Internationale Datenübermittlungen zwischen der EU und den USA gehören heute zum Geschäftsalltag. Cloud-Dienste, Kommunikationstools und die globale Zusammenarbeit sind auf sie angewiesen. Da die EU und die USA jedoch sehr unterschiedliche Datenschutzgesetze verfolgen, müssen Unternehmen die geltenden rechtlichen und technischen Anforderungen genau kennen.

EU-Vorgaben: DSGVO und Transfermechanismen

Nach der Datenschutz-Grundverordnung (DSGVO) dürfen personenbezogene Daten nur unter bestimmten Voraussetzungen in Drittländer außerhalb der EU übermittelt werden. Hierfür gibt es drei wesentliche Möglichkeiten:

1. Angemessenheitsbeschluss

Die EU kann ein Land als „sicher“ einstufen. Für die USA ist dies derzeit das EU–U.S. Data Privacy Framework (DPF). US-Unternehmen müssen sich selbst zertifizieren, um in die entsprechende Liste aufgenommen zu werden.

2. Standardvertragsklauseln (SCCs)

Wenn kein Angemessenheitsbeschluss gilt, sind Standardvertragsklauseln (SCCs) die am häufigsten verwendete Schutzmaßnahme. Sie sind vertragliche Verpflichtungen, die darauf abzielen, ein unzureichendes Datenschutzniveau auszugleichen – geeignete Garantien, die ein unzureichendes Datenschutzniveau kompensieren können.

3. Ausnahmen (Art. 49 DSGVO)

Ausnahmen werden nur in besonderen Fällen genutzt, etwa bei einer ausdrücklichen Einwilligung oder zur Geltendmachung rechtlicher Ansprüche, und sind grundsätzlich nicht für den regelmäßigen Geschäftsbetrieb geeignet.

US-Vorgaben: CLOUD Act und Zugriffsrechte

Das US-amerikanische Rechtssystem ist anders aufgebaut. Anstelle eines einheitlichen Bundesdatenschutzgesetzes gelten sektorspezifische Regelungen. Ein zentrales Element ist der CLOUD Act, der es US-Behörden ermöglicht, von US-Anbietern die Herausgabe von Daten zu verlangen – selbst wenn diese Daten in Europa gespeichert sind.

Dadurch entsteht ein Konflikt:

• Die Einhaltung der DSGVO kann gegen den CLOUD Act verstoßen.
• Die Einhaltung des CLOUD Act kann gegen die DSGVO verstoßen.

Die neue Brücke: EU–U.S. Data Privacy Framework (DPF)

Um diesen Konflikt zu lösen, führte die EU im Jahr 2023 das EU–U.S. Data Privacy Framework (DPF) ein. Es umfasst neue Schutzmaßnahmen in den USA, darunter:

• Beschränkungen des Zugriffs von Nachrichtendiensten,
• unabhängige Rechtsbehelfsmechanismen,
• verbindliche Entscheidungen bei Beschwerden von Personen aus der EU.

Ist ein US-Unternehmen im Rahmen des DPF gelistet, dürfen EU-Unternehmen personenbezogene Daten ohne zusätzliche Maßnahmen dorthin transferieren.

Technische Anforderungen: Sicherheit an erster Stelle

Die Einhaltung rechtlicher Vorgaben muss durch wirksame technische Maßnahmen unterstützt werden. Die ISO/IEC 27001 stellt Mechanismen bereit, die Organisationen dabei unterstützen, ihr Informationssicherheitsmanagement und ihre allgemeine betriebliche Stabilität aufzubauen oder zu stärken. Zu diesen Maßnahmen gehören unter anderem:

• Verschlüsselung und Pseudonymisierung,
• strenges Zugriffsmanagement,
• sichere Backups,
• Verfahren zur Reaktion auf Sicherheitsvorfälle.

Diese Maßnahmen schützen die Vertraulichkeit, Integrität und Verfügbarkeit – die Grundprinzipien der Informationssicherheit.

Was das für Ihr Unternehmen bedeutet

Um Datenschutz und Compliance sicherzustellen, sollten Sie:

• Ihre Datenflüsse erfassen,
• DPF-zertifizierte US-Anbieter bevorzugen,
• Standardvertragsklauseln (SCCs) verwenden, wenn das DPF nicht verfügbar ist,
• sensible Daten verschlüsseln,
• Ihre Entscheidungen und Schutzmaßnahmen dokumentieren.

Mit den richtigen rechtlichen und technischen Maßnahmen sind Datentransfers zwischen der EU und den USA sicher, rechtskonform und effizient.

Erfahren Sie mehr zu diesem Thema in meinem Buch hier.