Was jetzt zu tun ist: Die Internetbranche im Unsafe-Harbor

Der Europäische Gerichtshof hat das Safe-Harbor-Abkommen   zwischen der EU und den USA gekippt  . Nun steht die internationale Internet-Wirtschaft - dank den Oberschnüfflern der NSA   aus den USA - vor einem Scherbenhaufen. Die US-Handelsministerin Penny Pritzker kann das alles gar nicht verstehen   und ist "zutiefst enttäuscht", über die blöden Richter, die die Segnungen des Abkommens einfach nicht verstanden haben.

Die Datenschützer wiederum lassen die Sektkorken knallen: Die Bundesdatenschutzbeauftragte   Andrea Voßhoff (CDU) nannte das Urteil einen "Meilenstein". Die Entscheidung stärke die Befugnisse der Datenschutzbehörden in den EU-Staaten. Der frühere Bundesdatenschutzbeauftragte Peter Schaar verglich gar die Bedeutung des Richterspruchs mit der des Karlsruher Volkszählungsurteils, aus dem in der Folge das Grundrecht auf informationelle Selbstbestimmung hervorging.

Bundesjustizminister Heiko Maas (SPD), der hierzulande eine neue Vorratsdatenspeicherung einführen will, wertete das Urteil als "starkes Signal für den Grundrechtsschutz in Europa  ". Mit den USA müsse nun unverzüglich über die Folgen gesprochen werden und die EU-Datenschutzreform   sei rasch abzuschließen. Das darin verankerte Marktortprinzip würde dazu führen, "dass sich viele US-Unternehmen künftig an europäisches Datenschutzrecht würden halten müssen".
Ins Rollen gebracht hatte das Verfahren der Datenschutz-Aktivist Max Schrems . Er hatte von Facebook   Einsicht über alle von ihm gespeicherten Daten verlangt und daraufhin ein Paket mit 1.200 Druckseiten erhalten. Da Facebook seine Daten in den USA speichert, befürchtet er, dass auch amerikanische Geheimdienste Zugriff auf diese Daten haben. Facebook hat dies stets bestritten, wäre aber - selbst wenn die Vorwürfe zuträfen - ohnehin zur Geheimhaltung verpflichtet.

Nachdem der irische Datenschutzbeauftragte eine Beschwerde mit Verweis auf das Safe-Harbor-Abkommen abgewiesen hat, musste sich der Europäische Gerichtshof (AZ. C-362/1) mit der Frage beschäftigen, ob das Safe-Harbor-Abkommen   gegen die Grundrechtecharta der EU verstößt. Dem Abkommen zufolge können sich US-Unternehmen selbst bescheinigen, dass sie über ein ähnliches Datenschutzniveau wie in Europa verfügen, und dann die in Europa gewonnenen Daten in die USA transferieren, obwohl dies nach der europäischen Datenschutzrichtlinie eigentlich verboten ist. Ein irisches Gericht wollte vom EuGH wissen, ob auch nationale Behörden das Datenschutzniveau in den USA selbst prüfen können oder müssen - oder ob sie an das Safe-Harbor-Prinzip gebunden sind.

"Sehr kurzfristige Auswirkungen für alle Unternehmen"

"Das Urteil hat sehr kurzfristige Auswirkungen auf alle vertraglichen Beziehungen von Unternehmen in Europa mit Unternehmen oder sonstigen Stellen in den USA, sofern dort ein Datenübermittlungsvorgang von personenbezogenen Daten stattfindet", analysiert Rechtsanwalt Rolf Albrecht von der Kanzlei Volke 2.0   das Urteil.

Weil die Richter am Europäischen Gerichtshof das Safe-Harbor-Abkommen zwischen der Europäischen Kommission und der US-Regierung für unwirksam erklärt haben, dürfe ab sofort "auf Basis dieses Abkommens eine Übertragung von personenbezogenen Daten nicht mehr stattfinden". Dementsprechend müssten Unternehmen ihre vertraglichen Regelungen mit entsprechenden Software- und Cloud-Anbietern in den USA ab sofort genauestens auf ihre rechtliche Zulässigkeit prüfen.

