaflose Nächte zu vermeiden, haben wir die 5 schmerzhaftesten Fragen zusammengestellt. Stellen Sie diese noch heute Ihrem aktuellen Outsourcing-Partner. Ihre Antworten – oder das Fehlen derselben – sagen oft genug.

Die 5 kritischen Fragen für Ihren Provider

1. „Wo steht die Hardware physisch?“
   Sich mit „in der Cloud“ zufrieden zu geben, ist keine Option mehr. Fragen Sie nach der exakten Adresse des Rechenzentrums. Liegt dieses außerhalb des EWR (Europäischer Wirtschaftsraum)? Dann haben Sie direkt eine juristische Herausforderung.
2. „Wer kann sich ‚remote‘ einloggen?“
   Manchmal stehen die Server ordentlich in Amsterdam oder Frankfurt, aber der Helpdesk sitzt in Indien oder den Philippinen. Wenn ein Support-Mitarbeiter sich aus Asien einloggt, um ein Problem zu lösen, gilt dies laut DSGVO bereits als „Datenexport“.
3. „Darf ich das letzte DTIA sehen?“
   Arbeitet Ihr Partner von einem Land außerhalb der EU aus? Fragen Sie dann nach dem Data Transfer Impact Assessment. Haben sie keines, oder schauen sie Sie glasig an? Dann verstoßen Sie im Moment wahrscheinlich gegen Vorschriften.
4. „Sind Smartphones am Arbeitsplatz erlaubt?“
   Digitale Sicherheit ist schön, aber die größten Lecks sind oft analog. Ein Mitarbeiter, der mal eben schnell ein Foto von einem Bildschirm mit Kundendaten macht … das passiert öfter, als Sie denken. Fragen Sie nach der Clean Desk Policy und ob Handys in Schließfächern bleiben müssen.
5. „Wer zahlt die Strafe bei einem Leck?“
   Schauen Sie auf das Kleingedruckte zur Haftung. Oft ist die Haftung des Lieferanten auf einen lächerlich niedrigen Betrag begrenzt, während Sie als Auftraggeber das volle DSGVO-Bußgeld (bis zu 4 % Ihres Umsatzes) berappen dürfen.

Der Unterschied auf einen Blick

Zweifeln Sie noch? Unten sehen Sie den harten Unterschied zwischen der alten Art des Auslagerns und der sicheren EU-Route.

Gehen Sie auf Nummer sicher

Datenverarbeitung soll Ihrem Unternehmen helfen zu wachsen, nicht es in Gefahr bringen. Bleiben Sie weg aus dem juristischen Treibsand von Drittländern. Entscheiden Sie sich für die Sicherheit der Europäischen Union und die Gewissheit von ISO-zertifizierten Prozessen.

Wollen Sie sicher wissen, ob Ihre Einrichtung DSGVO-sicher ist, oder wollen Sie direkt sicher skalieren ohne Risiken? Lassen Sie uns dann einmal unverbindlich auf Ihre Daten-Herausforderungen schauen.

Fazit: Entscheiden Sie sich für juristische Sicherheit in Ihrem Backoffice

Letztendlich ist Datensouveränität kein technisches IT-Thema. Es ist eine strategische Wahl, die auf den Schreibtisch der Geschäftsführung gehört. Denn seien wir ehrlich: Diese Einsparung beim Stundensatz in Asien? Die verpufft sofort, wenn die Aufsichtsbehörde mit einem Bußgeld vor der Tür steht oder Ihr Ruf einen Knick bekommt.

Sich für Nearshoring innerhalb der EU zu entscheiden, bedeutet, sich für ruhige Nächte zu entscheiden. Sie profitieren von der Geschwindigkeit und den niedrigeren Kosten des Outsourcings, aber dann mit der juristischen Sicherheit Ihres eigenen Hinterhofs. Keine komplizierten Verträge, keine risikovollen Routen über Drittländer und kein „juristisches Gemauschel“. Einfach solider Schutz unter europäischem Gesetz.

Wollen Sie sicher wissen, dass Sie sicher sind, bevor wir mit der projektmäßigen Bereinigung unsauberer Daten beginnen? Fordern Sie dann noch heute einen unverbindlichen Compliance Quick-Scan an. Wir schauen gerne mit Ihnen zusammen, ob Ihre aktuelle Einrichtung wirklich DSGVO-sicher ist, damit Sie sich wieder auf das Unternehmertum konzentrieren können.