[Update] Privacy Shield – Neue Datenschutzvereinbarung mit offenen Fragen

Die Europäische Kommission hat jetzt das Datenaustauschabkommen Privacy Shield formal angenommen (PDF). Damit gibt es wieder einen rechtlichen Rahmen für den Datenaustausch zwischen den USA und den Mitgliedsstaaten der EU. Im Oktober 2015 hatte der EuGH das Datenschutzabkommen “Safe Harbour” für unzulässig erklärt. Ende Mai hatte der Ausschuss nach Artikel 31 die Vereinbarung noch als unzulänglich abgelehnt.

“Heute haben die Mitgliedstaaten ihrer nachdrücklichen Unterstützung für den EU-US-Datenschutzschild, dem neuen sicheren Rahmen für den transatlantischen Datenverkehr, Ausdruck verliehen. Damit ist der Weg für die förmliche Annahme der Rechtsakte geebnet und der Startschuss für den EU-US-Datenschutzschild kann gegeben werden”, so EU-Vizepräsident Andrus Ansip, Kommissar für den digitalen Binnenmarkt, und Vera Jourová, EU-Kommissarin für Verbraucherschutz und Gleichstellung in einer gemeinsamen Erklärung.

Mehr Schutzniveau?

Das neue Abkommen soll hohes Schutzniveau für EU-Bürger und Rechtssicherheit für Unternehmen bieten. Es unterscheide sich gemäß den beiden EU-Politikern grundlegend von Safe Harbour und nehme die Unternehmen, die Daten verarbeiteten, stärker in die Pflicht.

Außerdem sei nun sichergestellt, dass die Vorschriften auch tatsächlich eingehalten und durchgesetzt würden. Der Datenzugriff von Behörden unterliege nun klaren Beschränkungen, Garantien und Aufsichtsmechanismen. Eine willkürliche Massenüberwachung von EU-Bürgern sei ausgeschlossen.

Zudem betonten beide Kommissare, dass die neue Regelung den Vorgaben des Europäischen Gerichtshofs entspricht. “Während des förmlichen Annahmeprozesses führte die Kommission eine breit angelegte Konsultation durch und berücksichtigte die Beiträge der wichtigsten Interessengruppen, insbesondere der unabhängigen Datenschutzbehörden und des Europäischen Parlaments. Mit der heutigen Abstimmung haben die Mitgliedstaaten ein starkes Zeichen des Vertrauens gesetzt”, heißt es in der gemeinsamen Mitteilung.

Der Pressemitteilung zufolge wird Jourová heute den Ausschuss für bürgerliche Freiheiten, Justiz und Inneres des EU-Parlaments über den aktuellen Stand informieren.

Zumindest nach Ansicht der Artikel 29 Datenschutzgruppe schafft auch die Verabschiedung von Privacy Shield keine langfristige Rechtssicherheit. Eine abschließende Aussage will die Gruppe nämlich erst nach Verabschiedung der neuen EU-Datenschutzgesetze im Jahr 2018 treffen, da Privacy Shield auch den neuen höheren Anforderungen genügen muss.

Anfang Juni hatte der EU-Datenschutzbeauftrage das EU-US-Datenaustauschabkommen noch abgelehnt. Er forderte eine “robustere und nachhaltigere Lösung” als Privacy Shield. Er ging zu dem Zeitpunkt davon aus, dass das Abkommen einer Überprüfung durch den EU-Gerichtshof nicht standhalten wird. Unklar ist, ob die EU-Kommission die Änderungsvorschläge für die endgültige Fassung berücksichtigt hat.

Die Ungewissheit rund um Privacy Shield hat auch dazu geführt, dass immer mehr Cloud-Anbieter auf regionale Rechenzentren setzen. Dazu zählen unter anderem Microsoft, Salesforce.com und SugarCRM, die hierzulande die Dienste von T-Systems nutzen. Der Speicherdienst Box kündigte zudem kürzlich an, Unternehmen eine Auswahlmöglichkeit zur regionalen Datenspeicherung in Europa und Asien zu bieten. Ohne eine rechtliche Grundlage wie Safe Harbor oder Privacy Shield könnten Firmen, die Daten ihrer Kunden oder auch Mitarbeiter außerhalb der EU speichern, gegen Datenschutzgesetze verstoßen.

