Wie geht DataReporter mit den Daten in Privacy und WebCare um?

Wo liegen die Daten aus Privacy und WebCare, sind sie sicher und datenschutzrechtlich korrekt gespeichert?

DataReporter speichert alle Daten auf Servern in Europa und erfüllt damit die datenschutzrechtlichen Vorgaben. Standardmäßig, werden die Daten bei AWS (Amazon Web Services) in Frankfurt gespeichert.

Kann ich sicher sein, dass die Daten nicht in die USA gelangen?

DataReporter hat innerhalb von Amazon AWS einen europäischen Vertragspartner und eine Zusicherung vorliegen, dass die Verarbeitung der Daten in Europa (konkret Frankfurt) erfolgt.

Nach welchem Standard behandelt AWS die Daten?

Amazon AWS hält sich bei der Verarbeitung von Daten innerhalb von Europa an den in Zusammenarbeit mit der französischen Datenschutzbehörde (CNIL) entwickelten CISPE Data Protection Code of Conduct (CISPE Code), den ersten europaweiten Verhaltenskodex für den Datenschutz, der sich auf Cloud-Infrastruktur-Services konzentriert. Der CISPE-Code wird auch vom Europäischen Datenschutzausschuss unterstützt und wurde von der CNIL genehmigt.

Amazon ist ein amerikanisches Unternehmen, ist das wirklich in Ordnung?

In diesem Zusammenhang verweisen wir auf eine aktuelle französische Rechtsprechung zum Thema Datentransfer mit Verbindung zu US-Dienstleistern.

Frankreich ist bekanntlich sehr kritisch was datenschutzrechtliche Fragen betrifft. Im Rahmen der Corona-Impfkampagne hat sich der Conseil d’Etat – Frankreichs oberstes Verwaltungsgericht – über Datentransfers zu Dienstleistern in die USA richtungsweisend geäußert. Im konkreten Fall ging es in Frankreich um eine Plattform, über die direkt online Termine für eine COVID-Impfung bei einer Impfstelle vereinbart werden kann. Dazu greift die Plattform auf Hosting-Dienstleistungen der AWS Sarl in Luxemburg zurück.

Gewerkschaften und Berufsverbände behaupteten, dass die Nutzung von AWS Sarl nicht datenschutzkonform sei. Im Falle der AWS Sarl handelt es sich um ein Tochterunternehmen der AWS in den USA und daher bestehe nach Ansicht der Gewerkschaften und Verbände das Risiko eines Datenzugriffs basierend auf US-Recht. Das Gericht bejahte diese grundsätzliche Möglichkeit, da sich auch Daten im Zugriffsbereich von AWS in den USA und ihren Tochtergesellschaften befinden, selbst wenn diese nicht in die USA übermittelt und gehostet würden. Im Ergebnis kam das oberste Verwaltungsgericht in diesem Gerichtsverfahren jedoch zu dem Schluss, dass das Schutzniveau beim Hosten der Daten durch AWS Sarl datenschutzrechtlich angemessen sei. Hauptargument dafür war die Verschlüsselung der Daten, so dass der US-Dienstleister allenfalls verschlüsselte Daten herausgeben kann, ohne selbst jedoch den Schlüssel zu besitzen.