Ein Jahr nach dem Aus der Privacy-Shield-Ab­kom­men: 5 Hand­lungs­emp­feh­lungen für die da­ten­schutz­kon­for­me und si­che­re Un­ter­neh­mens­kom­mu­ni­ka­ti­on

Am 16. Juli 2020 kippte der Europäische Gerichtshof mit dem EU-US-Privacy-Shield das transatlantische Datenschutzabkommen zwischen der Europäischen Union und den USA. Begründet wurde die Entscheidung mit dem ungenügenden Schutz personenbezogener Daten von EU-Nutzern in den USA.

Kurz darauf wurde am 8. September 2020 auch das Swiss-US-Privacy-Shield gekippt. Seitdem ist auch die Übermittlung personenbezogener Daten aus der Schweiz in die USA nicht mehr auf Grundlage dieses Abkommens möglich.

Die Ungültigkeitserklärungen der Privacy-Shield-Abkommen gingen mit einer starken Verunsicherung von Unternehmen in der EU und der Schweiz einher. Viele Firmen setzen US-amerikanische Kommunikations- und Kollaborations-Lösungen wie WhatsApp, Microsoft Teams oder Slack ein. Nach wie vor herrscht deshalb eine grosse Unsicherheit darüber, ob Nutzerdaten auf US-Servern einen ausreichenden Schutz erhalten.

Um Ihre Unternehmenskommunikation sicher und datenschutzkonform zu gestalten, bieten wir Ihnen im Folgenden einen verständlichen Überblick über die aktuelle Rechtslage und empfehlen fünf Massnahmen:

1. US-amerikanische Kommunikationstools identifizieren
2. Personenbezogene Datenübermittlungen ins Blickfeld nehmen
3. Rechtsgrundlage der Datentransfers ermitteln
4. Privacy Shield 2021 – Was Unternehmen jetzt tun müssen
5. Zu datenschutzkonformen Kommunikationsdiensten wechseln

Fall der Privacy-Shields: Auch Ihr Unternehmen ist betroffen

Die Ungültigkeitserklärungen der Privacy-Shield-Abkommen durch den EuGH beziehungsweise den EDÖB (Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten für die Schweiz) sind für Ihr Unternehmen von entscheidender Bedeutung, sollte mindestens einer der folgenden Punkte zutreffen:

• Ihr Unternehmen verwendet zur internen Kommunikation einen US-amerikanischen Dienst (z.B. WhatsApp, Slack, Microsoft Teams).
• Ihr Unternehmen speichert Daten in einer Cloud, die von einem Unternehmen mit Sitz in den USA gehostet wird (z.B OneDrive, Dropbox).
• Ihr Unternehmen verwendet ein Videokonferenzsystem eines US-Anbieters (z.B. Zoom, Google Chat), das beispielsweise Profilbilder sowie die Information, welche Personen gemeinsam an einer Videositzung teilnehmen, speichert.

Das Urteil hat auch Auswirkungen auf viele deutsche Unternehmen, die im Datenaustausch mit den USA stehen. Dass sie jetzt auch Probleme bekommen, liegt am Überwachungswahn der US-Geheimdienste und nicht am EuGH. Klar ist: So lange amerikanische Überwachungsinteressen und europäischer Datenschutz sich unvereinbar gegenüberstehen, wird es hier keine einvernehmliche Lösung geben können. Die USA müssen daher endlich ihre Strategie der weltweiten Massenüberwachung ändern.

Anke Domscheit-Berg, netzpolitische Sprecherin der Bundestagsfraktion DIE LINKE zum EuGH Urteil Privacy Shield. Quelle: https://digitalisierungspraxis.de/privacy-shield-ist-geschichte/

Wenn Tools in Ihrem Unternehmen eingesetzt werden, die gegen die DSG- beziehungsweise DSGVO-Bestimmungen verstossen, drohen hohe Bussgelder. Diese können in Höhe von bis zu 20 Millionen Euro oder vier Prozent des Vorjahresumsatzes ausfallen. Ebenso kann Ihrem Unternehmen der Datentransfer in die USA untersagt werden. Da viele Unternehmen in der EU und der Schweiz keinen Überblick über ihren laufenden Datenverkehr mit US-Firmen haben, laufen diese Gefahr, für Datenschutzverstösse hohe Strafen zu kassieren.

Darum können Sie sich nicht auf die Standardvertragsklauseln verlassen

Mit dem Fall der Privacy-Shield-Abkommen sind laut EuGH und EDÖB nach wie vor die Standardvertragsklauseln ein geltendes Vertragswerk für Datentransfers aus der Schweiz sowie der EU in die USA. Die Herausforderung: Mit jeder US-Firma muss eine solche Vereinbarung einzeln abgeschlossen werden. Zudem muss berücksichtigt werden, dass die Standardvertragsklauseln nur dann gültig sind, wenn ein umfassender Schutz der Daten durch die US-Firma gewährleistet werden kann. Ausserdem muss das europäische Unternehmen die Einhaltung der Standardvertragsklauseln streng kontrollieren.

Die Standardvertragsklauseln garantieren keinen sicheren Datentransfer

Die Standardvertragsklauseln bieten somit keinen verlässlichen Schutz für personenbezogene Daten von Unternehmen aus der EU und der Schweiz auf Servern US-amerikanischer Firmen.

Erfahren Sie im nächsten Kapitel, welche Massnahmen Ihnen zu einer datenschutzkonformen und sicheren Unternehmenskommunikation verhelfen.

