Das Problem, von dem du nicht wusstest, dass du es hast
Wenn dein Unternehmen Rechnungen, Bestellungen, Lieferscheine oder irgendein Dokument mit Kundendaten über eine herkömmliche Messaging-App versendet, passieren diese Daten Server, die wahrscheinlich nicht in Europa stehen. Oder wenn doch, gehören sie einem Unternehmen, das ausländischer Gesetzgebung unterliegt. Die DSGVO hat dazu etwas zu sagen.
Europäische Datenschutzvorschriften verlangen zu wissen, wo deine Daten sind, wer Zugang hat und unter welcher Gerichtsbarkeit. Wenn du eine Messaging-App mit einem zentralen Server nutzt, passieren deine Dokumente eine Infrastruktur, die du nicht kontrollierst. Die Daten deiner Kunden werden gespeichert — selbst wenn nur vorübergehend — auf Maschinen eines anderen Unternehmens, in einem anderen Land, unter anderen Gesetzen.
Was sich ändert, wenn es keinen Server gibt
Bei einer Punkt-zu-Punkt-Kommunikation fließen die Daten direkt vom Gerät des Absenders zum Gerät des Empfängers. Sie werden auf keinem Server gespeichert. Wenn keine direkte Verbindung möglich ist, laufen sie verschlüsselt über unseren Spiegel, der sie weder speichert noch lesen kann. Das Dokument verlässt deinen Computer in Lugo und erreicht den deines Kunden in Barcelona, Berlin oder Lissabon.
Das ist wichtig für die DSGVO. Die Daten deines Kontos, die wir speichern, liegen auf Servern in Deutschland, in der Europäischen Union. Deine Nachrichten speichern wir auf keinem Server.
Wen das betrifft
Wenn du als Anwalt einen Vertrag per Messaging an einen Mandanten schickst, passieren die Vertragsdaten einen Server. Wenn du als Steuerberater eine Steuererklärung teilst, passieren diese Daten einen Server. Wenn du als Arzt einen Befund an einen Patienten schickst, passieren die Gesundheitsdaten einen Server. In all diesen Fällen delegierst du die Verwahrung vertraulicher Informationen an ein Unternehmen, das du nicht gewählt hast und nicht kontrollierst.
Du tust das nicht in böser Absicht. Das Werkzeug, das du nutzt, lässt dir keine andere Wahl. Damit deine beruflichen Nachrichten auf keinem Server gespeichert werden, muss die Kommunikation direkt von deinem Bildschirm zu seinem laufen.
Automatische Konformität
Mit P2P-Kommunikation musst du nicht prüfen, wo die Server deines Messaging-Anbieters stehen. Du musst die Einhaltung des Privacy Shield oder der EU-Standardvertragsklauseln nicht verifizieren. Du musst keine Klausel in deine Datenschutzerklärung aufnehmen, die erklärt, dass deine Daten 'außerhalb des Europäischen Wirtschaftsraums verarbeitet werden können'. Nichts davon trifft zu, weil kein Dritter deine Daten verarbeitet.
Konformität hängt nicht vom guten Willen irgendjemandes ab. Sie hängt nicht von einem Auftragsverarbeitungsvertrag mit einem Anbieter ab. Sie hängt nicht davon ab, dass ein amerikanisches Unternehmen seine Verpflichtung gegenüber europäischer Gesetzgebung einhält. Sie hängt von der Architektur ab. Und Architektur ist überprüfbar, unveränderlich und ändert nicht ihre Meinung.
Die Frage für dein nächstes Audit
Wenn dich das nächste Mal jemand fragt, wo die Daten deiner Kunden liegen, kannst du antworten: «Die Nachrichten liegen auf meinem Gerät und auf dem des Kunden. Sie werden auf keinem Server gespeichert.»