Ist die Nutzung US-amerikanischer Cloud-Anbieter nach dem EuGH-Urteil im Juli 2020 noch denkbar?
Besonders unangenehm ist die Tatsache, dass der EU-Standardvertrag nicht anwendbar ist, weil die USA (laut EuGH) als ein grenzenloser Überwachungsstaat gewertet werden muss.
Letztlich liefert derzeit nur die Einwilligung der betroffenen Personen eine belastbare Rechtsgrundlage (wie es z.B. bei Google-Analytics die Regel geworden ist); doch das ist im Tagesgeschäft meist keine Option.
Im September sind die ersten Reaktionen der Aufsichtsbehörden sichtbar: Irland will facebook den US-Datentransfer untersagen. Baden-Württemberg thematisiert den US-Cloud-Act und die (meist nicht erfüllbaren) Anforderungen an die Verschlüsselung. Berlin fordert sogar explizit die EU-Souveränität. Siehe auch c’t 19/2020 und hier. Der Stein ist ins Rollen gekommen... da gibt es wohl keinen Weg zurück.
Betroffen wären beispielsweise die folgenden US-Clouds: Amazon Web Services, Google, IBM, Microsoft 365 und Azure, Oracle, Salesforce. Im Extremfall fallen sogar auch alle europäischen Geschäftspartner weg, die im Rahmen des US-Cloud-Acts personenbezogene Daten an die USA ausliefern müssen.
Im September 2020 kann man nur noch auf ein „Wunder“ hoffen. Möglicherweise sorgt ein Wechsel des US-Präsidenten dazu, dass die EU ein neues Abkommen mit den USA verhandeln kann (welches möglicherweise in einigen Jahren zum dritten Mal vom EuGH kassiert werden wird). Eine erste US-Stellungnahme im September 2020 ist jedenfalls ernüchternd.
Doch Hoffnung ist keine Basis für aktuelle geschäftliche Entscheidungen. Sollte es im Jahr 2021 dazu kommen, dass die Aufsichtsbehörden die Nutzung von US-Clouds verbieten, dann wären zentrale Geschäftsprozesse nicht mehr möglich und europäische Unternehmen in Existenzgefahr.
Das Topmanagement muss festlegen, wie es sich speziell zum Drittland-Datentransfer stellt. Die „Kunst“ besteht darin, den bestmöglichen Zeitpunkt für diese Entscheidung zu finden.
Benennen Sie einen Datenschutzbeauftragten, denn ohne dessen Expertise haben Sie keine Chance im Dickicht des Datenschutzrechts.
