Das niederländische Google-Cloud-DPIA und die Falle „EU-Region“: Ein Leitfaden für Cloud-Souveränität, DSGVO und NIS-2
Posted inIT Audit / Compliance / Security

Das niederländische Google-Cloud-DPIA und die Falle „EU-Region“: Ein Leitfaden für Cloud-Souveränität, DSGVO und NIS-2

Der Einsatz globaler Hyperscaler wie Google Cloud, Microsoft Azure oder Amazon Web Services (AWS) gehört in modernen Unternehmen und öffentlichen Verwaltungen längst zum Standard[1][2]. Doch während die Migration in die Cloud agile Arbeitsweisen und Kostenoptimierungen verspricht[3][4], stehen Verantwortliche vor einem juristischen und technischen Minenfeld[5][6].

Im Juli 2026 sorgte eine Grundsatzentscheidung aus den Niederlanden für Aufsehen: Das niederländische Justizministerium (über die Beschaffungsstelle SLM Rijk) gab die Nutzung von Google Cloud im öffentlichen Sektor unter Auflagen offiziell frei[7]. Grundlage hierfür war eine umfassende Datenschutz-Folgenabschätzung (DPIA) der unabhängigen Beratung Privacy Company[7].

Gleichzeitig schlagen Rechnungshöfe und Sicherheitsexperten Alarm: Die weit verbreitete Annahme, dass die Auswahl einer „EU-Region“ (z. B. Rechenzentrum Frankfurt oder Amsterdam) automatisch DSGVO-Konformität garantiert und vor US-Behördenzugriffen schützt, erweist sich in der Praxis oft als gefährliche Täuschung[5].

Dieser Fachbeitrag analysiert die Kernergebnisse des niederländischen DPIA, beleuchtet die extraterritorialen Gefahren des US CLOUD Acts sowie aktuelle Entwicklungen rund um das EU-US Data Privacy Framework und liefert konkrete Handlungsempfehlungen sowie Checklisten für Führungskräfte.

1. Die Meilenstein-Studie: Das niederländische DPIA zur Google Cloud

Das vom niederländischen Justizministerium beauftragte DPIA untersuchte vier zentrale Kerndienste der Google Cloud Platform (GCP): Compute Engine, Cloud SQL, Cloud Storage und BigQuery[10][11].

Das Ergebnis: Grünes Licht – aber nur mit strengen Auflagen

Das DPIA kam zu dem Ergebnis, dass bei korrekter Implementierung aller empfohlenen technischen und organisatorischen Maßnahmen (TOMs) keine bekannten hohen Datenschutzrisiken für die Verwaltung verbleiben[8]. Dies ermöglichte es der niederländischen Regierung, den Weg für eine datenschutzkonforme Nutzung freizumachen[8][9].

+-----------------------------------------------------------------------+
|              Ergebnisse des niederländischen GCP-DPIA                 |
+-----------------------------------------------------------------------+
|  Geprüfte Dienste: Compute Engine | Cloud SQL | Cloud Storage | BigQuery |
+-----------------------------------------------------------------------+
|  STATUS: KEINE HOHEN RESTRISIKEN MEHR (bei voller TOM-Umsetzung)       |
+-----------------------------------------------------------------------+
|  Verbleibende mittlere / niedrige Risiken:                             |
|  - Kontrollverlust bei Diagnosedaten & Telemetrie                     |
|  - Eigenverantwortliche Rolle von Google bei Service- & Account-Daten |
|  - Unverfügbarkeit durch extraterritoriale US-Maßnahmen / Politik     |
|  - Datenflüsse über Konsolen-Websites und Support-Schnittstellen      |
+-----------------------------------------------------------------------+

Die verbleibenden Schwachstellen und Transparenzlücken

Obwohl die hohen Risiken durch Nachverhandlungen entschärft werden konnten[15][16], identifiziert das DPIA elf verbleibende niedrige bis mittlere Risiken[11][17]:

