Drei Jahre lang war die Antwort auf die Frage „Dürfen wir US-Dienste nutzen?“ ein unbefriedigendes „Ja, aber …“. Seit dem 10. Juli gibt es eine neue Grundlage: Die EU-Kommission hat das EU-US Data Privacy Framework beschlossen, einen neuen Angemessenheitsbeschluss für Datenübermittlungen in die USA. Sind Microsoft, Google, Zoom und Co. damit wieder sicher? Wir erklären, was sich geändert hat, was Sie jetzt tun sollten und warum wir trotzdem nicht alle Vorsicht über Bord werfen würden.
Die Vorgeschichte in drei Sätzen
2015 kippte der Europäische Gerichtshof das Safe-Harbor-Abkommen, 2020 dessen Nachfolger Privacy Shield („Schrems II“). Seitdem stützten sich die meisten Unternehmen auf Standardvertragsklauseln und mussten zusätzlich prüfen, ob die Daten in den USA ausreichend geschützt sind. Das war aufwendig und ließ viele Fragen offen.
Was ist das EU-US Data Privacy Framework?
Das Data Privacy Framework (DPF) ist ein Angemessenheitsbeschluss der EU-Kommission. Er stellt fest, dass US-Unternehmen, die sich dem Framework angeschlossen haben, ein angemessenes Datenschutzniveau bieten. Übermittlungen an diese Unternehmen sind damit ohne weitere Garantien wie Standardvertragsklauseln möglich, ähnlich wie Übermittlungen innerhalb der EU.
Die wichtigsten Bausteine:
- Selbstzertifizierung: US-Unternehmen müssen sich beim US-Handelsministerium zertifizieren und verpflichten sich auf bestimmte Datenschutzgrundsätze. Es gilt nicht automatisch für jedes US-Unternehmen.
- Öffentliche Liste: Welche Unternehmen teilnehmen, steht auf der offiziellen Website des Frameworks.
- Grenzen für Geheimdienste: Grundlage ist eine Anordnung des US-Präsidenten vom Oktober 2022. Zugriffe von US-Behörden sollen auf das Notwendige und Verhältnismäßige beschränkt werden.
- Rechtsbehelf: EU-Bürger können sich über ihre nationale Datenschutzbehörde beschweren. In den USA wurde dafür ein neues Gericht zur Überprüfung, der Data Protection Review Court, geschaffen.
- Überprüfung: Die EU-Kommission will das Funktionieren des Frameworks regelmäßig überprüfen, das erste Mal nach einem Jahr.
Data Privacy Framework: Was sich für Ihr Unternehmen ändert
| Situation | Bisher | Mit dem DPF |
|---|---|---|
| US-Anbieter ist DPF-zertifiziert | Standardvertragsklauseln plus Prüfung des Schutzniveaus | Übermittlung auf Grundlage des Angemessenheitsbeschlusses möglich |
| US-Anbieter ist nicht zertifiziert | Standardvertragsklauseln plus Prüfung | Weiterhin Standardvertragsklauseln, die Prüfung dürfte durch die neuen US-Regeln aber leichter fallen |
| Anbieter verarbeitet Daten in Ihrem Auftrag | Auftragsverarbeitungsvertrag nötig | Auftragsverarbeitungsvertrag weiterhin nötig, daran ändert das DPF nichts |
| Einwilligung, Informationspflichten, Zweckbindung | DSGVO gilt | DSGVO gilt unverändert |
Das DPF löst also nur ein Problem: die Übermittlung in ein Drittland. Alle anderen Pflichten der DSGVO bleiben bestehen. Ein Tracking-Tool, das ohne Einwilligung läuft, wird durch das DPF nicht plötzlich zulässig.