"Damit ist abzusehen, dass auch die deutsche Aufsichtsbehörde für Datenschutz Datenübermittlungen untersagen kann. Sollte dies geschehen, werden sämtliche Cloud- und Software-as-a-Service-Angebote ohne ausschließliche Datenverarbeitung innerhalb der EU unbrauchbar", meint Oliver Ueberholz , Geschäftsführender Gesellschafter des Kollaborationsanbieters Mixxt  .

Für den deutschen Mittelstand würden lokal innerhalb der eigenen IT-Infrastruktur installierte Lösungen wichtiger denn je. Selbst, wenn das Problembewusstsein in der Vergangenheit nicht so ausgeprägt war: "Der Software-Markt ignoriert leider zu oft die Bedürfnisse nach lokaler Datenhaltung, Datenautonomie und Sicherheit", klagt er. Aber die Safe-Harbor-Entscheidung scheint das zurzeit zu ändern. Die Berichterstattung - von Fachmedien bis hin in den Mainstream ist deutlich umfangreicher als bei früheren Urteilen. Offenbar ist das Interesse an Datenschutz in den vergangenen Jahren gewachsen.

Martin Schirmbacher , Rechtsanwalt von Haerting Rechtsanwälte   sieht die Gefahr allerdings von anderer Stelle kommen: "Dass sich nun deutsche Datenschutzbehörden sofort auf solche Fälle stürzen werden, sehe ich nicht." Allerdings, so warnt er: "Ungemach kann aber von Nutzern drohen, die nun genau nachfragen, was es mit der Datenübertragung in die USA auf sich hat und ob gegebenenfalls Alternativlösungen zu Safe Harbor gefunden wurden.".

"Irgendwie sind alle betroffen"

Betroffen sind im ersten Schritt alle US-Dienstleister, die Zugriff auf personenbezogene Daten deutscher Kunden erlangen. Ob die Daten in die USA übermittelt werden oder der Anbieter von dort lediglich Zugriff erhält, ist dabei irrelevant.
Schirmbacher warnt: "Insbesondere betroffen sind amerikanische Cloud-Anbieter und Lösungsanbieter im Bereich CRM, Social Intelligence und EMail-Marketing". Von Salesforce   bis IBM  , von Microsoft   bis Adobe  . Rolf Albrecht nennt zudem Onlineshops, Marktplätze wie Amazon   und Webanalyse-Anbieter wie Google  . Und Dr. Thilo Weichert , ehemaliger streitlustiger Datenschutzbeauftragter des Landes Schleswig-Holstein sieht gleich die ganze Unternehmenssoftware auf der illegalen Seite: "Nach meiner festen Überzeugung war die Nutzung von Office 365 schon vor dem EuGH-Urteil in Deutschland und Europa absolut unzulässig, nicht nur, weil dabei eine Verarbeitung in den USA erfolgt, sondern auch, weil die rechtlichen Anforderungen an eine Auftragsdatenverarbeitung in § 11 BDSG von Microsoft nicht eingehalten werden."

Betroffen sind - da sind sich alle von iBusiness befragten Experten einig - auch die deutschen Kunden der US-Anbieter. Das können Portale sein, die persönliche Daten bei SaaS-Diensten in der USA auswerten lassen. Oder Agenturen mit White-Label-Lösungen. Wenn es stimmt, dass es alle trifft, die auf Dienstleistungen von US-Unternehmen angewiesen sind, stelle sich die "Gretchenfrage: Wer ist das nicht?!", so Rechtsanwältin Nina Diercks von der Medienkanzlei Dirks & Diercks  .

