[ad_1]
\n <\/p>\n
Die schlechte Nachricht: Das Urteil betrifft so gut wie alle Unternehmen, denn wer beispielsweise Dienste von US-Firmen wie Google, Facebook oder Zoom nutzt, ist bereits mitten drin im Dilemma, da hierbei in der Regel personenbezogene Daten gespeichert werden (z.B. als digitales Adressbuch). Aber auch Firmen, die Newslettersysteme oder CRM-Systeme von US-Anbietern nutzen, haben nun ein Problem.<\/p>\n
Doch es ist nicht aller Tage Abend – hier drei Optionen wie es weitergehen kann:<\/p>\n<\/div>\n
Die naheliegendste L\u00f6sung, um dem Dilemma Herr zu werden? Datenfl\u00fcsse umstellen und innerhalb der EU oder in L\u00e4ndern, f\u00fcr die Angemessenheitsbeschl\u00fcsse gelten, wie z.B. die Schweiz, Israel oder Argentinien halten. So simpel dies auf den ersten Blick scheint, ist es allerdings in der Praxis leider nicht. Denn zum einen gibt es aus technischer Sicht nicht f\u00fcr jeden Dienst eine ad\u00e4quate innereurop\u00e4ische Alternative, zum anderen ist diese Option oft auch wirtschaftlich ein Genickschuss. Insbesondere dann, wenn das eigene Gesch\u00e4ftsmodell auf dem Datenaustausch mit US-Firmen beruht.<\/p>\n<\/div>\n
Datentransfers zwischen Europa und den USA, die ausschlie\u00dflich auf Grundlage einer Privacy-Shield-Zertifizierung erfolgen, sind ab sofort datenschutzwidrig. Wichtig zu wissen: Die Standardvertragsklauseln (SCC) f\u00fcr die \u00dcbermittlung an Auftragsverarbeiter hat der EuGH in seinem Urteil allerdings explizit nicht als unwirksam eingestuft. Sprich, Unternehmen, die sich bisher rein auf das EU-US-Privacy-Shield-Abkommen verlassen haben, m\u00fcssen nun mit ihren US-Vertragspartnern auf eine andere Rechtsgrundlage f\u00fcr den Drittlandstransfer umstellen. Es gilt also zu pr\u00fcfen, ob jeweils bereits EU-Standardvertragsklauseln vorliegen, auf deren Grundlage eine weitere Zusammenarbeit m\u00f6glich ist.<\/p>\n
Achtung: Rechtlich wasserdicht ist auch diese L\u00f6sung auf Dauer nicht. Denn der EuGH fordert, dass bei Datenfl\u00fcssen in ein Drittland gepr\u00fcft und sichergestellt wird, ob ein angemessenes Datenschutzniveau besteht. Insbesondere m\u00fcssen US-Unternehmen bei einer Vereinbarung der EU-Standardvertragsklauseln nachweisen und sicherstellen k\u00f6nnen, dass ein Zugriff der US Beh\u00f6rden verhindert werden kann. Dies wird US-amerikanischen Unternehmen aber in der Regel nicht gelingen, weshalb in solchen F\u00e4llen dann auch EU-Standardvertragsklauseln keine rechtliche Grundlage darstellen. F\u00fcr einen Gro\u00dfteil des Datenaustauschs mit den USA werden EU-Standardvertragsklauseln also nicht mehr ausreichen.<\/p>\n
Gut zu wissen: Wer nicht allein auf Standardvertragsklauseln setzen m\u00f6chte, dem bieten einige US-Dienstleister als zus\u00e4tzliche Garantie f\u00fcr ein angemessenes Datenschutzniveau die M\u00f6glichkeit der Datenverschl\u00fcsselung. Sofern aufgrund der Verschl\u00fcsselung ein Zugriff durch US-Beh\u00f6rden verhindert werden kann, bzw. ein Zugriff auf die Rohdaten dadurch unm\u00f6glich gemacht wird, bietet eine Verschl\u00fcsselung eine zus\u00e4tzliche geeignete Garantie i.S.v. Art. 46 DSGVO.<\/p>\n<\/div>\n
Unternehmen, die sich nicht auf Standardvertragsklauseln verlassen m\u00f6chten und eine absolut rechtssichere Variante suchen, um weiterhin den Datenfluss mit den USA aufrecht zu erhalten, k\u00f6nnen auf eine sog. \u201cConsent Management Platform (CMP)\u201d setzen.
