In einer Zeit strenger Umsetzung der DSGVO-Regularien ist der physische Standort Ihrer Datenverarbeitung kein Detail, sondern ein direktes Compliance-Risiko. Lesen Sie, warum billiges Offshoring nach Asien juristisch teuer werden kann.<\/p>\n
Viele Unternehmen denken, juristisch sei alles in Ordnung, sobald sie einen Vertrag mit einem BPO-Partner in Indien oder den Philippinen unterzeichnet haben. Man f\u00fcgt ein paar Standardklauseln ein, jeder setzt eine Unterschrift darunter, und die Sache ist erledigt. Oder?<\/p>\n
Leider ist die Realit\u00e4t deutlich widerspenstiger. Seit dem Gerichtsurteil im bekannten \u201eSchrems II\u201c-Fall liegen Datenstr\u00f6me in sogenannte \u201eDrittl\u00e4nder\u201c unter einem Vergr\u00f6\u00dferungsglas. Der simple Fakt ist: Wer Verwaltungsarbeit auslagert<\/a>, bleibt selbst gesamtschuldnerisch haftbar f\u00fcr die Route, die die Daten zur\u00fccklegen. Ein St\u00fcck Papier sch\u00fctzt Sie nicht vor der Gesetzgebung eines anderen Landes.<\/p>\n Wir sprechen oft dar\u00fcber, als w\u00e4re es Magie: \u201eWir legen es in die Cloud.\u201c Dieser Begriff klingt sch\u00f6n abstrakt und sicher. Er ruft ein Bild von Dateien hervor, die irgendwo sicher in der Luft schweben, losgel\u00f6st von Landesgrenzen und Regeln.<\/p>\n Aber seien wir ehrlich: Diese Wolke existiert \u00fcberhaupt nicht. Daten haben immer eine physische Adresse. Ihre Kundendaten und Finanzunterlagen befinden sich schlicht auf einer Festplatte. Diese Festplatte steckt in einem Server-Rack, und dieses Rack steht in einem gro\u00dfen Rechenzentrum, das Strom frisst und gek\u00fchlt werden muss.<\/p>\n Und das Wichtigste: Dieses Geb\u00e4ude steht auf dem Boden eines spezifischen Landes.<\/p>\n Hier dr\u00fcckt f\u00fcr viele CFOs und DPOs der Schuh. Da dieser Server auf ausl\u00e4ndischem Hoheitsgebiet steht, gelten die Gesetze jenes<\/em> Landes (das Territorialit\u00e4tsprinzip). Dies steht oft im Widerspruch zu dem, was Sie vertraglich vereinbart haben.<\/p>\n Angenommen, Sie lagern Arbeit an einen Partner au\u00dferhalb der EU aus. In Ihrem Vertrag steht deutlich, dass niemand ungefragt auf die Daten zugreifen darf. Aber in vielen L\u00e4ndern \u2013 denken Sie an Teile Asiens oder sogar die USA \u2013 haben lokale Beh\u00f6rden und Nachrichtendienste weitreichende Befugnisse. Wenn diese bei Ihrem Partner anklopfen, um Daten einzusehen, muss dieser Partner oft kooperieren. Lokale Gesetzgebung gewinnt fast immer gegen Ihren Vertrag.<\/p>\n Selbst \u201eVerschl\u00fcsselung\u201c (Encryption) ist dann keine Wunderl\u00f6sung. Oft werden die Daten von Personal vor Ort verarbeitet, was bedeutet, dass die Daten zu irgendeinem Zeitpunkt lesbar sein m\u00fcssen. Oder der \u201eSchl\u00fcssel\u201c ist im Besitz des Providers, der gesetzlich gezwungen werden kann, diesen herauszugeben.<\/p>\n Dann gibt es noch ein Risiko, das oft \u00fcbersehen wird: unsichtbare Kopien. Viele Cloud-Anbieter nutzen Techniken, um Systeme schnell und stabil zu halten. Sie kopieren Daten vor\u00fcbergehend auf andere Server, wenn viel los ist im Netzwerk. Dies nennt man \u201eMirroring\u201c oder Load-Balancing.