  1. Kontrollverlust bei Telemetrie- und Diagnosedaten: Diagnosedaten werden an Google übermittelt, wobei deren genauer Inhalt und die Speicherdauer nur eingeschränkt kontrollierbar sind[17][18].
  2. Google als eigener Verantwortlicher: Google agiert bei Account-Daten außerhalb der spezifischen Cloud-Nutzung sowie bei Konsolen-Websitedaten (console.cloud.google.com) als eigener datenschutzrechtlicher Verantwortlicher (Data Controller) und nicht als reiner Auftragsverarbeiter[19][20].
  3. Risiko plötzlicher Unverfügbarkeit: Das DPIA warnt explizit davor, dass politische Maßnahmen oder Sanktionen der USA Google dazu zwingen könnten, Dienste in Europa schlagartig einzustellen[21]. Behörden und Unternehmen wird dringend geraten, kritische Backups außerhalb der GCP-Infrastruktur bereitzuhalten[21][22].

2. Die Falle „EU-Region“: Warum der Standort nicht vor dem US CLOUD Act schützt

Viele IT-Verantwortliche wiegen sich in Sicherheit, wenn sie Verträge mit der Klausel „Datenhaltung ausschließlich in der EU“ unterzeichnen[5][12]. Dieser technische Standortvorteil schützt jedoch nicht vor der US-amerikanischen Gesetzgebung[13][23].

         +-------------------------------------------------------------+
         |            DIE FALLE "JURISDICTION-BY-OWNERSHIP"           |
         +-------------------------------------------------------------+
         | US CLOUD Act greift nicht nach dem Ort der Server,          |
         | sondern nach der Rechtsform und Kontrolle des Mutterkonzerns.|
         +-------------------------------------------------------------+
                                       |
                   +-------------------+-------------------+
                   |                                       |
                   v                                       v
      +-------------------------+             +-------------------------+
      |  Daten in EU-Datencenter|             |  US-Muttergesellschaft  |
      | (z.B. Frankfurt / NL)   |             | (Alphabet, MSFT, AWS)   |
      +-------------------------+             +-------------------------+
                   |                                       |
                   | <--- Befehl zur Herausgabe --------- |
                   |      gemäß US-Gerichtsbeschluss       |
                   v                                       v
      +-----------------------------------------------------------------+
      | KOLLISION MIT ART. 48 DSGVO: Unrechtsmäßige Datenübermittlung  |
      +-----------------------------------------------------------------+

Die Mechanik des US CLOUD Acts

Der 2018 erlassene Clarifying Lawful Overseas Use of Data Act (CLOUD Act) gewährt US-Behörden das Recht, von Unternehmen unter US-Jurisdiktion die Herausgabe elektronischer Daten zu verlangen – unabhängig davon, wo diese Daten physisch gespeichert sind[23].

  • Konzernkontrolle schlägt Serverstandort: Entscheidend ist die rechtliche Beherrschung (Jurisdiction-by-Ownership). Da Google, Microsoft und Amazon US-Konzerne sind, unterliegen ihre europäischen Tochtergesellschaften dem CLOUD Act[13].
  • Geheimhaltungsanordnungen ( Gag Orders ): US-Behörden können Anordnungen mit einer Maulkorberlass-Klausel versehen[28]. Der Kunde erfährt in diesem Fall nicht einmal, dass seine Daten herausgegeben wurden[28][29].

Der direkte Konflikt mit Art. 48 DSGVO

Der CLOUD Act steht in direktem Widerspruch zum europäischen Datenschutzrecht[30][31]. Nach Art. 48 DSGVO dürfen Urteile oder Entscheidungen von Behörden aus Drittstaaten nur dann anerkannt werden, wenn sie auf einem internationalen Abkommen (wie einem Rechtshilfeabkommen / MLAT) basieren[31]. Unternehmen geraten somit in ein unbeherrschbares Dilemma: Leisten sie der US-Anordnung Folge, verstoßen sie gegen die DSGVO; verweigern sie die Herausgabe, drohen Sanktionen in den USA[31].

