Kanadisches Gericht: OVHcloud aus Frankreich muss Nutzerdaten herausgeben

Inhaltsverzeichnis

close notice

This article is also available in English. It was translated with technical assistance and editorially reviewed before publication.

Don’t show this again.

Ein Gericht in Ontario hat gegenüber dem französischen Cloud-Giganten OVHcloud angeordnet, auf ausländischen Servern gespeicherte Daten an die kanadische Polizei herauszugeben. Die Entscheidung bringt das Unternehmen in eine Zwickmühle zwischen kanadischer Justiz und französischem Strafrecht – und hat auch die französische Regierung auf den Plan gerufen. Letztlich geht es in deren Plädoyer auch um die viel beschworene Unabhängigkeit und den Datenschutz bei europäischen Online-Anbietern.

Es ist ein Fall, der weit über die Grenzen eines gewöhnlichen Kriminalverfahrens hinausreicht und den Kern der digitalen Souveränität im 21. Jahrhundert berührt. Im Zentrum steht eine scheinbar simple Anordnung: Die Royal Canadian Mounted Police (RCMP) verlangt Zugriff auf Bestands- und Metadaten, die mit vier spezifischen IP-Adressen verknüpft sind. Doch diese Abonnenteninformationen und Verbindungsdaten liegen nicht in Kanada, sondern auf Servern in Frankreich, Großbritannien und Australien. Das juristische Tauziehen, das sich daraus entwickelt hat, droht zu einem diplomatischen Konflikt zwischen Ottawa und Paris zu eskalieren.

Auslöser: Eine Anordnung mit globaler Reichweite

Alles begann mit einer "Production Order" (Herausgabeanordnung), die der Ontario Court of Justice am 19. April 2024 auf Basis von Abschnitt 487.014(1) des kanadischen Strafgesetzbuchs erließ. Die RCMP ermittelt in einem Strafverfahren mit Bezug auf schwere Kriminalität und benötigt dafür die Daten von Kunden der OVH Group SA.

Das Problem: Die Gesellschaft ist ein französisches Unternehmen mit Hauptsitz in Roubaix. Zwar gibt es eine kanadische Tochterfirma, die Hebergement OVH Inc. in Montreal, doch diese operiert als eigenständige juristische Person. Wie aus den heise online vorliegenden Gerichtsakten hervorgeht, hat die kanadische Tochter keinen technischen Zugriff auf die Daten der Muttergesellschaft, die in europäischen Rechenzentren lagern.

Dennoch entschied der Ontario Court of Justice unter Richterin Heather Perkins-McVey am 25. September, dass die französische Muttergesellschaft den kanadischen Behörden die Daten aushändigen muss. Ihre Begründung stützt sich auf eine weitreichende Interpretation der "virtuellen Präsenz": Da OVH weltweit agiere und Dienste in Kanada anbiete, unterliege das Unternehmen auch der kanadischen Gerichtsbarkeit – unabhängig davon, wo die physischen Server stehen.

Zwickmühle: Gefangen zwischen zwei Gesetzen

Für OVHcloud ist dieses Urteil mehr als nur ein bürokratisches Ärgernis: es ist eine juristische Falle. Der größte französische Cloud-Anbieter beruft sich in seiner Verteidigung vehement auf das nationale Recht, insbesondere auf das sogenannte Blockadegesetz (Loi nr. 68-678). Dieses Gesetz aus dem Jahr 1968, das 2022 verschärft wurde, verbietet es französischen Unternehmen und Staatsbürgern unter Strafandrohung, wirtschaftlich sensible Informationen oder Daten an ausländische Behörden weiterzugeben – Ausnahme: eine Anfrage über offizielle völkerrechtliche Kanäle.

In einer eidesstattlichen Versicherung schildert Xavier Barriere, Unternehmensjurist bei OVH in Paris, die dramatische Lage: Würde der wichtige Verfechter europäischer Datensouveränität der kanadischen Anordnung Folge leisten, begingen die Verantwortlichen in Frankreich eine Straftat. Ihnen drohen bis zu sechs Monate Haft und Geldstrafen von bis zu 90.000 Euro pro Verstoß. Ignoriert OVH jedoch das kanadische Gericht, dräut in Ontario ein Verfahren wegen Missachtung der Justiz, was ebenfalls empfindliche Sanktionen nach sich ziehen kann.

