Das Problem mit Clouddiensten

I’ve been using @ScrivenerApp for 10y, but seem, they won’t provide any other sync option than Dropbox, if you want to write on an iOS device. @Storyist offers additional iCloud sync, which is still not #gdpr compatible, if you are a prof. writer. C’mon, there must be something!

— ViennaWriter@literatur.social (@KZotzmann) November 4, 2018

Unlängst hatte ich auf Twitter eine Konversation mit den Machern von Scrivener. Ich bin ein großer Freund der Software und benutze sie seit über zehn Jahren selbst. Die iOS Version habe ich damals gekauft, da war sie noch keine zwei Stunden veröffentlicht – die Möglichkeit, auf einem Tablet (mit Tastatur) unterwegs am Buchprojekt weiterzuschreiben ist meine Vorstellung von schriftstellerischer Freiheit – nicht das ganze Notebook mitschleppen müssen, alles, was man zum Arbeiten braucht in einer kleinen, leichten Tasche haben, … Mein Rücken freut sich. 😉

Allerdings bietet Scrivener auch trotz DSGVO nach wie vor ausschließlich Dropbox als Sync-Service zwischen der Desktop und iOS Version. Ich kann die iOS Version nicht mehr (synchronisiert) nutzen, seit ich mich vor knapp einem Jahr endgültig von Dropbox getrennt und den Account gelöscht habe.

Is there anything working with NextCloud and the iOS Files app integration?

— ViennaWriter@literatur.social (@KZotzmann) November 4, 2018

There is no cloud, just other people’s computers.

Menschen, die professionell schreiben – da fasse ich jetzt alle drunter, die ihre Bücher am Ende veröffentlichen wollen und ggf. auch Geld dafür bekommen – sollten genau darauf achten, wo sie ihre Daten hinlegen. Insbesondere, wenn personenbezogene Daten anderer Leute darunter sind – z.B. Verlagskontakte, Menschen auf Recherche-Fotos, Tonaufnahmen bei Recherche-Gesprächen, eMailkorrespondenz, Informationen von/über noch lebende Menschen, die im Buch vorkommen, biografische Daten von Menschen über die man schreibt, Infos von Whistleblowern/Insidern, … Ihr seht, wohin das geht.

Der große Pluspunkt von „Writing Suites“ wie Scrivener, Storyist, etc. ist, dass man dort alle Infos zusammen an einem Platz hat. Also Recherche, Plot / Planung, Manuskript, etc. Und gerade im Bereich Recherche kann sich da Einiges an personenbezogenen Daten (s.o.) ansammeln. Dazu muss man noch nichtmal Biografien für andere Menschen schreiben.

To clarify the problem: As a prof. writer, I am legally obliged to comply to the #gdpr. Personal information of my contacts, contractors, etc. have to be stored safely & securely. One of the best features of @ScrivenerApp is, that it stores everything in one place, the project.

— ViennaWriter@literatur.social (@KZotzmann) November 4, 2018

Solange man nur rein privat Daten hortet, betrifft einen die DSGVO nicht. Aber sobald man beruflich Daten verarbeitet, müssen diese auch DSGVO-konform behandelt werden. Wer also personenbezogene Daten im Rahmen seiner/ihrer schreiberischen Tätigkeit jetzt nur auf dem eigenen Rechner hat, ist fein raus. Backups auf USB Sticks oder einer Externplatte sind auch fein. Backups oder Kopien bei Cloud Dienstleistern sind allerdings bereits keine so gute Idee mehr. Die meisten dieser Sienstleister wie Google Drive, Microsoft Drive, Dropbox, box.com, etc. haben ihre Server in den USA, das heißt, Ihr habt einen Transfer personenbezogener Daten in Drittländer. Aka: Ihr schleust Daten Eurer Geschäftskontakte wie ggf. Whistleblower und Informanten direkt auf die Server von US Unternehmen, bei denen Ihr keinerlei Kontrolle darüber habt, was dort mit diesen Daten geschieht. Meist weiß man nicht einmal genau, was mit diesen Daten auf den jeweiligen Servern veranstaltet wird.