Die drohende Rechtsunsicherheit ruft zumindest die aktiveren unter den deutschen IT- und Internetverbänden auf den Plan. Der Groß-IT-Verband Bitkom   klagt, dass tausende von Unternehmen ihre Datenübermittlungen bisher auf Safe Harbor gestützt hätten. Sie "brauchen jetzt schnellstmöglich Rechtssicherheit". Während der Bundesverband IT-Mittelstand   "eine Chance für die digitale Wirtschaft in Europa sieht", fordert der Providerverband ECO    vor allem eine "schnelle und praktikable Folgeregelung" für das Safe-Harbor-Abkommen. Bundesregierung und Europäische Union müssten schnellstmöglich eine neue Regelung finden, "die unseren hohen Datenschutzstandards genügt und gleichzeitig eine praktikable Lösung für die Unternehmen schafft".

Es genügt nicht, die Daten in ein europäisches Rechenzentrum zu packen

Einzelne IT-Dienstleister wie beispielsweise Fritz & Macziol   argumentieren, der Einsatz amerikanischer Software in europäischen Rechenzentren sei "vom Urteil überhaupt nicht betroffen". Dumm daran: Das stimmt nicht. "Denn es gilt: US-Firmen unterliegen auch US-Gesetzen - und somit besteht wieder kein Schutz für die Daten europäischer Nutzer", widerspricht beispielsweise Hendrik Kempfert , Commercial Director DACH beim dänischen Adtechnologie-Anbieter Adform  .

Schon vor über einem Jahr hatte iBusiness darauf hingewiesen ("Cloudbasierte Internet-Unternehmen aus den USA werden dank Datenschutz-Urteil Europa-untauglich"), dass ein New Yorker Gericht Microsoft dazu verurteilt hat, den US-Behörden E-Mails herauszugeben, die auf einem irischen Server lagern. Die US-Regierung beruft sich auf ein Gesetz aus dem Jahr 1986  , nach dem Online-Inhalte nicht unter den vierten Zusatzartikel der US-Verfassung fallen, der vor staatlichen Übergriffen schützt. Das bedeutet: Daten bei US-Unternehmen sind in jedem Fall dem Zugriff eines US-Geheimdienstes ausgeliefert - genau der Umstand, den das EuGH an dem Safe-Harbor-Abkommen bemängelt hat. Schlupfloch: Noch ist das Urteil außer Vollzug gesetzt - bis das oberste US-Gericht darüber entscheidet.

Unsafe Harbor: Was man jetzt tun kann

"Ein Anwenderunternehmen aus Deutschland, welches sich bisher auf Safe Harbor verlassen hat, muss nun prüfen, ob und inwieweit vertragliche Anpassungen überhaupt möglich sind", warnt Hansjörg Schmidt , Mitgründer des Hamburger CRM-Anbieters Wice  . Er sieht die US-Anbieter unter Druck. Branchenprimus Salesforce   lieferte seinen europäischen Kunden bereits umfangreiche Ergänzungen seiner AGB, um wieder in den sicheren Hafen zu kommen.

Rechtsanwalt Dr. Fabian Niemann von der Kanzlei Bird&Bird   empfiehlt auf jeden Fall keine neuen Anwendungen einzuführen, die auf Datentransfers auf Grundlage von Safe Harbor setzen. Insbesondere sollten Unternehmen darauf vorbereitet sein, "dass Datenschutzbehörden in einzelnen Mitgliedsstaaten auch ohne Abstimmung innerhalb der EU möglicherweise kurzfristig drastische Schritte, wie den vollständigen Abbruch aller Datentransfers, verlangen".

Rolf Albrecht geht noch einen Schritt weiter: "Es ist damit zu rechnen, dass viele Anbieter, die sich bisher strikt auf das Safe-Harbor-Abkommen berufen haben, ihren Kunden raten werden, die entsprechenden Datenübermittlungsvorgänge über Einwilligungserklärungen rechtssicher zu gestalten." Er sieht erheblichen Mehraufwand entstehen in der Bearbeitung der Datenschutzerklärung zum Beispiel von Onlineshops.

