„Gutgemeinter Selbstbetrug“ Gastkommentar zum gekippten Safe-Harbor-Abkommen

Andreas Gauger, Gründer von ProfitBricks, stellt das vom EuGH gekippte Safe-Harbor-Abkommen aus seiner Sicht dar. Seine Forderung: Unternehmen müssen jetzt handeln.

Anbieter zum Thema

VMware Global Inc Zweigndl. Deutschland

Fujitsu Technology Solutions GmbH

Insider Research

1&1 IONOS SE

Still ruhte der See. Bedächtig schwappte das Wasser an die Hafenmauer. Die Matrosen an Land und auf See wähnten sich lange in Sicherheit. Bislang ging die EU-Kommission davon aus, dass die Übertragung von Daten in die USA rechtmäßig ist, insofern dort ein vergleichbares Datenschutzniveau herrsche – ein sicherer Hafen, auch für deutsche Unternehmen. Mit der erklärten Ungültigkeit des Safe-Harbor-Abkommens durch die oberste europäische Gerichtsinstanz, den Europäischen Gerichtshof EuGH, sind nicht nur sämtliche Schiffe auf Grund gelaufen. Das Wasser im Hafenbecken wurde abgelassen.

Andreas Gauger, CMO und Gründer von ProfitBricks

Datenschutz-Unterschiede

Im Rückblick erscheint das Safe-Harbor-Abkommen wie ein gutgemeinter Selbstbetrug, der nur dazu diente, die systemimmanenten Unterschiede, die im Bezug auf den Datenschutz zwischen Europa und den USA herrschen, zu leugnen. Datenverarbeitende US-Unternehmen konnten sich den Safe-Harbor-Prinzipien unterwerfen und so ihre Kunden Glauben lassen, deren Daten ordnungsgemäß zu verarbeiten und zu speichern. Und was soll ich sagen? Kaum eines der bekannten US-amerikanischen Großunternehmen hat darauf verzichtet, dem Abkommen beizutreten. Auf diese Weise haben sie jahrelanges Bemühen unterminiert – Bemühen, das darauf abzielte, effektiv wirkende und juristisch saubere Datenschutznetze aufzuspannen.

Unternehmen müssen handeln

Die bittere Erkenntnis, dass US-Behörden jederzeit auf Daten zugreifen können, die sich in den Rechenzentren der europäischen Niederlassungen ihrer amerikanischen Mütter befinden – und das auch in großem Stil taten – kam einem Tsunami gleich. Das Entsetzen und gleichzeitig die juristische Hilflosigkeit, die sich dann breit machte, gleichen der rechtlichen Situation, in der wir uns heute befinden.

Unternehmen in Deutschland müssen jetzt handeln. Sie können theoretisch auf die Standardvertragsklauseln der EU oder Binding Corporate Rules zurückgreifen. Weit werden sie damit jedoch nicht kommen, bestehen gegen diese doch dieselben Bedenken wie gegen Safe Harbor. Kleinen und mittelgroßen Unternehmen wird es zudem nur sehr eingeschränkt möglich sein, große US-Unternehmen dazu zu bewegen, Individualvereinbarungen – sogenannte Auftragsdatenvereinbarungen (AVD) – hinsichtlich des Datenschutzes zu treffen.

Darin legen die Vertragspartner nach § 9 Bundesdatenschutzgesetz die zu treffenden technischen und organisatorischen Maßnahmen zum Schutz der Daten nach deutschen Datenschutzbestimmungen fest. Diese Individualvereinbarung sollte jedoch präzise und absolut vollständig formuliert sein, andernfalls drohen hohe Bußgelder. In der Theorie ist der Abschluss dieser AVD natürlich möglich, in der Praxis jedoch ein komplexes Unterfangen: Unternehmen müssen erst einmal einen Provider finden, der eine solche Individualvereinbarung mit ihnen abschließt und darüber hinaus sicherstellen, dass diese Vereinbarung sowohl wasserdicht ist, als auch vom Auftragnehmer eingehalten wird. Dabei dürfte es zur Zeit wohl kaum ein Unternehmen mit Hauptsitz in den USA geben, das – mit ganz wenigen Ausnahmen – die Daten seiner deutschen Kunden ordnungsgemäß speichert.

Sichere Alternative?

Die momentan einzig sichere Alternative aus meiner Sicht für deutsche Unternehmen ist es, ihre Daten einem deutschen Cloud-Anbieter anzuvertrauen, dessen Unternehmenszentrale und Rechenzentren sich in Deutschland befinden. Nur so gehen sie sicher, dass sie den strengen Vorgaben des Bundesdatenschutzgesetzes entsprechen. Qualitätsanbieter in der Cloud schaffen es darüber hinaus durchaus, ihren Kunden sichere, Cloud-basierte virtuelle Infrastrukturen einzurichten und sind flexibel genug, den Kunden vollkommene Kontrolle über ihre Daten zu belassen. Dem Datenschutz wird umfassend Genüge getan: Hier bleiben die Daten direkt an Land. Sie brauchen keinen Hafen.

Safe-Harbor-Urteil wirkungslos

Patriot Act & Co. konterkarieren EU-Rechtsprechung

Nachbericht Insider Talk „Cloud-Zertifikate“

Cloud-Zertifizierung, Transparenz und das Ende von Safe Harbor

(ID:43679208)