So if I have research information and my sources inside my Scrivener project, I have to store it somewhere safe. And Dropbox servers are in the US, so I would need a data processing agreement with Dropbox. Yes, Dropbox has signed the EU-US PrivacyShield, but that will not hold.

— ViennaWriter@literatur.social (@KZotzmann) November 4, 2018

„Ja, aber … PrivacyShield!“

Ja, aber nein. Das EU-US PrivacyShield hat dieses Jahr bereits ziemlich einen vor den Bug bekommen und es ist absehbar, dass es nicht halten wird. Dass wir dann ein gröberes Problem mit sämtlichen Betriebssystemen haben werden, ist jetzt gerade nicht der Punkt, aber das wird sicher spannend werden. Aber ja, im konkreten Fall Dropbox hat das PrivacyShield Abkommen unterzeichnet. Daher darf man grundsätzlich zum aktuellen Zeitpunkt auch personenbezogene Daten bei Dropbox speichern. Allerdings ist Dropbox verpflichtet, sich an die US Gesetze zu halten, da es ein US Unternehmen ist.

PrivacyShield has already has been attacked this year & will fall in the foreseeable future. And even if it would remain, there still is the problem, that Dropbox has to comply to the US law, so they have to check the content uploaded to their servers, if it’s all legal content.

— ViennaWriter@literatur.social (@KZotzmann) November 4, 2018

Von Google wissen wir, dass sie Daten aus Google Drives löschen, wenn diese in den USA illegal sind. Das heißt, Daten, die Ihr in Google Drive speichert, werden automatisiert geöffnet und auf verschiedene Kriterien geprüft, ob diese den US Gesetzen entsprechen. Falls sie als ilegal eingestuft werden, werden sie kurzerhand gelöscht. Interessant dabei ist das automatisierte Öffnen, Lesen und Analysieren. Denn dadurch werden personenbezogene Daten, die ihr dort gespeichert habt, automatisch von – in dem Fall Google – erfasst und ausgewertet. Und niemand weiß, ob sie die gleich noch einer „Unbedenklichkeitsdatenbank“ zufügen oder was sie sonst damit machen. Immerhin habt Ihr diese Daten (Adressen, Telefonnummern, Geburtsdaten, Fotos, Tonaufnahmen, Verträge, Gutachten, Whistleblower- & Insiderinformationen, etc.) gerade an Google verschenkt und sie dürfen damit anstellen, was sie wollen. Ihre Server, ihre Regeln.

As we’ve read in the media, that Google is deleting content of Google Drives that’s illegal in the US, I expect, Dropbox is also working with some similar #uploadfilter. So everything I upload there, is presumably analyzed automatically. Which means, my potentially sensitive data

— ViennaWriter@literatur.social (@KZotzmann) November 4, 2018

Is being read by at least one US company, probably more, if the filter doing the reading is also sending info to its maker. This is, why Dropbox or any other US-based storing solution is not working with #gdpr. Regarding iCloud there is a different problem.

— ViennaWriter@literatur.social (@KZotzmann) November 4, 2018

Da auch Dropbox ein US Unternehmen ist, ist es – genauso wie Google – verpflichtet, sich an US Gesetze zu halten und illegale Daten von ihren Servern zu löschen. Dropbox wird also mit an Sicherheit grenzender Wahrscheinlichkeit ähnliche Uploadfilter nutzen wie Google (wenn nicht gar dieselben), um illegale Inhalte zu erkennen. Also trifft sehr sicher das gerade geschilderte Szenario auch auf Dropbox zu. Ihre Server, ihre Regeln. Und ggf liest der Uploadfilteranbieter auch gleich noch mit. Ihr seht nichts davon, was bei ihnen tatsächlich mit den Daten Eurer Kontakte passiert. Oder mit Euren geheimgehaltenen Manuskripten. Oder den Verträgen, die ihr dort ablegt. Kurz: Man will eigentlich keine personenbezogenen Daten (oder überhaupt Daten!) auf US Servern haben, PrivacyShield hin oder her. Also auch nicht bei Dropbox.

