Mit »Privacy Shield« sollen die Daten von EU-Bürgern künftig vor dem Zugriff von US-Behörden besser geschützt werden (Bild: EU-Kommission/Facebook)Weil die USA keinen hinreichenden Datenschutz garantieren können/wollen, erklärte der Europäische Gerichtshof das »Safe Harbor«-Abkommen im Oktober 2015 für ungültig. Davor war das Abkommen 15 Jahre lang eine der meistgenutzten rechtlichen Grundlagen für den Austausch personenbezogener Daten zwischen der EU und den USA. Vor wenigen Tagen wurde nun das neue »Privacy Shield« in Kraft gesetzt. Relevant ist das Thema für jeden, der personenbezogene Daten in die USA transferiert (beispielsweise auf einen dort stehenden Server). Unternehmen begrüßen überwiegend die neue Verordnung, Datenschützer sind dagegen immer noch nicht überzeugt.

Der Digitalverband Bitkom sieht Privacy Shield positiv, nämlich als wichtige Grundlage für rechtssichere Datentransfers in die USA. »Das Privacy Shield wird den transatlantischen Datenschutz nachhaltig verbessern«, sagt Susanne Dehmel, Bitkom-Geschäftsleiterin Datenschutz und Sicherheit. »Sowohl Unternehmen, die Daten zwischen Europa und den USA transferieren wollen oder müssen, als auch die Verbraucher profitieren von den Neuregelungen.«

Die im Privacy Shield vorgesehenen Maßnahmen müssten nun zügig zur Anwendung kommen, um Rechtssicherheit für Unternehmen und Verbraucher zu erreichen. Notwendig seien praktische Hinweise, worauf Unternehmen in Zukunft achten müssen, wenn sie unter dem neuen Instrument personenbezogene Daten zwischen der EU und den USA austauschen möchten.

Anzeige

Bitkom: Die wichtigsten Veränderungen durch Privacy Shield für Unternehmen und EU-Bürger

► Strengere Regeln für US-Unternehmen: Im Rahmen des Privacy Shields verpflichten sich US-Unternehmen dazu, die darin aufgeführten Datenschutzprinzipien einzuhalten. Diese umfassen Grundsätze wie Transparenz, Zweckbindung oder Datensicherheit. Im Zuge der Verhandlungen wurden zahlreiche Regelungen verschärft. Insbesondere bei der Löschpflicht und der Regelung zur Weitergabe von Daten an Dritte wurde nachgebessert. Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den Zweck der Verarbeitung notwendig ist. Eine längere Speicherung der Daten und deren Weiterverarbeitung ist nur unter bestimmten Voraussetzungen möglich, zum Beispiel für Forschungszwecke. Bei der Weitergabe von Daten an Dritte müssen die Unternehmen sicherstellen, dass die Daten nur zu bestimmten Zwecken verwendet werden und das gleiche Datenschutzniveau garantiert ist.
► Stärkung der Rechte für EU-Bürger: EU-Verbraucher können sich bei Datenschutzverstößen von Unternehmen auf unterschiedlichen Kanälen beschweren. Zum einen können sie sich direkt an das Unternehmen wenden, das dann innerhalb von 45 Tagen Stellung nehmen muss. Die Beschwerde kann zudem über eine EU-Datenschutzbehörde eingereicht werden. Diese leitet den Verstoß an das US-Handelsministerium weiter, was wiederum das Unternehmen anschreibt. Auf eine solche Anfrage muss unverzüglich geantwortet werden. Verbraucher können darüber hinaus ein unabhängiges Schiedsgericht anrufen, das bestimmte Sanktionen verhängen kann. Das Unternehmen legt vorher fest, welche Stelle diese Aufgabe übernehmen soll. Grundsätzlich sind Unternehmen unter dem Privacy Shield dazu verpflichtet, effektive Mechanismen des Rechtsschutzes für EU-Bürger einzurichten. Für Verbraucher ist dieses Verfahren kostenlos. Als quasi letzte Instanz können sich EU-Bürger an das so genannte »Privacy Shield Panel« wenden.
► Ombudsperson kann eingeschaltet werden: Bei Datenschutzverstößen von US-Geheimdiensten können Bürger der Europäischen Union künftig eine Ombudsperson einschalten, die beim US-Außenministerium angesiedelt ist. Ihre Aufgabe ist es, den Sachverhalt aufzuklären und bei einem missbräuchlichen Verhalten Abhilfe zu schaffen. Die Ombudsperson kann nicht nur aktiv werden, wenn personenbezogene Daten auf Grundlage des Privacy Shield übermittelt werden, sondern auch bei der Verwendung anderer Transfermechanismen. Dazu zählen die so genannten Standardvertragsklauseln der EU und die verbindlichen Unternehmensregelungen (Corporate Binding Rules). »Damit stärkt das Privacy Shield auch die alternativen Transfermechanismen«, betonte Dehmel.
► Bessere transatlantische Zusammenarbeit bei Datenschutzbeschwerden: Aus Sicht des Bitkom ist das Privacy Shield ein Meilenstein für die internationale Zusammenarbeit zwischen Regierungen und Aufsichtsbehörden, um Datenschutzverstöße zukünftig schneller zu ahnden. Sowohl die Federal Trade Commission als auch das Department of Commerce richten Stellen ein, an die sich die EU-Aufsichtsbehörden in Zukunft wenden können. »Wir rechnen mit einem verstärkten Austausch beim Thema Datenschutz, der auch im globalen Maßstab als Vorbild dienen kann«, erwartet Dehmel. Darüber hinaus werden die EU-Kommission und das Department of Commerce das Privacy Shield jährlich überprüfen. »Sollte das Privacy Shield keinen adäquaten Schutz mehr bieten«, erläutert Dehmel, »kann es jederzeit ausgesetzt werden.«

Aber auch wenn Bitkom viele Vorteile sieht, ist es trotzdem ungewiss, wie lange die neue Vereinbarung Bestand haben wird. Der österreichische Jurist Max Schrems, der bereits Safe Harbor vor dem Europäischen Gerichtshof zu Fall gebracht hatte und der auch schon Facebook in die Knie zwang, rechnet fest mit einer Klage gegen die Nachfolgeregelung: »Wenn ich es nicht mache, macht es irgendwer anderer.« Denn letztendlich müssten die USA ihre Überwachungsgesetze ändern und den Europäern Rechtsschutz einräumen.

USA bleibt unsicherer Drittstaat

Zwar erwartet auch Thomas Waetke, Rechtsanwalt und Fachanwalt für Urheber- und Medienrecht, dass Privacy Shield es nun aber etwas einfacher macht, Daten in die USA zu transferieren, »aber die USA bleiben datenschutzrechtlich gesehen dennoch ein unsicherer Drittstaat«.

Waetke erläutert, dass sich das datenempfangende US-Unternehmen zertifizieren lassen muss; das zuständige Handelsministerium der USA wird dazu eine Liste der zertifizierten Unternehmen veröffentlichen. Man werde auch eine Prüfung verlangen müssen. Das heißt, das transferierende deutsche Unternehmen muss prüfen, ob die Zertifizierung besteht (indem die Liste beim US-Handelsministerium geprüft wird), bestenfalls sollte das einmal pro Jahr neu geprüft werden. »Auch sollte geprüft werden«, betont Waetke, »ob die Informationspflichten gegenüber den Betroffenen, zum Beispiel dass die Daten in den USA verarbeitet werden, eingehalten werden.«