Digitale Souveränität
Wenn es um Digitalisierung geht, ist aktuell häufig von „Souveränität" die Rede. Doch warum spielt das plötzlich eine so große Rolle – und welche Konsequenzen hat das für den Datenschutz? Eine ganze Menge, wie sich bei näherem Hinsehen zeigt.
 |
| Digitale Souveränität |
Was mit digitaler Souveränität gemeint ist
Digitale Souveränität beschreibt die Fähigkeit von Staaten, Unternehmen und Einzelpersonen, über ihre digitale Infrastruktur, ihre Daten und die eingesetzten Technologien selbstbestimmt zu entscheiden – ohne von einzelnen ausländischen Anbietern oder deren Rechtsordnungen abhängig zu sein. Konkret geht es meist um die Frage, wo Daten gespeichert werden, welchem Recht der eingesetzte Dienstleister unterliegt und ob fremde Behörden im Zweifel Zugriff auf diese Daten erhalten können.
Warum das Thema gerade jetzt so viel Aufmerksamkeit bekommt
Ein wesentlicher Grund liegt im Vertrauen in bestehende Datentransfer-Mechanismen zwischen der EU und den USA. Das EU-US Data Privacy Framework (DPF) bildet seit 2023 die zentrale Rechtsgrundlage dafür, dass europäische Unternehmen personenbezogene Daten in die USA übermitteln dürfen, ohne zusätzliche Garantien wie Standardvertragsklauseln vereinbaren zu müssen. Dieses Fundament gerät jedoch zunehmend ins Wanken: Ein Urteil des US Supreme Court betrifft die Unabhängigkeit der Federal Trade Commission, die eine zentrale Kontrollfunktion im Rahmen des DPF ausübt. Der österreichische Datenschutzaktivist Max Schrems hat als Reaktion darauf bereits eine neue Klage vor dem Europäischen Gerichtshof angekündigt, mit dem Ziel, den Datentransfer in die USA erneut zu stoppen – nach den bereits erfolgreichen Klagen gegen Safe Harbor und Privacy Shield wäre dies der dritte Anlauf.
Hinzu kommt der US CLOUD Act: Er verpflichtet amerikanische Unternehmen, auf Anordnung von US-Behörden Daten herauszugeben – unabhängig davon, wo diese Daten physisch gespeichert sind. Selbst ein europäisches Rechenzentrum schützt also nicht zwangsläufig vor einem Zugriff, wenn der Anbieter letztlich einem US-Mutterkonzern gehört.
Was das konkret für den Datenschutz bedeutet
Für Unternehmen bedeutet diese Entwicklung vor allem eines: Rechtssicherheit, die sich bislang auf einen einzelnen Angemessenheitsbeschluss stützte, kann sich kurzfristig ändern. Wer heute auf Basis des Data Privacy Frameworks personenbezogene Daten in die USA überträgt, sollte deshalb schon jetzt einen Plan B kennen – etwa den Rückgriff auf Standardvertragsklauseln in Kombination mit einem Transfer Impact Assessment sowie ergänzenden technischen Maßnahmen wie Verschlüsselung. Wie ein solcher Datentransfer in die USA datenschutzrechtlich grundsätzlich einzuordnen ist, haben wir in unserem Beitrag Datentransfer in die USA bereits ausführlich beschrieben.
Der Blick auf die eigenen Dienstleister
Digitale Souveränität beginnt nicht erst bei großen strategischen Entscheidungen, sondern schon bei der Auswahl alltäglicher IT-Dienstleister: Cloud-Speicher, E-Mail-Provider, CRM- oder Newsletter-Tools. Bei jedem dieser Dienste lohnt sich die Frage, wo der Anbieter seinen Sitz hat, wo die Daten tatsächlich verarbeitet werden und ob ein wirksamer Auftragsverarbeitungsvertrag vorliegt. Worauf es bei einem solchen Vertrag konkret ankommt, erläutern wir in unserem Artikel Auftragsverarbeitung (AVV): Der Vertrag, den fast jeder falsch macht.
Was Unternehmen jetzt tun sollten
- Eine aktuelle Übersicht darüber erstellen, welche eingesetzten Dienste personenbezogene Daten in die USA oder andere Drittstaaten übertragen.
- Prüfen, ob für diese Übertragungen ausschließlich auf das Data Privacy Framework vertraut wird oder bereits alternative Absicherungen wie Standardvertragsklauseln bestehen.
- Bei besonders sensiblen Datenkategorien gezielt europäische Alternativen zu US-Anbietern in Betracht ziehen.
- Die Entwicklung rund um das Data Privacy Framework aktiv beobachten, um im Ernstfall schnell reagieren zu können.
Fazit
Digitale Souveränität ist längst kein abstraktes politisches Schlagwort mehr, sondern eine sehr praktische Frage des Datenschutzes: Wie abhängig ist mein Unternehmen von einzelnen ausländischen Anbietern, und was passiert, wenn sich die rechtliche Grundlage für den Datentransfer kurzfristig ändert? Wer sich schon heute mit dieser Frage auseinandersetzt, ist deutlich besser vorbereitet, falls sich die aktuelle Unsicherheit rund um das Data Privacy Framework tatsächlich zuspitzt.
Sie möchten wissen, wie abhängig Ihr Unternehmen aktuell von US-Dienstleistern ist und welche Alternativen sinnvoll wären? Sprechen Sie uns an.