Martin Schirmbacher empfiehlt als schnelle Lösung den Abschluss eines zusätzlichen Vertrages über die Datenverarbeitung unter Nutzung der sogenannten Standardvertragsklauseln an. Den EU-Standardvertrag   empfiehlt auch der Berufsverband der Datenschutzbeauftragten Deutschlands   (BvD) e.V.: "Vorteilhaft ist, dass dieser EU-Standardvertrag - anders als Binding Corporate Rules oder Individualverträge - nicht der zuständigen Aufsichtsbehörde zur Genehmigung vorgelegt werden oder angezeigt werden muss." In einigen EU-Mitgliedstaaten bestehen schließlich Anzeige- bzw. Genehmigungspflichten.

'Binding Corporate Rules' bietet sich vor allem internationalen Konzernen an: Diese können konzernintern verbindliche Regelungen zum Datenschutz aufstellen, um ein angemessenes Datenschutzniveau herzustellen.

Eine Beauftragung eines US-Unternehmens ist also zurzeit dann nicht grundsätzlich ausgeschlossen:

1. Wenn der Staat, in dem der Dienstleister seinen Sitz hat, innerhalb der EU liegt oder einem von der EU als sicheres Drittland anerkanntes Land ist. Das ist derzeit zum Beispiel für die Schweiz, Kanada und Israel, nicht jedoch für die USA der Fall. Dies gilt nicht, wenn auf die Daten von außerhalb zugegriffen werden kann.
   
2. Wenn sich der Dienstleister vertraglich den wesentlichen geltenden Regelungen der EU zum Datenschutz durch einen EU-Standardvertrag unterwirft. Allerdings, so warnt Schirmbach, selbst wenn Unternehmen wie Salesforce ihren Kunden ausdrücklich den Abschluss entsprechender Vereinbarungen anbieten: "Nach der EuGH-Entscheidung dürften die Datenschutzbehörden auch bei Vorliegen solcher Vereinbarungen berechtigt sein, die Rechtmäßigkeit des Datentransfers in die USA zu prüfen". Hier droht also mittelfristig potenzielles Ungemach.
   
3. Wenn Dienstleister und Kunde einen individuellen Vertrag schließen, der ein angemessenes Datenschutzniveau garantiert. Darin muss sich der Dienstleister zur Einhaltung der wesentlichen Bestimmungen des deutschen Datenschutzrechts verpflichten und die Einhaltung in geeigneter Weise garantieren. Dies hilft aber nur, wenn die zuständige Datenschutzbehörde in Deutschland den Vertrag ausdrücklich genehmigt hat.
4. Wenn alle Betroffenen ihre konkrete, bewusste und ausdrückliche Einwilligung gemäß der Anforderungen des Paragraph 4 des Bundesdatenschutzgesetzes   gegeben haben, ist, wie Nina Diercks feststellt "fast alles möglich".

Mit diesen Methoden ist das Urteil kurzfristig zu kitten. Doch mittel- und langfristig bleibt der Geheimdienst-Zugriff auf die Daten von US-Unternehmen bestehen - selbst wenn diese versichern, dass der Datenschutz EU-Niveau entspricht. Und über den Umweg des (in der EU angesiedelten) britischen Geheimdienstes, der als Teil der 'Five Eyes' ein lebhaftes Datenaustauschspiel betreibt, kommen die US-Geheimdienste wohl in jedem Fall an die gewünschten Daten. Die beste Lösung ist die ausschließliche Datenverarbeitung innerhalb der EU", argumentiert darum beispielsweise Dr. Thilo Weichert.

Für deutsche und europäische Konkurrenten US-amerikanischer Softwareunternehmen entsteht für eine gewisse Zeit ein Argumentationsfenster in der Neukunden-Akquise. Kundenunternehmen, die geschäftskritische und/oder datenschutzrelevante Cloud-Anwendungen einsetzen wollen, um die Digitalisierung ihrer Geschäftsprozesse umzusetzen, werden eher bereit sein, deutsche oder europäische Lösungen einzusetzen, als ihre Daten US-Unternehmen zu überlassen, die freiwillig oder gezwungenermaßen sämtliche Daten auf ihren Servern auf Wunsch den Geheimdiensten und sämtlichen anderen Behörden der USA aushändigen müssen.