Datenschützer wollen durchgreifen

Zur Zeit wollen die Datenschützer aktiv gegensteuern, die bisher die Praktiken der großen amerikanischen Cloud-Provider noch nolens volens geduldet haben. Der Europäische Datenschutzbeauftragte Wojciech Wiewiórowski, der die Cloud-Dienste von Amazon Web Services und Microsoft unter die Lupe nimmt, und die Androhung von Sanktionen durch Professor Dieter Kugelmann, Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, sind nur zwei Beispiele dafür. Hinzu kommt ein aktuelles Urteil des obersten Gerichts in Irland zum Thema.

Das kann den IT-Chef nicht verwundern, denn schon im vergangenen Jahr hatten Rechtsanwälte die gängige Praxis beim Umgang mit den Clouds in Frage gestellt: Sie speichern oder verarbeiten personenbeziehbare Daten in den USA oder nutzen die Dienstleistungen eines US-amerikanischen Unternehmens oder ihr Dienstleister in der EU nutzt seinerseits Unterauftragnehmer in den USA? Dann müssen Sie jetzt handeln und klären, ob diese Datenverarbeitung weiterhin zulässig ist! Sie sind für die Rechtmäßigkeit jeder Übermittlung verantwortlich, wenn Sie eine solche in Auftrag geben!

Auch weil dieses Umdenken bisher nicht stattfindet und sich EU und USA nicht auf eine neue Regelung jenseits des ungenügenden "Cloud Act" einigen konnten, gab der Europäische Datenschutzbeauftragte am 27. Mai 2021 bekannt, dass er gleich zwei Untersuchungen eingeleitet hat, die (1) die Nutzung von Cloud-Diensten von Amazon Web Services und Microsoft im Rahmen von Cloud-II-Verträgen durch Organe, Einrichtungen und Agenturen der Europäischen Union und (2) die Nutzung von Microsoft Office 365 durch die Europäische Kommission betreffen. Diese Untersuchungen sind Teil der Strategie der EU-Institutionen zur Umsetzung des Schrems-II-Urteils des EuGH vom 16. Juli 2020.

Infolge dieses Urteils müssen Verantwortliche für die Datenverarbeitung sich als „Datenexporteure“ bei der Übermittlung personenbezogener Daten in Länder außerhalb der EU auf einen Übermittlungsmechanismus gemäß Artikel 46 der EU-Datenschutzgrundverordnung („DSGVO“) stützen. Im Einzelfall und gegebenenfalls in Zusammenarbeit mit den Datenimporteuren ist zu überprüfen, ob das Recht des Landes des Importeurs ein Schutzniveau für die personenbezogenen Daten gewährleistet, das im Wesentlichen dem Schutzniveau der EU entspricht.

In den USA heißt diese Regelung „Cloud Act“. Sie verpflichtet US-Unternehmen u.a. dazu, gespeicherte Kundendaten an Strafverfolgungsbehörden in den USA weiterzugeben – etwa im Fall eines Terrorverdachts. Selbst wenn die Server im Ausland sind, können die Sicherheitsbehörden der USA auf die Daten von US-Konzernen zugreifen. Damit steht der „Cloud Act“ im Konflikt mit der DSGVO.

Ist das der Fall, müssen die Datenexporteure prüfen, ob sie zusätzliche Maßnahmen ergreifen können, um das erforderliche Schutzniveau zu gewährleisten. Laut EDSB Wiewiórowski müssen die EU-Institutionen „mit gutem Beispiel vorangehen, wenn es um den Schutz der Privatsphäre und den Datenschutz geht.“ Der Europäische Datenschutzausschuss (EDSA) hatte schon Ende Juli betont, dass es keine „Gnadenfrist“ für Datenverarbeitungen gemäß des ausgemusterten „Privacy Shield“ geben werde.

Dennoch sieht die Praxis bisher anders aus. Trotz des Urteils fließen nach wie vor viele Daten von EU-Bürgern, etwa bei der Nutzung von Sozialen Netzwerken oder auch anderer Dienste, über den Atlantik auf die Server der US-Anbieter. Vielen IT-Chefs oder auch Behördenleitern ist dabei nicht einmal bewusst, dass die Nutzung solcher Dienste unzulässig ist und einen Datenschutzverstoß darstellt. Datenschützer Kugelmann rät daher „dringend dazu, alle in ihrem Unternehmen stattfindenden Datenverarbeitungsvorgänge im Zusammenhang mit Drittländern anhand des von meiner Behörde bereitgestellten Prüfschemas auf ihre Zulässigkeit hin zu überprüfen und eventuellen Handlungsbedarf zu identifizieren, um Datenschutzverstöße schnellst möglich abzustellen oder zu verhindern.“

