Cloud oder eigener Server nach KVKK: wo liegen die Daten

Datenlokalisierung bedeutet, dass Daten innerhalb der Grenzen eines bestimmten Landes gehalten werden. Der Schwerpunkt der KVKK liegt woanders: auf welcher Grundlage Daten verarbeitet werden, ob die Person informiert wurde, wie die Daten geschützt werden und an wen sie übermittelt werden. Stehen die Server des Cloud-Anbieters im Ausland, können die Daten als in dieses Land übermittelt gelten, und diese Übermittlung unterliegt eigenen Bedingungen des Gesetzes. Mit der 2024 in Kraft getretenen Gesetzesänderung ging die Übermittlung ins Ausland in eine Stufenordnung über: zuerst ein Angemessenheitsbeschluss der Datenschutzbehörde, fehlt dieser, geeignete Garantien wie Standardverträge oder verbindliche interne Datenschutzvorschriften, fehlen auch diese, eng begrenzte Einzelfälle; eine ausdrückliche Einwilligung kann jetzt nur noch auf dieser letzten Stufe als Grundlage dienen.

Beispielszenario: Stellen Sie sich einen Möbelhersteller in Kayseri vor. Er gehört zu keiner besonders regulierten Branche wie Bank- oder Zahlungsdiensten. Für ihn lautet die eigentliche Frage nicht „Cloud oder eigener Server“, sondern „Wo steht der Server des Anbieters, und wer kann die Daten sehen?“. In manchen Branchen können gesonderte Vorschriften verlangen, dass Daten im Inland gespeichert werden; prüfen Sie die Regeln Ihrer Branche gesondert.

Datenlokalisierung ist deshalb für sich allein kein Entscheidungskriterium. Daten auf einem Server in der Türkei, auf die jeder zugreifen kann, können ein größeres Risiko tragen als gut geschützte Daten. Der Standort ist nur ein Teil des Schutzes.

Wer Daten in die Cloud verlagert, gibt die Verantwortung nicht an den Anbieter ab. Lädt die Leitung der Buchhaltung die Lohnabrechnung in eine HR-Software in der Cloud, bleibt die Lohnabrechnung in der Verantwortung des Unternehmens. Kommt es zu einem Datenleck, fragen die Beschäftigten zuerst den Arbeitgeber.

Das Gesetz macht den Verantwortlichen gemeinsam mit der Stelle, die die Daten in seinem Auftrag verarbeitet, für die Sicherheitsmaßnahmen verantwortlich; um die Grenze dieser gemeinsamen Verantwortung zu ziehen, wird ein schriftlicher Vertrag mit dem Auftragsverarbeiter empfohlen. Der Vertrag legt fest, zu welchem Zweck und mit welchen Sicherheitsmaßnahmen der Anbieter die Daten verarbeitet und was mit den Daten nach Vertragsende geschieht. Ohne Vertrag bleibt auch unklar, wo die Verantwortung beginnt und endet.

Wie die Daten zurückkommen, wenn Sie den Anbieter wechseln wollen, gehört ebenfalls in diesen Vertrag; sonst bleiben die Daten womöglich bei einem Anbieter, dessen Vertrag ausgelaufen ist.

Fragen Sie auch, ob die Cloud-Software weitere Unterauftragsverarbeiter nutzt. Die Anwendung kann bei einer Firma liegen, das Backup bei einer anderen, der E-Mail-Versand bei einer dritten; jede Station, die die Daten passieren, sollte im Vertrag sichtbar sein.

Das Gesetz erwartet vom Verantwortlichen technische und organisatorische Maßnahmen, um ein angemessenes Sicherheitsniveau zu gewährleisten. Auf Ihrem eigenen Server liegen all diese Maßnahmen bei Ihnen: wer welchen Datensatz sieht, ob Zugriffe protokolliert werden, wohin die Sicherung geht und wann Patches eingespielt werden.

Beispielszenario: Stellen Sie sich das Büro eines Bauunternehmens vor. Der Server steht in einem Schrank unter der Treppe, das Backup auf einer externen Festplatte im selben Schrank. Alle sehen die Personalakten, weil nie Berechtigungen festgelegt wurden. Die Daten verlassen das Land nicht, aber geschützt sind sie deshalb nicht.

