Das Urteil des Europäischen Gerichtshofs (EuGH) ist gefallen: Das EU-US Privacy Shield, das den Austausch personenbezogener Daten zwischen der EU und den US legitimiert, ist für ungültig erklärt worden. Der EuGH sah das Datenschutzniveau nach europäischen Maßstäben als nicht gesichert an.

»Konkret bedeutet das Scheitern des Privacy Shields, dass eine rechtliche Grundlage für den Datentransfer von der EU in die USA weggefallen ist«, sagt Jens Bothe, Sicherheitsexperte bei der OTRS AG. »Deshalb sollten EU-Unternehmen prüfen, auf welcher rechtlichen Grundlage ihre Daten transferiert werden, um im Sinne der DSGVO zu handeln und mögliche Bußgelder zu vermeiden.«

Hier vier Tipps, um die Zusammenarbeit mit US-Dienstleistern weiterhin auf sicherem Niveau halten zu können:

Prüfung der Rechtsgrundlage für den Datenexport mit US-Dienstleistern

Europäische Unternehmen, die mit US-Dienstleistern zusammenarbeiten, sollten bei diesen EU-Standardvertragsklauseln anfragen und abschließen, um eine rechtliche Grundlage für den Datentransfer zu haben. Dies ist zum Beispiel auch schon der Fall, wenn ein Unternehmen Kommunikationssysteme nutzt, deren Anbieter seinen Hauptsitz in den USA hat.
Wenn personenbezogene Daten im Spiel sind, muss der Auftraggeber außerdem einen AVV (Auftragsverarbeitungsvertrag) abschließen. Dieser ist zentraler Bestandteil der DSGVO und regelt die Rechte und Pflichten von Auftragnehmer und Auftraggeber.

Technische und organisatorische Maßnahmen

Weiterhin müssen zwischen beiden Unternehmen sogenannte TOMs (Technische organisatorische Maßnahmen) vorhanden sein und immer wieder kontrolliert werden, um Sicherheit gewährleisten zu können. Auf der technischen Seite gehören dazu Maßnahmen wie etwa Sicherung der Benutzerkonten, Passworterzwingung oder Benutzeridentifikation. Auf der organisatorischen Seite zählen all solche Schutzversuche, die durch Handlungsanweisung wie Besucheranmeldung oder Vier-Augen-Prinzip umgesetzt werden können, dazu.

Augenmerk darauf, wo die Daten liegen

Bei der Auswahl von US-Dienstleistern ist es empfehlenswert darauf zu achten, dass auch Europäische Datencenter zur Verfügung stehen, in denen die Daten gehostet werden. So ist der Datentransfer in die USA möglicherweise gar nicht unbedingt notwendig.

Erstellung von einheitlichen Compliance Regeln

Unternehmen sollten außerdem klare Compliance-Regeln haben und ihre Mitarbeiter immer wieder dafür sensibilisieren. Den Mitarbeitern sollte klar sein, dass sie von ihren Firmenrechnern nicht jedes System herunterladen und nutzen dürfen, sondern nur die, die im Einklang mit den Compliance-Regeln stehen.

Mehr Informationen dazu, wie OTRS Unternehmenssicherheit strukturieren kann, finden sich hier. https://otrs.com/de/otrs-loesungen/corporate-security

27 Artikel zu „EU-US Privacy Shield „

NEWS | IT-SECURITY | KOMMENTAR | KOMMUNIKATION | CEBIT 2016

Ist die EU-USA-Datenschutzeinigung Privacy Shield eine »Mogelpackung«?

5. Februar 2016

Die via Pressekonferenz von den EU-Kommissaren Vera Jourová und Andrus Ansip verkündete Einigung zwischen der EU und den USA über neue Regeln zu Datenaustausch und Datenschutz missachtet in weiten Teilen die Entscheidung des Europäischen Gerichtshofs vom Oktober letzten Jahres, wonach die bisherigen Regeln zum transatlantischen Datenaustausch (Safe Habor) ungültig sind, urteilt die Nationale Initiative für…