Warum Ihre HR-Daten nichts auf US-Servern zu suchen haben

Wenn Sie sich für eine HR-Plattform anmelden, übergeben Sie einige der sensibelsten Daten Ihres Unternehmens: Gehälter, Gesundheitsdaten, Disziplinarakten, Bankverbindungen. Es spielt eine entscheidende Rolle, wo diese Daten gespeichert sind – und „Wir sind DSGVO-konform" auf der Website eines Anbieters ist nicht dasselbe wie ein tatsächlicher Schutz Ihrer Daten nach EU-Recht.

Warum die Frage nach dem Serverstandort ernster ist als ein Häkchen auf einem Compliance-Formular, erklärt dieser Beitrag.

Was Schrems II wirklich verändert hat

Im Juli 2020 kippte der Europäische Gerichtshof mit dem Schrems-II-Urteil das EU-US-Datenschutzschild (Privacy Shield). Dieses Abkommen hatte es bislang rechtlich unkompliziert gemacht, personenbezogene Daten aus der EU in die USA zu übermitteln.

Das Gericht stellte fest, dass das US-Überwachungsrecht – konkret Section 702 des Foreign Intelligence Surveillance Act (FISA) und Executive Order 12333 – US-Geheimdiensten Zugang zu Daten verschafft, der mit den EU-Grundrechten unvereinbar ist. Der Privacy Shield bot keinen wirksamen Schutz.

Ein Nachfolgerahmen, das EU-US-Datenschutzabkommen (Data Privacy Framework), wurde 2023 verabschiedet. Es wird derzeit von Max Schrems und noyb rechtlich angefochten. Da Schrems II den Privacy Shield im Wesentlichen aus denselben Gründen für ungültig erklärt hat, wäre es keine Überraschung, wenn eine erneute Anfechtung erfolgreich ist.

Wird das EU-US-Datenschutzabkommen für ungültig erklärt, müssen Unternehmen, die sich darauf stützen, erneut schnell reagieren. Das ist kein theoretisches Risiko.

Das Problem mit dem CLOUD Act

Selbst wenn ein US-amerikanisches Unternehmen Ihre Daten in einem Rechenzentrum innerhalb der EU speichert, sind diese möglicherweise nicht geschützt.

Der US CLOUD Act (2018) erlaubt es US-amerikanischen Strafverfolgungsbehörden, von US-Unternehmen Daten zu verlangen – unabhängig davon, wo diese Daten gespeichert sind. Ein US-Unternehmen, das einen Server in Frankfurt betreibt, kann dennoch verpflichtet werden, Daten an US-Behörden herauszugeben: ohne richterliche Anordnung eines EU-Gerichts und unter bestimmten Umständen sogar ohne Benachrichtigung der betroffenen Person.

Darin liegt der grundlegende Widerspruch. Sie können ein Rechenzentrum in Deutschland nutzen und trotzdem dem Zugriff des US-amerikanischen Rechts ausgesetzt sein, wenn das kontrollierende Unternehmen seinen Sitz in den USA hat. Die DSGVO untersagt die Übermittlung von Daten an Behörden in Drittländern, sofern keine spezifischen DSGVO-Voraussetzungen erfüllt sind. Der CLOUD Act schafft Situationen, in denen US-Unternehmen möglicherweise gesetzlich verpflichtet sind, gegen die DSGVO zu verstoßen.

Einige große Anbieter argumentieren, dass sie solche Anfragen anfechten würden und dass Verschlüsselung Schutz biete. Das ist in manchen Fällen ein nachvollziehbares Argument – aber es ist eine rechtliche und technische Wette, keine Garantie.

Warum Standardvertragsklauseln keine vollständige Lösung sind

Standardvertragsklauseln (SVK) sind Verträge zwischen einem Datenexporteur in der EU und einem Datenimporteur außerhalb der EU, die einen der DSGVO entsprechenden Schutz gewährleisten sollen. Sie sind nach Schrems II der gängigste Mechanismus zur Legitimierung von Datenübermittlungen aus der EU in die USA.

Das Problem: Schrems II hat nicht nur den Privacy Shield für ungültig erklärt. Das Gericht stellte auch klar, dass SVK allein nicht ausreichen, wenn das Rechtssystem des Ziellandes keinen angemessenen Schutz bietet. Das US-Überwachungsrecht ist das Problem. SVK können FISA Section 702 nicht außer Kraft setzen.

Das bedeutet: Bei Übermittlungen in die USA brauchen Sie SVK plus eine Datentransfer-Folgenabschätzung (Transfer Impact Assessment, TIA) – also eine Analyse, ob die Rechtsvorschriften des Ziellandes die Wirksamkeit der SVK tatsächlich gewährleisten. Für die meisten Datenübermittlungen an US-amerikanische HR-Plattformen wäre eine belastbare TIA kaum positiv zu bescheiden.

In der Praxis haben EU-Datenschutzbehörden begonnen, Bußgelder für Übermittlungen in die USA zu verhängen, die sich ausschließlich auf SVK ohne ordnungsgemäße TIA stützen. Die österreichische, französische, italienische und griechische Datenschutzbehörde haben allesamt festgestellt, dass Datenübermittlungen an Google Analytics (mit Sitz in den USA) gegen die DSGVO verstoßen – eben weil SVK angesichts des US-Überwachungsrechts keinen angemessenen Schutz boten.

