Warum Europas digitale Souveränität eine Illusion ist

Ein Microsoft-Manager musste unter Eid zugeben, was Datenschützer schon lange befürchten: Trotz aller Versprechen, Standardvertragsklauseln und EU-Rechenzentren können US-Konzerne europäische Daten nicht vor amerikanischen Behörden schützen. Was das bedeutet.

Mitte Juni wurde im französischen Senat eine unbequeme Wahrheit offenkundig, die schon seit längerem Thema in Fachkreisen ist. Anton Carniaux, Direktor für rechtliche und öffentliche Angelegenheiten bei Microsoft France, musste unter Eid eine simple, aber folgenreiche Frage beantworten: Kann Microsoft garantieren, dass die Daten französischer Bürger niemals ohne Zustimmung der französischen Behörden an die US-Regierung weitergegeben werden? Seine Antwort: „Non, je ne peux pas le garantir“ – Nein, ich kann das nicht garantieren.

Um die Tragweite dieser Aussage zu verstehen, muss die rechtliche Konstruktion betrachtet werden, auf der Millionen europäischer Unternehmen und Behörden ihre Datenspeicherung aufbauen: Wenn europäische Organisationen personenbezogene Daten bei US-Anbietern wie Microsoft speichern, greifen sie auf sogenannte Standardvertragsklauseln (Standard Contractual Clauses, SCC) zurück. Diese von der EU-Kommission entwickelten Musterverträge sollen garantieren, dass Daten auch außerhalb der EU nach europäischen Datenschutzstandards behandelt werden. Microsoft und andere US-Konzerne haben zusätzlich Milliarden in europäische Rechenzentren investiert. Sie versprechen mit ihrer „EU Data Boundary“ Initiative, dass Daten europäischer Kunden physisch in der EU bleiben – gespeichert, verarbeitet, im Transit. Alles soll hier bleiben, alles soll sicher sein. Die Realität? Diese geografische Trennung ist rechtlich bedeutungslos.