„Aber es gibt doch diese iCloud!“

Ja, Apple bietet einen Sync Service an, wenn man die Hardware von Apple nutzt und diese wird von verschiedenen Apps auch zum Synchronisieren zwischen mehreren Geräten genutzt. Grundsätzlich ist das eine gute Sache, aber a) ist Apple ebenfalls ein US Unternehmen und b) hat das Apple-Universum aktuell noch ein ganz anderes Problem.

Die Apple iCloud ist ausschließlich(!) für private Endkunden gedacht. In ihren eigenen AGB schließt Apple die Nutzung der iCloud für Businesskunden aus. Es ist daher nicht möglich, mit Apple einen Auftragsverarbeitungsvertrag nach DSGVO zu bekommen. Das heißt, wenn man beruflich / im Rahmen seiner schriftstellerischen Tätigkeit personenbezogene Daten in die iCloud synchronisiert, verstößt man sowohl gegen die Apple AGB als auch gegen die DSGVO, also geltendes EU-Recht. Somit fällt diese Lösung ebenfalls aus.

Apple iCloud is a consumer-only(!) product. I can’t get a data processing agreement with Apple, because in their own ToS they forbid professional use of the iCloud service. So PrivacyShield and potentially illegal content or not, I can’t even use iCloud for professional business.

— ViennaWriter@literatur.social (@KZotzmann) November 4, 2018

Wenige Lösungen am Horizont

Wir haben ein konkretes Problem mit Clouddienstleistern, zu dem es aktuell nur wenige sinnvolle Lösungen gibt, wenn man Cloudservices nutzen möchte.

Eine davon kann eine eigene NextCloud sein, die man auch für wenig Geld bei europäischen (meist deutschen) Anbietern anmieten kann. Das ist wie Dropbox, aber eben auf eigenen bzw. in Deutschland stationierten Servern und damit DSGVO-kompatibel.

@ScrivenerApp @Storyist That’s why EU professional writers need another syncing option than Dropbox, any other US-based company or iCloud. Because we are legally not allowed to use them, if we have personal data in our data files – as it’s THE feature of writing suites.

— ViennaWriter@literatur.social (@KZotzmann) November 4, 2018

NextCloud lässt sich auch in die iOS Files App einhängen und als Standardspeicherort für verschiedene Apps einstellen. Das ist extrem praktisch und erleichtert die Arbeit mit Apple Hardware ungemein. Leider ist es in Scrivener auf iOS nicht vorgesehen, über die Files App zu synchronisieren. Das wäre vermutlich im konkreten Fall die einfachste Lösung, aber ich freue mich auch über bessere Vorschläge.

One possible solution is NextCloud integration, which is already working fine for other applications. Another option would be to work with the iOS files app integration, since I can embed my NextCloud at this point. But I’m happy to see you come up with more ideas and services.

— ViennaWriter@literatur.social (@KZotzmann) November 4, 2018

Vor allem sollte Apple langsam mal mit einer Lösung für ihr Businesskunden-Dilemma um die Ecke kommen, denn Menschen arbeiten tatsächlich mit ihren Produkten. Das konnte vermutlich niemand vorhersehen, aber es gibt erstaunlich viele davon. Und das auch zu Recht, denn sie positionieren sich schon seit Steve Jobs‘ Zeiten sehr auf der PRO-Datenschutz Seite und somit gegen Facebook, Google und Amazon. Google ist was die Privatsphäre und Unversehrtheit der Daten, die man ihnen anvertraut, meines Erachtens deutlich schlechter als Apple, aber mit Google bekommt man wenigstens einen Auftragsverarbeitungsvertrag (AVV) nach DSGVO. Das heißt, die personenbezogenen Daten werden dort zwar sicher gelesen, analysiert und verkauft, aber man darf sie da tatsächlich legal ablegen. Klingt komisch, ist aber so.

PS: Obacht auch, wenn Ihr Microsoft Office 365 nutzt, das speichert all Eure Kontaktdaten und ggf auch die Dokumente in der MS Cloud. Ihr braucht also, um Euren eigenen Vorgarten sauber zu halten, einen AVV mit Microsoft. Oder ein anderes Schreibprogramm wie z.B. LibreOffice. Oder eine Writing Suite wie Scrivener – die nach wie vor super ist, solange man nicht auf einem Tablet schreiben und die Texte auf den Rechner synchronisieren will.