Polnisches Cloud-Computing: Was bedeutet „Daten in Polen“ wirklich?

WebDisk Blog · Kategorie: Cloud · Lesezeit: ~8 Minuten

Kurz gefasst:- Hinter dem Schlagwort „Daten in Polen“ verbergen sich drei getrennte Fragen: wo die Daten physisch liegen, welchem Recht der Anbieter unterliegt und wer – in der gesamten Kette der Subunternehmer – Zugriff auf die Daten hat.- Ein Standort im Europäischen Wirtschaftsraum vereinfacht die DSGVO-Konformität (das Thema Transfers außerhalb des EWR schrumpft auf die Durchsicht der Subunternehmerliste), verkürzt den Weg der Pakete und erleichtert den Alltag: Vertrag, Rechnung und Support in einer Sprache und einer Währung.- Der Standort ist einer von mehreren Faktoren bei der Cloud-Wahl – kein Talisman. Er ersetzt weder Verschlüsselung noch Backups noch einen guten Auftragsverarbeitungsvertrag.

In den Sicherheitsfragebögen, die unsere Kunden von ihren Kunden erhalten, taucht eine Frage heute fast immer auf: „Wo werden die Daten physisch gespeichert und welchem Recht unterliegt der Anbieter?“. Früher stellten sie vor allem Banken und die öffentliche Verwaltung – heute bekommen sie ein mittelgroßer Großhändler, eine Kanzlei und ein Softwarehaus.

In diesem Artikel nehmen wir das Schlagwort „polnische Cloud“ auseinander: was aus dem Speicherort der Daten wirklich folgt – rechtlich und technisch –, was praktischer Komfort ist und was eine verkürzte Marketingformel. Wir schreiben aus einer interessierten Position, denn WebDisk ist ein polnischer Cloud-Anbieter – umso sorgfältiger trennen wir Fakten von Parolen. Der Text richtet sich an alle, die einen Anbieter auswählen oder auditieren: Firmeninhaber, IT-Administratoren und Datenschutzbeauftragte.

„Daten in Polen“ sind drei Fragen, nicht eine

Das Marketing klebt gern drei verschiedene Ebenen, die bei der Risikoanalyse getrennt werden müssen, zu einem einzigen Schlagwort zusammen:

1. Der physische Standort der Server. Wo die Maschinen stehen, auf denen die Daten liegen – und wo ihre Backups und Repliken liegen. Das ist eine Frage der Geografie: Land, Rechenzentrum, der Weg, den die Pakete zurücklegen.
2. Die Jurisdiktion des Anbieters. Dem Recht welches Staates die Gesellschaft unterliegt, die den Dienst erbringt – denn dieses Recht entscheidet, welche Behörden auf welcher Grundlage Zugriff auf die Daten verlangen können. Ein Server in Europa, der einer Gesellschaft von außerhalb der EU gehört, ist rechtlich eine andere Situation als ein Server in Europa im Besitz einer europäischen Gesellschaft.
3. Die Kette der Subunternehmer. Wer die Daten tatsächlich „anfasst“: wo das Support-Team arbeitet, wohin Logs und Telemetrie fließen, welche Unterauftragnehmer der Anbieter einsetzt. Die DSGVO verlangt, dass der Anbieter diese Kette dem Kunden offenlegt und dessen Zustimmung zu Änderungen einholt – die Liste der Subunternehmer finden Sie im Auftragsverarbeitungsvertrag.

Erst die Antworten auf alle drei Fragen sagen, was „Daten in Polen“ wirklich bedeutet – und genau in dieser Reihenfolge sollten Sie sie jedem Anbieter stellen. Auch uns.

DSGVO: Ein Standort im EWR ist keine Pflicht, sondern eine Vereinfachung

Beginnen wir mit einer Entzauberung: Die DSGVO schreibt nicht vor, Daten in Polen zu speichern. Sie schreibt nicht einmal vor, sie in der Union zu speichern. Die Verordnung sagt etwas anderes: Personenbezogene Daten dürfen den Europäischen Wirtschaftsraum (EWR – die EU-Länder plus Island, Liechtenstein und Norwegen) nur dann verlassen, wenn es dafür eine Rechtsgrundlage gibt – zum Beispiel einen Angemessenheitsbeschluss der Europäischen Kommission für das jeweilige Land oder mit dem Datenempfänger unterzeichnete Standardvertragsklauseln.