Denn die Einwilligung der Nutzer (Consent) stellt nach Art. 49 DSGVO eine Ausnahme sowohl zum Angemessenheitsbeschluss als auch zu zus\u00e4tzlichen Garantien dar.<\/p>\n
Eine solche Software-L\u00f6sung erm\u00f6glicht es, die Privatsph\u00e4re-Pr\u00e4ferenzen der Webseiten- oder App-Nutzer in Bezug auf jeden einzelnen Dienst, der in der Webseite implementiert ist, \u00fcber ein Privacy Banner rechtskonform abzufragen und auditsicher zu dokumentieren. So kann also bereits bevor personenbezogene Daten verarbeitet und ggfs. weitergeleitet werden, die Einwilligung der Nutzer hierf\u00fcr eingeholt werden.<\/p>\n
Die Voraussetzungen f\u00fcr eine g\u00fcltige Einwilligung? Der Nutzer muss seine Einwilligungsentscheidung u.a. informiert getroffen haben, d.h. ihm wurde durch die CMP die M\u00f6glichkeit gegeben, sich vorab genau \u00fcber die auf der Webseite eingesetzten Datenverarbeitungsdienste im Detail zu informieren. Es muss also genau ersichtlich sein, welcher Dienst welche Daten zu welchem Zweck in welcher Form und nat\u00fcrlich auch in welchem Land verarbeitet. Im zweiten Schritt muss der Nutzer dieser Datennutzung explizit zustimmen (Opt-in), z.B. durch das Setzen eines H\u00e4kchens.<\/p>\n
Mit einer CMP kann also sichergestellt werden, dass auch nur genau die Daten an Drittanbieter weitergegeben werden, f\u00fcr die die explizite – und vor allem eine informierte – Nutzer Einwilligung vorliegt.<\/p>\n
Hierbei gilt: Je h\u00f6her die Einwilligungsrate (Opt-in Rate) der Nutzer, desto gr\u00f6\u00dfer ist logischerweise auch der Datenschatz, den das Unternehmen nun rechtskonform f\u00fcr Marketing-Zwecke zur Verf\u00fcgung hat. Durch geschickte Opt-in Optimierung, z.B. die optimale Anpassung des Privacy Banners an die Unternehmens CI, kann diese Rate meist noch erheblich gesteigert werden.<\/p>\n<\/div>\n
Dass der freie Datenfluss in die USA von jetzt auf gleich f\u00fcr rechtswidrig erkl\u00e4rt wurde, ist zwar ein echter Paukenschlag, Grund zur Panik gibt es f\u00fcr Unternehmen allerdings (noch) nicht. Denn: Die nationalen Aufsichtsbeh\u00f6rden, in deren Aufgabenbereich die Durchsetzung des Urteils f\u00e4llt, m\u00fcssen erst einmal Empfehlungen aus dem EuGH-Urteil ableiten und ver\u00f6ffentlichen, daher wird es zun\u00e4chst einen \u00dcbergangszeitraum geben.<\/p>\n
Niemand erwartet also, dass Unternehmen Ihre Datenverarbeitungsprozesse von heute auf morgen umstellen. Sie tun allerdings gut daran, die Schonzeit zu nutzen, um an ihrer neuen Datenstrategie zu feilen. Denn eines steht fest: Die Uhr l\u00e4sst sich nicht mehr zur\u00fcckdrehen und die Rechte der Nutzer beim Thema Datenschutz r\u00fccken – nicht nur in Europa – immer mehr in den Fokus.<\/p>\n<\/div>\n