Vorsicht bei Unterauftragnehmern
Ein Punkt, der gern übersehen wird: Auch Ihr deutscher oder europäischer Dienstleister kann Daten in die USA übermitteln, etwa weil er für Support, E-Mail-Versand oder Hosting US-Unterauftragnehmer einsetzt. Ein Blick in die Liste der Unterauftragsverarbeiter, die zu jedem Auftragsverarbeitungsvertrag gehört, zeigt Ihnen, wo das der Fall ist. Auch dort gilt: Ist der Unterauftragnehmer zertifiziert, wird die Sache einfacher.
Ist das Framework sicher? Unsere ehrliche Einschätzung
Die rechtliche Lage ist besser als in den letzten drei Jahren, das ist die gute Nachricht. Die weniger gute: Der österreichische Datenschutzaktivist Max Schrems und seine Organisation noyb haben bereits angekündigt, gegen das Framework vorzugehen. Sie halten die Änderungen auf US-Seite für nicht ausreichend. Ob der Europäische Gerichtshof das Framework irgendwann ein drittes Mal kippt, weiß heute niemand. Bis zu einer Entscheidung dürfte allerdings einige Zeit vergehen.
Für die Praxis heißt das: Nutzen Sie das DPF, aber bauen Sie nicht Ihre ganze IT-Strategie darauf, dass es für immer hält.
Ihre To-do-Liste für die nächsten Wochen
- Liste der US-Dienste aktualisieren: Welche Anbieter mit Sitz in den USA nutzen Sie direkt oder als Unterauftragnehmer Ihrer Dienstleister?
- Zertifizierung prüfen: Schauen Sie auf der offiziellen DPF-Liste nach, ob der Anbieter teilnimmt, und zwar mit der richtigen Gesellschaft und für die richtigen Datenarten. Gerade bei großen Konzernen ist das manchmal kleinteilig.
- Dokumentation anpassen: Im Verzeichnis der Verarbeitungstätigkeiten die Rechtsgrundlage für die Übermittlung aktualisieren.
- Datenschutzerklärung überarbeiten: Viele Website-Datenschutzerklärungen enthalten noch Hinweise auf den Privacy Shield oder „unsicheres Drittland“. Das sollte auf den aktuellen Stand gebracht werden.
- Standardvertragsklauseln behalten: Bestehende Klauseln nicht kündigen. Viele Anbieter verwenden sie zusätzlich, das ist ein sinnvolles Sicherheitsnetz, falls das DPF fällt.
- Sensible Daten weiter bewusst behandeln: Für Gesundheitsdaten, Personalakten oder Geschäftsgeheimnisse würden wir weiterhin europäische Speicherorte und Verschlüsselung bevorzugen.
Kurz gefragt
Müssen wir jetzt alles neu verhandeln? Nein. In den meisten Fällen geht es um Prüfen und Dokumentieren, nicht um neue Verträge.
Gilt das auch für die Schweiz und Großbritannien? Nein, das DPF betrifft Übermittlungen aus dem Europäischen Wirtschaftsraum. Für die Schweiz und Großbritannien gibt es eigene Regelungen.
Was passiert, wenn ein Anbieter seine Zertifizierung verliert? Dann entfällt die Grundlage für diesen Anbieter. Ein jährlicher Blick in die Liste schadet also nicht.
Unser Fazit
Das EU-US Data Privacy Framework bringt Rechtssicherheit, zumindest für den Moment. Für Unternehmen ist es eine echte Erleichterung bei Cloud-Diensten, Videokonferenzen und Software aus den USA. Wer jetzt sauber dokumentiert und seine Standardvertragsklauseln als Plan B behält, ist gut aufgestellt, egal wie die Geschichte weitergeht.
Wir helfen Ihnen gerne
Sie möchten Ihre US-Dienste prüfen und Ihre Datenschutzdokumentation sowie die Datenschutzerklärung Ihrer Website auf den neuen Stand bringen? Das Datenschutz-Team der Mittelstandsoptimierer unterstützt Sie dabei. Rufen Sie uns an: 06131 144928-0.
Herzliche Grüße aus Mainz
