Obwohl sich viele Unternehmen dieses Risikos nicht bewusst sind, kann es durchaus sein, dass die Inanspruchnahme von Cloud-Dienstleistungen und die damit verbundene Datenübermittlung den Vorschriften der Exportkontrolle unterliegen.
Grundsätzlich unterliegt ein Unternehmen der Exportkontrolle, wenn es genehmigungspflichtige Güter ausführt und/oder Güter in ein kritisches Land und/oder an eine kritische Person/Zweck ausführt.[1] Die Vorschriften umfassen dabei nicht nur physische Güter sondern auch Software und Technologie. Dann wäre sowohl die Verlagerung der Daten in ein Drittland, als auch die Einräumung von Zugriffsmöglichkeit von einem Drittland aus genehmigungspflichtig.[2]
Wann im Rahmen von Cloud Computing eine Ausfuhr vorliegt, richtet sich nach der jeweiligen Form des Cloud-Dienstes.[3]
Differenzierte Beurteilung der verschiedenen Konstellationen gemäß Leitfaden der BAFA
Grundsätzlich ist eine Ausfuhr von Technologie oder Software genehmigungspflichtig, wenn die Technologie oder Software von Anhang I der EU-Dual-Use-Verordnung oder Teil I der Ausfuhrliste erfasst wird (s. Art. 3 Abs. 1 EU-Dual-Use-Verordnung und § 8 AWV).[4]
1. Datenverlagerung/Infrastructure as a Service (nicht die physische Verlagerung eines Servers = Güterausfuhr)
Die Verlagerung der Technologie von einem Server im Inland auf einen Server in einem Drittland stellt eine Ausfuhr dar. Dies hat zur Folge, dass auch jedes weitere Abspeichern von Dokumenten auf diesem Server eine genehmigungspflichtige Ausfuhr darstellt. Dies muss genehmigungsrechtlich sauber abgebildet werden.
Werden auf einem Server Zugriffsrechte vergeben, die die Nutzung außerhalb der EU ermöglichen, liegt eine genehmigungspflichtige Ausfuhr durch Bereitstellen vor.[5]
2. Software as a Service
Das Einstellen einer (gelisteten) Software auf einem Server in einem Drittland stellt eine genehmigungspflichtige Ausfuhr in der Form der elektronischen Übermittlung dar.
Die Einräumung von Zugriffsrechten auf die Software ist als genehmigungspflichtige Ausfuhr in Form der Bereitstellung zu betrachten. Eine Ausnahme wird dann gesehen, wenn die gelistete Software lediglich der Verschlüsselungs des Übertragungsweges dient.
Die Nutzung der Software ist ausfuhrrechtlich zu genehmigen, wenn in diese Software gelistete Technologie eingespielt wird.
Die Übertragung oder Freigabe der (gelisteten) Ergebnisse kann ebenfalls genehmigungspflichtig sein.[6]
3. Process as a Service
Diese Konstellation ist wie die Konstellation "Software as a Service" zu betrachten.[7]
Werden die Exportkontrollvorschriften missachtet, drohen den betroffenen Unternehmen scharfe Sanktionen bis hin zu mehrjährigen Haftstrafen für das Management.[8]
Das ist nur ein Ausschnitt aus dem Produkt Haufe Finance Office Premium. Sie wollen mehr?
Jetzt kostenlos 4 Wochen testen
Anmelden und Beitrag in meinem Produkt lesen