<\/p>\n Es kann also durchaus passieren, dass Ihre Daten morgens an einem sicheren Ort liegen, aber nachmittags vor\u00fcbergehend auf einen Server in einem Land mit zweifelhaftem Datenschutzniveau gespiegelt werden. Ohne dass Sie es bemerken oder die Erlaubnis dazu gegeben haben, versto\u00dfen Sie gegen die Regeln der Datensouver\u00e4nit\u00e4t der EU<\/strong>.<\/p>\n Kurzum: Solange Sie nicht sicher wissen, wo die Standbeine der Server im Boden verankert sind, gehen Sie ein unsichtbares, aber ernsthaftes Risiko ein.<\/p>\n Fr\u00fcher war die Welt des Outsourcings<\/a> sch\u00f6n \u00fcbersichtlich. Sie wollten Arbeit an einen Partner in Indien oder den Philippinen auslagern? Kein Problem. Sie luden einen Standardvertrag von der EU-Website herunter, die sogenannten Standard Contractual Clauses<\/em> (SCCs), lie\u00dfen beide Parteien unterschreiben und das Ganze verschwand in einer Schublade. Juristisch waren Sie \u201eabgedeckt\u201c.<\/p>\n Aber diese Zeiten sind vorbei. Und zwar gr\u00fcndlich.<\/p>\n Der Fall des \u201ePrivacy Shield\u201c und das Urteil im Fall Schrems II haben die Regeln komplett ver\u00e4ndert. F\u00fcr viele Unternehmen f\u00fchlt sich dies wie juristischer Treibsand an: Je mehr Sie versuchen, mit Papierkram abzudichten, desto tiefer versinken Sie in den Risiken.<\/p>\n Lassen wir die juristische Sprache kurz beiseite. Worum ging es in diesem Fall eigentlich? Der \u00f6sterreichische Datenschutzaktivist Max Schrems zog vor Gericht, weil seine Facebook-Daten in die Vereinigten Staaten gesendet wurden. Sein Punkt war simpel: In den USA haben Nachrichtendienste (wie die NSA) weitreichende Rechte, Daten einzusehen. Viel mehr, als in Europa erlaubt ist.<\/p>\n Der h\u00f6chste europ\u00e4ische Richter gab ihm recht. Das Urteil war klar: Wenn die Regierung eines Landes einfach so in Ihren Daten schn\u00fcffeln darf, sind diese Daten dort nicht sicher.<\/strong><\/p>\n Dies gilt nicht nur f\u00fcr die USA. Es gilt f\u00fcr jedes Land au\u00dferhalb des Europ\u00e4ischen Wirtschaftsraums (EWR), das keinen \u201eAngemessenheitsbeschluss\u201c hat. Und das sind genau die L\u00e4nder, wo viele g\u00fcnstige Backoffice-Partner sitzen: Indien, die Philippinen und viele andere asiatische L\u00e4nder. Die lokale Gesetzgebung dort gibt Beh\u00f6rden oft einen Freibrief, um Daten anzufordern, ohne dass Sie als europ\u00e4ischer Kunde etwas dagegen tun k\u00f6nnen.<\/p>\n Noch immer denken viele Gesch\u00e4ftsf\u00fchrer: \u201eAber wir haben doch diese Standard Contractual Clauses<\/em> unterschrieben? Dann liegt das Risiko beim Lieferanten, nicht bei uns.\u201c<\/p>\n Falsch. Ein Vertrag ist lediglich eine Vereinbarung zwischen zwei Unternehmen. Er ist Papier. Und Papier gewinnt niemals gegen das Gesetz.