Privacy Shield: Was das Safe-Harbor-Ende für Interaktiv-Unternehmen bedeutet

Warum ist eine Datenübertragung in die USA problematisch?

Das deutsche Datenschutzrecht geht davon aus, dass eine Übermittlung von personenbezogenen Daten an Stellen außerhalb des Europäischen Wirtschaftsraums (also der Europäischen Union, Island, Lichtenstein und Norwegen) nicht erfolgen darf, wenn der Betroffene ein schutzwürdiges Interesse am Ausschluss der Übermittlung hat. Nach dem Gesetz ist das insbesondere dann anzunehmen, wenn bei dem Unternehmen, an das die Daten übermittelt werden sollen, ein angemessenes Datenschutzniveau nicht gewährleistet ist.

Es gibt einige Länder, bei denen die EU-Kommission ein angemessenes Datenschutzniveau anerkannt hat. Diese werden datenschutzrechtlich als so genannte sichere Drittländer bezeichnet. Dazu zählen etwa die Schweiz, Argentinien und Australien, nicht aber die USA. Eine Übermittlung von personenbezogenen Daten an Unternehmen in diesen Ländern ist unter denselben Voraussetzungen zulässig, wie an Unternehmen innerhalb Deutschlands. Ein Datentransfer in die USA bedarf einer zusätzlichen Rechtfertigung.

Was war Safe Harbor?

Als eine solche Rechtfertigung galt bisher das Safe-Harbor-Verfahren. US-Unternehmen, die sich den Safe Harbor-Prinzipien unterwarfen, galten bisher als Unternehmen mit einem angemessenen Datenschutzniveau. Dazu erhielten die Unternehmen ein Zertifikat von einer Gültigkeitsdauer von einem Jahr, das ihnen die Einhaltung der EU-Standards bescheinigte. Ob ein Dienstleister mit Sitz in den USA Safe-Harbour-zertifiziert war, ließ sich auf der beim US Department of Commerce geführten Liste entnehmen. Ob er sich an die Grundsätze hielt, wurde dabei nicht geprüft.

Die Rechtfertigung nach deutschem Datenschutzrecht kommt durch eine so genannte Adäquanzentscheidung der EU-Kommission. In dieser Entscheidung hat die EU-Kommission festgelegt, dass als Unternehmen mit angemessenem Datenschutzniveau gilt, wer sich den Safe-Harbor-Regeln unterworfen hat.

Durch Safe Harbor konnte daher bis zu der Entscheidung des Europäischen Gerichtshofes (EuGH) eine Datenübertragung an Unternehmen in die USA gerechtfertigt werden (EuGH-Urteil vom 6.10.2015, Az. C-362/14). Der EuGH hat jedoch entschieden, dass die Safe-Harbor-Entscheidungen der EU-Kommission unwirksam sind. Zur Begründung bezieht sich der EuGH darauf, dass die EU-Kommission keine derart weitreichenden Befugnisse habe. Außerdem schlössen die Vereinbarungen über Safe-Harbor mit den USA einen Zugriff staatlicher Behörden, etwa der NSA  , nicht aus. Zudem seien gegen Eingriffe in die Rechte von Bürgern keine Rechtsbehelfe gegeben.

Mit der EuGH-Entscheidung entfällt damit die Vermutung der Einhaltung der EU-Datenschutzregeln für diese Unternehmen. Auf ein Safe-Harbor-Zertifikat allein kann die Datenübertragung in die USA nicht mehr gestützt werden. Dies gilt nicht nur für eine tatsächliche Weitergabe von personenbezogenen Daten, sondern umfasst auch die Zugriffsmöglichkeit in der Weise, dass die Daten durch den US-Dienstleister eingesehen oder abgerufen werden können.

Betroffen sind damit alle deutschen Unternehmen, die sich eines US-Dienstleisters bedienen, an den personenbezogene Daten übermittelt werden oder der auf solche zugreifen kann. Jedes deutsche Unternehmen, das für sein CRM-System einen US-SaaS-Dienst einsetzt, EMail-Marketing-Kampagnen über US-Dienstleister fährt, Cloud-Speicherplatz in Übersee nutzt oder Kundendaten mit US-Plattformen teilt, ist betroffen.

... und was wird das Privacy Shield?

