Suchen

Cloud Computing Was tun, wenn der EU-US Privacy Shield kippt?

| Redakteur: Jürgen Schreier

Am 16. Juli 2020 könnte der EU-US Privacy Shield kippen. Angesichts der Tatsache, dass sich die EU-Kommission auf das Aus für das transatlantische Datenaustauschabkommen vorbereitet, rät der Datensicherheitsexperte Detlef Schmuck deutschen Firmen, die für personenbezogene Daten US-Clouddienste nutzen, zu deutschen Anbietern zu wechseln.

Firma zum Thema

Schutzlos: Der von der EU als Anschlussregelung zum Safe-Harvor-Abkommen geschaffene EU-US Privacy Shield steht ebenfalls vor dem Aus.
Schutzlos: Der von der EU als Anschlussregelung zum Safe-Harvor-Abkommen geschaffene EU-US Privacy Shield steht ebenfalls vor dem Aus.
(Bild: gemeinfrei / Pixabay )

Die Europäische Kommission bereitet sich auf das Scheitern des EU-US Privacy Shield vor, die in der EU ansässigen Firmen sollten ebenfalls dringend mit den Vorbereitungen beginnen, rät Detlef Schmuck, Geschäftsführer der Hamburger Datensicherheitsfirma TeamDrive.

Würde die transatlantische Datenschutzvereinbarung vom Europäischen Gerichtshof (EuGH) wie von vielen Seiten erwartet am 16. Juli 2020 für ungültig erklärt, stünden Millionen europäischer Unternehmen, die US-amerikanische Datendienste nutzen, im Regen, warnt der Sicherheitsexperte. „Wenn sich schon die EU-Kommission ernsthaft auf das Aus für den EU-US Privacy Shield vorbereitet, dann wird es für die Unternehmen höchste Zeit“, mahnt Detlef Schmuck zur Eile. „Deutsche Firmen sollten sich schleunigst von US-basierten Cloudanbietern lösen und zu einem deutschen Anbieter wechseln.“

Erhebliche Zweifel an der Gültigkeit des Abkommens

Datensicherheitsexperte Detlef Schmuck, der schon seit 2018 vor dem EU-US Privacy Shield warnt, spricht von einem „Scheitern mit Ansage“ und verweist auf das Schreiben „EN E-001120/2020“ des EU-Justiz- und Verbraucherkommissars Didier Reynders vom Mai 2020: "Die Kommission ist eine Partei in den zwei vor dem Europäischen Gerichtshof anhängigen Verfahren, die für den Privacy Shield relevant sind (T-738-16, La Quadrature du Net und C-311/18, Schrems II). Zwar kann die Kommission das Ergebnis der Rechtsstreitigkeiten nicht vorhersagen, aber sie nimmt mögliche Szenarien in Augenschein. In diesem Zusammenhang steht die Kommission in Kontakt mit den Beteiligten einschließlich den Behörden der USA. Parallel setzt die Kommission ihre Arbeit bezüglich alternativer Instrumente für den internationalen Austausch personenbezogener Daten fort; dazu gehört auch die Überprüfung bestehender Standardvertragsklauseln.“

Detlef Schmuck gibt zu bedenken, dass der EU-Generalanwalt bereits im Dezember 2019 in einer Einschätzung, die allerdings rechtlich nicht bindend ist, erhebliche Zweifel an der Gültigkeit des Abkommens geäußert hat. „Es ist doch offensichtlich, dass sich einige der größten US-Digitalkonzerne wenig um die Datenschutz-Grundverordnung kümmern“, sagt der Datensicherheitsexperte, und meint: „Der EU-US Privacy Shield war von Anfang an eine Farce, um das Desaster des vorangegangenen Safe-Harbor-Abkommens zu kaschieren.“

"Unberechenbarkeit" der Trump-Regierung gefährdet Privacy Shield

Der österreichische Jurist Max Schrems hatte 2013 im Lichte der Snowden-Enthüllungen Klage eingereicht, die damit endete, dass der EuGH 2015 das bis dahin angewandte Safe-Harbor-Datenschutzabkommen zwischen der EU und den USA für ungültig erklärte. Die von der EU geschaffene Anschlussregelung des EU-US Privacy Shield war im Juli 2016 von der EU-Kommission genehmigt worden, um den Schutz personenbezogener Daten, die aus einem Mitgliedsstaat der Europäischen Union in die USA übertragen werden, zu gewährleisten.

Bereits im März 2017 hatte die EU-Justizkommissarin Věra Jourová damit gedroht, die Absprachen außer Kraft zu setzen angesichts der „Unberechenbarkeit“ der Trump-Regierung in den USA. Das „Schrems II“-Verfahren wird nach weit verbreiteter Juristenmeinung 2020 diese Regelung ebenfalls zu Fall bringen.

TeamDrive-Geschäftsführer Detlef Schmuck warnt vor einem „Datenschutz-GAU“ für Firmen, die für ihre Datenablage US-amerikanische Cloudservices nutzen. Er erklärt: „Das Aus für den EU-US Privacy Shield macht alle EU-Unternehmen, die mit US-Anbietern zusammenarbeiten, zu millionenfachen Datenschutzverletzern mit unabsehbaren Folgen.“

Datenübermittlungen in die USA

Auf Grundlage des bindenden Beschlusses der Europäischen Kommission vom 12. Juli 2016 kann der EU-US Privacy Shield genutzt werden, um personenbezogene Daten aus der EU an bereits zertifizierte Unternehmen in den USA zu transferieren. Die für den Datenexport verantwortlichen europäischen Stellen haben dabei stets darauf zu achten, dass das datenempfangende US-Unternehmen auch tatsächlich auf der Liste des US-Handelsministeriums geführt wird. Es ist ferner sicherzustellen, dass sich die Zertifizierung auch auf die Kategorie von Daten (Beschäftigtendaten „Human Ressources – HR“ oder sonstige Daten "non HR") bezieht, die übermittelt werden soll.

Sofern personenbezogene Daten auf der Grundlage des Privacy Shield an ein zertifiziertes US-Unternehmen übermittelt wurden, stehen den von der Datenverarbeitung Betroffenen gegenüber dem US-Unternehmen u.a. folgende Rechte zu:
• Recht auf Information
• ggf. Recht auf Widerspruch gegen eine Datenverarbeitung
• Recht auf Auskunft
• Recht auf Berichtigung unrichtiger Daten
• ggf. Recht auf Löschung
• Recht auf Inanspruchnahmen von Beschwerde-/Abhilfeverfahren und
• Recht auf Einreichung eines Antrags zur Anrufung der sog. Ombudsperson.

Fragen zur Datenverarbeitung durch ein zertifiziertes US-Unternehmen auf der Grundlage des Privacy Shield sollten zunächst direkt an das US-Unternehmen gerichtet werden, das verpflichtet ist, die Anfrage binnen 45 Tagen zu beantworten.

Quelle: BfDI

(ID:46685115)