Seit dem 6. Oktober 2015 ist im Datenschutz nichts mehr, wie es war. An diesem Tag hat der Europäische Gerichtshof die Safe-Harbor-Entscheidung der EU-Kommission für ungültig erklärt. Für viele Unternehmen klingt das nach einer Nachricht aus Brüssel, die sie nichts angeht. Doch wer Daten in Cloud-Diensten von US-Anbietern speichert, ist mittendrin. Hier beantworten wir die wichtigsten Fragen zu den Folgen des Safe-Harbor-Urteils, so wie sie sich heute, gut eine Woche danach, darstellen.
Was war Safe Harbor überhaupt?
Nach europäischem und deutschem Datenschutzrecht dürfen personenbezogene Daten nur dann in Länder außerhalb der EU übermittelt werden, wenn dort ein angemessenes Datenschutzniveau besteht. Für die USA hat die EU-Kommission im Jahr 2000 eine Abkürzung geschaffen: US-Unternehmen konnten sich selbst zu bestimmten Datenschutzgrundsätzen verpflichten und sich in eine Liste eintragen. Wer mit einem solchen „Safe-Harbor-zertifizierten“ Unternehmen arbeitete, durfte von einem angemessenen Schutz ausgehen.
Auf diese Grundlage haben sich über Jahre unzählige Unternehmen verlassen, wenn sie E-Mail-Dienste, Online-Speicher, Newsletter-Tools, CRM-Systeme oder Videokonferenzen aus den USA genutzt haben.
Was hat der EuGH entschieden?
Ausgangspunkt war die Beschwerde des österreichischen Juristen Max Schrems gegen die Übermittlung seiner Facebook-Daten in die USA. Nach den Enthüllungen von Edward Snowden über die Überwachung durch US-Geheimdienste stellte er infrage, ob seine Daten dort angemessen geschützt sind. Der EuGH gab ihm im Kern recht:
- Die Safe-Harbor-Entscheidung der Kommission ist ungültig.
- US-Behörden können in großem Umfang auf Daten zugreifen, ohne dass Europäer sich wirksam dagegen wehren können.
- Die nationalen Datenschutzbehörden dürfen und müssen Beschwerden über Datenübermittlungen selbst prüfen, auch wenn die Kommission eine Entscheidung getroffen hat.
Eine Übergangsfrist hat das Gericht nicht festgelegt. Rein rechtlich ist Safe Harbor damit ab sofort keine tragfähige Grundlage mehr.
Welche Folgen hat das Urteil für Ihr Unternehmen?
Betroffen sind Sie, wenn Sie personenbezogene Daten an Dienstleister in den USA übermitteln oder dort speichern lassen und sich dabei allein auf Safe Harbor gestützt haben. Personenbezogen sind zum Beispiel Kundenadressen, E-Mail-Verteiler, Bewerbungsunterlagen, Mitarbeiterdaten oder Kontakte im Adressbuch.
Typische Dienste, die wir in Unternehmen finden:
| Art des Dienstes | Welche Daten? |
|---|---|
| Online-Speicher und Dateifreigabe | Dokumente, oft mit Kunden- und Personaldaten |
| E-Mail und Kalender in der Cloud | Korrespondenz, Kontakte, Termine |
| Newsletter-Versand | E-Mail-Adressen, Öffnungs- und Klickverhalten |
| CRM und Vertriebssoftware | Kunden- und Interessentendaten |
| Webanalyse | Nutzungsdaten der Websitebesucher |
| Videokonferenzen und Chat | Namen, Inhalte, Verbindungsdaten |
Welche Alternativen gibt es?
Das Bundesdatenschutzgesetz und die EU-Datenschutzrichtlinie kennen weitere Wege, Daten in Drittländer zu übermitteln. Die wichtigsten:
EU-Standardvertragsklauseln
Die EU-Kommission hat Musterverträge veröffentlicht, die Sie mit dem Dienstleister abschließen können. Viele große Anbieter bieten diese Klauseln bereits an oder haben angekündigt, dies zu tun. Allerdings: Die Begründung des EuGH betrifft den Zugriff von US-Behörden, und daran ändert ein Vertrag zwischen zwei Unternehmen wenig. Erste Stimmen aus den Aufsichtsbehörden äußern bereits Zweifel, ob die Klauseln dauerhaft tragen. Für den Moment sind sie trotzdem der naheliegende Weg.
Verbindliche Unternehmensregeln
Für konzerninterne Übermittlungen gibt es sogenannte Binding Corporate Rules, die von den Behörden genehmigt werden müssen. Für kleine und mittlere Unternehmen spielen sie praktisch keine Rolle.
Einwilligung der Betroffenen
In Einzelfällen kann eine ausdrückliche Einwilligung helfen. Für Mitarbeiterdaten oder große Kundenbestände ist das kaum praktikabel, und eine Einwilligung kann jederzeit widerrufen werden.
Anbieter mit Rechenzentrum in Europa
Die sauberste Lösung ist oft ein Dienst, der Daten in der EU oder in Deutschland verarbeitet und keinem Zugriff aus den USA unterliegt. Schauen Sie dabei genau hin: Ein europäisches Rechenzentrum eines US-Konzerns ist nicht automatisch dasselbe wie ein europäischer Anbieter.
Was Sie jetzt konkret tun sollten
- Bestandsaufnahme: Listen Sie alle Cloud-Dienste und Dienstleister auf, die Daten in den USA verarbeiten. Fragen Sie auch in den Fachabteilungen nach, denn dort werden oft Tools ohne Wissen der IT genutzt.
- Rechtsgrundlage prüfen: Haben Sie mit den Anbietern Standardvertragsklauseln vereinbart, oder lief bisher alles über Safe Harbor?
- Anbieter ansprechen: Fragen Sie schriftlich nach, wie der Anbieter auf das Urteil reagiert und welche Verträge er anbietet.
- Alternativen bewerten: Gibt es für besonders sensible Daten einen gleichwertigen Dienst mit Speicherort in Europa?
- Dokumentieren: Halten Sie fest, was Sie geprüft und entschieden haben. Das zeigt im Ernstfall, dass Sie das Thema ernst genommen haben.
- Entwicklungen verfolgen: Die Aufsichtsbehörden werden sich in den kommenden Wochen äußern, und zwischen EU und USA wird bereits seit Längerem über ein Nachfolgeabkommen verhandelt.
Panik oder Gelassenheit?
Weder noch. Niemand muss morgen alle Cloud-Dienste abschalten. Aber wer das Thema ignoriert, geht ein Risiko ein, das sich mit überschaubarem Aufwand verringern lässt. Gerade für kleine Unternehmen ist jetzt ein guter Zeitpunkt, die eigene IT-Landschaft einmal ehrlich anzuschauen. Oft stellt sich heraus, dass Dienste genutzt werden, die längst niemand mehr braucht.
Unser Rat: Konzentrieren Sie sich zuerst auf die Dienste mit den sensibelsten Daten, also Personalunterlagen, Gesundheitsdaten und große Kundenbestände. Dort lohnt der Umstieg auf einen europäischen Anbieter am ehesten.
Wir helfen Ihnen gerne
Sie möchten wissen, welche Ihrer Dienste vom Safe-Harbor-Urteil betroffen sind? Das Datenschutz-Team der Mittelstandsoptimierer unterstützt Sie bei der Bestandsaufnahme, prüft Verträge und zeigt Alternativen auf. Rufen Sie uns an unter 06131 144928-0.
Herzliche Grüße aus Mainz
