Wackeliges EU-US Data Privacy Framework zwingt Unternehmen zum Handeln

Das Datenschutzabkommen zwischen den USA und der EU steht derzeit auf der Kippe. Nicht zum ersten Mal, denn schon die bisherige Regelung ist mehr als löchrig. Unternehmen in Europa müssen den Schutz der ihnen anvertrauten Daten jetzt ernster nehmen als je zuvor, findet Sridhar Iyengar, Managing Director von Zoho Europe. [...]

Das derzeit gültige EU-US Data Privacy Framework, wie es offiziell heißt, basiert auf einer sogenannten Executive Order des letzten US-Präsidenten Joe Biden. Ziel war es, ein angemessenes und vor allem rechtssicheres Schutzniveau für den Austausch personenbezogener Daten zwischen den USA und der EU zu schaffen. Zuvor hatte der Europäische Gerichtshof in mehreren Urteilen bereits die Abkommen Safe Harbor und Privacy Shield – die beiden Vorläufer des EU-US Data Privacy Framework – gekippt.

Nun ist das jahrelange Tauziehen um den transatlantischen Datentransfer wieder eröffnet: Unter der neuen US-Administration steht der Präsidialerlass ebenso in Frage wie das Privacy and Civil Liberties Oversight Board (PCLOB), das als zentrales Gremium für die Überwachung des Abkommens zuständig ist. Auch wenn das EU-US Data Privacy Framework auf wackeligen Füßen stand, bot es den Unternehmen für etwa zwei Jahre zumindest eine gewisse Rechtssicherheit für den transatlantischen Datentransfer.

Fällt das Datenschutzabkommen, hätte dies weitreichende Folgen für die gesamte digitale Infrastruktur. Die Rückkehr zu komplizierten Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Nicht-EU-Länder ist möglich, sinnvoller und zielführender ist jedoch ein anderer Weg: Unternehmen sollten ihre IT-Partner in Bezug auf den Umgang mit Daten genau unter die Lupe nehmen.

Umfassende Analyse aller Datenströme

Der erste Schritt ist eine umfassende Analyse aller Datenströme, um überhaupt zu wissen, wo und wie das EU-US Data Privacy Framework bisher greift. Im zweiten Schritt sollten sich die Verantwortlichen überlegen, ob sie nicht auf europäische oder andere nicht-amerikanische IT-Dienstleister ausweichen können, um rechtliche Risiken zu minimieren. Generell sollten Unternehmen genau prüfen, welche Daten sie wirklich benötigen, um die User Experience ihrer Angebote zu verbessern. Oft sind es weniger als erwartet. Denn meist dienen blumige Cookie-Beschreibungen und hübsche Dark-Pattern-Designs nur dazu, die Nutzer in die Irre zu führen – und sie auszuspionieren. So oder so: Datenschutz sollte in die DNA der Unternehmen eingehen. Schließlich geht es um die Privatsphäre der Nutzer und Kunden – und die sollte jedem Unternehmen heilig sein.

Die aktuellen Unsicherheiten rund um das Data Privacy Framework sind jedenfalls ein deutlicher Weckruf: Staatliche Regulierungen und internationale Abkommen sind nur eine Seite der Medaille, die andere ist die Verantwortung der Unternehmen und vor allem auch der IT-Dienstleister. Letztere müssen durch technologische Innovationen und transparente Geschäftspraktiken einen Datenschutz realisieren, der auch jenseits politischer Windböen Bestand hat. Denn eines muss klar sein: Datenschutz ist nicht verhandelbar, sondern bildet die Grundlage für eine vertrauensvolle Kundenbindung und sollte daher ein elementarer Pfeiler jeder Unternehmensstrategie sein.