In der Praxis bedeutet das: Eine Cloud außerhalb des EWR ist legal, erfordert aber zusätzliche Arbeit – Transfers müssen identifiziert, ein Mechanismus gewählt, das Risiko bewertet und Änderungen in der Rechtsprechung verfolgt werden. Die Geschichte des letzten Jahrzehnts hat gezeigt, dass das schwankender Boden ist – zwei aufeinanderfolgende Rahmenwerke für den Datentransfer in die USA (Safe Harbour und Privacy Shield) wurden vom Gerichtshof der EU für ungültig erklärt, und das aktuelle, das Data Privacy Framework, bleibt zwar in Kraft, ist aber Gegenstand rechtlicher Auseinandersetzungen – seinen Bestand garantiert niemand. Unternehmen, die ihre Dokumentation auf diese Rahmenwerke stützten, mussten sie jedes Mal neu aufbauen.

Im EWR gespeicherte Daten reduzieren dieses Thema auf die Durchsicht der Subunternehmerliste im Auftragsverarbeitungsvertrag – die Transfervorschriften gelten nicht für die Speicherung selbst. Weniger Analysen, kürzere Dokumentation, ein einfacheres Gespräch mit dem Auditor und mit dem Kunden, der den Fragebogen geschickt hat.

Der Ehrlichkeit halber müssen zwei Dinge ergänzt werden. Erstens: Der Standort befreit nicht von den übrigen Pflichten – Auftragsverarbeitungsvertrag (DPA), Verarbeitungsverzeichnis, technische und organisatorische Maßnahmen gelten unabhängig davon, wo der Server steht. Zweitens: Aus Sicht der DSGVO genügt „im EWR“; die Anforderung „konkret in Polen“ stammt eher aus Ausschreibungen, sektoralen Regulierungen und internen Richtlinien als aus der Verordnung selbst.

CLOUD Act: Die Jurisdiktion zählt genauso wie die Geografie

Das zweite Thema, das in jeder Diskussion über Datensouveränität wiederkehrt, ist der amerikanische CLOUD Act von 2018. Das Gesetz erlaubt US-Behörden, Daten von Anbietern unter amerikanischer Jurisdiktion zu verlangen – unabhängig davon, wo diese Daten physisch liegen. Ein Server in Frankfurt oder Warschau ändert daran nichts, wenn der Betreiber dem Recht der Vereinigten Staaten unterliegt.

Ordnen wir das jedoch ohne Panikmache ein. Der CLOUD Act betrifft Anfragen in konkreten Verfahren (vor allem Strafverfahren), die auf rechtlichem Weg gestellt werden – er ist kein Mechanismus für massenhaften Zugriff auf fremde Dateien, und Anbieter können sich solchen Anfragen rechtlich widersetzen. Für viele Unternehmen ist das praktische Risiko gering. Der Kern liegt woanders: in den Anforderungen, die Ihr Unternehmen erfüllen muss. Eine Anwaltskanzlei, eine medizinische Einrichtung oder ein Auftragnehmer öffentlicher Aufträge erhält immer häufiger die ausdrückliche Bedingung, dass die Daten nicht dem Recht von Drittstaaten unterliegen dürfen – und dann schließt allein die Möglichkeit eines solchen Zugriffs, unabhängig von ihrer Wahrscheinlichkeit, den Anbieter von der Shortlist aus.

Ein Anbieter, der eine europäische Gesellschaft ist und nicht der US-Jurisdiktion unterliegt, bleibt außerhalb dieses Regimes – er unterliegt polnischem und EU-Recht. Und hier die symmetrische Ehrlichkeit: Das heißt nicht, dass die Daten „für keinen Staat zugänglich“ werden. Ein polnischer Anbieter hat Pflichten gegenüber polnischen Behörden, die auf Grundlage polnischen Rechts und unter der Kontrolle polnischer Gerichte handeln. Der Unterschied besteht darin, dass Sie wissen, welches Recht gilt – und dass es dasselbe Recht ist, in dem sich Ihr Unternehmen und Ihr Anwalt tagtäglich bewegen.