Der eigentliche Vorteil des eigenen Servers ist sichtbare Kontrolle: Sie sehen direkt, wer sich am Server anmeldet und wo die Sicherung liegt. Dieser Vorteil wirkt nur, wenn die Maßnahmen aufgeschrieben und regelmäßig geprüft werden. Deshalb schreibt ein Unternehmen, das auf den eigenen Server wechselt, zuerst die Berechtigungstabelle: welche Rolle welchen Datensatz sieht, wer exportieren und wer löschen darf.

• In welchem Land und auf wessen Infrastruktur liegen Datenbank und Dateien?
• Liegen die Daten im Ausland: Auf welcher Grundlage beruht die Übermittlung, zum Beispiel auf einem Standardvertrag?
• Wohin geht die Sicherung, ist sie verschlüsselt, und wurde eine Wiederherstellung getestet?
• In welchen Fällen dürfen Mitarbeiter des Anbieters auf die Daten zugreifen, und wird dieser Zugriff protokolliert?
• Liegen Auftragsverarbeitungsvertrag und Datenschutzhinweis bei der Einrichtung bereit?
• In welchem Format und wie werden die Daten übergeben, wenn der Vertrag endet?
• Wie und wann werden Sie bei einer Datenschutzverletzung informiert?

Die letzte Frage wirkt nebensächlich, ist es aber nicht. Das Gesetz verpflichtet den Verantwortlichen, bei einer Datenpanne die Datenschutzbehörde (Kişisel Verileri Koruma Kurulu) und die betroffenen Personen zu benachrichtigen. Informiert Sie der Anbieter spät, können Sie diese Pflicht nicht rechtzeitig erfüllen; wie Sie benachrichtigt werden, sollte deshalb im Vertrag stehen. Stellen Sie diese Fragen in der Kaufphase, nicht nach der Vertragsunterzeichnung. Verlangen Sie die Antworten schriftlich; eine mündliche Zusicherung ist kein Dokument, das Sie bei einer Prüfung oder auf eine Anfrage hin vorlegen können.

Informieren heißt, der Person zu erklären, welche Daten zu welchem Zweck verarbeitet werden und an wen sie übermittelt werden können. Eine ausdrückliche Einwilligung ist nicht für jede Verarbeitung nötig; greift eine andere gesetzliche Grundlage, kann sie entbehrlich sein. Auch die Pflicht zur Eintragung in das Register der Verantwortlichen (VERBİS) hängt von der Lage des Unternehmens ab, nicht vom Speicherort der Daten, und es gibt Ausnahmen.

Fragt ein Kunde, welche seiner Daten für eine alte Aktion gespeichert wurden, und müssen für die Antwort mehrere getrennte Systeme durchsucht werden, liegt das Problem weniger im Hosting als in der Zerstreuung. Stehen die Daten in einem Datensatz, wird auch die Anfrage an einer Stelle beantwortet. Mit welcher Aufgabe das Aufräumen beginnt, ist Thema des Beitrags Digitalisierung in KMU.

Was eine betroffene Person bei ihrer Anfrage wissen will, ist oft einfach: welche meiner Daten gespeichert werden, warum und mit wem sie geteilt wurden. In verstreuten Systemen kann die Antwort darauf zu einer tagelangen Suche werden.

In Corex360 werden Anmeldung, Gerät, Download und Rechteänderung protokolliert; der Zugriff ist rollenbasiert. Personenbezogene Daten werden im Rahmen des KVKK verarbeitet. Alle diese Fakten stehen auf der Seite Corex360 Sicherheit und KVKK.

Der Zugriff ist rollenbasiert; Lohn- und personenbezogene Daten sehen nur diejenigen, deren Rolle es erlaubt. Auf die Liste der Fragen an den Anbieter gehören auch Exportformate und die Übergabe der Daten bei Vertragsende. Verlangt Ihre Unternehmensrichtlinie, die Daten in Ihrer eigenen Infrastruktur zu halten, stehen die Einzelheiten auf der Seite Auf Ihrem eigenen Server betreiben. Bringen Sie die Fragen, wo die Daten liegen, wer darauf zugreifen kann und wie sie übergeben werden, zur Demo mit; die Antworten für Ihre Lage schreiben wir gemeinsam auf.

Stellen Sie diese Fragen sowohl für Corex360 Cloud als auch für die Option mit eigenem Server; in beiden Fällen sollten die Antworten schriftlich vorliegen.