Der aktuelle Stand beim Datenschutz zwischen der EU und den USA Datenverarbeitung in US-amerikanischen Unternehmen und der Datenschutz

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Fujitsu Technology Solutions GmbH

Insider Research

Etliche Unternehmer und Anwender befürchten Datenspionage bei der Beauftragung von US-amerikanischen Unternehmen, wenn die Daten nicht direkt in der EU verarbeitet werden. Auch bei der Beauftragung von Cloud-Diensten durch deutsche Unternehmen kommt die Frage nach dem Datenschutz immer wieder auf.

Deutsche Unternehmen sind an die DSGVO/GDPR gebunden und müssen sicherstellen, dass personenbezogene Daten geschützt sind. Das gilt auch dann, wenn sie diese Daten in die Cloud geben und damit an einen Cloud-Anbieter oder anderen Dienstleister. US-Unternehmen können ihren Kunden aber einen Teil der Bedenken nehmen, indem sie vertraglich bestätigen, dass sie Daten nur in der EU verarbeiten. Oder auf anderen Wegen sicherstellen, dass sie sich in jedem Fall an die Datenschutz-Grundverordnung halten.

Allerdings dürfen US-amerikanische Behörden im Bedarfsfall auch auf in der EU gespeicherte Daten zugreifen. Ein Serverstandort in der EU schützt US-Unternehmen nicht vor Gesetzen aus den USA. Derzeit wird eine datenschutzkonforme Übermittlung von Daten in die USA über den Abschluss von EU-Standardvertragsklauseln gesteuert.

Der EUGH hat in seinem Urteil zum EU-U.S. Privacy Shield dazu angemerkt, dass diese Vertragsklauseln weiterhin für ein angemessenes Datenschutzniveau sorgen. Unternehmen müssen für zusätzlichen Schutz sorgen, damit unbefugte Personen nicht auf personenbezogene Daten zugreifen können. So lassen sich Daten auch gemäß DSGVO schützen. Dabei gibt aber einiges zu beachten.

USA-Datenschutz wird aktuell stark erweitert

Inzwischen existieren in zahlreichen Ländern strenge Datenschutzvorgaben. Die Europäische Union ist sicherlich einer der Vorreiter, wenn es um den Schutz von Daten geht, aber andere Nationen ziehen nach. Ein Beispiel dafür ist der California Consumer Privacy Act (CCPA) in den Vereinigten Staaten. Häufig lassen sich Überschneidungen mit anderen Gesetzen und Regularien nutzen, um zumindest grundlegende Sicherheit zu erreichen.

Derzeit befindet sich in den USA der American Data Privacy and Protection Act (ADPPA) im Gesetzgebungsverfahren. Hierbei handelt es sich um eine starke Verschärfung des bisherigen Datenschutzes, vergleichbar mit der DSGVO. Der ADPPA wird aber frühestens ab 2025 für alle Unternehmen bindend – wenn das Gesetz bis Ende 2022 vom US-Präsidenten unterschrieben wird.

Transatlantic Data Privacy Framework – Privacy Shield 2.0

Der Transatlantische Rahmen für den Datenschutz (Transatlantic Data Privacy Framework) soll in Zukunft dazu beitragen, die Daten von EU-Bürgern von US-amerikanischen Geheimdiensten fernzuhalten, sofern eine Offenlegung nicht unbedingt erforderlich ist. Der Transatlantische Datenschutzrahmen (TDPA) ist ein neues rechtliches Abkommen zwischen der EU und den USA, welches den EU-US Privacy Shield ersetzen soll. Deshalb wird es oft auch als Privacy Shield 2.0 bezeichnet. Der Rahmen ist aktuell allerdings noch nicht bindend umgesetzt.

Der Schutz persönlicher Daten ist in den USA ein Rechtsobjekt. Während in der EU der Datenschutz ein Grundrecht darstellt, ist er in den USA Teil des Verbraucherschutzrechtes. Die Herangehensweisen sind unterschiedlich, dennoch haben Verbrauche Rechte, die durch Aufsichtsbehörden kontrolliert und umgesetzt werden können. In den USA übernimmt diese Rolle die Federal Trade Commission (FTC).

Eingriffe von anderen Unternehmen gibt es generell weder in den USA noch in der EU. In Vertragsklauseln zwischen Kunden und Anbietern aus den USA lässt sich daher ein durchaus solider Datenschutz gewährleisten. Und: Diese Form des Datenschutzes ist deutlich stärker bindend für die Einhaltung der DSGVO als die Speicherung der Daten in der EU. Dies kann zusätzlicher Bestandteil des Vertrages sein, sorgt aber für sich alleine genommen zunächst nicht für mehr Datenschutz.

Datenschutzrichtlinien sind auch in den USA bindend

Grundsätzlich schützen die verschiedenen Datenschutzvorgaben in den USA ebenfalls die Daten der Bürger. Ein Data Subject Access Request (DSAR) ist zum Beispiel der Antrag eines Bürgers auf Einsicht in die über ihn gespeicherten Daten. Diesen gibt es in der DSGVO/GDPR und der CCPA. Kommt es zu einem Datenleck, müssen Unternehmen die betroffenen Kunden darüber informieren.

Im Gegensatz zur EU ist der Datenschutz in den USA zwar (noch) nicht einheitlich geregelt. Der American Data Privacy and Protection Act (ADPPA) soll das zukünfig ändern. Der Kongress hat ihn bereits bestätigt, nun fehlt nur noch die Zustimmung des US-Repräsentantenhauses und die Unterschrift des US-Präsidenten. Bis Unternehmen den ADPPA allerdings bindend umsetzen müssen, werden noch Jahre vergehen.

