Was macht Amazon CloudFront CDN?

Amazon CloudFront ist ein Content Delivery Network (CDN), das von Amazon Web Services betrieben wird. Das CDN nutzt weltweit Proxy-Server, mit denen Unternehmen Inhalte wie Webvideos oder andere große Medien schnell und sicher bereitstellen können. Dazu lagern Proxy-Server die Dateien lokal zwischen und verbessern so die Zugriffsgeschwindigkeit beim Herunterladen. Für die Praxis heißt das: Unternehmen können auf ihren Webseiten datenreichen Content anbieten, auf den User ohne lange Wartezeit zugreifen können. Was müssen sie dafür datenschutzrechtlich beachten?

Der Punkt "Amazon CloudFront CDN" muss Bestandteil Ihrer Datenschutzerklärung sein!

Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.

Datenschutzerklärung kostenlos erstellen

Mit dem eRecht24 Datenschutz-Generator erstellen Sie im Handumdrehen eine DSGVO-konforme Datenschutzerklärung.

Warum ist Amazon CloudFront CDN datenschutzrechtlich relevant?

Amazon kann über das Content Delivery Network auf den Datenverkehr zwischen Unternehmen und deren Webseitenbesuchern zugreifen. Dabei erhebt Amazon unter anderem Daten zu

IP-Adresse,
aufgerufener Webseite,
Referrer-URL,
dem verwendeten Browser und
dem verwendeten Betriebssystem.

Zudem speichert Amazon einige Daten auf seinen Servern außerhalb der EU, wenn Nutzer aus einem Nicht-EU-Land eine Webseite mit Amazon CDN aufrufen. Besucht also beispielsweise ein User aus den USA eine deutsche Webseite auf, die Amazon CloudFront CDN nutzt, speichert Amazon die Daten nicht in Deutschland, sondern in den USA.

Für eine Datenweitergabe an Dritte sowie die Speicherung der Daten außerhalb der EU müssen Seitenbetreiber datenschutzrechtliche Pflichten beachten.

Amazon CloudFront CDN datenschutzkonform verwenden

Um Amazon CloudFront CDN DSGVO-konform zu verwenden, müssen Seitenbetreiber diese Vorgaben beachten:

Nutzer-Einwilligung in Cookies einholen

Amazon CloudFront CDN nutzt Cookies. Dabei ist derzeit nicht klar, welche Daten Amazon darüber genau sammelt. Es ist daher möglich, dass Unternehmen die Erlaubnis der User in die Datenerhebung benötigen. Sie sollten diese sicherheitshalber einholen. Das können sie beispielsweise über ein Cookie Consent Tool. Dies erstellt einen datenschutzkonformen Cookie-Banner, der die Einwilligung der Nutzer per Opt-In abfragt.

Vertrag zur Auftragsverarbeitung abschließen

Nutzen Unternehmen Amazon CloudFront CDN, geben sie personenbezogene Daten an den Anbieter Amazon Web Services weiter. Dafür müssen sie mit diesem einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) schließen. Das schreibt Artikel 28 DSGVO vor. Der Vertrag sollte aufführen,

welche Kundendaten Amazon speichert,
wie lange Amazon die Kundendaten speichert,
zu welchem Zweck Amazon die Kundendaten verarbeitet und
welche sonstigen Rechte und Pflichten beide Parteien haben.

Standardvertragsklauseln prüfen

Amazon CloudFront CDN verfügt über Server in Europa, Asien, Australien, Afrika, Südamerika und verschiedenen Städten der USA. Rufen Nutzer aus Deutschland eine Webseite auf, die das CDN nutzt, bleiben die Daten auf Servern in Deutschland. Rufen jedoch Nutzer aus einem Nicht-EU-Land die Seite auf, landen die Daten auf Servern außerhalb der EU. Amazon hat sich daher vertraglich verpflichtet, über Standardvertragsklauseln das Datenschutzniveau der EU einzuhalten. Seitenbetreiber sollten die Standardvertragsklauseln und die Einhaltung dieser überprüfen. Dazu müssen sie unter anderem eine Risikoabschätzung vornehmen. Diese sollte dokumentieren,

welche Art von Daten Unternehmen an Amazon weitergeben,
welche Rechtslage in den USA herrscht und
ob Amazon weitere Maßnahmen ergreift, um Userdaten aus der EU zu schützen.

Datenschutzerklärung anpassen

Erheben Seitenbetreiber personenbezogene Daten, müssen sie in ihrer Datenschutzerklärung darauf hinweisen. Dabei sollten sie erklären,

warum sie über Amazon CloudFront CDN personenbezogene Daten erheben,
wie lange sie diese speichern,
welche Rechtsgrundlage das erlaubt,
dass sie für die Datenweitergabe mit Amazon einen AV-Vertrag geschlossen haben und
dass User der Datenerhebung und -verarbeitung widersprechen können.

Rechtsprechung zu Amazon CloudFront CDN

Zu Amazon CloudFront CDN liegt bisher – soweit ersichtlich – keine Rechtsprechung vor. Dennoch sind für CDN diese Urteile zu Cookies und AV-Verträgen wichtig:

Europäischer Gerichtshof zur Verwendung von Cookies

Tracking Cookies sind einwilligungsbedürftig – unabhängig davon, ob diese personenbezogene oder anonyme Nutzerdaten erheben. Das stellte der Europäische Gerichtshof (EuGH) im Oktober 2019 fest (Az. C-673/17).

Bundesgerichtshof zur Verwendung von Cookies

Seitenbetreiber können die Einwilligung für Tracking Cookies nicht per Opt-Out einholen. Es ist stets ein Opt-In notwendig. Zu diesem Schluss kam der Bundesgerichtshof (BGH) im Mai 2020 (I ZR 7/16).

Europäischer Gerichtshof zum Privacy Shield

Unternehmen können sich nicht mehr auf den Privacy Shield berufen, wenn sie Daten an Dritte außerhalb der EU versenden. Denn: Der EuGH erklärte in seinem Urteil vom 16.07.2020, dass der Privacy Shield nicht als rechtliche Grundlage für Datentransfers zwischen der EU und den USA ausreicht (Az. C-311/18).

Datenschutzbehörde Hamburg zum AV-Vertrag

Geben Unternehmen personenbezogene Daten an Dritte zur Verarbeitung weiter, müssen sie mit diesen einen AV-Vertrag schließen. Ansonsten droht ihnen ein Bußgeld von bis zu 10 Millionen Euro oder 2 Prozent ihres weltweiten Jahresumsatzes. Ein deutsches Versandunternehmen musste daher im Dezember 2018 eine Strafe in Höhe von 5.000 Euro zahlen.

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Der VfB Stuttgart musste ein Bußgeld in Höhe von 300.000 Euro entrichten. Der Grund: Der Verein hatte Mitgliederdaten an Dienstleister weitergegeben, um diese verarbeiten zu lassen. Dafür lag jedoch kein AV-Vertrag vor – und somit auch keine Rechtsgrundlage. Im März 2021 sprach die Datenschutzbehörde Baden-Württemberg daher die Strafe gegen den Verein aus.