Internationaler Datenverkehr

Weltweiter Handel macht auch internationalen Datenverkehr (inkl. Datentransfer, Datenspeicherung und Datenverarbeitung) notwendig. Doch wenn Unternehmen personenbezogene Daten über Landesgrenzen hinweg übertragen bzw. konzernintern verarbeiten, sind bestimmte nationale Gesetze zum Datenschutz sowie internationale Abkommen zu beachten. Die Experten der activeMind AG erklären wie datenschutzkonformer internationaler Datenverkehr funktioniert (oder helfen direkt bei Erstellung und Implementierung von Binding Corporate Rules):

Beiträge

Wieder einmal wollen Behörden in den USA den vollen Zugriff auf Kundendaten von US-Unternehmen – auch wenn diese Daten in Rechenzentren in Europa gespeichert sind. Der oberste Gerichtshof der Vereinigten Staaten muss nun entscheiden, ob dies rechtens ist. Falls er den Zugriff auf die Daten für legitim erklärt, hätte dies katastrophale datenschutzrechtliche Auswirkungen.

Der Transfer personenbezogener Daten an einen Dienstleister in einem sogenannten unsicheren Drittstaat bedarf zusätzlich zur Transfergrundlage einer eigenen Datenschutzgarantie. Für US-Dienstleister kann hier seit dem 1. August 2016 auf das EU-US-Privacy-Shield zurückgegriffen werden, sofern sich der gewünschte Dienstleister (bereits) entsprechend verpflichtet hat. Für datenverarbeitende Dienstleister in anderen unsicheren Drittländern wie z. B. China oder Indien muss auch weiterhin auf die sogenannten EU-Standardvertragsklauseln zurückgegriffen werden. Der Beitrag zeigt auf, in welchen Konstellationen ein Abschluss der Klauseln möglich und sinnvoll ist und was dabei insbesondere aus deutscher Sicht zu beachten ist.

Nachdem die Verabschiedung der EU-Datenschutz-Grundverordnung in Europa bereits viel Aufmerksamkeit auf sich zog, werden auch andere Regionen auf die neuen Vorschriften zum Datenschutz aufmerksam. Vor allem Artikel 3 der Datenschutz-Grundverordnung, der deren Anwendungsbereich auch auf Unternehmen erweitert, die keine Niederlassung in Europa haben, führt zu viel Aufregung, wie eine Präsentation der activeMind AG in Hongkong zeigte.

Wie stark nutzen US-amerikanische Behörden eigentlich ihr Recht, personenbezogene Daten von Unternehmen zu kontrollieren? Angesichts der spektakulären Entscheidung des Europäischen Gerichtshofs (EuGH), den Datentransfer in die USA auf Grundlage des Safe-Harbor-Abkommens für unwirksam zu erklären, gewinnt diese Frage neue Brisanz. Immerhin führte das Gericht die massenhaften und unkontrollierten Überprüfungsaktivitäten US-amerikanischer Behörden als wichtiges Argument an. Denn dies sei nicht mit den datenschutzrechtlichen Regelungen der EU vereinbar, so der EuGH. Wie aktuelle Veröffentlichungen zeigen, lag der Gerichtshof mit seiner Urteils-Begründung noch näher an der Realität, als zu befürchten war.

Am 2. Juni 2015 einigte sich der US-Senat auf den Freedom Act, eine gesetzliche Regelung, die Teile des abgelaufenen Patriot Acts ablöst. Die Neufassung unter anderem der Teile, die die Telekommunikationsdaten und ihre Überwachung betreffen, war notwendig geworden, um der amerikanischen Öffentlichkeit nach den Enthüllungen Edward Snowdens das Vertrauen in ihre Behörden wiederzugeben. Gemäß dem Freedom Act dürfen amerikanische Behörden (z. B. die NSA) nicht mehr massenhaft Daten von Betroffenen sammeln. Vor dem Hintergrund der vernichtenden Entscheidung des EuGH über das Safe-Harbor-Abkommen stellt sich nun für Unternehmen die Frage, ob durch den Freedom Act der internationale Datentransfer zwischen EU-Staaten und den USA ermöglicht, bzw. erleichtert wird?

Die Verarbeitung von personenbezogenen Daten unterliegt erheblichen Beschränkungen durch die Datenschutzgesetze. Für Unternehmen ist deshalb die Beseitigung des Personenbezugs von Daten ein interessanter Weg, weil hierdurch bestimmte Vorschriften wie beispielsweise die Zweckbindung der Datenverarbeitung oder die Einhaltung von Löschpflichten entfallen oder aber die Verarbeitung sonst erleichtert werden kann. Ein prominentes Einsatzgebiet ist die Weitergabe von Daten an Cloud-Dienstleister außerhalb Europas, insbesondere nach dem Wegfall von Safe Harbor. Zur Entfernung des Personenbezugs existieren verschiedene Möglichkeiten, deren Einsatz jedoch stets eine gründliche Planung erfordert. Im Folgenden erläutern wir die wichtigsten Methoden.

Konzerne sind meist auf eine konzernweite IT-Infrastruktur, beispielsweise ein ERP- oder CRM-System, angewiesen. Die große Herausforderung besteht darin, einen aus Sicht des Datenschutzes rechtskonformen Einsatz zu gewährleisten, ohne dabei größeren technischen oder organisatorischen Aufwand zu erzeugen oder den Datentransfer zu beschränken. Ein geeignetes Mittel dafür kann eine Betriebsvereinbarung sein, deren Form und Inhalte hier erläutert werden.

Derzeit erregen die Diskussionen über das Transatlantische Freihandelsabkommen (Transatlantic Trade and Investment Partnership, TTIP) die Gemüter. Das Abkommen soll Handelshemmnisse reduzieren, sieht sich jedoch vielen Widersachern ausgesetzt. Zahlreiche Unterschriftenlisten, Demonstrationen und Petitionen sollen das Zustandekommen verhindern. Möglicherweise wird nun ausgerechnet der Datenschutz ein entscheidendes Hindernis auf dem Weg zum Freihandelsabkommen.

Nach erfolgreichem Abschluss einiger Verfahren zur Genehmigung von Binding Corporate Rules (BCR) hat das Bayerische Landesamt für Datenschutz nun im Rahmen des Jahresberichts für das Jahr 2013/14 einige Erfahrungen veröffentlicht, die es im Rahmen der Verfahren machen konnte. An dieser Stelle möchten wir Ihnen daher kurz darstellen, zu welchen Problemen es in diesen BCR-Verfahren gekommen ist und wie diese vermieden werden können.

Obwohl die USA zu den unsicheren Drittländern zählen, in denen kein ausreichendes Datenschutzniveau herrscht, ermöglicht der Safe-Harbor-Beschluss der EU-Kommission seit dem Jahr 2000 ein verhältnismäßig unkompliziertes Vorgehen bei der Übermittlung von personenbezogenen Daten an US-amerikanische Unternehmen. Doch insbesondere nach dem Bekanntwerden der von Edward Snowden an die Öffentlichkeit gebrachten Späh-Affäre durch Sicherheitsbehörden wie die NSA steht die Rechtmäßigkeit der Safe-Harbor-Entscheidung infrage. Der Europäische Gerichtshof soll nun Klarheit darüber schaffen, ob eine Datenübermittlung auf dieser Grundlage künftig datenschutzrechtlich akzeptabel ist.