Warum beeinflusst der Standort des Rechenzentrums die Geschwindigkeit von Anwendungen?

Es gibt auch ein Argument, das keine Regulierung ändern wird, weil es aus der Physik folgt. Ein Signal im Glasfaserkabel bewegt sich grob mit zwei Dritteln der Lichtgeschwindigkeit; man rechnet damit, dass jeweils ~100 km Strecke etwa eine Millisekunde Latenz in beide Richtungen hinzufügen – und Kabeltrassen verlaufen selten in gerader Linie. Dazu tauschen Netzwerkprotokolle viele Nachrichtenrunden aus (Aufbau der verschlüsselten Verbindung, Aushandlung der Sitzung, Bestätigungen), sodass jede Runde die Distanz multipliziert.

Für das nächtliche Backup ist das bedeutungslos. Aber es gibt Workloads, bei denen die Entfernung mit bloßem Auge sichtbar ist: Remote-Desktops und VDI, interaktive Geschäftsanwendungen, Dateisynchronisation, Datenbanken, die von einer Anwendung im Büro abgefragt werden. Ein Rechenzentrum am anderen Ende des Kontinents kann flüssiges Arbeiten in ein frustrierendes „Ruckeln“ der Oberfläche verwandeln.

Wir geben hier bewusst keine Tabelle mit Millisekunden „bei uns“ an, denn das Ergebnis hängt von Ihrem Standort und Ihrem Netzbetreiber ab. Wir ermutigen zu etwas Besserem als Erklärungen: messen Sie. Ein einfacher Lauf von ping und traceroute aus Ihrem Büro zum Endpunkt des Anbieters sagt mehr als jede Marketing-Folie.

Vertrag auf Polnisch, Rechnung in Złoty: Prosa, die den Unterschied macht

Ein Teil der Vorteile eines lokalen Anbieters hat nichts mit Servern zu tun:

• Support in Ihrer Sprache und Zeitzone. Ein Ausfall am Montag um 9:00 Uhr ist nicht der Moment, das Problem im Formular eines globalen Helpdesks ins Englische zu übersetzen. Das Gespräch mit einem Ingenieur, der in derselben Zeitzone arbeitet und die Realität polnischer Unternehmen kennt, verkürzt den Weg von der Meldung zur Lösung.
• Abrechnung in Złoty. Eine Preisliste in PLN und eine gewöhnliche polnische Mehrwertsteuerrechnung bedeuten kein Wechselkursrisiko, keine Umrechnungsgebühren und Buchhaltung ohne Akrobatik. In Clouds, die in Dollar abgerechnet werden, können die Kosten ohne jede Änderung des Verbrauchs steigen – allein durch den Wechselkurs. Mehr über die Vorhersehbarkeit der Kosten schreiben wir im Artikel über den vernünftigen Preis der Public Cloud.
• Dokumente, die für die polnische Rechtsordnung geschrieben sind. Auftragsverarbeitungsvertrag, Kontakt in Datenschutzfragen, DSGVO-Dokumentation – auf Polnisch und für polnische und EU-Verhältnisse, nicht aus einer Vorlage einer anderen Jurisdiktion übersetzt.

Das sind prosaische Argumente – und gerade deshalb wichtige: Mit der Rechnung und dem Vertrag arbeiten Sie jeden Monat, mit den Fragen des Auditors jedes Jahr und mit einem schweren Ausfall (hoffentlich) einmal in mehreren Jahren.

Was garantiert der Speicherort der Daten NICHT?