<\/p>\n Angenommen: Sie haben einen Vertrag mit einem Rechenzentrum in Mumbai. Darin wird hoch und heilig versprochen, dass niemand Ihre Daten einsehen darf. Aber dann klopft die indische Regierung auf Basis lokaler Sicherheitsgesetze an. Ihr Lieferant steht dann vor der Wahl: den Vertrag brechen oder das Gesetz brechen? Sie w\u00e4hlen immer<\/em> das lokale Gesetz, um ihre Lizenz nicht zu verlieren.<\/p>\n Die SCCs sind seit Schrems II also zu einem Papiertiger degradiert, es sei denn, Sie k\u00f6nnen knallhart beweisen, dass die lokalen Gesetze keinen<\/em> Eingriff in den europ\u00e4ischen Datenschutz darstellen. Und das ist fast unm\u00f6glich.<\/p>\n Weil diese Standardvertr\u00e4ge nicht mehr wasserdicht sind, hat die Aufsichtsbeh\u00f6rde eine neue Verpflichtung erdacht: das Data Transfer Impact Assessment<\/em> (DTIA).<\/p>\n Wollen Sie personenbezogene Daten in ein \u201eDrittland\u201c senden? Dann m\u00fcssen Sie vorab eine umfassende Untersuchung durchf\u00fchren. Sie m\u00fcssen buchst\u00e4blich die Gesetzgebung jenes Landes analysieren und einsch\u00e4tzen, ob Ihre Daten durch lokale Spionage oder beh\u00f6rdliche \u00dcberwachung gef\u00e4hrdet sind.<\/p>\n Dies ist kein simples Formular. Es ist eine komplexe juristische Untersuchung, an der teure Anw\u00e4lte tagelang arbeiten. Und das Ergebnis? Das ist oft trotzdem negativ. Denn wie garantieren Sie zu 100 %, dass ein ausl\u00e4ndischer Nachrichtendienst nicht<\/em> mitschaut?<\/p>\n F\u00fcr die meisten KMU und Konzernabteilungen ist dies eine unm\u00f6gliche Aufgabe. Es macht g\u00fcnstiges Outsourcing nach Asien unterm Strich auf einmal sehr teuer und riskant. Sie halsen sich Compliance-Kopfschmerzen auf, die Sie mit keinem Vertrag der Welt freikaufen k\u00f6nnen.<\/p>\n Nach dem Lesen \u00fcber Schrems II und amerikanische Spionagedienste verl\u00e4\u00dft Sie vielleicht der Mut. M\u00fcssen Sie dann alles wieder selbst im eigenen Land zu einem himmelhohen Stundensatz erledigen? Zum Gl\u00fcck nicht. Es gibt eine L\u00f6sung, die juristisch wasserdicht ist und dennoch die Kosten dr\u00fcckt.<\/p>\n Die Antwort liegt n\u00e4her, als Sie denken: Bleiben Sie einfach innerhalb der Europ\u00e4ischen Union.<\/p>\n Viele Unternehmen vergessen, dass L\u00e4nder wie Rum\u00e4nien schon seit Jahren vollwertiges Mitglied der EU sind. Dies scheint ein geografisches Detail zu sein, macht aber juristisch einen himmelweiten Unterschied. Innerhalb des Europ\u00e4ischen Wirtschaftsraums (EWR) gilt n\u00e4mlich das Prinzip des \u201efreien Datenverkehrs\u201c.<\/p>\n Einfach ausgedr\u00fcckt: Daten von Amsterdam zu unserem B\u00fcro in Rum\u00e4nien zu senden, ist juristisch genau dasselbe<\/strong>, wie Daten von Amsterdam nach Rotterdam zu senden.<\/p>\n Da Rum\u00e4nien an exakt dieselbe DSGVO (GDPR) gebunden ist wie die Niederlande oder Deutschland, ist keine Rede von einer \u201e\u00dcbermittlung in ein Drittland\u201c. Sie m\u00fcssen sich also \u00fcberhaupt keine Sorgen \u00fcber Angemessenheitsbeschl\u00fcsse oder heimliche Hintert\u00fcren f\u00fcr den lokalen Geheimdienst machen. Der rum\u00e4nische Richter pr\u00fcft nach denselben europ\u00e4ischen Datenschutzgesetzen wie der Richter in Den Haag oder Berlin.