Safe Harbor ist also tot. Die EU-Kommission befindet sich aber seit Jahren in Verhandlungen mit den USA über eine neue Version eines Safe-Harbor-Abkommens, das den EU-Bürgern mehr Kontrolle über ihre Daten gibt. Weil die EU-Datenschutzbehörden vergleichsweise starken Druck ausgeübt und eine Frist zum 31.1.2016 gesetzt haben, ist in diese Verhandlungen in den vergangenen Monaten erhebliche Bewegung gekommen.

In der vergangenen Woche hat die zuständige EU-Kommissarin Vera Jourová eine Einigung mit den US-Stellen verkündet. Die Einzelheiten dieser Einigung sind noch nicht bekannt, womöglich auch noch nicht einmal ausgehandelt. Neu ist jedenfalls der Name. Es gibt kein 'Safe Harbor 2.0'. Das neue Konstrukt wird 'EU-US-Privacy Shield' heißen. Bisher gibt es nicht viel mehr als Presseverlautbarungen der Beteiligten. Daraus ergibt sich, dass auch Privacy Shield letztlich auf eine Selbstverpflichtung der US-Unternehmen hinausläuft.

• Firmen, die personenbezogene Daten von EU-Bürgern verarbeiten wollen, müssen sich auf die Einhaltung von Datenverarbeitungsstandards verpflichten.


• Welche Standards dies sein sollen, ist noch nicht bekannt.


• Das U.S. Department of Commerce soll insbesondere die Veröffentlichung dieser Verpflichtung überwachen. Zu den Verpflichtungen wird auch gehören, dass Entscheidungen europäischer Datenschutzbehörden beachtet werden müssen.


• Vollkommen offen ist noch, inwiefern der Zugriff von US-Behörden auf Daten von EU-Bürgern begrenzt wird. Bisher gibt es hier lediglich eine Absichtsbekundung der Amerikaner. EU-Bürger, die sich durch amerikanische Behörden in ihren Rechten verletzt sehen, sollen in Zukunft eine Reihe von Rechtsschutzmöglichkeiten haben. Dazu zählen auch die Anrufung eines neu geschaffenen Ombudsmannes und eine kostenfreie alternative Streitbeilegung.


• Auch die EU-Datenschutzbehörden sollen weitergehende Rechte erhalten und sich mit Beschwerden insbesondere an das Department of Commerce und die Federal Trade Commission wenden können.

Noch existiert das Privacy Shield also nicht einmal auf dem Papier. Die Einzelheiten der Vereinbarung mit der US-Seite müssen anscheinend noch ausverhandelt werden. Mit der Veröffentlichung der Ergebnisse wird in der zweiten Februarhälfte gerechnet.

Inwieweit die Ergebnisse der Verhandlungen einer gesetzlichen Umsetzung in den USA bedürfen, ist noch offen. Offenbar ist man jenseits des Atlantiks nicht der Ansicht, Gesetze ändern zu müssen. Außerdem wird es von der EU-Kommission den Entwurf einer neuen Angemessenheitsentscheidung geben. Diese Kommissionsentscheidung wird festhalten, dass US-Unternehmen, die sich den Bedingungen des Privacy Shield unterwerfen, ein angemessenes Datenschutzniveau gewährleisten. Eine Übertragung von Daten an diese Unternehmen wird dann zulässig sein (es bleibt natürlich immer die Frage, ob die Daten überhaupt einem dritten Unternehmen zugänglich gemacht werden dürfen).

Welche Konsequenzen drohen?

Deutsche Unternehmen können das Thema nicht einfach ignorieren. Die Safe-Harbor-Privilegierung ist weggefallen. Eine Übertragung von personenbezogenen Daten an amerikanische Unternehmen ist ohne eine Alternativlösung illegal. Gleiches gilt für den Zugriff auf solche Daten durch US-Dienstleister. Die betroffenen Unternehmen - und zwar sowohl der deutsche Datenexporteur, als auch der US-Dienstleister - verstoßen damit gegen die einschlägigen Datenschutzgesetze.

Deutsche Datenschutzbehörden haben bereits angekündigt, Bußgelder zu verhängen, soweit noch immer allein auf Grundlage von Safe-Harbor-Zertifikaten Daten Personendaten transferiert werden. Diese Bußgelder können theoretisch bis zu 300.000 Euro betragen, liegen in der Regel aber deutlich darunter. Zum Teil wurden bereits informelle Befragungen durchgeführt. Es ist damit zu rechnen, dass deutsche Behörden in naher Zukunft auch Bescheide folgen lassen werden.

Welche Handlungsalternativen gibt es?