Wären „Daten in Polen“ eine Sicherheitsgarantie, wäre dieser Artikel kürzer. Sie sind es nicht – und das sollte man offen sagen:

• Er ersetzt weder Verschlüsselung noch Zugriffskontrolle. Ein Datenleck durch ein gestohlenes Passwort oder falsch vergebene Berechtigungen funktioniert in Warschau genauso wie in Frankfurt. Wie die serverseitige Verschlüsselung in unserem Object Storage funktioniert, beschreiben wir im Artikel über die Verschlüsselung in S3.
• Er ersetzt keine Backups. Ransomware, menschliches Versagen und Hardwareausfälle prüfen nicht die Adresse des Rechenzentrums. Die 3-2-1-Regel und regelmäßige Wiederherstellungstests gelten bei jedem Anbieter – mehr dazu im Text über das Backup in der Cloud.
• Er garantiert keine operative Qualität. Ein polnischer Anbieter kann hervorragend oder schwach arbeiten – genauso wie ein globaler. Bewerten Sie die Praxis: die Transparenz des Dienststatus, die Kommunikation bei Störungen, die Qualität der Dokumentation, den realen Kontakt zu Ingenieuren.
• Er ist nicht immer die einzig richtige Antwort. Wenn Ihre Anwendung Nutzer auf drei Kontinenten bedient oder auf spezialisierten Managed Services eines bestimmten globalen Anbieters aufbaut, kann die globale Cloud die bessere Wahl sein – und eine hybride Architektur erlaubt es, das eine mit dem anderen zu verbinden.

Standort und Jurisdiktion ordnen das rechtliche Risiko und verkürzen den Weg der Pakete. Der gesamte Rest an Sicherheit und Qualität ist Arbeit, die unabhängig von der Geografie zu leisten ist.

Wie das bei WebDisk aussieht

Zum Schluss unsere eigene Antwort – entlang der drei Fragen vom Anfang des Artikels:

• Geografie. Die Infrastruktur, auf der wir unsere Dienste erbringen, befindet sich auf dem Territorium Polens – so erklärt es unsere Datenschutzerklärung. Die Daten, die Sie in unseren Diensten speichern, bleiben in Europa. Die Ausnahmen – Analyse- und Abrechnungsdaten, die von Anbietern außerhalb des EWR auf Grundlage von Standardvertragsklauseln verarbeitet werden – beschreibt dasselbe Dokument.
• Jurisdiktion. Wir sind eine polnische Gesellschaft und unterliegen polnischem und EU-Recht. Den Kontakt in Datenschutzfragen (iod@webdisk.io) finden Sie in der Datenschutzerklärung, und den Auftragsverarbeitungsvertrag (DPA) – samt der Liste der Subunternehmer – stellen wir Kunden auf Wunsch zur Verfügung.
• Kette und Ausstieg. Unsere Plattform bauen wir auf offenen Technologien auf – Apache CloudStack, Ceph und einem S3-kompatiblen Object Storage – und Kubernetes-Cluster starten Sie bei uns als Service. Was Sie bei uns aufsetzen, übertragen Sie mit Standardwerkzeugen, ohne proprietäre Formate. Warum das wichtig ist, erklären wir im Artikel über Vendor Lock-in.

Dazu kommt die oben beschriebene Prosa des Alltags: eine öffentliche Preisliste in Złoty, ein Geschäftsmodell mit monatlicher Rechnung für den gebuchten Ressourcenpool – ohne Überraschungen auf der Rechnung und bei den Compute-Diensten ohne separate Transfergebühren – und Support auf Polnisch.

Häufige Fragen

Verlangt die DSGVO, dass Daten in Polen gespeichert werden? Nein. Die DSGVO verlangt, dass personenbezogene Daten den EWR nicht ohne Rechtsgrundlage verlassen – und Polen ist eines der EWR-Länder, genauso wie Deutschland oder die Niederlande. Die Anforderung „konkret in Polen“ stammt in der Regel aus Ausschreibungen, internen Richtlinien oder sektoralen Regulierungen, nicht aus der Verordnung selbst.

