DSGVO und Daten-Hosting: was das Gesetz wirklich zur Verschlüsselung sagt

Die Datenschutz-Grundverordnung (DSGVO) erwähnt Verschlüsselung nur ein einziges Mal ausdrücklich, in Artikel 32, unter den „geeigneten technischen und organisatorischen Maßnahmen". Sie schreibt also keinen bestimmten Algorithmus vor — aber sie schreibt ein Ergebnis vor: Die Datensicherheit muss dem Risiko angemessen sein.

Was Artikel 32 der DSGVO sagt

Artikel 32 nennt ausdrücklich „die Pseudonymisierung und Verschlüsselung personenbezogener Daten" als Beispiel einer erwarteten technischen Maßnahme. In der Praxis betrachten Aufsichtsbehörden Verschlüsselung für alle sensiblen Daten (Gesundheit, Finanzen, Identität) als impliziten Standard — und ihr Fehlen als Verstoß im Falle einer Kontrolle oder Beschwerde.

Warum Zero-Knowledge-Verschlüsselung den Umfang eines Datenlecks verändert

Artikel 34 der DSGVO verlangt die Benachrichtigung betroffener Personen bei einem Datenleck, das „voraussichtlich ein hohes Risiko" für ihre Rechte und Freiheiten darstellt. Diese individuelle Benachrichtigungspflicht entfällt jedoch, wenn die entwendeten Daten verschlüsselt und damit für den Angreifer unverständlich waren (Artikel 34.3.a).

Das ist der konkrete Unterschied zwischen einem Anbieter, der „im Ruhezustand" verschlüsselt (und den Schlüssel besitzt), und einem Zero-Knowledge-Anbieter wie May·Secret: Bei einer Kompromittierung unserer Server würde ein Angreifer nur verschlüsselte Dateien mit Schlüsseln erhalten, die er nicht beschaffen kann — da wir sie selbst nicht besitzen. Das reale Risiko für die betroffenen Personen ist damit strukturell reduziert, was die Folgenabschätzung und die Meldepflichten verändert.

Hosting in Frankreich und Datenübermittlung außerhalb der EU

Über die Verschlüsselung hinaus regelt die DSGVO die Datenübermittlung außerhalb der Europäischen Union streng (Kapitel V). Daten bei einem Anbieter mit Sitz in Frankreich, auf Infrastruktur in Frankreich, zu hosten, vereinfacht die Compliance erheblich: keine Standardvertragsklauseln zu verhandeln, keine Abhängigkeit vom EU-US Data Privacy Framework mit seiner wiederkehrenden Rechtsunsicherheit.

May·Secret hostet seine gesamte Infrastruktur in Frankreich und wendet auf jede Datei Ende-zu-Ende-Verschlüsselung an — unabhängig vom gebuchten Tarif, auch beim kostenlosen Plan.