Fünf wichtige Entwicklungen im Bereich der Datensouveränität: Das Risiko kennen und beherrschen.

Dieser Artikel ist für Sie relevant, wenn Sie als Verantwortlicher in Ihrem Unternehmen nach Lösungen für das Risikomanagement beim internationalen Datenverkehr suchen bzw. verantwortlich sind. Sie finden hier fünf Datenschutztrends, die Sie als Risiko- und Sicherheitsmanager kennen sollten. 

Die Datensouveränität ist für viele Staaten ein zentrales Anliegen des Datenschutzes. “Datensouveränität zielt auf den Menschen als Anwender ab. Er soll digitale Medien kompetent, sicher und vielfältig nutzen können. Der Staat muss die rechtlichen Voraussetzungen schaffen, damit Bürger, Unternehmen und Institutionen die volle Kontrolle über ihre Daten behalten bzw. selbstbestimmt über die Verwendung ihrer Daten entscheiden können¹.” (Bundesdruckerei)

In diesem Artikel finden Sie fünf entscheidende Trends für datenbezogene Risiken.

Das Gefühl der Menschen, die Kontrolle über ihre Daten zu verlieren und machtlos zusehen zu müssen, wie Unternehmen Informationen über sie sammeln, hat sich zuletzt etwa in einer Studie der britischen Digital Marketing Association gezeigt². Eine Umfrage ergab, dass ein Drittel der Verbraucher bereit wäre, wegen des Umgangs mit oder der Weitergabe von Daten das Unternehmen zu wechseln³. Vielen Verbrauchern ist es zunehmend wichtig, wo ihre Daten gespeichert bzw. verarbeitet werden und wer Zugang dazu hat.  

Schon seit 2019 versucht auch die Welthandelsorganisation (WTO), Regeln für den grenzüberschreitenden Datenverkehr auszuhandeln. Die weit verbreitete Besorgnis über Störungen durch frei fließende Daten hat jedoch dazu geführt, dass sich bisher die Hälfte der 184 Mitgliedsstaaten gegen eine Teilnahme an den Verhandlungen entschieden hat. Diese Länder sind also nicht bereit, gemeinsame Regeln zu entwickeln.

Der internationale Datenverkehr wird dennoch weitergehen, aber solange es keinen globalen Ansatz für die Regulierung von Datenschutz und Datenaustausch gibt, müssen wir uns mit einem Flickenteppich konkurrierender Vorschriften herumschlagen.

Die europäischen Aufsichtsbehörden wetzen schon die Messer – DSGVO-Bußgelder sind gestiegen. Die fünf höchsten DSGVO-Bußgelder im Jahr 2021 waren:

• Amazon: 746 Mio. Euro
• WhatsApp: 225 Mio. Euro
• Notebooksbilliger.de: 10,4 Mio. Euro
• Österreichische Post: 9,5 Mio. Euro
• Vodafone España: 8,15 Mio. Euro⁴.

Unternehmen, die Vorschriften der DSGVO missachten, müssen mit gravierenden Konsequenzen rechnen – inklusive saftiger Geldstrafen, die sie in ihre Risikokalkulation für den Datenverkehr einbeziehen müssen. 

Die Rechtsunsicherheit wird Unternehmen verstärkt dazu veranlassen, Daten vor Ort zu verarbeiten.

Am 16. Juli 2020 hob der Europäische Gerichtshof (EuGH) den EU-US Privacy Shield auf, ein Regelwerk, das die Übermittlung von Daten zwischen EU- und US-Unternehmen erleichtert hatte. Diese Entscheidung wurde aufgrund von Bedenken gegenüber US-Überwachungssystemen gefällt.

Erklärungen von EU- und US-Offiziellen Ende 2021 gaben Anlass zu der Hoffnung, dass die Verabschiedung eines neuen Privacy Shield (Privacy Shield 2.0) unmittelbar bevorsteht (s. u.). Auch dieser wäre aber erst nach einer Überprüfung des EuGH rechtssicher.

Die USA könnten ein DSGVO-orientiertes Bundesgesetz zum Datenschutz bekommen

Der IT-Markt ist von US-Unternehmen beherrscht. Das US-Datenschutzrecht besteht allerdings aus einem Flickenteppich von sektor- und bundesstaatsspezifischen Gesetzen.  

Nach jahrzehntelanger Arbeit wurde im Juni 2022 der Entwurf eines Bundesgesetzes zum Datenschutz verabschiedet. Es ähnelt in seinem generellen Anspruch der DSGVO, auch wenn es Schlupflöcher und Ausnahmen enthält⁵. Selbst wenn das Gesetz – was ungewiss ist – beschlossen wird, müsse sich erst erweisen, ob es tatsächlich DSGVO-konform ist. Dasselbe gilt hinsichtlich des Dekrets für ein neues Datenschutzabkommen zwischen den USA und der EU, dass Präsident Joe Biden im Oktober 2022 erlassen hat.⁶

Datensouveränität bewegt sich im Spannungsfeld zwischen Bestrebungen zur Datenglobalisierung, um den internationalen Datenfluss zu forcieren, und Datenprotektionismus (Schaffung rivalisierender regionaler Einflusssphären), der den internationalen Datenfluss hemmt. Diese Bestrebungen sind in Abbildung 1 dargestellt.

Abbildung 1: Bestrebungen in Richtung Datenglobalisierung bzw. Datenprotektionismus

“Es sind Unternehmen die das digitale Ökosystem entwerfen, produzieren, verkaufen und warten, und die Staaten sind von diesen Unternehmen abhängig. Doch Staaten haben die Macht, den digitalen Raum zu regulieren.” 
- Luciano Floridi, Professor für Philosophie and Informationsethik, University of Oxford ⁷

Welche Bestrebungen die Oberhand gewinnen werden, lässt sich nur schwer vorhersagen. 

Ein weltweites Abkommen über Datenschutzstandards ist für den internationalen Datenverkehr entscheidend, doch die Fortschritte dabei vollziehen sich in fast geologischen Zeiträumen. Der Datenverkehr zwischen der EU und den USA wird also noch viele Jahre lang mit Schwierigkeiten behaftet sein.

Wenn Sie an verwalteten Servicelösungen zur Beseitigung des Datentransferrisikos interessiert sind, können Sie hier mehr lesen.  

Wenn Sie bis hierher gelesen haben, verstehen Sie wahrscheinlich die Notwendigkeit des nächsten, eher überflüssigen Satzes. Dieser Artikel stellt eine Stellungnahme und keine Rechtsberatung dar.