Wackliges Fundament: Das EU-US Data Privacy Framework (DPF)

Das 2023 geschlossene Data Privacy Framework erleichtert zwar die formale Übermittlung an zertifizierte US-Empfänger[32], hebelt aber den CLOUD Act nicht aus[33]. Zudem steht das DPF vor erneuten rechtlichen Erschütterungen:

  • Entscheidungen des US Supreme Court (Juli 2026): Urteile zur Beschneidung der Unabhängigkeit US-amerikanischer Aufsichtsbehörden (wie der FTC) untergraben eine Kernevoraussetzung der EU für Angemessenheitsbeschlüsse[34].
  • Gefahr von „Schrems III“: Bürgerrechtsorganisationen wie noyb bereiten erneute Klagen vor[36]. Unternehmen, die ihre gesamte Infrastruktur starr auf das DPF stützen, riskieren bei einer Nichtigerklärung schlagartige Notfallmigrations-Pflichten[36][37].

Alarmierende Befunde des niederländischen Rechnungshofs

Der niederländische Rechnungshof (Algemene Rekenkamer) veröffentlichte den Bericht „Dunkle Wolken“ zur Cloud-Nutzung der Regierung[38]:

  • Für 67 % der wichtigsten öffentlichen Cloud-Dienste wurden keine strategischen Risikoanalysen durchgeführt[39].
  • Bei über 25 % der eingesetzten Cloud-Dienste war den Ministerien nicht einmal bekannt, um welchen Cloud-Typ (Public, Private, Hybrid) es sich handelte[40].
  • Es besteht eine massive, ungesteuerte Abhängigkeit von US-Hyperscalern[1][34].

3. Zielgerichtete Handlungsempfehlungen

Die Bewältigung dieser Herausforderungen erfordert ein abgestimmtes Zusammenspiel der gesamten Führungsebene. Jeder Verantwortliche muss seine spezifische Rolle wahrnehmen.

+-----------------------------------------------------------------------+
|               ROLLENVERTEILUNG IM CLOUD GOVERNANCE TEAM               |
+-----------------------------------------------------------------------+
|  GESCHÄFTSFÜHRER / VORSTAND                                           |
|  -> Strategische Souveränität, Risikobudget, Haftungsabsicherung      |
+-----------------------------------------------------------------------+
|  IT-VERANTWORTLICHER (CIO)                                            |
|  -> Multi-Cloud-Architektur, Verschlüsselung (CMEK), Exit-Strategie   |
+-----------------------------------------------------------------------+
|  DATENSCHUTZBEAUFTRAGTER (DSB)                                        |
|  -> DPIA/DSFA-Durchführung, Verträge (AVV/SCC), Betroffenenrechte      |
+-----------------------------------------------------------------------+
|  CISO / SECURITY OFFICER                                              |
|  -> Zero-Trust, IAM, SIEM-Logging, NIS-2-Cyber-Resilienz              |
+-----------------------------------------------------------------------+

A. Für Geschäftsführer und Vorstände

  1. Risikoakzeptanz auf Führungsebene verankern: Die Nutzung von Cloud-Diensten US-amerikanischer Anbieter ist eine strategische Geschäftsentscheidung. Das verbleibende rechtliche Risiko muss bewusst bewertet und im Risikoregister dokumentiert werden[41].
  2. Abhängigkeiten und Lock-in reduzieren: Vermeiden Sie Monokulturen bei einem einzelnen Hyperscaler. Investieren Sie in Multi-Cloud- oder Hybrid-Cloud-Szenarien, um die betriebliche Kontinuität bei politischen oder rechtlichen Verwerfungen zu sichern[22].
  3. Persönliche Haftung unter NIS-2 minimieren: Die europäische NIS-2-Richtlinie nimmt Geschäftsleiter direkt für das Risikomanagement der IT-Lieferkette in die Pflicht. Stellen Sie sicher, dass Cloud-Entscheidungen prüfungsfest dokumentiert sind[46].

