In einer Antwort auf die Anfrage eines Abgeordneten hat der französische Bildungsminister kürzlich klargestellt, dass französische Schulen Microsoft 365 und Google Workspace nicht verwenden sollten.
Die Gründe für den Standpunkt des Ministeriums sind zweierlei. Erstens ist das Ministerium besorgt über die Vertraulichkeit und Rechtmäßigkeit von Datenübertragungen. Zweitens steht der Rückgriff auf europäische Anbieter im Einklang mit der ** Regierungspolitik der "Cloud im Zentrum"**. Lassen Sie uns das alles auspacken.
Hinweis: Einige der folgenden Links sind auf Französisch, da die Nachricht in den internationalen Medien kaum Beachtung fand
Die Datenschutzproblematik
Die durch die Nutzung von Google Workspace aufgeworfenen Datenschutzbedenken sind nicht neu. Wie wir hier erläutert haben, können personenbezogene Daten ausländischer Bürger einer invasiven staatlichen Überwachung ausgesetzt sein, wenn sie in die USA übermittelt werden. Diese Datenschutzbedenken veranlassten den EU-Gerichtshof, zwei Rahmenregelungen für die Datenübermittlung zwischen der EU und den USA in den wegweisenden Entscheidungen Schrems I und II für ungültig zu erklären. Es ist erwähnenswert, dass der Minister in seiner Antwort ausdrücklich Schrems II erwähnte.
Das Schrems-II-Urteil hat weitreichende Folgen für europäische Unternehmen. Grundsätzlich können Daten auch ohne einen Datenübertragungsrahmen in die USA übermittelt werden. Der EuGH hat jedoch klargestellt, dass europäische Unternehmen die Vertraulichkeit von Datenübermittlungen gewährleisten müssen, indem sie angemessene Schutzmaßnahmen gegen staatliche Überwachung ergreifen. In der Praxis ist dies schwer zu bewerkstelligen und für bestimmte Cloud-basierte Dienste völlig unmöglich (wir haben hier darüber geschrieben).
Im Anschluss an Schrems II haben vier europäische Datenschutzbehörden (die österreichische DSB, die französische CNIL, die italienische GPDP und kürzlich der finnische Datenschutzbeauftragte) gegen die Verwendung von Google Analytics entschieden. Das Tool erfordert Datenübertragungen zwischen Google Ireland Ltd. und Google LLC. Im Einklang mit dem Schrems-II-Urteil befanden die Datenschutzbehörden diese Datenübermittlungen für rechtswidrig, da sie keine wirksamen Garantien gegen die Überwachung durch die USA enthielten. Die Datenschutzbehörden haben ihr Vorgehen bei Beschwerden über Datenübermittlungen auf europäischer Ebene koordiniert, so dass andere Datenschutzbehörden diesem Beispiel wahrscheinlich folgen werden. Das Problem ist jedoch umfassender als Google Analytics: Andere US-Dienste könnten als nächstes unter Beschuss geraten.
(Aktualisierung: Tatsächlich wurde Meta Ireland wegen illegaler Datenübertragungen zu einer Rekordstrafe von 1,2 Milliarden Euro verurteilt, und es wurde angeordnet, die US-Datenübertragungen für Facebook auszusetzen, und es besteht derzeit die Gefahr einer EU-weiten Sperrung von Facebook. Wir haben diesen wichtigen Fall besprochen https://www.simpleanalytics.com/blog/meta-hit-with-record-breaking-1-3-billion-fine-over-facebook-data-transfers-to-the-us)
Die CNIL ist eine der Datenschutzbehörden, die gegen Google Analytics entschieden haben. Die französische Regierung hat sich die Position der CNIL in Bezug auf Datenübertragungen zu eigen gemacht, indem sie sich für die Nutzung von Microsoft 365 und Google Workspace stark gemacht hat. Aber hier geht es nicht nur um den Datenschutz.
Digitale Souveränität
Seit letztem Jahr hat die französische Regierung die ** Doktrin der "Wolke im Zentrum"** vorangetrieben: ein langfristiger Plan für die Entwicklung der digitalen Infrastruktur mit dem Ziel der digitalen Souveränität.
Letztes Jahr forderte ein Rundschreiben der interministeriellen Direktion für digitale Angelegenheiten (DINUM) die öffentliche Verwaltung auf, Microsoft 365 aufzu geben und stattdessen die Office-Suite vor Ort zu nutzen. Bedenken hinsichtlich des Datenschutzes spielten eine Rolle, aber die Regierung will auch die Abhängigkeit Frankreichs von US-Anbietern langfristig begrenzen. Die Haltung des Ministeriums zu Microsoft 365 und Google Workspace fügt sich nahtlos in diese digitale Strategie ein.
Es ist anzumerken, dass Microsoft 365 keine Datenübertragungen außerhalb der EU erfordert, da Microsoft alle europäischen Daten in europäischen Rechenzentren verarbeitet. Nach Ansicht der Direktion reicht dies nicht aus, um die Vertraulichkeit der Daten zu gewährleisten. Die Direktion forderte die Verwaltungen auf, sich nur auf zertifizierte, in der EU ansässige Cloud-Anbieter zu verlassen, die garantiert vor der Anwendung von Nicht-EU-Recht (wie dem umstrittenen Cloud Act der USA) geschützt sind.
Frankreich ist mit seinem Streben nach digitaler Souveränität nicht allein: Die digitale Strategie der EU erkennt die digitale Souveränität als ein wichtiges Ziel an. Und um die Abhängigkeit von US-amerikanischen Dienstleistern zu verringern, hat die Europäische Kommission Gaia-X ins Leben gerufen. Dieses Projekt bringt Anbieter von Software und physischer Infrastruktur zusammen, um eine sichere Umgebung für den Datenaustausch auf der Grundlage interoperabler technischer Standards zu schaffen. Gaia-X zielt darauf ab, das Wachstum der digitalen Wirtschaft in der gesamten Union zu fördern, die gemeinsame Nutzung von Daten zu erleichtern und das Ziel der digitalen Souveränität zu unterstützen.
Die möglichen Auswirkungen einer Politik der Datensouveränität sollten nicht übersehen werden. Wenn Unternehmen wettbewerbsfähige EU-Alternativen zu US-Anbietern erhalten, kann dies dazu beitragen, dass mehr Daten in der Union verbleiben, wo Datenschutzrechte leichter durchgesetzt werden können. Und eine geringere Abhängigkeit von US-amerikanischen Diensten würde es der EU ermöglichen, bei Verhandlungen über internationale Datentransferregelungen mehr Einfluss zu nehmen.
Abschließende Überlegungen
Die digitale Strategie der EU und Gaia-X sind ein Schritt in die richtige Richtung, aber die Union hat noch einen langen Weg vor sich. Gegenwärtig sind einige US-Anbieter praktisch unersetzlich.
Glücklicherweise ist Google Analytics ersetzbar. Im Gegensatz zu Google glaubt Simple Analytics an ein unabhängiges, besucherfreundliches Web. Wenn Sie sich davon angesprochen fühlen, sollten Sie uns unbedingt kennenlernen.