Es gibt verschiedene Möglichkeiten, für eine datenschutzkonforme Datenübermittlung an US-Dienstleister zu sorgen. In vielen Fällen werden nicht alle Varianten in Betracht kommen.

• Sitz innerhalb der EU oder in einem sicheren Drittland
  Große US-Dienstleister, allen voran Microsoft, bauen massiv Serverstandorte innerhalb der EU und sogar in Deutschland aus, die von lokalen Gesellschaften betrieben werden. Ist gewährleistet, dass Mitarbeiter von US-Gesellschaften auf diese Daten keinen Zugriff haben, liegt keine Übermittlung in die USA vor.
• Abschluss von EU-Standardvertragsklauseln
  Ein angemessenes Datenschutzniveau kann auch dadurch sichergestellt werden, dass sich der Dienstleister vertraglich den wesentlichen Regelungen der EU zum Datenschutz unterwirft. Die EU hat zu diesem Zweck drei Standardvertragswerke entwickelt, derer sich die Unternehmen bedienen können. Für Online-Marketing-Dienstleister dürften die Standardvertragsklauseln für Auftragsdatenverarbeiter in der Regel die richtige Alternative sein. Unterzeichnet der Dienstleister und hält er sich anschließend an die Vorgaben des Vertrages, stehen einer Übermittlung der Daten ins Ausland Interessen der Kunden nicht entgegen. Wichtig ist, dass von den Standardwerken nicht abgewichen wird. Anderenfalls entfällt die Privilegierung und ein sicheres Datenschutzniveau kann nicht angenommen werden. Die Erfahrung zeigt, dass gerade die Anbieter von Standardlösungen mit einer großen Kundenbasis in Europa dem zusätzlichen Abschluss solcher Vereinbarungen aufgeschlossen gegenüber stehen.
  Allerdings ist damit zu rechnen, dass sich der EuGH in nicht allzu ferner Zukunft auch mit den Standardvertragsklauseln beschäftigen wird. Zudem haben die Datenschutzbehörden angekündigt, die Übertragung aufgrund des Einsatzes von Standardvertragsklauseln einer Einzelfallprüfung zu unterziehen. Bis zu einer Prüfung der Einzelheiten des Privacy Shield Ende Februar/Anfang März soll eine Übertragung aufgrund der Standardklauseln aber jedenfalls in Ordnung sein.
  Insgesamt wird es darauf ankommen, belastbare Garantien des Dienstleisters zu bekommen und einen Katalog an technischen und organisatorischen Maßnahmen aufzunehmen, der der bekannten Anlage zu § 9 BDSG entspricht.
• Abschluss eines individuellen Vertrags mit dem Dienstleister
  Denkbar ist auch, mit dem Dienstleister einen individuellen Vertrag zu schließen, der von den Standardvertragsklauseln abweicht. Ein solcher Vertrag muss ein angemessenes Datenschutzniveau garantieren. Darin muss sich der Dienstleister auf die Einhaltung der wesentlichen Bestimmungen des deutschen Datenschutzrechts verpflichten und die Einhaltung in geeigneter Weise garantieren. Rechtlich hilft das aber nur, wenn die zuständige Datenschutzbehörde in Deutschland den Vertrag ausdrücklich genehmigt hat. Ein solches Prozedere ist mit erheblichem Aufwand und der Unsicherheit verbunden, dass die Behörde die Freigabe nicht erteilt. Dies gilt umso mehr, als manche Datenschutzbehörden erklärt haben, solche Freigaben derzeit nicht zu erteilen. Dieser Weg bietet sich nur an, wenn ein anderer Weg nicht zum Erfolg führt.
• Einwilligung in die Datenübermittlung in die USA
  Stets zulässig ist die Übertragung von Daten an Unternehmen in den USA, wenn der Betroffene wirksam eingewilligt hat. Dies ergibt sich aus § 4c BDSG. Die Anforderungen an eine transparente Information und darauf beruhende Einwilligung sind jedoch hoch. Eine bloße Änderung der Datenschutzbestimmungen genügt jedenfalls nicht. Es bedarf einer transparenten Information des Kunden auch über die Risiken der Übermittlung von Daten in die USA, zudem muss dem Kunden eine echte Wahlmöglichkeit gegeben werden. Eine "untergeschobene Einwilligung" würden die Datenschutzbehörden nicht akzeptieren. Willigt der Kunde nicht ein, muss der Datentransfer unterbleiben.
• Warten auf das Privacy Shield
  Denkbar ist auch, zunächst nichts an der Rechtfertigung zu ändern und auf die Implementierung des Privacy Shield zu warten. Der politische Druck dürfte hoch genug sein, dass eine wie auch immer geartete Einigung tatsächlich zeitnah publiziert wird. Auch ist damit zu rechnen, dass die EU-Kommission eine Adäquanzentscheidung treffen wird. Allerdings wird es noch mehrere Monate dauern, bis US-Unternehmen tatsächlich die Möglichkeit haben, sich unter das Privacy Shield zu begeben. Wie sich die Datenschutzbehörden zum Privacy Shield verhalten werden, lässt sich noch nicht absehen. Solange die Kommissionsentscheidung in der Welt ist, kann diese aber nicht einfach übergangen werden. Es ist allerdings in jedem Fall damit zu rechnen, dass der EuGH mittelfristig auch über eine Kommissionsentscheidung zum Privacy Shield zu entscheiden haben wird.

