Safe Harbor 2.0 – Unternehmen fordern Rechtssicherheit

Europa hat hohe Anforderungen an den Nachfolger von Safe Harbor formuliert. Bis zum 31. Januar sollte eigentlich eine Nachfolgeregelung verabschiedet sein. Momentan deutet allerdings nicht viel darauf hin, dass nach der Aufhebung des ersten Datenschutzabkommens zwischen USA und Europa durch das EuGH im Oktober die beiden Lager auf einen gemeinsamen Nenner kommen könnten.

Spätestens seit den Enthüllungen durch Edward Snowden im Jahr 2013 ist das Verhältnis in dieser Frage brüchig. Die EU-Datenschutz-Gruppe Artikel 29 hatte bereits im Oktober klar gemacht, dass man die Deadline Ende Januar sehr ernst nehmen werde und wenn bis dahin keine Einigung erzielt wurde, man entsprechende Maßnahmen ergreifen werde, zu denen auch koordinierte Zwangs-Aktionen gehören könnten. Wer nach dem 6. Oktober noch Daten unter der Safe Harbor Regelung von Europa in die USA tranferiert, verstößt gegen geltende Gesetze, machte die Artikel 29 Gruppe klar. Zudem wurden bereits von den Datenschützern entsprechende Kontrollen angekündigt.

Jedoch nicht nur Unternehmen in den USA sehen sich durch die aktuelle Rechtsunsicherheit im Nachteil. War bereits das Safe Harbor Abkommen ein eher wackeliges Konstrukt, das es erlaubte, Daten von EU-Bürgern in den USA zu speichern, so sorgt die Aussetzung dieses Abkommens für weitere Unsicherheiten.

“Unternehmen in Deutschland befinden sich seit 113 Tagen im mehr oder weniger rechtsfreien Raum. Die DSAG teilt die Bedenken, die Safe Harbor hinsichtlich des Datenschutzes und des Schutzes des geistigen Eigentums schürt und befürwortet aus diesem Grund die Abschaffung desselben”, kommentiert Marco Lenck, Vorstandsvorsitzender der Deutschsprachigen SAP Anwendergruppe DSAG. “Hiesige Firmen sind aktuell auf sich allein gestellt in der Aufgabe, Informationen datenschutzkonform mit Tochterunternehmen, Zweigstellen oder Partnern auszutauschen. Es ist zwingend erforderlich, dass ein neues Abkommen fristgerecht gestaltet wird, das Unsicherheiten beseitigt, die Wettbewerbsfähigkeit nicht einschränkt und Daten ausreichend schützt.”

Doch genau dieser Spagat dürfte Schwierig werden. Und EU-Justizkommissarin Vera Jourová hatte bereits erklärt, dass es keine Blanko-Vollmacht mehr geben wird. Auch soll Safe Harbor 2.0 eine Klausel enthalten, die es der EU ermöglicht, das Verfahren schnell wieder auszusetzen, wenn Zweifel an der Sicherheit der Daten aufkommen. Aber um eine belastbare rechtliche Grundlage wird man wohl im Interesse
beider Seiten kaum herumkommen.

“Die aktuelle Unsicherheit bezüglich Safe Harbor bereitet US-Unternehmen, die in Europa agieren, starke Kopfschmerzen”, weiß Richard Shaw, Senior Director EMEA von dem Big-Data-Spezialisten MapR. Shaw hält es daher auch für unwahrscheinlich, dass das Problem bis Ende Januar gelöst werden kann. “Selbst im Idealfall ist es schwierig, die Voraussetzungen der EU-Datenschutz-Standards zu erfüllen, geschweige denn, wenn die Ziele ständig verschoben werden. Grundsätzlich lässt sich aber sagen, dass die erfolgreiche Anpassung eines Unternehmens davon abhängt, wie es die eigenen Daten verwaltet.”

“Wir von BMC erwarten, dass ein strengeres Rahmenwerk geschaffen wird, das Verantwortung gewährleistet und umsetzt. Jeder, der an irgendeiner Stelle der Lieferkette für die Datenverarbeitung zuständig ist – und dies schließt sowohl Unternehmen als auch Service-Provider ein – wird dann für eine falsche Handhabe oder den umfassenden Verlust von Kundendaten haftbar gemacht werden können”, so Ingo Marienfeld, Geschäftsführer BMC Deutschland.

Das Unternehmen sieht neben dem neuen Abkommen eine weitere Alternative für regelkonformen Datenaustausch: BMC selbst habe sich etwa für die “Binding Corporate Rules” (BCR) akkreditiert, die es einer Firma erlauben personenbezogene Daten außerhalb der EU auf die sicherste Weise und gemäß den örtlichen Gesetzen und Richtlinien zu übertragen. “BCR kann helfen, das Maß an Vertrauen und Compliance in Europa zu steigern und Unternehmen grundsätzlich dabei zu unterstützen, durch den ‘Flickenteppich’ unterschiedlicher Datenschutzgesetze der europäischen Länder zu navigieren”, so Marienfeld weiter.