Ein aktueller Fall aus den Niederlanden zeigt, wie real das Risiko von US-Cloud-Diensten ist: <\/p>\n\n\n\n
Microsoft hat die Namen und internen Kommunikationen niederl\u00e4ndischer Beamter und Wissenschaftler an den US-Kongress weitergegeben \u2013 ohne die Namen zu schw\u00e4rzen. <\/p>\n\n\n\n
Was ist passiert?<\/p>\n\n\n\n
Ein Untersuchungsausschuss des US-Repr\u00e4sentantenhauses forderte von Microsoft Daten zu niederl\u00e4ndischen Regulierungsbeamten an, die an der Durchsetzung des EU-Digital Services Act (DSA) arbeiten. Microsoft kam dieser Aufforderung nach und \u00fcbergab E-Mails, Besprechungsnotizen und Einladungen von Mitarbeitern der niederl\u00e4ndischen Wettbewerbsbeh\u00f6rde ACM und der Datenschutzbeh\u00f6rde AP.<\/p>\n\n\n\n
Die Namen der betroffenen Beamten wurden nicht geschw\u00e4rzt<\/strong>. Das niederl\u00e4ndische Kabinett bezeichnete den Vorgang als \u201e\u00e4u\u00dferst besorgniserregend“ \u2013 die genannten Personen k\u00f6nnten nun mit Einreiseverboten oder sogar Sanktionen belegt werden. Auch Meta soll \u00e4hnliche Daten weitergegeben haben.<\/p>\n\n\n\n Der rechtliche Hebel: Der US CLOUD Act<\/p>\n\n\n\n Der Vorfall ist kein Betriebsunfall, sondern systemisch bedingt. Der US CLOUD Act<\/strong> (Clarifying Lawful Overseas Use of Data Act) verpflichtet US-Unternehmen, der US-Regierung auf Anforderung s\u00e4mtliche gespeicherten Daten herauszugeben \u2013 unabh\u00e4ngig davon, wo auf der Welt<\/strong> diese Daten physisch gespeichert sind. Serverstandort in Frankfurt? Azure-Rechenzentrum in Amsterdam? Die Daten in einer europ\u00e4ischen Region von Microsoft 365? Aus Sicht des CLOUD Act irrelevant. Solange das Unternehmen seinen Hauptsitz in den USA hat, unterliegt es US-Jurisdiktion. <\/p>\n\n\n\n Die niederl\u00e4ndische Digitalministerin Willemijn Aerdts brachte es auf den Punkt: \u201eWenn Sie Politik diskutieren wollen, dann tun Sie das mit uns \u2013 oder, wenn n\u00f6tig, in Europa \u2013 aber nicht auf dem R\u00fccken von Beamten.“ <\/p>\n\n\n\n Die Ohnmacht der Kunden <\/p>\n\n\n\n Besonders bezeichnend: Auf die Frage, ob die Niederlande die Zusammenarbeit mit Microsoft beenden k\u00f6nnten, antwortete Wirtschaftsstaatssekret\u00e4r Eric van der Burg: Kurzfristig keine Option<\/strong>. Die Abh\u00e4ngigkeit ist zu gro\u00df. Microsoft 365 ist in der \u00f6ffentlichen Verwaltung, im Gesundheitswesen und in Bildungseinrichtungen tief verwurzelt. <\/p>\n\n\n\n Eine Untersuchung des niederl\u00e4ndischen Public Broadcasters NOS ergab, dass 67 % von rund 16.500 untersuchten Websites<\/strong> staatlicher Stellen, Krankenh\u00e4user, Schulen und anderer essenzieller Organisationen mit mindestens einem US-Cloud-Dienst verbunden sind. <\/p>\n\n\n\n Die Lehre f\u00fcr Praxen im DACH-Raum<\/strong><\/p>\n\n\n\n Was f\u00fcr niederl\u00e4ndische Ministerien gilt, gilt erst recht f\u00fcr Psychotherapiepraxen, Arztpraxen und kleinere Einrichtungen: Wer Patientendaten in Microsoft 365 verwaltet oder auf Azure-basierte KI-Dienste setzt, unterliegt mittelbar dem US CLOUD Act. Die DSGVO verlang von Verantwortlichen in der EU, dass sie personenbezogene Daten vor unbefugtem Zugriff sch\u00fctzen. Ein Cloud-Dienst, der per US-Gesetz zur Herausgabe dieser Daten gezwungen werden kann, ist mit der DSGVO nur schwer vereinbar \u2013 eine Einsch\u00e4tzung, die Datenschutzbeh\u00f6rden zunehmend teilen. <\/p>\n\n\n\n F\u00fcr Psychotherapeut:innen bedeutet das konkret:<\/strong> Wer seine Abrechnung, Patientenakten oder Dokumentation \u00fcber einen Microsoft-basierten Dienst laufen l\u00e4sst, geht ein reales Datenschutzrisiko ein \u2013 nicht, weil Microsoft b\u00f6swillig handeln w\u00fcrde, sondern weil US-Recht \u00fcber EU-Recht gestellt werden kann. <\/p>\n\n\n\n Fazit <\/p>\n\n\n\n Microsoft hat nicht versagt, Microsoft hat sich an US-Recht gehalten. Genau das ist das Problem. Der Fall der Niederlande zeigt, dass dies keine abstrakte theoretische Diskussion mehr ist, sondern eine reale Gefahr f\u00fcr alle, die auf US-Cloud-Infrastruktur angewiesen sind. Wer sensible Patientendaten verarbeitet, sollte sich bewusst sein: Standort Europa allein sch\u00fctzt nicht vor US-Zugriff. Entscheidend ist, wem<\/strong> die Infrastruktur geh\u00f6rt und welchem Recht sie unterliegt. <\/p>\n\n\n\n