B. Für IT-Verantwortliche (CIO / IT-Leitung)

  1. Verbindung von Daten- und Workload-Klassifizierung: Kategorisieren Sie Daten in Stufen (z. B. Öffentlich, Intern, Vertraulich, Hochschutzbedürftig). Ordnen Sie nur unkritische Workloads der Standard-Public-Cloud zu[49][50].
  2. Einsatz von Customer-Managed Encryption Keys (CMEK / BYOK): Nutzen Sie Verschlüsselungsverfahren, bei denen die Schlüsselverwaltung vollständig außerhalb des Zugriffsbereichs des Cloud-Anbieters (z. B. über eigene Hardware-Sicherheitsmodule / HSM) liegt[49]. Wo der Anbieter keinen Zugriff auf den Klartextschlüssel hat, greift die Auskunftspflicht nach dem CLOUD Act ins Leere[49][52].
  3. Etablierung einer funktionierenden Exit-Strategie: Ein geordneter Ausstieg muss vertraglich und technisch abgesichert sein. Testen Sie Datenexporte und die Wiederherstellung auf alternativen Systemen regelmäßig[44][54].

C. Für Datenschutzbeauftragte (DSB / Privacy Officer)

  1. Adaption des niederländischen DPIA-Musters: Nutzen Sie die öffentlich zugänglichen Erkenntnisse der Privacy Company als Leitfaden für Ihre eigenen Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO[7][10].
  2. Prüfung der Subunternehmerkette: Verlangen Sie lückenlose Transparenz über sämtliche Subprozessoren. Prüfen Sie, ob Support-, Monitoring- oder Analyse-Dienste in Drittländer abfließen[55][56].
  3. Vertragliche Absicherung über Standardvertragsklauseln (SCCs): Stützen Sie transatlantische Transfers nicht isoliert auf das DPF, sondern ziehen Sie SCCs mit zusätzlichen technischen Schutzmaßnahmen als zweite Absicherungsebene ein[21][57].

D. Für Chief Information Security Officers (CISOs)

  1. Konsequente Zero-Trust-Architektur: Setzen Sie auf striktes Identity and Access Management (IAM) mit verpflichtender Multi-Faktor-Authentifizierung (MFA), dem Prinzip der kleinsten Rechte (Least Privilege) und zeitgesteuerten Admin-Rechten (Just-In-Time)[51][58].
  2. Zentralisiertes Logging und SIEM-Anbindung: Überwachen Sie alle administrativen Zugriffe und Telemetrie-Schnittstellen in Echtzeit. Stellen Sie sicher, dass Sicherheitslogs unmanipulierbar aufbewahrt werden[49].
  3. Operationalisierung der Shared Responsibility: Definieren Sie klar, welche Sicherheitskontrollen beim Provider liegen und welche von Ihrem Team eigenverantwortlich gehärtet werden müssen[59].

4. Checklisten für die Umsetzung im Unternehmen

Checkliste 1: Prüfung von Cloud-Anbietern (Vendor Management)

PrüfpunktBeschreibungStatus
US-Bezug ermitteltIst der Anbieter oder ein wesentlicher Sub-Dienstleister einer US-Jurisdiktion unterworfen (Mutterkonzern in den USA)?[26][ ]
Datenstandort verifiziertIst der physische Speicher- und Verarbeitungsort vertraglich auf die EU/EWR begrenzt?[5][32][ ]
Auftragsverarbeitung (AVV)Liegt ein vollumfänglicher AV-Vertrag nach Art. 28 DSGVO vor, der eigene Zweckbestimmungen des Anbieters ausschließt?[16][55][ ]
DPF & SCC KombiIst der Empfänger DPF-zertifiziert und sind zusätzlich Standardvertragsklauseln als Backup vereinbart?[32][57][ ]
Transparenz der TelemetrieIst dokumentiert, welche Diagnosedaten und Metadaten erhoben und wie diese geschützt werden?[17][ ]
Audit-NachweiseLiegen aktuelle SOC-2-Berichte oder ISO-27001-Zertifikate für die konkret genutzten Rechenzentren vor?[54][56][ ]

