Ab Februar 2016 wird es ernst Datenschützer prüfen jetzt Auftragsdatenverarbeitung

Ab heute, Anfang Februar 2016 geht es los und die Datenschutzbehörden prüfen die Geschäftsverbindung von Unternehmen zu Geschäftspartnern, die für sie Daten verarbeiten.

Anbieter zum Thema

FTAPI Software GmbH

Rubrik Germany GmbH

valvisio international AG

1&1 IONOS SE

Das betrifft auch Unternehmen, die Daten zu US-Anbietern in die Cloud geben. Gut möglich, dass bei dieser Prüfung herauskommt: Nur EU-Anbieter sind noch erlaubt, wenn Datenverarbeiter aus Übersee keine Rechtssicherheit bieten können.

Das Jahr 2015 wird betrieblichen Datenschutzbeauftragten sicher noch lange in Erinnerung bleiben: Plötzlich waren die einfachen Zeiten vorbei.

Compliance auf wackligen Füßen

Die Compliance in Sachen EU-Datenschutzrichtlinie und Bundesdatenschutzgesetz steht seit der Entscheidung des Europäischen Gerichtshofs (EuGH) zu „Safe Harbor“ auf wackeligen Füßen und droht zu kippen.

Im Herbst 2015 entschieden die EU-Richter, dass die Safe-Harbor-Regelung keine zulässige Grundlage für eine Datenverarbeitung außerhalb Europas darstellt. Nach dieser Regel verpflichteten sich US-Unternehmen wie zum Beispiel Anbieter von Cloud-Services, ein scheinbar angemessenes Schutzniveau entsprechend der EU-Datenschutzrichtlinie einzuhalten. Das erlaubte deren Kunden, die Verträge der US-Cloud-Services einfach unbesehen zu unterschreiben.

Rechtlich abgesicherte Alternativen vorhanden

Nach dem Wegfall von „Safe Harbor“ wären spontan zwei weitere Möglichkeiten des EU-Datenschutzrechts denkbar, eine rechtlich abgesicherte Auftragsdatenverarbeitung zu vereinbaren. Zum einen kann dies anhand der so genannten Standardvertragsklauseln der EU geschehen. Ein scheinbarer Vorteil dieser Möglichkeit: Der Vertrag muss nicht der Aufsichtsbehörde vorgelegt werden. Er steht aber jederzeit unter dem Vorbehalt der rechtlichen Prüfung.

Die zweite Möglichkeit sind die „Binding Corporate Rules“ (BCR), ein rechtlicher Rahmen zum Umgang mit personenbezogenen Daten, ausgearbeitet von der Artikel-29-Datenschutzgruppe, einem von der EU-Kommission eingesetzten Beratungsgremium. Ergänzend zu einigen vorgeschriebenen Klauseln können Unternehmen den Inhalt der Richtlinien individuell vereinbaren und den Aufsichtsbehörden vorlegen.

Bedenkliche Ersatzinstrumente

Diese beiden zusätzlichen Möglichkeiten sind unterschiedlich aufwändig und wurden teilweise bereits umgesetzt. So hat zum Beispiel der CRM-Anbieter Salesforce schon wenige Tage nach dem Bekanntwerden des EuGH-Urteils die Nutzerlizenzen um die Standardvertragsklauseln erweitert. Leider ist vollkommen unklar, ob diese Auswege überhaupt noch wirksam sind. Denn der EuGH hat in seinem Urteil die nationalen Datenschutzbehörden ausdrücklich dazu aufgefordert, auch die Ersatzinstrumente zu prüfen. In Deutschland hat die Datenschutzkonferenz, der Zusammenschluss aller Datenschutzbehörden, nicht lange gezögert: Sie stellt Klauseln und BCR ebenfalls in Frage.

Datenübermittlung in die USA

Alternativen zum Safe-Harbor-Prinzip

Nach dem 31. Januar 2016 werden die Datenschutzbehörden bei Datenverarbeitern und ihren Auftraggebern mit umfangreichen Kontrollen beginnen. Dabei wird nicht nur ermittelt, ob noch verbotenerweise „Safe Harbor“ angewandt wird. Außerdem wird geprüft, ob der Gebrauch der Standardvertragsklauseln und der „Binding Corporate Rules“ rechtmäßig ist.

Datenschutzexperten halten das Ergebnis bereits für offenkundig und beziehen sich dabei auf eine sorgfältige Interpretation der EuGH-Entscheidung. Die Richter sehen demnach die USA aus zwei Gründen als kein sicheres Drittland für Daten an: Erstens fehle es in den USA an effektivem Rechtsschutz für EU-Bürger und zweitens ermögliche die Gesetzeslage den mehr oder weniger unkontrollierten Zugriff der US-Behörden auf die Daten.