Privacy Shield 2021 – was Unternehmen jetzt tun müssen

1. US-amerikanische Kommunikationstools identifizieren

In Schweizer und EU-Unternehmen sind populäre Kommunikationstools wie WhatsApp, Slack, Wire oder Threema Work in der internen Kommunikation nicht mehr wegzudenken, denn spezialisierte Chat-Apps sind sehr beliebt. Viele der bekannten Messenger-Dienste bieten aber kein ausreichendes Mass an Datensicherheit im Sinne der DSGVO beziehungsweise der DSG. Beispielsweise hat der Messenger Wire (Wire Swiss GmbH) seinen Sitz in der Schweiz, speichert jedoch seine Daten auf Servern des US-Unternehmens Amazon.

Vor diesem Hintergrund sollten Sie folgende Fragen klären:

• Welche Messenger werden zur internen Kommunikation in Ihrem Unternehmen genutzt?
• Wo befinden sich deren Firmen(haupt)sitze?
• Wo befinden sich deren Server?

Wenn Sie dabei feststellen, dass in Ihrem Unternehmen US-Messenger-Dienste zum Einsatz kommen, berücksichtigen Sie unbedingt die weiteren Handlungsempfehlungen.

2. Personenbezogene Datenübermittlungen ins Blickfeld nehmen

Vom Urteil des EuGH und des EDÖB sind die Transfers personenbezogener Daten in die USA betroffen. Personenbezogene Daten werden insbesondere bei der Nutzung von Instant-Messaging-Diensten in der Unternehmenskommunikation übermittelt. Deshalb sollten Sie explizit diese Art von Datentransfers bei den folgenden Massnahmen berücksichtigen.

3. Rechtsgrundlagen der Datentransfers ermitteln

Im Falle der Nutzung von US-Messengern in Ihrem Unternehmen muss nun für jeden Einzelfall geprüft werden, auf welcher Rechtsgrundlage diese Ihre personenbezogenen Daten verarbeiten und speichern. Normalerweise kommen nur folgende Vertragswerke in Betracht:

• die mittlerweile ungültigen Privacy-Shield-Abkommen
• die Standardvertragsklauseln (ggf. um zusätzliche Schutzvereinbarungen ergänzt)

Jedoch muss beachtet werden, dass weder die hinfälligen Privacy-Shield-Abkommen, noch die Standardvertragsklauseln einen angemessenen Schutz für Ihre Unternehmensdaten auf Servern von US-Firmen garantieren.

4. Wenn möglich, auf Schweizer oder EU-Server ausweichen

Einige US-amerikanische Kommunikationsunternehmen bieten die Möglichkeit, personenbezogene Daten ausschliesslich auf EU-Servern zu speichern und so einen Transfer in die USA zu umgehen.

Die Schweiz garantiert vollumfängliche Rechtssicherheit

Alle Schweizer Unternehmen unterliegen dem Datenschutzgesetz der Schweiz, welches vergleichbar strenge Regelungen wie die DSGVO vorschreibt. Das Datenschutzniveau der Schweiz wurde von der EU als äquivalent erklärt, weshalb die Schweiz im Gegensatz zur USA als «sicherer Drittstaat» gilt und bei Datenübermittlungen zwischen der EU und der Schweiz ein hohes Datenschutzniveau eingehalten werden kann.

5. Zu datenschutzkonformen Kommunikationsdiensten wechseln

Aufgrund des mangelhaften Datenschutzniveaus der USA kann in der Regel keine DSG- beziehungsweise DSGVO-konforme Übermittlung personenbezogener Daten stattfinden. Um Rechtsverstösse zu umgehen, wird deshalb die Nutzung datenschutzkonformer Kommunikationsdienste empfohlen, die Ihre Daten nicht auf US-amerikanischen Servern speichern und somit nicht dem CLOUD Act unterliegen.

Fazit: Der sicherste Messenger für Ihr Unternehmen

Ein Datentransfer, der den strengen DSG- und DSGVO-Regelungen entspricht, ist noch keine Garantie für einen vollumfänglichen Schutz personenbezogener Daten. Abseits der Rechtskonformität eines Kommunikationstools sollte vielmehr berücksichtigt werden, inwiefern dessen Geschäftsmodell und Programmierung ein angemessenes Datenschutzniveau gewährleisten können.

Dazu gehört der öffentliche Zugang zum Quellcode (Open Source). So kann eine volle Transparenz gewährleistet und die Funktionsweise der Anwendung nachvollzogen werden. Wichtig ist auch eine regelmässige Sicherheitsprüfung durch unabhängige Experten, um die Software auf Datenschutzlücken zu prüfen. Die Gewährleistung von Datensicherheit und Privatsphäre sollten zudem bereits in der Entwicklungsphase des Kommunikationstools priorisiert werden (Privacy by Design), um so wenig Nutzerdaten wie möglich zu speichern und einen Missbrauch so von vornherein auszuschliessen.

Betrachtet man die populärsten Kommunikationstools im Vergleich, wird deutlich, dass der Schweizer Messenger Threema und dessen Business-Lösung Threema Work die sichersten Alternativen zu vergleichbaren, bekannten US-Messengern darstellen. Sparen Sie sich zeitaufwendige Überprüfungen und Vertragsaushandlungen mit US-Anbietern oder Anbietern, die Ihre Daten auf US-Servern hosten. Diese können Ihnen keinen ausreichenden Schutz für Ihre Unternehmensdaten versichern und setzen Ihr Unternehmen unwägbaren Risiken aus. Mit Threema Work kommunizieren Sie von Beginn an datenschutzkonform und sicher!