Der Serverstandort ist wichtig, aber nicht das einzige Kriterium. Ein belastbarer Cloud-Check betrachtet Anbieter, Datenwege, Verträge und Zugriffe gemeinsam.
„Unsere Daten liegen in Europa“ klingt eindeutig. Für eine belastbare Bewertung reicht dieser Satz aber nicht. Entscheidend ist, wo unterschiedliche Datenarten verarbeitet werden, welche Unternehmen beteiligt sind, wer technisch zugreifen kann und welche vertraglichen sowie gesetzlichen Regeln gelten.
Der US CLOUD Act kann US-Anbieter unter bestimmten rechtlichen Voraussetzungen verpflichten, Daten offenzulegen, die sich in ihrem Besitz, Gewahrsam oder unter ihrer Kontrolle befinden — auch wenn sie außerhalb der USA gespeichert sind.1 Daraus folgt weder, dass Behörden beliebig zugreifen können, noch dass jeder Einsatz eines US-Dienstes automatisch gegen die DSGVO verstößt.
Für Übermittlungen personenbezogener Daten in die USA besteht seit 2023 ein Angemessenheitsbeschluss der Europäischen Kommission für Organisationen, die nach dem EU-US Data Privacy Framework zertifiziert sind.2 Daneben können je nach Fall andere Übermittlungsinstrumente und zusätzliche Maßnahmen relevant sein. Verantwortliche müssen den konkreten Dienst, Datenfluss und Schutzbedarf prüfen.
Was „Datenstandort Österreich“ sinnvollerweise umfasst
Ein österreichischer Betriebsstandort kann Rechtswege, Ansprechpartner und Transparenz vereinfachen. Er ist besonders aussagekräftig, wenn zusätzlich geklärt ist:
- welches Unternehmen Vertragspartner und Betreiber ist;
- wo Primärdaten, Sicherungen, Protokolle und Office-Verarbeitungsdaten liegen;
- welche Unterauftragsverarbeiter eingesetzt werden;
- ob Support- oder Administrationszugriffe aus Drittländern möglich sind;
- wie Export, Vertragsende und Löschung geregelt sind.
CloudFiles ist ein Produkt von CloudNow für Cloud-Speicher und browserbasierte Dokumentenbearbeitung mit EuroOffice. Nach aktueller Produktangabe werden die Daten in den CloudNow-Rechenzentren in Wien und Innsbruck gespeichert und verarbeitet.3 Diese klare Zuordnung ist ein Vorteil für die Prüfung, ersetzt aber nicht Rechtsgrundlage, Berechtigungskonzept, AVV und angemessene Sicherheitsmaßnahmen. Welche Maßnahmen CloudFiles konkret bereitstellt, beschreibt die Sicherheitsseite.
Auch der Office-Editor gehört zum Datenweg
Wer Dokumente direkt in der Cloud bearbeitet, sollte nicht nur den Speicher, sondern auch den Document Server prüfen. EuroOffice in CloudFiles ermöglicht die Bearbeitung von Texten, Tabellen, Präsentationen und PDF im Browser — Dokumente werden damit im selben kontrollierten Betriebsmodell bearbeitet, statt für die Bearbeitung unbemerkt einen separaten Dienst einzubinden. Wo dabei temporäre Daten verarbeitet werden und welche Funktionen in der gebuchten Konfiguration aktiv sind, muss Teil derselben transparenten Systembeschreibung sein; die Funktionsübersicht benennt den Umfang je Paket.
Die sieben allgemeinen Prüfbereiche beschreibt der Beitrag „Datenschutzgerechte Cloud: Was Unternehmen wirklich prüfen müssen“. Der sinnvollste Schluss lautet daher nicht „Standort allein genügt“, sondern: Ein klarer österreichischer Betriebsraum kann eine datenschutzgerechte und souveräne Nutzung unterstützen, wenn Vertrag, Technik und tatsächlicher Einsatz zusammenpassen.
Hinweis: Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine Rechts- oder Datenschutzberatung.