Checkliste 2: Technische & Organisatorische Schutzmaßnahmen (TOMs)

MaßnahmeTechnische UmsetzungStatus
Schlüsselhoheit (CMEK)Verschlüsselungsschlüssel werden in einem eigenen Kundensystem (KMS / HSM) verwaltet[49].[ ]
Support-ZugriffssperreVerwendung von Werkzeugen wie Customer Lockbox, um Supportzugriffe des Anbieters manuell freizugeben.[ ]
Restriktive Admin-RechteTrennung von normalen Benutzerkonten und Admin-Konten; Erzwingung von MFA und JIT-Access[51][58].[ ]
Separates Ausfall-BackupKritische Backups werden verschlüsselt außerhalb der Infrastruktur des Haupt-Hyperscalers aufbewahrt[21][58].[ ]
NetzwerksegmentierungLogische Mandanten- und Netzwerk-Trennung zwischen sensiblen Kernsystemen und Standard-Anwendungen[58].[ ]
Getesteter Exit-ProzessDer Datenexport in offenen Standardformaten wurde praktisch erprobt[44][54].[ ]

Fazit

Das niederländische DPIA zur Google Cloud zeigt eindrucksvoll: Ein datenschutzkonformer Betrieb führender Hyperscaler ist möglich[8][14]. Er erfordert jedoch ein hohes Maß an Eigeninitiative, vertragliche Nachbesserungen und eine strenge technische Härtung[15][16].

Wer geglaubt hat, mit dem Häkchen bei „EU-Region“ alle rechtlichen Risiken abgewickelt zu haben, wird durch die extraterritoriale Reichweite des US CLOUD Acts eines Besserem belehrt[13][23]. Unternehmen müssen Cloud-Governance als eine dauerhafte, interdisziplinäre Führungsaufgabe begreifen. Nur wer Daten passgenau klassifiziert, die Schlüsselhoheit behält und Ausweichszenarien vorbereitet, baut eine Cloud-Architektur, die sowohl behördlichen Prüfungen standhält als auch im Krisenfall die operative Resilienz sichert[49].

Quellenverzeichnis

  1. Dr. Datenschutz / intersoft consulting: DPIA des niederländischen Justizministeriums zur Google Cloud (Oktober 2026)[7].
  2. Privacy Company: DPIA on the use of Google Cloud Platform (GCP) & Dutch Government Consults Data Protection Authority on Privacy Risks of Google Workspace Enterprise (Juni 2026 / Feb. 2021)[11].
  3. Woelke IT-Solution GmbH: EU-Region reicht nicht mehr: Diese Cloud-Fallen übersehen viele (Mai 2026)[5].
  4. Netherlands Court of Audit (Algemene Rekenkamer): Dutch central government in the cloud – Dark clouds are looming (Januar 2025)[1].
  5. iBestuur: Publieke sector mag Google Cloud gebruiken (Juli 2026)[9].
  6. Cloud.nl Editorial Team: The CLOUD Act and your data: What Dutch businesses need to know (März 2026)[13].
  7. Google Cloud Blog (Marc Crandall, Joost Smit): Google Cloud confirmed to offer a safer choice for EU public sector organizations with Dutch DPIA approval (Juli 2026)[8].
  8. Ministerie van Justitie en Veiligheid (D. Yeşilgöz-Zegerius): Kamerstuk 26643, nr. 859 – Brief van de Minister van Justitie en Veiligheid (Mai 2022)[45].
  9. Xcademia: Google Cloud Wins Dutch DPIA Approval for EU Public Sector (Juli 2026)[14][69].
  10. University of Glasgow (G. Elena, C. W. Johnson): Factors Influencing Risk Acceptance of Cloud Computing Services in the UK Government (IJCCSA, 2015)[3]