<\/p>\n Dies erspart Ihnen nicht nur Kopfzerbrechen, sondern auch direkt Geld. Erinnern Sie sich noch an das komplexe Data Transfer Impact Assessment<\/em> (DTIA), \u00fcber das wir vorhin sprachen? Diese teure Risikoanalyse, die f\u00fcr Indien oder die Philippinen verpflichtend ist?<\/p>\n Wenn Sie sich f\u00fcr einen Partner innerhalb der EU entscheiden, kann dieser ganze Papierkram in den Papierkorb. Sie sind \u201eCompliant by Default\u201c. Sie m\u00fcssen keine komplizierten juristischen Konstrukte aufbauen, um zu beweisen, dass Ihre Daten sicher sind, denn das Gesetz besagt bereits standardm\u00e4\u00dfig, dass sie sicher sind.<\/p>\n Nat\u00fcrlich ist Gesetzgebung das eine, aber die Praxis ist das andere. Bei Datamondial nehmen wir \u201ejuristische Gem\u00fctsruhe\u201c ernst. Deshalb verlassen wir uns nicht nur auf das europ\u00e4ische Gesetz, sondern bauen zus\u00e4tzliche Sicherheit darauf auf.<\/p>\n Unsere Teams in Rum\u00e4nien<\/a> arbeiten nicht von einem Dachboden oder K\u00fcchentisch aus, wo Mitbewohner mitlesen k\u00f6nnen. Sie arbeiten aus physisch gesicherten B\u00fcros, die den strengsten ISO-27001-Normen entsprechen. Das bedeutet:<\/p>\n Wenn Sie sich dieser rechtlichen Rahmenbedingungen und der physischen Sicherheit sicher sind, k\u00f6nnen Sie beruhigt mit der tats\u00e4chlichen projektm\u00e4\u00dfigen Bereinigung unsauberer Daten<\/a> durch ein sicheres Team beginnen. Sie lagern die Arbeit aus, behalten aber die Kontrolle, als w\u00e4re es Ihre eigene Abteilung.<\/p>\n Kurzum: Nearshoring in einen EU-Mitgliedstaat<\/a> eliminiert die juristischen Risiken, die zu Asien geh\u00f6ren. Es gibt Ihnen den Raum, sich auf Ihren Prozess zu konzentrieren, anstatt auf das Kleingedruckte eines Vertrags. Wollen Sie genau wissen, wie wir DSGVO-konformes Arbeiten garantieren? Das ist in jedem Schritt unseres Prozesses verankert.<\/p>\n Sch\u00f6n, diese Theorie \u00fcber Schrems II und amerikanische Spionagedienste. Aber wie sieht es eigentlich mit Ihren<\/em> Prozessen aus? Viele Unternehmen finden erst heraus, dass ihr \u201esicherer\u201c Vertrag l\u00f6chrig wie ein K\u00e4se ist, wenn die Aufsichtsbeh\u00f6rde vor der T\u00fcr steht.<\/p>\n Um schlaflose N\u00e4chte zu vermeiden, haben wir die 5 schmerzhaftesten Fragen zusammengestellt. Stellen Sie diese noch heute Ihrem aktuellen Outsourcing-Partner. Ihre Antworten \u2013 oder das Fehlen derselben \u2013 sagen oft genug.<\/p>\n Zweifeln Sie noch? Unten sehen Sie den harten Unterschied zwischen der alten Art des Auslagerns und der sicheren EU-Route.<\/p>\n Datenverarbeitung soll Ihrem Unternehmen helfen zu wachsen, nicht es in Gefahr bringen. Bleiben Sie weg aus dem juristischen Treibsand von Drittl\u00e4ndern. Entscheiden Sie sich f\u00fcr die Sicherheit der Europ\u00e4ischen Union und die Gewissheit von ISO-zertifizierten Prozessen.<\/p>\nDie Illusion der digitalen Wolke: Warum haben Daten eine physische Adresse?<\/h2>\n
