Neue Unsicherheiten für internationale Datenübertragungen und die europäische digitale Souveränität
Analyse von TMWP
Aus der Sicht von TMWP gibt es derzeit keine unmittelbare Handlungsverpflichtung, da der EU–US-Datenschutzrahmen (EU–US Data Privacy Framework) weiterhin in Kraft bleibt. Unternehmen sollten jedoch die Entwicklung der Situation aufmerksam verfolgen und ihre internationalen Datenübertragungen kritisch neu bewerten.
Die Debatte geht seit langem über die bloße Frage des Datenschutzes hinaus und betrifft nun grundlegende Themen wie digitale Souveränität, Cloud-Strategien, Verantwortung in Lieferketten und regulatorische Resilienz.
Konkrete Empfehlungen für Unternehmen
Unabhängig von der Zukunft des Datenschutzrahmens empfiehlt TMWP bereits jetzt die folgenden Maßnahmen:
- Dokumentation aller Datenübertragungen in die USA und in andere Drittländer.
- Erfassung der genutzten Cloud- und SaaS-Dienste, einschließlich Microsoft 365, Azure, AWS, Google Workspace und Salesforce.
- Überprüfung der bestehenden Standardvertragsklauseln (SCC) sowie der derzeit verwendeten Datenübertragungsmechanismen.
- Überprüfung der Verträge mit Subunternehmern und der Subunternehmer, die an der Datenverarbeitung beteiligt sind.
- Die Integration des Datenschutzes, der Informationssicherheit und des Lieferantenmanagements in einen gemeinsamen Compliance-Rahmen.
- Die regulatorischen Entwicklungen auf Ebene der Europäischen Kommission, der europäischen Datenschutzbehörden und des Gerichtshofs der Europäischen Union verfolgen.
TMWP unterstützt Unternehmen bei der Bewertung von Transfers in Drittländer, den Risiken im Zusammenhang mit dem Datenschutz, Cloud-Strategien sowie bei der Einrichtung robuster Compliance- und Governance-Strukturen.
Kontext
Die transatlantischen Datenaustausche zwischen der Europäischen Union und den Vereinigten Staaten könnten erneut rechtlichen Herausforderungen gegenüberstehen.
Die Situation hat ihren Ursprung in einer Entscheidung des Obersten Gerichtshofs der Vereinigten Staaten (US Supreme Court), die die Unabhängigkeit der Federal Trade Commission (FTC) einschränkt, die bisher bestand. In Zukunft könnten die Kommissare der FTC leichter vom Präsidenten der Vereinigten Staaten abberufen werden.
Diese institutionelle Unabhängigkeit war jedoch ein wichtiger Bestandteil der Analyse, die die Europäische Union bei der Bewertung des Schutzniveaus im Rahmen des Datenschutzrahmens zwischen der EU und den USA durchgeführt hat.
Die zentrale Frage lautet daher:
Entsprechen die Vereinigten Staaten weiterhin den Anforderungen an ein angemessenes Schutzniveau im Sinne des europäischen Rechts?
Warum verfolgen Unternehmen diese Entwicklung aufmerksam?
Mehrere Berufsverbände betrachten diese Entwicklung mit Besorgnis.
Die Vertreter der Wirtschaft betonen, dass ein zuverlässiger und rechtlich gesicherter Datenaustausch mit den Vereinigten Staaten für viele Geschäftsprozesse unerlässlich ist. Gleichzeitig warnen sie vor einer Zunahme rechtlicher Unsicherheiten, Compliance-Kosten und potenziellen Investitionshindernissen.
Unternehmen, die von Cloud-Diensten und Plattformen mit Sitz in den Vereinigten Staaten abhängig sind, wären besonders betroffen, insbesondere solche, die folgende nutzen:
- Microsoft Azure
- Microsoft 365
- Office 365
- Amazon Web Services (AWS)
- Die Google-Dienste
- Salesforce
Heute bilden diese Lösungen die Grundlage vieler Geschäftsprozesse, von E-Mail und Zusammenarbeit bis hin zu CRM-Systemen, Datenanalyse und Dokumentenmanagement.
Gibt es derzeit einen Handlungsbedarf?
Bis heute bleibt der EU-US-Datenschutzrahmen vollumfänglich anwendbar.
Nach den derzeit verfügbaren öffentlichen Informationen gibt es keine Hinweise darauf, dass Datenübertragungen in die Vereinigten Staaten automatisch illegal geworden sind. Es besteht jedoch Unsicherheit über die zukünftige rechtliche Stabilität dieses Abkommens.
Die Vertreter der Wirtschaft und des Datenschutzes sind der Ansicht, dass es sinnvoll ist, vorerst die politischen und rechtlichen Entwicklungen sowohl auf europäischer als auch auf amerikanischer Ebene abzuwarten.
Gleichzeitig wird den Unternehmen empfohlen, ihre bestehenden Datenübertragungen zu überprüfen und gegebenenfalls auf zusätzliche Garantien zurückzugreifen, insbesondere auf die Standardvertragsklauseln der Europäischen Kommission.
Jenseits des Datenschutzes: die Frage der digitalen Souveränität
Die aktuelle Debatte zeigt einmal mehr, dass der Datenschutz nicht isoliert betrachtet werden kann.
Viele Unternehmen sind heute stark, sowohl technisch als auch organisatorisch, von globalen Cloud-Anbietern abhängig. Ein schneller Wechsel zu alternativen Lösungen würde oft erhebliche Kosten, technische Risiken und beträchtliche organisatorische Aufwände mit sich bringen.
Genau aus diesem Grund gewinnt die Frage der digitalen Souveränität in Europa weiter an Bedeutung.
Es geht nicht darum, bestehende Technologien systematisch zu ersetzen. Unternehmen müssen vor allem verstehen, wo ihre Daten verarbeitet werden, welche Dienstleister an diesen Prozessen beteiligt sind und welche regulatorischen Risiken aus diesen Abhängigkeiten resultieren können.
Fazit
Die Entscheidung des Obersten Gerichtshofs der Vereinigten Staaten hat die Debatte über die Zukunft der transatlantischen Datenströme neu entfacht.
Der EU–US-Datenschutzrahmen ist derzeit weiterhin in Kraft. Dennoch sollten Unternehmen diese Situation nutzen, um ihre internationalen Datenströme, ihre Cloud-Dienste sowie die bereits implementierten Schutzmaßnahmen kritisch zu überprüfen.
TMWP empfiehlt einen proaktiven Ansatz:
Unternehmen, die bereits heute eine klare Sicht auf ihre Datenübertragungen, ihre Dienstleister und die damit verbundenen regulatorischen Risiken haben, werden deutlich besser auf mögliche zukünftige Entwicklungen vorbereitet sein.
Der Datenschutz, die Informationssicherheit, das Lieferantenmanagement und die digitale Souveränität müssen als eng miteinander verbundene Komponenten einer modernen Strategie für Governance und Compliance betrachtet werden.en …