Wo bleibt die politische Alternative zum „Privacy Shield“?

Mit den neuen SVK will die EU den Datenaustausch mit Amerika erleichtern – endlich, fast ein Jahr nach dem Aus für den „Privacy Shield“. Doch der Vorschlag bleibt ein notdürftiges Hilfskonstrukt. Ein rechtssicheres Abkommen mit den USA ist noch lange nicht in Sicht. Und das einzig und allein, weil sie US-Regierung und EU nicht auf ein tragfähiges Abkommen einigen können. Deshalb war ja auch schon der „Privacy Shield“-Vorgänger „Safe Harbour“ im Oktober 2015 vom EuGH ebenfalls kassiert worden.

Zwar lobte Susanne Dehmel, Mitglied der Geschäftsleitung des IT-Verbandes Bitkom den aktuellen Versuch, „mehr Rechtssicherheit für Unternehmen mit einer Datenverarbeitung in den USA oder anderen Drittstaaten“ zu schaffen. Das sei ein richtiger Schritt, denn „für global tätige Unternehmen ist es entscheidend, dass sie ihre Geschäftsprozesse und Datenströme rechtssicher abwickeln können. Die neuen Klauseln lösen jedoch die Problematik der Einzelfallprüfung nicht. Zugleich stehen Unternehmen nun vor einen riesigen Umstellungsaufwand, ohne dass ihnen erspart wird, die Datenflüsse in die sogenannten Drittstaaten in jedem Einzelfall zu bewerten. Dazu kommen weiter Unklarheiten in den neuen Regelungen: So sollen die Unternehmen zusätzliche Schutzmaßnahmen implementieren, um die Datenströme abzusichern – welche das genau sein sollen bleibt aber der internen Bewertung überlassen. Das können viele Unternehmen kaum stemmen.“

Die Bewertung des Datenschutzniveaus in anderen Ländern ist hochkomplex – und die Umstellung von technischen Maßnahmen in der heute vernetzt arbeitenden Wirtschaft mit großem Aufwand verbunden. „Wir brauchen politische Lösungen für den Drittstaatentransfer – nicht nur für den essenziellen Datenaustausch zwischen den USA und der EU“, fordert Demel. „Für die Zukunft wird es entscheidend sein, dass mehr grundsätzliche sogenannte ‚Adäquanzentscheidungen‘ für wichtige Drittstaaten den Datenaustausch dauerhaft absichern und die Unternehmen von der Einzelfallprüfung befreien.“

Eines ist auch klar: Daten einfach ausschließlich in Europa zu verarbeiten, ist keine Lösung. Sie ist sowohl technisch als auch praktisch kaum umsetzbar. Vor allem für länderübergreifend oder global agierende Unternehmen und Organisationen mit Standorten in verschiedenen Regionen ist der Datenaustausch für die tägliche Arbeit essenziell. Zumal wenn die Verarbeitung in Europa in den Clouds amerikanischer oder chinesischer Anbieter stattfindet, die sich einem Verlangen ihrer Regierung nicht entziehen können. Weitere Informationen gibt es im „Verbändebrief zum Erhalt des internationalen Datentransfers nach Schrems II“.

Unternehmen und Behörden sollten allerspätestens jetzt auf das Schrems-II-Urteil reagieren, denn die Schonfrist scheint abgelaufen. Offenbar wollen die Datenschützer jetzt durchgreifen. Inzwischen hat auch der Europäische Datenschutzbeauftragte („EDSB“) hat Ermittlungen gegen Microsoft und Amazon aufgenommen. Und eine Taskforce der Datenschutzkonferenz (DSK) der Länder und des Bundes erarbeitet derzeit mehrere Fragenkataloge, mit denen ermittelt werden soll, ob Organisationen durch die Nutzung von US-Cloud-Diensten gegen EU-Recht verstoßen. Es drohen empfindliche Bußgelder.

Denn eines ist klar: Im Rahmen einer länderübergreifenden Kontrolle werden Datenübermittlungen durch Unternehmen in Staaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums (Drittstaaten) überprüft. Den Marketingaussagen der US-Cloud-Betreiber, durch Vertragsanpassungen seien ihre Angebote nun datenschutzkonform, können und dürfen IT-Chefs nicht vertrauen. Stattdessen sollten sie ihre Cloud-Strategien überdenken. Der Nürnberger Hoster ownCloud beispielsweise gibt dazu folgende Handlungsempfehlungen für Unternehmen und Behörden:

• sich Transparenz über alle Datenströme und Standorte der Datenverarbeitung und -speicherung verschaffen – das gilt auch für Subunternehmen der Anbieter.
• sich von den Anbietern der Cloud-Dienste Garantien geben lassen, dass ein mit der EU gleichwertiges Datenschutzniveau gewährleistet ist.
• prüfen, ob die dadurch gebotenen Garantien in der Praxis eingehalten werden können.
• wenn dies nicht möglich ist (wie es aufgrund des Cloud Act bei US-amerikanischen Cloud-Diensten die Regel sein wird), prüfen, welche zusätzlichen Schutzmaßnahmen wie Anonymisierung und Pseudonymisierung oder Verschlüsselung von personenbezogenen Daten getroffen werden können. Cloud Act steht kurz für „Clarifying Lawful Overseas Use of Data Act“ oder „Gesetz zur Regelung der rechtmäßigen Verwendung von Daten im Ausland“) und ist ein seit März 2018 bestehendes US-Gesetz, das Strafverfolgungsbehörden den direkten Zugang zu elektronischen Daten ermöglicht, die von Unternehmen in einem anderen Land gespeichert wurden.
• wenn keine datenschutzkonforme Nutzung eines US-Cloud-Dienstes möglich oder der Aufwand dafür unverhältnismäßig hoch ist, prüfen, ob es eine Alternative in Europa oder einem Drittland mit ausreichendem Schutzniveau gibt.
• prüfen, inwieweit schutzbedürftige Daten ohne Beeinträchtigung der Nutzerfreundlichkeit und Funktionalität in einer Private Cloud gespeichert werden können.

„Ein ‘Weiter so’ kann es jetzt nicht mehr geben. Organisationen müssen sich zumindest bei der Speicherung und Verarbeitung personenbezogener Daten Gedanken über Alternativen zu den US-Public-Clouds machen“, sagt Tobias Gerlinger, CEO von ownCloud. „So können sie beispielsweise Microsoft One Drive mit einem rechtskonformen Private-Cloud-Datenspeicher im Rechenzentrum ihrer Wahl ergänzen oder komplett ersetzen. Das reduziert nebenbei die Herstellerabhängigkeit und erhöht die unternehmerischen Freiheitsgrade, während es längerfristig die Kosten senkt.“

Bildquelle: Bitkom, ownCloud, Pete Linforth / Pixabay