Amazon Web Services (AWS)

Was Amazon Web Services tut und wie AWS auf einer Website erscheint

Amazon Web Services (AWS) ist die weltweit führende Cloud-Plattform, betrieben von der Amazon Web Services Inc., einer in Seattle, Washington eingetragenen Tochter der Amazon.com Inc. Auf einer europäischen Website erscheint AWS meistens in drei Formen: Amazon CloudFront liefert Bilder, Skripte und HTML aus Edge-Standorten in der Nähe des Besuchers aus, Amazon S3 speichert statische Assets und hochgeladene Medien, und Amazon EC2 oder AWS Lambda führt die Backend-Anwendung aus. Zusatzliche Bausteine wie Amazon Cognito (Authentifizierung), Amazon Pinpoint (Push, E-Mail), AWS WAF (Sicherheitsfilter) oder Amazon Rekognition (Bildanalyse) können ebenfalls personenbezogene Daten verarbeiten.

Auch wenn eine EU-Region gewählt ist, bleibt AWS der US-Jurisdiktion unterstellt. Support-Teams in den USA können zur Stoerungsbehebung auf die Infrastruktur zugreifen, IAM und Abrechnung laufen über globale Endpunkte, und einige Managed Services replizieren Metadaten regionsuebergreifend. Diese doppelte EU- und US-Präsenz ist die zentrale DSGVO-Frage bei jedem AWS-Einsatz.

Cookies und von AWS erhobene Daten

AWS setzt selbst keine Marketing-Cookies. Die Infrastrukturebene legt eine kleine Anzahl technischer Cookies ab, hauptsächlich AWSALB und AWSALBCORS, die der Application Load Balancer verwendet, um eine Session am selben Backend zu halten, AWSELB des älteren Classic Load Balancers sowie ähnliche Identifier, wenn Sticky Sessions aktiviert sind. CloudFront setzt standardmäßig keine Cookies, verarbeitet jedoch die IP-Adresse des Besuchers, den User-Agent-Header, die angeforderte URL und TLS-Metadaten. Logs können in vom Betreiber konfigurierten Amazon S3 Buckets gespeichert werden.

Werden höhere Dienste auf AWS aufgesetzt, etwa Amazon Pinpoint Analytics, AWS Personalize oder Amazon Connect, kommen weitere Identifier und Profildaten hinzu. Der Website-Betreiber bleibt Verantwortlicher und muss jedes durch AWS-Komponenten ausgelöste Cookie oder Local-Storage-Element dokumentieren.

DSGVO- und ePrivacy-Implikationen

Die Amazon Web Services Inc. handelt als Auftragsverarbeiter, wenn sie eine europäische Website hostet, der Betreiber bleibt Verantwortlicher. Ein unterzeichneter AWS-Auftragsverarbeitungsvertrag (AVV / DPA) ist erforderlich und im AWS Artifact Portal verfügbar. Der AVV integriert die Standardvertragsklauseln der Europäischen Kommission sowie das UK-Addendum, listet Unterauftragsverarbeiter und beschreibt Sicherheitsmaßnahmen nach ISO 27001, ISO 27018, SOC 2 und dem EU Cloud Code of Conduct.

Nach der ePrivacy-Richtlinie in nationaler Umsetzung (TTDSG bzw. TDDDG in Deutschland, LCEN in Frankreich, LSSI-CE in Spanien) ist für jedes nicht unbedingt erforderliche Cookie oder vergleichbare Kennung, die über eine AWS-Komponente gesetzt wird, eine informierte, freiwillige Einwilligung vor der Speicherung auf dem Endgerät erforderlich. Load-Balancing-Cookies gelten in der Regel als unbedingt erforderlich und sind ausgenommen, Cookies für Analytik, Personalisierung oder Werbung jedoch nicht.

Internationale Datenübermittlung und EU-US Data Privacy Framework

Die Amazon Web Services Inc. ist unter dem EU-US Data Privacy Framework zertifiziert, das von der Europäischen Kommission im Angemessenheitsbeschluss 2023/1795 anerkannt wurde. Übermittlungen personenbezogener Daten aus der EU an AWS in den USA verfügen damit über eine Angemessenheitsgrundlage, ergänzt um Standardvertragsklauseln für Drittländer außerhalb des Rahmens. Nach Schrems II werden zusätzliche Massnahmen wie kundenverwaltete Schlüssel (AWS KMS mit importierten Schlüsseln), strikte IAM-Regeln und detaillierte Übermittlungs-Folgenabschätzungen dringend empfohlen.

Bei besonders sensiblen Workloads können Betreiber Dienste an EU-Regionen binden, AWS Nitro Enclaves aktivieren und US-Supportzugriffe vertraglich ausschliessen, etwa über die für die Region Brandenburg angekuendigte AWS European Sovereign Cloud.

Einwilligung und Rechtsgrundlage

Für reine Infrastrukturnutzung (Hosting, CDN-Cache, Sicherheitsfilter) ist Artikel 6 Absatz 1 lit. f DSGVO (berechtigtes Interesse) die übliche Rechtsgrundlage, gestützt durch eine dokumentierte Interessenabwägung. Für jede AWS-Funktion, die Nutzer profiliert, Analytik betreibt oder Werbung speist, ist eine vorherige Opt-in-Einwilligung über eine konforme Consent Management Platform vor jedem AWS-SDK- oder Pixel-Aufruf zwingend.

Praktische Compliance-Schritte

AWS-DPA unterzeichnen, Workloads möglichst auf EU-Regionen beschränken, Verschlüsselung im Ruhezustand und Transit mit Kunden-Schlüsseln aktivieren, IAM-Zugriffe auf benannte Rollen begrenzen, Log-Aufbewahrung auf das Nötigste minimieren, AWS und relevante Unterauftragsverarbeiter im Datenschutzhinweis nennen, die Übermittlungs-Folgenabschätzung dokumentieren und jedes durch AWS ausgelöste Cookie oder Pixel in die Consent Management Platform integrieren, damit es erst nach ausdrücklichem Opt-in lädt, wenn eine Einwilligung erforderlich ist.