Verstößt die Nutzung der Cloud eines Anbieters von außerhalb der EU gegen die DSGVO? Nicht automatisch. Sie erfordert einen korrekt dokumentierten Transfermechanismus und eine Risikobewertung – also zusätzliche Arbeit und Sensibilität für Rechtsänderungen. Im EWR bei einem europäischen Anbieter gespeicherte Daten reduzieren diese Arbeit auf ein Minimum – sofern die Subunternehmerliste nicht auf Drittstaaten verweist.

Was ist der CLOUD Act und betrifft er in Europa gespeicherte Daten? Der CLOUD Act ist ein amerikanisches Gesetz von 2018, das US-Behörden erlaubt, Daten von Anbietern zu verlangen, die der amerikanischen Jurisdiktion unterliegen – unabhängig davon, wo diese Daten physisch liegen. Ein Server in Warschau oder Frankfurt ändert daran nichts, wenn der Betreiber dem Recht der Vereinigten Staaten unterliegt. Er betrifft Anfragen in konkreten Verfahren, keinen massenhaften Zugriff auf Dateien – aber wenn Ihre Verträge verlangen, dass Daten nicht dem Recht von Drittstaaten unterliegen, schließt allein die Möglichkeit eines solchen Zugriffs den Anbieter von der Shortlist aus.

Liegt die polnische Cloud technologisch nicht hinter der globalen zurück? In der Basis – Rechenleistung, S3 Object Storage, Kubernetes, Backups – gibt es keinen Unterschied: Es sind dieselben offenen Standards. Globale Anbieter haben allerdings einen breiteren Katalog spezialisierter Managed Services; wenn Ihre Architektur darauf aufbaut, berücksichtigen Sie das in der Rechnung – auch in der Rechnung der Anbieterabhängigkeit.

Hat die Entfernung des Rechenzentrums Einfluss auf die Geschwindigkeit von Anwendungen? Ja. Jeweils ~100 km Glasfaserstrecke fügen etwa eine Millisekunde Latenz in beide Richtungen hinzu, und Netzwerkprotokolle tauschen viele Nachrichtenrunden aus, sodass jede Runde die Distanz multipliziert. Für das nächtliche Backup spielt das keine Rolle, aber bei Remote-Desktops, interaktiven Geschäftsanwendungen und der Dateisynchronisation ist die Entfernung mit bloßem Auge sichtbar. Statt sich auf Erklärungen zu verlassen, messen Sie die Latenz mit einem einfachen ping und traceroute aus dem eigenen Büro.

Woher weiß ich, dass der Anbieter über den Speicherort der Daten die Wahrheit sagt? Fragen Sie nach Dokumenten, nicht nach Parolen: nach dem Auftragsverarbeitungsvertrag mit der Subunternehmerliste, den Verarbeitungsstandorten (einschließlich der Backups), dem Kontakt zum Datenschutzbeauftragten oder zur für diesen Bereich verantwortlichen Person. Ein Anbieter, der das Thema ernst nimmt, antwortet mit Konkretem.

Ich habe bereits eine Umgebung bei einem anderen Anbieter oder auf eigenem VMware. Lässt sie sich migrieren? Ja – die Migration virtueller Maschinen in eine auf offenen Technologien basierende Cloud ist ein gut beschriebener, standardisierter Prozess. Womit Sie anfangen sollten, beschreiben wir im Artikel über die Migration von VMware.

Zusammenfassung

„Daten in Polen“ sind kein Slogan und kein Talisman, sondern drei konkrete Eigenschaften eines Dienstes: Geografie, Jurisdiktion und die Kette der Subunternehmer. Sie bringen einfachere DSGVO-Konformität, rechtliche Vorhersehbarkeit und einen kürzeren Weg der Pakete – sie befreien nicht von Verschlüsselung, Backup und der Bewertung des Anbieters nach seiner täglichen Praxis. Behandeln Sie den Standort als eine der wichtigen Zeilen in der Vergleichstabelle, nicht als die ganze Tabelle.

Wenn Sie prüfen möchten, wie unsere Antworten auf diese drei Fragen im Detail aussehen – oder Argumente für das Gespräch mit einem Auditor oder Kunden brauchen – schreiben Sie uns. Die öffentliche Preisliste und die Beschreibung der Dienste finden Sie auf webdisk.pl.