Das Data Pri­va­cy Frame­work ist in Kraft – wer rechts­si­cher Daten ver­ar­bei­ten möch­te, soll­te hier Fett­näpf­chen ver­mei­den! Für Web­sei­ten­be­trei­ber gibt es bei dem neu­en EU-Abkom­men näm­lich auch hier­zu­lan­de ein paar Din­ge zu beach­ten.

Was ist das Data Pri­va­cy Frame­work?

Das Data Pri­va­cy Frame­work – kurz DPF – ist der neu­es­te Ver­such, die rechts­kon­for­me Über­tra­gung pri­va­ter Daten aus der EU in die USA zu ermög­li­chen. Damit reiht sich DPF in eine Grup­pe aus mitt­ler­wei­le drei Abkom­men mit die­sem Ziel. Die ande­ren bei­den – Safe Har­bor und Pri­va­cy Shield – waren zuvor an Beden­ken des EU-Gerichts­ho­fes geschei­tert. Der Hin­ter­grund: Seit den Ent­hül­lun­gen Edward Snow­dens im Jahr 2013 ist bekannt, dass es die ame­ri­ka­ni­schen Geheim­diens­te mit sen­si­blen Daten nicht sehr eng sehen. Ein­schlä­gi­ge Abkom­men mit den USA sind des­halb prak­tisch nicht umsetz­bar. Ob DPF dar­an etwas ändern kann oder nach abseh­ba­ren Kla­gen wie sei­ne Vor­gän­ger von der Bild­flä­che ver­schwin­det, steht jetzt noch in den Ster­nen. Bis Gerich­te über die Zukunft des Abkom­mens ent­schei­den, gilt es aber EU-weit als Stan­dard für die Daten­über­mitt­lung nach Über­see.

Was ändert sich für Web­sei­ten­be­trei­ber in Deutsch­land?

Um an DPF teil­zu­neh­men, müs­sen sich ame­ri­ka­ni­sche Unter­neh­men beim dor­ti­gen Han­dels­mi­nis­te­ri­um CoC regis­trie­ren. Wer hier­zu­lan­de Daten in die USA über­mit­teln möch­te, soll­te also zuerst die Zer­ti­fi­zie­rung des Emp­fän­gers prü­fen. Dafür hat das CoC extra eine Web­sei­te mit Such­funk­ti­on ein­ge­rich­tet. Auf die­ser Sei­te sind Stand 04.09.2023 mehr als 2.400 Unter­neh­men regis­triert – Ten­denz stei­gend. Taucht ein Unter­neh­men aus den USA auf die­ser Lis­te aus, ist der rechts­si­che­re Daten­trans­fer prin­zi­pi­ell mög­lich. Das Regis­ter weist in der Spal­te “Cover­ed Data” auf mög­li­che Ein­schrän­kun­gen hin. Dabei unter­schei­det das CoC zwi­schen “HR” und “Non-HR”. “HR” umfasst per­sön­li­che Daten der Ange­stell­ten einer Orga­ni­sa­ti­on, die im Rah­men des Arbeits­ver­hält­nis­ses gesam­melt wur­den. “Non-HR” umfasst säm­li­che ande­ren per­sön­li­chen Daten und dürf­te damit die meis­ten Fäl­le von Daten­über­tra­gung wie etwa Daten von Kun­den abde­cken.

Aller­dings brau­chen auch Web­sei­ten hier­zu­lan­de eini­ge Anpas­sun­gen. Die Pflicht zum Hin­wei­sen auf Daten­über­mitt­lung und Coo­kies besteht näm­lich wei­ter­hin. An der Pflicht, sich die Ein­wil­li­gung der Betrof­fe­nen etwa beim Ein­satz von Track­ing-Tools zu holen, ändert sich also nichts. Dafür gehö­ren jetzt Hin­wei­se auf DPF in die Daten­schutz­er­klä­rung und das Coo­kie-Ban­ner. Dar­in soll­te erklärt wer­den, dass eine Daten­über­mitt­lung nach DPF statt­fin­det. Außer­dem muss deut­lich sein, an wel­che Unter­neh­men die Daten gehen, dass sie DPF-zer­ti­fi­ziert sind, und zu wel­chem Zweck die Daten­über­mitt­lung statt­fin­det.

Daten­schutz­er­klä­run­gen sind ein Minen­feld, denn Ver­stö­ße gegen aktu­el­le Rege­lun­gen kön­nen mit­un­ter sehr teu­er wer­den. Willst du Rechts­si­cher­heit bei dei­ner Daten­schutz­er­klä­rung? Wir kön­nen als Part­ner von eRecht24 rechts­si­cher Daten­schutz­er­klä­run­gen erstel­len. Sprich uns ein­fach dar­auf an!