Diese Bedenken könnten über die Ersatzinstrumente nicht ausgeräumt werden. Aus diesem Grund habe die Aushandlung eines neuen Datenschutzabkommens eine sehr hohe Priorität für die EU-Kommission. In einer ersten Stellungnahme betonte der für den digitalen Binnenmarkt zuständige Vizepräsident Andrus Ansip: „Wir brauchen ein Abkommen mit unseren US-amerikanischen Partnern in den nächsten drei Monaten.“

Weiterhin Rechtsunsicherheit

Das ist recht optimistisch gedacht, denn zu Verhandlungen gehören immer noch zwei Partner. Es ist nicht besonders wahrscheinlich, dass die USA so ohne weiteres auf das Behördenprivileg bei der Einsicht in personenbezogene Daten verzichten. Es drohen also langwierige Verhandlungen, deren Ausgang vollkommen offen ist. Außerdem ist fraglich, ob ein neues Abkommen tatsächlich Rechtssicherheit bringt.

Eine ebenfalls optimistische Sicht auf die Dinge ist die Vermutung, dass die US-Unternehmen hier Druck auf die US-Regierung ausüben könnten. Zwar steckt hinter Unternehmen wie Apple, Google, Facebook oder Microsoft eine enorme Wirtschaftsmacht, aber selbst die IT-Riesen sind auf ihren Standort in den USA angewiesen.

AOL, Apple, Facebook, Google, Linkedin, Microsoft, Twitter und Yahoo

US-Konzerne begehren gegen Überwachungswahn auf

Aus der Entwicklung seit der kurzen Zeit zwischen dem EuGH-Urteil lässt sich auf jeden Fall eines ablesen: In den US-Unternehmen wird intensiv über Auswege aus dieser Situation nachgedacht, da sie natürlich nicht auf den wirtschaftlich bedeutenden und zahlungskräftigen deutschen B2B-Markt verzichten wollen.

Dies hat bereits zu interessanten Entwicklungen wie der Kooperation von Microsoft und der Telekom im deutschen Cloud-Office-Markt geführt. Microsoft hat sich hier für eine Umwegkonstruktion entschieden. Der US-Anbieter liefert im Grunde lediglich die Software, während der Betrieb in den Cloud-Rechenzentren der Telekom abgewickelt wird.

Entscheidend ist hier die Ausgestaltung der Kundenbeziehung. Nutzer des „deutschen“ Office 365 sind nicht Kunden von Microsoft, sondern der Telekom. Microsoft selbst hat keinen Zugriff auf die Kundendaten. Diese Regelung klingt kompliziert. Erst die Praxis wird zeigen, welche rechtlichen Probleme in Sachen Service Level, Verfügbarkeitsgarantien und Haftung bei Software-Bugs auf die Anwender zukommen.

Sicherer Hafen in Deutschland

Diese ganzen Umständlichkeiten sollten aber nicht den Blick darauf verstellen, dass es durchaus praktikable und rechtssichere Lösungen gibt: Ein in Deutschland angesiedeltes und von einem deutschen Unternehmen betriebenes Cloud-Rechenzentrum ermöglicht jedem Unternehmen die Rückkehr aus dem rechtlichen Graubereich zurück in den „sicheren Hafen“. Denn die scheinbar so übermächtigen US-Cloud-Dienstleister sind längst nicht ohne hiesige Konkurrenz. Vor allem bei Plattform- oder Infrastrukturanbietern gibt es in Deutschland und Europa zahlreiche Wettbewerber. Sie spielen bei Leistungsfähigkeit und Komfort in der gleichen Liga wie die US-Anbieter.

Andreas Gauger, Profitbricks.

Der Wechsel zu einem neuen Anbieter bedeutet für die Unternehmen zwar einen hohen Aufwand und ist nicht in jedem Fall in kurzer Frist begehbar. Wer seine Geschäftsanwendungen beispielsweise als Software-as-a-Service (SaaS) aus der Cloud bezieht, muss wie beim Austausch von On-Premise-Anwendungen zunächst Daten konvertieren. Die auch in dieser Hinsicht flexibelste Lösung ist Infrastructure-as-a-Service (IaaS). Anbieter solcher Dienstleistungen in Deutschland werden sich mit Sicherheit über eine erhöhte Nachfrage freuen, denn der Wechsel von einem US-Anbieter ist hier vergleichsweise einfach zu bewältigen.

* Der Autor Andreas Gauger ist Gründer und CMO von ProfitBricks.

(ID:43840184)