Amazon S3

Was ist Amazon S3

Amazon Simple Storage Service (S3) ist der Vorzeige Objekt Speicherdienst von Amazon Web Services. Er stellt Buckets bereit, in denen beliebig viele Dateien (Bilder, Videos, Dokumente, Archive, Anwendungsdaten, ML Datensätze) abgelegt und über HTTPS Endpunkte, signierte URLs, REST APIs oder als Origin hinter Amazon CloudFront ausgeliefert werden. S3 ist ein fundamentaler Baustein des modernen Webs: Mediatheken, Anwendungs Backups, statische Sites und CMS Uploads landen häufig in einem S3 Bucket. Datenschutzrechtlich interessant ist S3, weil es personenbezogene Daten speichert oder weiterleitet, ohne selbst Client Cookies zu setzen.

Welche Daten S3 verarbeitet

S3 verarbeitet die abgelegten Objekte sowie die Metadaten jeder Anfrage: IP Adresse, HTTP Methode, Objektschlüssel, Antwortgröße, Latenz und Custom Header. Sind S3 Server Access Logs oder AWS CloudTrail aktiv, werden diese Zugriffsdaten in einem weiteren Bucket gespeichert und können IP Adressen enthalten, die unter die DSGVO fallen. Auf dem Endgerät setzt S3 keine Cookies. Sitzt CloudFront vor dem Bucket, werden zusätzlich Edge Logs zu Sicherheits und Performancezwecken vorgehalten.

DSGVO und ePrivacy Folgen

S3 ist Auftragsverarbeiter nach Art. 28 DSGVO, wenn es Inhalte für einen Verantwortlichen ausliefert. Das AWS Data Processing Addendum bildet den Standardvertrag, ergänzt durch die EU SCCs im GDPR DPA von AWS und die EU US Data Privacy Framework Zertifizierung von Amazon Web Services Inc. ePrivacy ist regelmäßig nicht einschlägig, weil S3 außerhalb des Standard HTTP Caches nichts auf dem Endgerät liest oder schreibt. Im Fokus stehen Speicherort, das Zugriffsregime der Region und die durch S3 und CloudFront erzeugten IP Logs.

Ist eine Einwilligung erforderlich

Nein, die reine Auslieferung einer Datei aus S3 an einen Besucher ist nicht einwilligungspflichtig. Die Speicherung stützt sich auf berechtigtes Interesse oder Vertragserfüllung. Einwilligung wird erst relevant, wenn der Bucket Tracking Pixel, marketingnahe Assets gekoppelt mit Analytics oder Skripte hostet, die selbst einwilligungspflichtig sind. Die Schrems II Debatte wiegt schwerer, wenn Buckets in einer US Region liegen, weil der Empfänger der Daten dann in den USA ist, auch ohne kommerzielle Auswertung. Die Datenschutzerklärung muss dies widerspiegeln.

Übermittlungen und US Behördenzugriff

AWS lässt die Region pro Bucket auswählen. Eine EU Region ohne Replikation oder regionsübergreifenden Zugriff hält die Speicherung in Europa. Amazon Web Services Inc. ist jedoch ein US Verantwortlicher, bestimmte Support und Sicherheitsaktivitäten können von den USA aus erfolgen. Gemäß den EDSA Empfehlungen nach Schrems II veröffentlicht AWS eine Transfer Impact Assessment für EU Kunden und stellt das Data Privacy Framework als Transfermechanismus bereit. Verschlüsselung mit kundenverwalteten Schlüsseln (SSE C oder KMS) bietet eine zusätzliche Schutzebene.

Praktische Schritte zur Compliance

Wählen Sie für Buckets mit personenbezogenen Daten eine EU Region, schließen Sie das AWS DPA ab, aktivieren Sie serverseitige Verschlüsselung (KMS für stärkere Kontrolle), beschränken Sie Zugriffe via IAM und S3 Block Public Access und verkürzen Sie die Aufbewahrung von Server Access Logs. Dokumentieren Sie die Rolle der Amazon Web Services EMEA SARL als EU Vertragspartnerin. Nennen Sie Amazon S3 und AWS in der Datenschutzerklärung mit Region und Transfermechanismus. Wenn ein US Bucket unvermeidbar ist, führen Sie eine TIA durch und erwägen Sie clientseitige Verschlüsselung.