Neun Monate nach dem Aus für Safe Harbor gibt es einen Nachfolger: Am 12. Juli 2016 hat die EU-Kommission den sogenannten Privacy Shield beschlossen. Er soll die Übermittlung personenbezogener Daten in die USA wieder auf eine sichere rechtliche Grundlage stellen. Für Unternehmen, die Cloud-Dienste, Newsletter-Tools oder Software von US-Anbietern nutzen, ist das eine wichtige Nachricht. Aber ist damit alles wieder gut? Wir ordnen ein.
Kurz zur Erinnerung: Was war passiert?
Im Oktober 2015 hat der Europäische Gerichtshof die Safe-Harbor-Entscheidung für ungültig erklärt. Der Hauptgrund: US-Behörden konnten weitgehend ungehindert auf die Daten von Europäern zugreifen, und Betroffene hatten keine wirksamen Rechtsmittel. Seitdem mussten sich Unternehmen mit anderen Instrumenten behelfen, meist mit den EU-Standardvertragsklauseln. Parallel haben EU und USA über ein neues Abkommen verhandelt, dessen Grundzüge Anfang Februar vorgestellt wurden.
Was regelt der Privacy Shield?
Der Privacy Shield funktioniert im Grundsatz ähnlich wie Safe Harbor: US-Unternehmen verpflichten sich gegenüber dem US-Handelsministerium, bestimmte Datenschutzgrundsätze einzuhalten, und werden in eine öffentliche Liste aufgenommen. Neu bzw. verschärft sind unter anderem:
- Strengere Pflichten für teilnehmende Unternehmen, etwa zur Information der Betroffenen, zur Zweckbindung und zur Weitergabe an Dritte.
- Bessere Kontrolle: Das US-Handelsministerium soll die Einhaltung aktiv überwachen, Verstöße können zur Streichung von der Liste führen.
- Beschwerdewege für Europäer: Betroffene können sich an das Unternehmen, an ihre nationale Datenschutzbehörde oder an eine Schlichtungsstelle wenden.
- Zusicherungen zum Behördenzugriff: Die US-Regierung hat schriftlich zugesagt, dass der Zugriff von Sicherheitsbehörden Grenzen und Kontrollen unterliegt.
- Eine Ombudsperson im US-Außenministerium, die Beschwerden über den Zugriff durch Nachrichtendienste bearbeiten soll.
- Jährliche Überprüfung des Abkommens durch EU-Kommission und US-Handelsministerium.
Ab wann gilt das?
Der Beschluss der Kommission ist gefasst. US-Unternehmen können sich nach den bisherigen Ankündigungen ab dem 1. August 2016 beim US-Handelsministerium zertifizieren lassen. Erst wenn Ihr Dienstleister auf der Privacy-Shield-Liste steht, können Sie sich auf das Abkommen stützen. Bis dahin bleibt alles, wie es ist.
Die Kritik: Hält der Privacy Shield vor Gericht?
Ehrlicherweise müssen wir sagen: Das ist offen. Datenschützer und Bürgerrechtsorganisationen haben bereits Zweifel angemeldet. Auch die europäischen Datenschutzbehörden hatten im Frühjahr zu einem Entwurf deutliche Bedenken geäußert, unter anderem zur Massenüberwachung und zur Unabhängigkeit der Ombudsperson. Es ist gut möglich, dass das Abkommen erneut vor dem Europäischen Gerichtshof landet. Wie das ausgeht, kann heute niemand vorhersagen.
Auch die Standardvertragsklauseln, auf die viele Unternehmen seit dem Safe-Harbor-Urteil setzen, stehen in der Diskussion. Absolute Rechtssicherheit für Datenübermittlungen in die USA gibt es im Moment also auf keinem Weg.
Die Optionen im Vergleich
| Grundlage | Vorteil | Risiko |
|---|---|---|
| Privacy Shield | einfach, wenn der Anbieter zertifiziert ist | mögliche gerichtliche Überprüfung |
| EU-Standardvertragsklauseln | etabliert, von vielen Anbietern angeboten | ebenfalls in der Diskussion |
| Einwilligung der Betroffenen | im Einzelfall möglich | jederzeit widerrufbar, für Massendaten ungeeignet |
| Anbieter mit Datenverarbeitung in der EU | kein Drittlandtransfer | Zugriffsmöglichkeiten der Konzernmutter prüfen |
Was Unternehmen jetzt tun sollten
- Liste der US-Dienste aktualisieren: Welche Anbieter verarbeiten personenbezogene Daten in den USA? Wer seit dem Safe-Harbor-Urteil eine Liste geführt hat, ist im Vorteil.
- Anbieter fragen: Plant der Dienstleister eine Zertifizierung nach Privacy Shield, und wann?
- Ab August die Liste prüfen: Steht der Anbieter tatsächlich auf der offiziellen Privacy-Shield-Liste, und deckt die Zertifizierung die Art von Daten ab, die Sie übermitteln?
- Bestehende Verträge nicht vorschnell kündigen: Standardvertragsklauseln können zusätzlich bestehen bleiben, doppelt hält in diesem Fall besser.
- Alternativen für sensible Daten erwägen: Für Personal-, Gesundheits- oder große Kundendaten bleibt ein Anbieter mit Datenverarbeitung in der EU die entspanntere Lösung.
- Entscheidungen dokumentieren: Halten Sie fest, auf welcher Grundlage Sie welchen Dienst nutzen.
Ein Beispiel aus dem Alltag
Nehmen wir einen typischen Fall: Ein Mainzer Handwerksbetrieb verschickt seinen Kundennewsletter über einen Dienst aus den USA. Bis Oktober 2015 hat er sich, ohne es zu wissen, auf Safe Harbor verlassen. Danach hat er im besten Fall mit dem Anbieter Standardvertragsklauseln vereinbart. Jetzt sollte er nachfragen, ob der Anbieter sich nach Privacy Shield zertifiziert, und ab August prüfen, ob er auf der Liste auftaucht. Gleichzeitig lohnt der Blick auf europäische Newsletter-Dienste, denn für eine reine E-Mail-Liste ist der Wechsel oft mit wenig Aufwand verbunden.
Genau diese Abwägung, Aufwand gegen Risiko, sollten Sie für jeden Dienst einmal bewusst treffen.
Blick nach vorn: Die Datenschutz-Grundverordnung
Seit Mai ist die EU-Datenschutz-Grundverordnung in Kraft. Sie gilt ab dem 25. Mai 2018 verbindlich und bringt unter anderem höhere Bußgelder und strengere Nachweispflichten. Dann müssen Sie auch für Datenübermittlungen in Drittländer belegen können, auf welcher Grundlage sie erfolgen. Wer seine US-Dienste jetzt sauber sortiert, erledigt damit gleich einen Teil der Vorbereitung.
Unser Fazit
Der Privacy Shield ist ein Fortschritt gegenüber der Unsicherheit der letzten Monate, aber keine Garantie. Nutzen Sie ihn, wo er passt, behalten Sie die Entwicklung im Auge und setzen Sie bei besonders sensiblen Daten auf Lösungen, die gar nicht erst über den Atlantik müssen.
Wir helfen Ihnen gerne
Sie möchten wissen, welche Ihrer US-Dienste Sie weiter nutzen können und auf welcher Grundlage? Das Datenschutz-Team der Mittelstandsoptimierer prüft Ihre Dienstleister und Verträge und bereitet Sie auf die Datenschutz-Grundverordnung vor. Rufen Sie uns an unter 06131 144928-0.
Herzliche Grüße aus Mainz
