UGP Workshop Datenschutz und Datensicherheit

Hier noch einmal das Thema „Privacy Shield“ zusammengefasst, weil es doch recht kompliziert ist und ich mir nicht sicher bin, dass ich das Problem verständlich beschrieben habe:

Kurz gesagt hat der EuGH festgestellt, dass wir auch bei Mitgliedern des Privacy Shield nicht davon ausgehen dürfen, dass die Daten ähnlich gut wie in Europa geschützt werden.

Neben der Mitgliedschaft im Privacy Shield gib es noch eine zweite Methode, wie amerikanische Firmen zusichern können, dass sie ein entsprechendes Datenschutzniveau bieten, und das sind die sogenannten „Standardvertragsklauseln“. Das sind von der EU vorgegebene Formulierungen, die man mit einer amerikanischen Firma vereinbaren kann. Oder mit einer chinesischen, indischen, usw…

Die gelten im Moment zwar noch, aber der EuGH hat auch gleich angekündigt, dass sie bei amerikanischen Firmen einer Überprüfung nicht standhalten werden.

Bleibt eigentlich also nur noch, die Einwilligung aller Personen einzuholen, deren Daten in Amerika gespeichert werden sollen. Und selbst das ist nicht einfach, weil man das Risiko deutlich machen muss.

In einer ähnlichen Situation waren wir übrigens schon einmal, als der Vorgänger des Privacy Shield, das Safe Harbour Abkommen, gekippt worden ist.

Damals hat man zügig das Privacy Shield implementiert, in der Zwischenzeit hat es keine Strafen wegen Datenverarbeitung in den USA gegeben.

Was ist also zu tun?

1. Keine Panik!
2. Wenn Ihr amerikanische Cloud-Dienste verwendet, prüft ob die Daten in Europa bleiben. Falls nicht, kann man das vielleicht ändern. Beispiele wären Microsoft 365 oder die Google G-Suite.
3. Wenn von Cloudspeicher die Rede ist, könntet Ihr die dort gespeicherten Daten komplett verschlüsseln. Dann fallen sie nicht mehr unter die DSGVO. Sowas kann man günstig bis kostenlos mit Hilfe des Boxcryptors (https://www.boxcryptor.com/de/)
4. Wenn Ihr Daten in den USA verarbeitet, schaut mal, ob es eine europäische (oder z.B. kanadische) Lösung gibt, die Ihr mit vertretbarem Aufwand statt dessen verwenden könnt.
5. Wenn das nicht geht, oder ihr das nicht wollt, klärt, ob der Dienstleister sich nur auf das Privacy Shield beruft, oder Ihr mit ihm Standardvertragsklauseln vereinbart habt. Einfach Fragen, die sollten vom aktuellen Problem gehört haben. Anbieter wie Google, Microsoft oder Mailchimp haben die Standardvertragsklauseln in Ihre Auftragsverarbeiter-Vereinbarungen eingebaut.
6. Wenn das alles nicht hilft, könntet Ihr die Einwilligung der Betroffenen einholen, z.B. mit Hilfe eines Cookie Hinweises oder Newsletter-Anmeldeformulares. Ein Beispiel findet in der vorherigen Frage.
7. Auf die Datenverarbeitung verzichten, kann man natürlich auch. Also z.B. Google Analytics nicht verwenden. Wobei das ja sowieso eine Einwilligung erfordert.
8. Und Ihr könnt natürlich entscheiden, den Kopf in den Sand zu stecken und auf eine politische Lösung zu warten. Was natürlich mit eine gewissen Risiko für Euch (und die Daten eurer Kunden) einhergeht.

Für mich sieht das so aus, dass ich sicherstelle, dass Microsoft 365 die Daten in Europa speichert (tut es) und mit Microsoft Standardvertragsklauseln vereinbart sind (sind sie).
Google Analytics verwende ich nicht.

Amazon AWS speichert die Daten in Frankfurt.

Auf Mailchimp werde ich in Zukunft wohl verzichten und mir einen anderen Newsletterversender suchen.

Andere amerikanische Auftragsverarbeiter benutze ich nicht.

Wichtig: Diese Überlegungen, Eure Entscheidungen und Maßnahmen solltet Ihr dokumentieren. Denn dann könnt Ihr auf jeden Fall belegen, dass Ihr das Thema nicht ignoriert, sondern Euch damit beschäftigt habt. Selbst wenn Ihr nicht alles geklärt habt, sollte Euch das vor einer Strafe schützen.