Ihr Vertrag vs. lokale Gesetzgebung<\/h3>\n
Die Gefahr des \u201eMirroring\u201c<\/h3>\n
Warum sind Asien und die USA juristischer Treibsand (Schrems II & SCCs)?<\/h2>\n
Der Kater des Schrems-II-Urteils<\/h3>\n
Warum ein Vertrag (SCC) Sie nicht mehr rettet<\/h3>\n
Der administrative Albtraum: das DTIA<\/h3>\n
Wie garantiert EU-Nearshoring \u201eCompliance by Default\u201c?<\/h2>\n
Der Komfort der europ\u00e4ischen Binnengrenzen<\/h3>\n
Keine teuren Anw\u00e4lte, kein DTIA<\/h3>\n
Datamondial: Doppelte Sicherheit mit ISO 27001<\/h3>\n
\n
Checkliste: Ist Ihre aktuelle Datenmigration oder -verarbeitung wirklich 100 % sicher?<\/h2>\n
Die 5 kritischen Fragen f\u00fcr Ihren Provider<\/h3>\n
\n
Sich mit \u201ein der Cloud\u201c zufrieden zu geben, ist keine Option mehr. Fragen Sie nach der exakten Adresse des Rechenzentrums. Liegt dieses au\u00dferhalb des EWR (Europ\u00e4ischer Wirtschaftsraum)? Dann haben Sie direkt eine juristische Herausforderung.<\/li>\n
Manchmal stehen die Server ordentlich in Amsterdam oder Frankfurt, aber der Helpdesk sitzt in Indien oder den Philippinen. Wenn ein Support-Mitarbeiter sich aus Asien einloggt, um ein Problem zu l\u00f6sen, gilt dies laut DSGVO bereits als \u201eDatenexport\u201c.<\/li>\n
Arbeitet Ihr Partner von einem Land au\u00dferhalb der EU aus? Fragen Sie dann nach dem Data Transfer Impact Assessment<\/em>. Haben sie keines, oder schauen sie Sie glasig an? Dann versto\u00dfen Sie im Moment wahrscheinlich gegen Vorschriften.<\/li>\n
Digitale Sicherheit ist sch\u00f6n, aber die gr\u00f6\u00dften Lecks sind oft analog. Ein Mitarbeiter, der mal eben schnell ein Foto von einem Bildschirm mit Kundendaten macht … das passiert \u00f6fter, als Sie denken. Fragen Sie nach der Clean Desk Policy<\/em> und ob Handys in Schlie\u00dff\u00e4chern bleiben m\u00fcssen.<\/li>\n
Schauen Sie auf das Kleingedruckte zur Haftung. Oft ist die Haftung des Lieferanten auf einen l\u00e4cherlich niedrigen Betrag begrenzt, w\u00e4hrend Sie<\/em> als Auftraggeber das volle DSGVO-Bu\u00dfgeld (bis zu 4 % Ihres Umsatzes) berappen d\u00fcrfen.<\/li>\n<\/ol>\nDer Unterschied auf einen Blick<\/h3>\n
\n\n
\n \nRisiko-Aspekt<\/th>\n Offshoring (Asien \/ USA)<\/th>\n Nearshoring (EU \/ Datamondial)<\/th>\n<\/tr>\n<\/thead>\n \n Gesetzgebung<\/strong><\/td>\n Lokale Gesetze gehen vor Privatsph\u00e4re<\/td>\n DSGVO (GDPR) ist f\u00fchrend<\/td>\n<\/tr>\n \n Aufsicht Staat<\/strong><\/td>\n Nachrichtendienste schauen oft mit<\/td>\n Strenge EU-Datenschutzregeln<\/td>\n<\/tr>\n \n Papierkram<\/strong><\/td>\n Komplexe DTIA & SCCs verpflichtend<\/td>\n Kein zus\u00e4tzlicher Papierkram n\u00f6tig<\/td>\n<\/tr>\n \n Datenverkehr<\/strong><\/td>\n Juristisch risikovoller Export<\/td>\n Freier Verkehr innerhalb EWR<\/td>\n<\/tr>\n \n Kontrolle<\/strong><\/td>\n Schwierig und weit weg<\/td>\n Nah und transparent<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Gehen Sie auf Nummer sicher<\/h3>\n