Was sollten Unternehmen jetzt konkret tun?

Für welche der oben skizzierten Handlungsmöglichkeiten sich deutsche Unternehmen mit US-amerikanischen Dienstleistern entscheiden sollte, hängt naturgemäß von vielen Faktoren ab. Ein Warten auf das Privacy Shield birgt die Gefahr von Untersagungen und der Verhängung von Bußgeldern durch die Datenschutzbehörden der Bundesländer. Dass diese in den nächsten Wochen kommen werden, ist sicher. Allerdings ist die Personalausstattung der Behörden bescheiden. Start-ups, die für weniger bedeutende Prozesse Dienstleister aus Übersee einsetzen und nicht im Fokus von Öffentlichkeit und Behörden stehen, mögen das Risiko mangelnder Compliance in Kauf nehmen wollen. Für größere Unternehmen ist dies schon aus PR-Gründen keine wirkliche Option.

Ein Wechsel auf Dienstleister mit Sitz innerhalb des EWR kommt in vielen Fällen natürlich nicht ohne Weiteres in Betracht. Neben den prozessualen Schwierigkeiten und höheren Kosten können sich auch vertragliche Fragen stellen. Allerdings ist durchaus denkbar, dass mangelnde datenschutzrechtliche Compliance ein Grund für eine außerordentliche Kündigung mit dem US-Dienstleister darstellt.

Auch Einwilligungen dürften eher im Ausnahmefall eine Alternative sein. Dies gilt schon deshalb, weil es eines Konzepts bedarf, wie mit Kunden umzugehen ist, die die Einwilligung nicht erteilen oder widerrufen. Dann muss der Datentransfer in die USA für diese Personen unterbleiben. Wer auf eine Einwilligung setzt, sollte große Sorgfalt bei der Ausgestaltung im Einzelnen walten lassen.

Damit bleibt als Alternative in den meisten Fällen der Abschluss von (zusätzlichen) Verträgen unter Nutzung der EU-Standardvertragsklauseln. Jetzt ist zudem ein guter Zeitpunkt, die US-Anbieter von der Notwendigkeit des Abschlusses solcher Verträge zu überzeugen. Die Transaktionskosten sind vergleichsweise niedrig, weil kaum Verhandlungsspielraum besteht. Allerdings sollte der Vertragsschluss begleitet sein von transparenten Aussagen zu technischen und organisatorischen Maßnahmen, die ein Mindestmaß an Kundendatenschutz sicherstellen.

Nach Safe Harbor: Es bleibt alles anders

Safe Harbor ist tot. Das Privacy Shield wird ein vergleichbares Konstrukt werden. Wann es kommt und welchen Inhalt es genau haben wird, ist noch unsicher. Darauf warten sollte nur, wer ein Einschreiten gegen einen Compliance-Verstoß von Behörden gerade gegen sein Unternehmen für sehr unwahrscheinlich hält. In vielen Fällen wird sich dagegen der (temporäre) Abschluss von zusätzlichen Vereinbarungen über den Datenschutz anbieten. Diese Vereinbarungen müssen den Standardvertragsklauseln entsprechen, die die EU Kommission bereithält. Die Situation ist für die Firmen unbefriedigend. Dies ändert jedoch nichts daran, dass sich europäische Unternehmen und ihre amerikanischen Dienstleister um Datenschutz-Compliance kümmern müssen.

---

iBusiness-Autor Dr. Martin Schirmbacher ist Fachanwalt für IT-Recht bei Härting Rechtsanwälte   in Berlin.