Bahnbrechendes OLG-Urteil: Behörden dürfen US-Cloud-Anbietern Vertrauen schenken

Ein Urteil des OLG Karlsruhe erlaubt es deutschen Behörden, Tochtergesellschaften von US-Cloudanbietern zu beauftragen, wenn diese eine Datenverarbeitung in Deutschland zusichern.

Kürzlich berichteten wir auf diesem Portal, wie hessische Hochschulen Videokonferenzen datenschutzkonform gestalten wollen – das heißt: im Sinne des Schrems-II-Urteils, das den Datentransfer zu Dienstleistern in Amerika untersagt. Dieses „hessische Modell“ ist ein technologisch und organisatorisch anspruchsvoller Kompromiss. Nun ist das Oberlandesgericht (OLG) Karlsruhe noch einen bedeutsamen Schritt weitergegangen.

Die Vergabekammer legt einen Riegel vor

Eine Entscheidung der Vergabekammer Baden-Württemberg, die für öffentliche Aufträge des Bundeslandes zuständig ist, hatte den Stein ins Rollen gebracht. Zwei kommunalen Krankenhausgesellschaften wurde die Zusammenarbeit mit einem US-Cloud-Dienst wegen Datenschutzbedenken verwehrt. Die Krankenhäuser würden sich sonst dem Risiko aussetzen, dass persönliche Daten aus Deutschland in die Hände von amerikanischen Behörden gelangen könnten. In der Konsequenz wären damit in Zukunft alle Verbindungen von öffentlichen Auftraggebern, wie Verwaltungsbehörden, Krankenhäusern oder Schulen, gekappt worden. Ob Microsoft, Google oder Amazon Web Services – keine öffentliche Einrichtung in Deutschland könnte dann eines dieser und weiterer transatlantischer Dienste noch nutzen. Genau damit beschäftigte sich das OLG – und hat jetzt das Basta der süddeutschen Vergabekammer kassiert.

Das OLG sieht keinen grundsätzlichen Verdacht

Die Richter des OLG taten etwas, was die Frankfurter Allgemeine Zeitung eine „Einhegung des Datenschutzes“ nennt. Ihr Urteil (Az.: 15 Verg 8/22) gestattet öffentlichen Auftraggebern, sich auf bindende Zusagen von Cloud-Anbietern zu verlassen, wenn diese zusichern könnten, personenbezogene Daten ausschließlich in Deutschland zu verarbeiten und nicht in ein Drittland zu transferieren. Man müsse im Grundsatz davon ausgehen, dass Bieter ihre vertraglichen Zusagen erfüllen werden. Nur bei konkret begründetem Zweifel sollten öffentliche Auftraggeber den Fall prüfen und weitere Informationen einholen. Bundesbehörden und -institutionen haben nach diesem wegweisenden Urteil nach einhelligem Bekunden aufgeatmet. Aber auch Datenschützer waren mit der OLG-Entscheidung zufrieden.

Nachdem der Europäische Gerichtshof (EuGH) mit Schrems II US-Anbietern in der Europäischen Union die Daumenschrauben angezogen hatte, boten diese in Reaktion darauf ihre Leistungen nun über Tochtergesellschaften an, die ihren Sitz in EU-Ländern haben. Dort – und nicht in den USA – stehen auch die Server, auf denen schützenswerte Daten gespeichert werden. Der baden-württembergischen Vergabekammer war aber auch das ein Dorn im Auge. Sie sah ein „latentes Risiko“, das sich „jederzeit realisieren“ könne. Nicht ein klar nachgewiesener Verstoß gegen den europäischen Datenschutz, sondern dessen bloße, aber unbegründete Möglichkeit stand im Raum.

Keine Umkehr der Beweislast

Allein in der Schullandschaft führten solche Verdächtigungen zu mannigfaltigen Verwerfungen. Webportale von Bildungseinrichtungen berichten, wie Schulleitungen aufgefordert worden waren zu beweisen, dass die von ihnen genutzten Microsoft-Dienste nicht vom Mutterkonzern missbräuchlich verwendet werden könnten. Dieser Konjunktiv, so wurde von der Lehrerschaft moniert, galt und gelte für kein anderes digitales Produkt. Ein Bericht spricht sogar von einer behördlichen „Kommunikation wie bei der Mafia“. Dieser Entzweiung hat das maßvolle und praxisorientierte OLG-Urteil nun ein Ende gemacht. Viele Datenschützer begrüßten es vor allem deshalb, weil sie selbst lieber ein konstruktiv-pragmatisches Herangehen an die von Schrems II aufgeworfene Datenschutz-Barriere fordern.