Privacy Shield: Wirtschaftsvebände begrüßen die Einigung

Der Digitalverband Bitkom hat die Zustimmung der EU-Mitgliedsstaaten zum “EU-U.S. Privacy Shield” begrüßt. “Der Weg für einen rechtssicheren Datenaustausch mit den USA ist frei”, sagte Susanne Dehmel, Bitkom-Geschäftsleiterin Datenschutz und Sicherheit. “Die deutsche Wirtschaft ist stark exportorientiert und die USA einer der wichtigsten Handelspartner. Internationale Geschäftsbeziehungen funktionieren nur durch den Transfer personenbezogener Daten. Das Privacy Shield wird es Unternehmen ermöglichen, Daten ohne hohen bürokratischen Aufwand in die USA zu übermitteln.” Davon profitiere vor allem der Mittelstand. Das Privacy Shield stärke zudem alternative Transfermechanismen wie die Standardvertragsklauseln. So ist die Ombudsperson in Fällen von Datenschutzverstößen der Geheimdienste auch für die anderen Transfermechanismen zuständig.

Der Verband der Internetwirtschaft eco e.V. begrüßt die Einigung zwischen EU-Kommission und den USA ebenfalls: “Endlich haben Unternehmen, die auf den Datenaustausch mit den USA angewiesen sind, wieder eine verlässliche Grundlage”, sagt Oliver Süme, eco-Vorstand Politik & Recht. “Diese Rechtssicherheit hat in den vergangenen Monaten gefehlt.” Auch von Unternehmen wie Microsoft wird das neue Abkommen begrüßt. Zustimmung kommt auch von der Industrievereinigung Digital Europe, zu der auch Technologie-Unternehmen wie Amazon Web Services, SAP oder Oracle gehöhren.

Nach wie vor Kritik am Datenschutz

Erhebliche Zweifel daran, dass das neue Abkommen ein Garant für mehr Datensicherheit ist, äußert Malte Pollmann, CEO des IT-Sicherheitsspezialisten Utimaco. “Ein Plus in Sachen Datensicherheit? Wohl kaum. Allein die Tatsache, dass die europäischen Datenschutzbeauftragten bei der Überarbeitung des Abkommens ausgeschlossen wurden, spricht Bände.”

Pollmann kritisiert zudem, dass die Änderungen zur ersten, abgelehnten Version nur marginal seien. “Hinzu kommt, dass der Europäische Gerichtshof das Abkommen jederzeit wieder kippen kann”, erklärt Pollmann, der damit auch die viel beschworene Rechtssicherheit des neuen Abkommens in Frage stellt.

Daher sollten Unternehmen sich nicht auf diese Abkommen verlassen “und die Vertraulichkeit ihrer Daten in Eigenregie sicherstellen”.

Pollmann rät Anwendern Daten so nah wie möglich an der Datenquelle zu verschlüsseln und die Schlüssel beispielsweise über Hardware-basierte Sicherheitselemente wie Smartcards, Token und Hardware-Sicherheitsmodule an der Infrastrukturbasis vor jedwedem Zugriff zu schützen.

Auch der österreichische Datenschutz-Aktivist Max Schrems, der sich mit einer Klage gegen Facebook einen Namen gemacht hat, äußert Zweifel, dass Privacy Shield die geforderte Rechtssicherheit für Unternehmen bieten kann: “Wir werden sehen, ob eine größere Menge von US-Unternehmen sich den teuren und auch komplizierten Implementierungsprozess unterziehen werden, wenn die Wahrscheinlichkeit von rechtlichen Änderungen am Privacy-Shield-System weiterhin hoch sind. Viele Fachanwälte raten daher Unternehmen, alternative Mechanismen zu Verwenden, oder Privacy Shield nur als zusätzliche Option zu nutzen.

In Sachen Datenschutz für Privatpersonen sieht er sogar durch Privacy Shield durch das “Notice and Choice”-Verfahren eine deutliche Ausweitung der Befugnisse für Unternehmen, wie er in einer Mitteilung erklärt. Schrems sieht darin eine Art Blanko-Scheck für die Verwendung von personenbezogenen Daten. Zudem werde die Position des Bürgers bei der Massenüberwachung geschwächt.

Der Artikel wurde am 12.07.2016 um 15.03 mit dem Beschluss der EU-Kommission ergänzt.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Wie gut kennen Sie Hightech-Firmen, die an der Börse notiert sind? Testen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.