Der US-Cloud Act gestattet US-Behörden auf Daten zuzugreifen, wenn ein Unternehmen seinen Sitz in den USA hat. Das geht auch ohne richterliche Anordnungen. Dabei spielt es keine Rolle, ob die Daten außerhalb der USA gespeichert sind, der US-Cloud Act betrifft den Sitz des Unternehmens. Unternehmen können ihre Kunden darüber informieren und zudem juristisch gegen die Herausgabe vorgehen.

Wenn Unternehmen aus den USA ihren Kunden Zusicherungen bezüglich des Datenschutzes machen und diese vertraglich hinterlegen, sind diese aber gültig. Halten sich Unternehmen nicht an die jeweiligen Vorgaben, können sie juristisch belangt werden. Das heißt, Unternehmen aus den EU sollten die Datenschutzklauseln in den Verträgen prüfen und nicht nur darauf beharren, dass die Daten ausschließlich in der EU verarbeitet werden.

Zusätzlich gibt es in den USA branchenspezifische Regeln, in ebenfalls den Schutz der Daten gewährleisten sollen. Dieser Schutz gilt für Wirtschaft und Handel ebenso wie für das Gesundheitswesen. Hier kann die jeweilige Aufsichtsbehörde, genauso wie in der EU, eingreifen und die Umsetzung der Vorschriften durchsetzen. In diesem Zusammenhang können die Regulierungsbehörden auf beiden Seiten des Atlantiks die Einhaltung der Richtlinien kontrollieren und hohe Strafen verhängen. Auch diese Klauseln sollten Kunden aus der EU für den jeweiligen Verband prüfen.

eBook zum Thema

Cloud-Datenschutz

Viele Unternehmen haben Daten während der Pandemiezeit kurzfristig in die Cloud migriert. Dabei sind Datenschutz und Datensicherheit mitunter in den Hintergrund gerückt, ein Umstand, der sich schnell ändern muss. Dieses eBook zeigt den aktuellen Status Quo beim Cloud-Datenschutz:

• Datenschutz für den Weg in die Cloud
• Die Verschlüsselung gehört zum Cloud-Datenschutz
• Die Frage nach Nachweisen im Cloud-Datenschutz

Jetzt eBook „Cloud-Datenschutz“ downloaden

NIS2 und IT-Sicherheitsgesetz 2.0

Wenn Kunden aus der EU Geschäftsbeziehungen mit Unternehmen aus den USA eingehen, gelten verschiedene Datenschutzvorgaben. Mit der „Richtlinie zur Netz- und Informationssicherheit 2“ (NIS2) will die EU den Datenschutz und die Cybersicherheit in dieser Hinsicht weiter verbessern. Durch NIS2 erhöht sich das Cybersicherheits-Niveau in der EU nochmals. Die NIS2-Richtlinie erfasst auch Anbieter elektronischer Kommunikationsdienste und digitaler Dienste. Und sie verschärft die Sicherheitsvorschriften für alle internationalen Unternehmen, die Geschäfte mit Bürgern oder Unternehmen aus der EU abschließen. Bei Nichteinhaltung drohen auch hier strenge Sanktionen.

Parallel dazu ist in Deutschland mittlerweile das IT-Sicherheitsgesetz 2.0 gültig. Es gibt dem Bundesamt für Sicherheit in der Informationstechnik, BSI, mehr Handhabe bei der Überprüfung von Datenschutz und Datensicherheit. Zudem gewährleistet das Gesetz, dass international tätige Unternehmen die personenbezogenen Daten ihrer Mitarbeiter, Kunden, Lieferanten und Partner schützen müssen. Aber: Auch das IT-Sicherheitsgesetz 2.0 schützt nicht vor dem Zugriff durch Behörden aus den USA. Allerdings gilt der Transatlantische Datenschutzrahmen im Grundsatz als vereinbart und wird derzeit in eine Rechtsform gegossen – welche dann als Executive Order von Präsident Joe Biden erlassen werden soll.

Verträge mit Standardklauseln geben Sicherheit

Das EU-US-Privacy-Shield-Rahmenwerk wird aktuell weiterhin angewendet. Allerdings reicht es nicht aus, um die vollständige Einhaltung der DSGVO zu gewährleisten. Dies lässt sich durch die Erweiterung von Verträgen mit Standardklauseln (SCCs) und ergänzenden Maßnahmen aber ändern. Rechtlichen Abkommen dieser Art, die zwischen Kunden aus der EU und Unternehmen aus den USA geschlossen werden, gewährleisten, dass die DSGVO eingehalten wird.

Sobald der Transatlantische Datenschutzrahmen abgeschlossen ist, kehrt wieder (etwas) mehr Sicherheit ein, was den verbindlichen Datenschutzrahmen anbelangt. Standardklauseln werden aber auch in Zukunft relevant sein. Sie sorgen dafür, dass auch ein Dienstleister aus den USA an die Datenschutz-Grundverordnung gebunden ist.

Europäische Unternehmen sollten sich allerdings nicht blind auf den TDPA-Rahmen verlassen, da Unternehmen sich selbst zertifizieren können. Nur zusätzlich vereinbarte, vertragliche Rahmenbedingungen gewährleisten vollständigen Schutz. Und die betreffenden Klauseln sind eine gute Basis, die mit der Ratifizierung des TDPA-Rahmenwerks weiter gestärkt wird.

Europäische Unternehmenskunden sollten sich die entsprechenden Vertragsklauseln genau anschauen und darauf achten, dass diese zu den anerkannten SCCs der EU gehören. Das sorgt, in Verbindung mit der vertraglichen Zusicherung, dass die Daten in der EU verbleiben, für maximalen Datenschutz.

* Der Autor Robert den Drijver ist Vice President EMEA & Global Head of B2B2C der Vipre Security Group.

(ID:48734888)