Protest aus Paris: Ministerien schalten sich ein

Der Fall hat inzwischen die höchsten Ebenen der französischen Verwaltung erreicht. Das französische Wirtschaftsministerium, genauer gesagt der dort angsiedelte Service de l'Information Stratégique et de la Sécurité Économiques (SISSE), der die Einhaltung des Blockadegesetzes überwacht, hat sich in zwei Briefen unmissverständlich positioniert.

Im ersten Schreiben vom Mai 2024 und einem noch detaillierteren zweiten Schreiben vom Januar 2025 warnte der SISSE: Eine direkte Datenherausgabe an die RCMP wäre illegal. Die Behörde bestätigte, dass die angeforderten Informationen unter den Schutzbereich des Gesetzes fallen und eine Umgehung der internationalen Verträge eine Verletzung der französischen Souveränität darstelle.

Auch das französische Justizministerium intervenierte am 21. Februar. Darin sicherte es den kanadischen Kollegen eine "beschleunigte Bearbeitung" zu, sofern sie den offiziellen Weg über ein Rechtshilfeersuchen wählen würden. Paris signalisierte Kooperationsbereitschaft – unter Einhaltung der Spielregeln. OVH hat die Daten bereits gesichert, sie liegen bereit. Doch die RCMP sowie die kanadische Staatsanwaltschaft beharrten auf der direkten Herausgabe – und das Gericht in Ontario folgte ihnen.

Berufungsantrag: Kampf ums Prinzip

Gegen die Entscheidung von Perkins-McVey hat OVH Ende Oktober über Anwälte der Kanzlei Miller Thomson Berufung beim Ontario Superior Court of Justice eingelegt. Der Antrag auf gerichtliche Überprüfung liest sich wie eine Vorlesung über internationales Recht. Die Juristen argumentieren, dass die erste Instanz fundamentale Prinzipien ignoriert habe: Kanadische Gerichte sollten Anordnungen vermeiden, die Bürger befreundeter Staaten zwingen, im eigenen Land Straftaten zu begehen. Dies gelte gerade, wenn mit einem Rechtshilfeabkommen eine legale Alternative existiere.

Die kanadische Tochterfirma könne nicht einfach für die Daten der französischen Mutter haftbar gemacht werden, betonen die Anwälte. Die Ausdehnung kanadischer Befugnisse auf die einschlägigen ausländischen Server überstrapaziere die nationalen Hoheitsrechte.

"Die Antragsteller würden irreparablen Schaden erleiden, bevor das Berufungsgericht den Fall überhaupt hören könnte", heißt es in dem Dringlichkeitsantrag auf Aussetzung der Vollstreckung. Denn Perkins-McVey setzte die Frist zur Datenherausgabe auf den 27. Oktober. Ohne einen sofortigen Stopp der Anordnung müsste OVH sich entscheiden, welches Gesetz es brechen will.

Präzedenzfall für die Cloud-Branche

Der Ausgang dieses Verfahrens wird in der Tech-Branche genau beobachtet. Sollte die kanadische Rechtsauffassung Bestand haben und eine "virtuelle Präsenz" ausreichen, um direkten Zugriff auf Daten in Europa zu erzwingen, würde dies das Geschäftsmodell vieler internationaler Cloud-Anbieter in Frage stellen. Europäische Unternehmen werben oft mit dem Schutz vor dem Zugriff ausländischer Behörden wie etwa durch den US Cloud Act. Ein Urteil, das kanadischen Polizisten den direkten "Durchgriff" nach Frankreich erlaubt, würde dieses Versprechen aushöhlen.

Die Ironie des Falles liegt darin, dass beide Seiten dasselbe Ziel verfolgen: Die Aufklärung von Straftaten. Frankreich hat die Daten gesichert und will sie herausgeben – aber eben nur auf dem Dienstweg. Kanada will die Daten schnell und ohne bürokratische Hürden. Nun liegt der Ball beim Ontario Superior Court. Er muss entscheiden, ob die Effizienz einer polizeilichen Ermittlung schwerer wiegt als die Gesetze eines souveränen Partnerstaates und die Integrität internationaler Abkommen. US-Hyperscaler wie Amazon mit AWS, Microsoft mit Azure und Google Cloud lachen sich derweil ins Fäustchen: Diesmal stehen nicht sie, sondern die europäische Konkurrenz in puncto Datensouveränität mit dem Rücken zur Wand.

(fds)