Dieselbe Logik gilt für HR-Plattformen.

Was „EU-gehostet" wirklich bedeutet

„EU-gehostet" bedeutet mehr als ein Server in Europa. Um das CLOUD-Act-Risiko tatsächlich auszuschließen, brauchen Sie:

Ein in der EU ansässiges Unternehmen: Das kontrollierende Unternehmen sollte nach EU-Recht gegründet sein und unter EU-Recht operieren – nicht eine US-Muttergesellschaft mit einer europäischen Tochtergesellschaft.

Kein Zugriff durch eine US-Muttergesellschaft: Kann eine US-Muttergesellschaft auf Daten einer europäischen Tochtergesellschaft zugreifen, diese verwalten oder dazu verpflichtet werden, sie herauszugeben, verschwindet das CLOUD-Act-Risiko nicht.

Cloud-Infrastruktur unter EU-Jurisdiktion: Daten, die bei Hetzner Cloud (Deutschland), OVHcloud (Frankreich) oder IONOS (Deutschland/EU) gespeichert sind, liegen auf Infrastruktur, die von EU-Unternehmen nach EU-Recht kontrolliert wird. Daten in AWS eu-west-1 (Irland) liegen dagegen auf US-kontrollierter Infrastruktur, die dem CLOUD Act unterliegt.

Unterauftragsverarbeiter: Prüfen Sie, ob auch die Unterauftragsverarbeiter des Anbieters in der EU ansässig sind. Ein in der EU gegründetes HR-Unternehmen, das E-Mail-Benachrichtigungen über SendGrid (USA) versendet, übermittelt Ihre Daten damit teilweise außerhalb der EU.

PersoHR ist in der EU gegründet, betreibt seine Infrastruktur auf Hetzner Cloud in Deutschland und wählt gezielt EU-basierte Unterauftragsverarbeiter aus. Diese Entscheidung war bewusst: Wir versuchen nicht, DSGVO-Konformität nachträglich in ein US-zentriertes Produkt einzubauen.

Das praktische Risiko für Arbeitgeber

Wenn Sie als Arbeitgeber in der EU Mitarbeiterdaten auf einer US-amerikanischen Plattform speichern:

1. Sie sind der Verantwortliche. Nach der DSGVO liegt die Verantwortung für eine rechtmäßige Datenverarbeitung bei Ihnen – nicht allein beim Anbieter. Wenn die Datenübermittlungen des Anbieters rechtswidrig sind, haben Sie ein Compliance-Problem, nicht nur er.
2. Ihre Mitarbeitenden haben Rechte, die Sie wahren müssen. Fragt eine Mitarbeiterin oder ein Mitarbeiter, wo ihre bzw. seine Daten gespeichert sind und mit wem sie geteilt werden, benötigen Sie eine präzise Antwort. „Wir nutzen Workday" ist keine vollständige Auskunft.
3. Datenschutzbehörden könnten anklopfen. EU-Datenschutzbehörden gehen zunehmend proaktiv gegen rechtswidrige Datenübermittlungen in die USA vor. Die Beschwerde einer einzigen Mitarbeiterin oder eines einzigen Mitarbeiters kann eine umfassende Untersuchung auslösen.
4. Vendor-Lock-in erschwert den Wechsel. Je länger Ihre Mitarbeiterdaten in einem US-amerikanischen System gespeichert sind, desto aufwendiger wird eine Migration – sei es aufgrund einer veränderten Rechtslage oder weil das Data Privacy Framework erneut gekippt wird.

Alternativen

Es gibt echte EU-native HR-Plattformen auf dem Markt. Das Angebot hat sich seit Schrems II deutlich erweitert, da der Bedarf klar erkennbar war.

Bei der Bewertung von Alternativen sollten Sie Anbieter konkret fragen:

• In welchem Land ist Ihr Unternehmen gegründet?
• Welche Rechenzentren nutzen Sie, und wem gehören sie?
• Nennen Sie uns Ihre Unterauftragsverarbeiter und deren Gründungsländer.
• Hat ein Anwalt Ihre Datentransfer-Folgenabschätzungen für US-amerikanische Unterauftragsverarbeiter geprüft?
• Was würde mit meinen Daten passieren, wenn das EU-US-Datenschutzabkommen morgen für ungültig erklärt würde?

Ein Anbieter, der diese Fragen klar und konkret beantworten kann, ist es wert, ernst genommen zu werden. Wer mit vagen Aussagen über „DSGVO-Konformität" und „EU-Server" antwortet, hat sich wahrscheinlich noch nicht ernsthaft damit auseinandergesetzt.

Die Frage nach dem Serverstandort ist keine Paranoia. Sie ist ein echtes rechtliches und operatives Risiko für Arbeitgeber in der EU. Die Daten, die Ihre Mitarbeitenden Ihnen anvertrauen, verdienen eine Infrastruktur, die tatsächlich unter EU-Jurisdiktion steht.