Mobile-Menu

Unternehmen müssen spätestens jetzt handeln Safe-Harbor-Schonfrist vorbei - erste Bußgeldverfahren

Redakteur: Ulrike Ostler |

Es drohen Bußgelder bis 300.000 Euro. Denn seit knapp fünf Monaten heißt es: Safe Harbor adé. Es gab zwar eine Schonfrist der Datenschutzaufsichtsbehörden, do die ist jetzt vorbei: Erste Bußgeldverfahren wurden gegen mehrere Unternehmen in Hamburg eingeleitet

Anbieter zum Thema

Rosenberger-OSI GmbH & Co. OHG
Fujitsu Technology Solutions GmbH
Datacenter One GmbH
eco - Verband der Internetwirtschaft e. V.
Es drohen bis zu 300.000 Euro Strafe.
Es drohen bis zu 300.000 Euro Strafe.
(Bild: Grecaud Paul/ Fotolia.com)

Für viel Aufsehen hat die Entscheidung des Gerichtshofs der Europäischen Union (EuGH) gesorgt, der mit dem Urteil vom 06.10.2015 Safe-Harbor-Vereinbarungen für unwirksam erklärte. Seit diesem Tag, ohne Übergangsfrist, ist es europäischen Unternehmen nicht mehr gestattet, auf Safe-Harbor-Basis personenbezogene Daten in die USA zu transferieren, sie dort zu speichern oder zu verarbeiten.

Unternehmen, die Daten auf der Grundlage des Safe-Harbor-Abkommens übermittelt hatten, mussten nach der EuGH-Entscheidung schnellstens reagieren. Denn bei einer unzulässigen Datenübertragung in Drittstaaten drohten Bußgelder und sogar die Untersagung der Datenverarbeitung.

Außerdem konnte Nichtstun zu Haftungsfallen führen, wenn etwa Dienstleister ihre Kunden nicht rechtzeitig angemessen informierten. „Trotz all dieser Gefahren haben viele Unternehmen nach wie vor nicht reagiert. Dabei gibt es rechtskonforme Alternativen – insbesondere EU-Standard-Verträge“, sagt Rechtsanwalt Jens Eckhardt, Vorstand des Eurocloud Deutschland Eco e. V.

Ergänzendes zum Thema
Was sollten Unternehmen tun, die Cloud-Angebot nutzen?

Prüfen Sie,

  • in welchen Konstellationen und durch welche Dienstleister ein Datentransfer in die USA erfolgt.
  • in welchen Konstellationen und durch welche Dienstleister ein Zugriff auf die personenbezogenen Daten aus den USA erfolgen kann (auch wenn sie in der Praxis nicht darauf zugreifen)
  • welche Ihrer Vertragspartner oder Sub-Unternehmer sich auf das Safe-
  • Harbor-Abkommen berufen haben,
  • welche dieser Datenübertragungen für Ihr Geschäft am allerwichtigsten sind und stellen Sie alle –beginnend bei denen mit höchster Priorität – kurzfristig auf EU-Standardverträge um.

Beruft sich ein Dienstleister darauf, Safe-Harbor-zertifiziert zu sein, hat mit Ihnen aber einen EU-Standardvertrag geschlossen, dann stellt das kein Problem dar. Hauptsache der Datentransfer stützt sich nicht ausschließlich auf Safe Harbor.

Sie sind selbst ein Dienstleister, der bislang Safe Harbor genutzt hat?

Dann gestalten Sie umgehend EU-Standardverträge und beachten Sie dabei die ergänzenden Regelungen der Auftragsdatenverarbeitung, der Leistungsbeschreibung und technisch-organisatorischen Maßnahmen. Informieren Sie Ihre Kunden/Auftraggeber darüber, dass Sie Safe-Harbor-Vereinbarungen genutzt haben und nun auf EU-Standardverträge umstellen.

Doch noch immer haben viele von der Entscheidung des Europäischen Gerichtshofs betroffene Unternehmen ihre Regelungen für den internationalen Datentransfer nicht an die neue Rechtslage angepasst. Zwar haben sich am 2. Februar 2016 sich die EU-Kommission und die USA als Nachfolgeregelung zum Safe-Harbor-Abkommen auf das so genannte EU-US Privacy Shield verständigt. Es ist jedoch noch nicht in Kraft und damit noch keine tragfähige Rechtsgrundlage für den Datentransfer.

EU-Standardvertrag beste Alternative, aber nicht optimal

Somit sind bis zur tragfähigen Umsetzung des Nachfolgeabkommens EU-US Privacy Shield die EU-Standardverträge derzeit die beste datenschutzkonforme Alternative, Allerdings gibt es auch hier Bedenken.

Ein EU-Standardvertrag zwischen dem datenübermittelnden und dem -empfangenden Unternehmen schafft ein datenschutzrechtlich angemessenes Schutzniveau bei dem Datenempfänger. Die Vertragsklauseln sind relativ schnell und einfach implementierbar. Die Inhalte sind, wie der Name schon sagt, standardisiert: Die Unternehmen müssen keine aufwändige Prüfung vornehmen, sondern sind darauf beschränkt, die Freifelder mit sachlichen Beschreibungen der Zusammenarbeit auszufüllen.

Ergänzendes zum Thema
Über Eurocloud Deutschland_eco e. V.

Eurocloud Deutschland ist der Verband der deutschen Cloud-Computing-Wirtschaft und repräsentiert diese im paneuropäischen Netzwerk Eurocloud. Eurocloud Deutschland setzt sich für Akzeptanz und bedarfsgerechte Bereitstellung von Cloud Services am deutschen Markt ein.

Dabei steht der Verein in ständigem Dialog mit den europäischen Partnern des Eurocloud-Netzwerks, um globale Lösungen zu finden und den Boden für internationale Geschäftsbeziehungen zu bereiten. Eurocloud Deutschland wurde im Dezember 2009 gegründet und ist dem Eco – Verband der Internetwirtschaft e. V. angegliedert.

Doch die Datenschutzbehörden halten weiterhin jeglichen Transfer von personenbezogenen Daten in die USA – auch auf Basis von EU-Standardverträgen – für rechtlich problematisch und behalten sich vor, Einzelfälle zu prüfen. „Gerade für Cloud Services ist der EU-Standardvertrag ist in der Praxis aufgrund des individuellen Abschlusses und der Gefahr von Kollisionen mit vertraglichen Regelungen keine optimale Lösung; nichts tun ist aber gleichwohl keine Option“, so Eckhardt.

(ID:43898868)

Weiterführende Inhalte