Das Schrems-II-Urteil betrifft fast jedes Unternehmen, jede Behörde, Kommune, Schule, Organisation oder Arztpraxis, die sich mit der bisherigen Praxis laut Kugelmann „datenschutzrechtlich auf dünnem Eis bewegen“. Er will im Laufe dieses Jahres prüfen, „ob gegebenenfalls Datenschutzvergehen vorliegen und Sanktionen verhängt werden müssen. Zuvor wollen meine Mitarbeiterinnen und Mitarbeiter nochmals die Unternehmen und Behörden sensibilisieren. Wer bis jetzt noch nicht auf die neue Rechtslage reagiert hat, muss umgehend aktiv werden, sofern dies denn nötig ist.“

Ziel der Informationsoffensive ist, das Bewusstsein der datenverarbeitenden Stellen zu schärfen und damit die Datenschutzrechte aller Bürgerinnen und Bürger zu stärken. Weil auch der Einsatz von Standarddatenschutzklauseln für Datenübermittlungen in Drittstaaten generell nur noch unter Verwendung wirksamer zusätzlicher Maßnahmen ausreichend ist, wenn die Prüfung des Verantwortlichen ergeben hat, dass im Empfängerstaat kein gleichwertiges Schutzniveau für die personenbezogenen Daten gewährleistet werden kann. Das Urteil des EuGH erfordert daher in vielen Fällen zwingend eine grundlegende Umstellung lange praktizierter Geschäftsmodelle und -abläufe.

Der EuGH hat überdies seine Erwartung klar formuliert, dass die Behörden unzulässige Transfers „aussetzen oder verbieten“. Das Aussetzen einer Übermittlung kann voraussichtlich in vielen Fällen im kooperativen Dialog mit den Unternehmen gelingen, glaubt Kugelmann. Wo dies nicht möglich sei, „wird mit den zur Verfügung stehenden aufsichtsbehördlichen Maßnahmen reagiert“. Nach den nun erfolgten Informationsschreiben werde es stichprobenartige Kontrollen geben. „Kommt der Verantwortliche oder Auftragsverarbeiter zu dem Schluss, dass eine Umstellung seiner Verträge oder Prozesse nicht erforderlich sei, sollte er dies sowie die Gründe für die Entscheidung dokumentieren“, empfiehlt Dieter Kugelmann. „Dies kann sanktionsmildernd wirken, sollte meine Behörde zu dem Ergebnis kommen, dass sehr wohl Anpassungen zu treffen waren und sind.“

Die Nutzung von US-Cloudanbietern wie Amazon, Facebook, Microsoft oder Google ohne Rechtsgrundlage ist im transatlantischen Daten- und Wirtschaftsverkehr durchaus riskant, drohen doch empfindliche Geldstrafen. Denn die europäische DSGVO sieht für Verstöße gegen die Regeln Bußgelder von bis zu 20 Mio. Euro oder bis zu vier Prozent des weltweiten Vorjahresumsatzes vor.

Auch um Dienste wie Google und Facebook, die personenbezogene Daten in die USA übertragen, gibt es schon länger gerichtliche Auseinandersetzung. Jetzt hat das oberste Gericht Irlands, der High Court, in einem Urteil vom 14. Mai 2021 die Forderung von Facebook zurückgewiesen, eine von der irischen „Data Protection Commission“ (DPC) angestrebte Untersuchung des transatlantischen Datentransfers zu blockieren. Nach diesem Urteil kann die Behörde nach gut halbjähriger Unterbrechung wieder aktiv werden.

„Die Verunsicherung darüber, wie deutsche Unternehmen nach dem Ende des ‚Privacy Shield‘ Datentransfers in die USA rechtlich absichern sollen, ist groß“, konstatierte schon im vergangenen Oktober unser Autor Güven Zorba. „Die Konsequenzen für die Nutzung von ‚Public Cloud‘-Services, entscheidende Treiber für die digitale Transformation, lassen sich nur schwer abschätzen.“ In den Fokus rückte er daher eine Lösung, die auf solider Rechtsgrundlage den Freiraum für Innovationen schafft – die „Managed Hybrid Cloud“.

Und Brad Smith, Präsident and Chief Legal Officer bei Microsoft, hatte schon am 6. Mai 2021 in einem Blog-Beitrag unter der Überschrift „Answering Europe’s Call: Storing and Processing EU Data in the EU“ erste Vorschläge für eine „EU-Datenschutzoffensive“ gemacht. „Wir beginnen sofort mit der Arbeit an diesem zusätzlichen Schritt und werden bis zum Ende des nächsten Jahres alle technischen Arbeiten abschließen, die für die Umsetzung erforderlich sind“, verspricht Smith – und nennt diesen Plan „EU Data Boundary for the Microsoft Cloud“. Außerdem kündigte er einen Dialog mit Kunden und Aufsichtsbehörden an. Microsoft werde weiterhin „alles in seiner Macht Stehende tun, um Regierungsvertreter auf beiden Seiten des Atlantiks und darüber hinaus zu ermutigen, Fragen des rechtmäßigen Zugriffs schnell zu klären.“

Bildquelle: Thinkstock/Photodisc