Datenschutz oder Fortschritt - das ist das aktuelle europäische Dilemma.

Der Vorstoß des Datenschutzbeauftragten von Mecklenburg-Vorpommern für ein sofortiges Verbot der Nutzung von Cloud-Services von Microsoft zeigt es deutlich - Europa muss sich entscheiden: entweder wollen wir Datenschutz oder Fortschritt haben. Beides gleichzeitig geht es nicht.

Wenn wir uns für Datenschutz entscheiden und die Nutzung von MS 365 verbieten, müssen wir akzeptieren, dass dann europäische Unternehmen mit dramatisch veralteten Methoden arbeiten werden müssen. Jeder, der behauptet man soll sofort ein alternatives Produkt einsetzen, das der Datenschutz-Grundverordnung entspreche, hat keine Ahnung. Es gibt ja zurzeit kein alternatives europäisches Produkt (weder kommerzielles noch Open Source) dass nur annähend den Funktionsumfang von modernen Kollaboration-Tools wie MS Teams oder Slack anbieten kann. Der Vorsprung der amerikanischen Anbieter beträgt in diesem Umfeld mindestens 5 Jahre und ist nicht mehr einholbar.

Die Entscheidung für Datenschutz wird also katastrophale Folgen für die Produktivität der europäischen Unternehmen haben.

Wenn wir uns für den Fortschritt entscheiden und die Nutzung von MS 365 zulassen, müssen wir dann das minimale Risiko akzeptieren, nämlich dass die amerikanische Behörde auf die dort gespeicherten personenbezogenen Daten zugreifen kann. Dieses Risiko ist aber verschwindend gering im Vergleich zu dem Risiko eines Cyberangriffs. Das wirklich reale Risiko, mit dem wir uns also befassen sollen, stellen die immer häufigere Cyberangriffe dar, bei denen untern anderen auch große Mengen der personenbezogenen Daten regelmäßig entwendet werden. Die täglichen Berichte über solche Cyberangriffe zeigen, wie schlecht viele Unternehmen darauf vorbereitet sind.

https://www.heise.de/news/Datenschutzbeauftragter-Behoerden-sollten-unverzueglich-auf-Microsoft-verzichten-5990886.html?wt_mc=rss.red.ho.ho.rdf.beitrag.beitrag 

Digitale Wirtschaft oder Datenschutz?

Das EuGH-Urteil zu Datentransfers ins Ausland zeigte deutlich die logischen Schwächen von DSGVO in den Regelungen, die den internationalen Datentransfer betreffen. DSGVO bietet dafür die sogenannten Standardvertragsklauseln, in denen ein Auftragsverarbeiter sich zur Einhaltung der DSGVO-Bestimmungen verpflichtet. Diese Verpflichtung ist aber gegenstandslos, wenn die nationalen Gesetze den Auftragsverarbeiter zu laut DSGVO unerlaubter Weitergabe der Daten an die Behörde zwingen. DSGVO hat also mit Standardvertragsklauseln ein Scheinmittel geschafft, welches nicht das Papier wert, auf dem es geschrieben ist. 

Die Verfasser von DSGVO haben mit Standardvertragsklauseln eine scheinbare Datensicherheit geschaffen und dabei die volle Verantwortung für den internationalen Datentransfers auf die betroffenen Unternehmen geschoben. Die zuständigen Datenschutzbehörden mussten die gesetzliche Lage in aller Länder der Welt analysieren und entsprechende Empfehlungen oder sogar Verbote aussprechen. Das würde für Unternehmen eine rechtliche Klarheit schaffen. Es kann nicht so sein und macht auch keinen Sinn, dass jedes Unternehmen selbst entscheiden muss, ob die Nutzung von Microsoft Teams oder Slack gesetzeskonform ist, weil die Daten in der USA verarbeitet werden.

Nach diesem EuG-Urteil sind alle nationalen Datenschutzbehörden in Panik versetzt. EuG hat sie zur Handlung gezwungen. Sie müssen jetzt eindeutig festlegen, ob Standardvertragsklauseln noch ein gesetzeskonformes Mittel für den Schutz der Daten bei Transfer ins EU-Ausland sind.

Dieser Fall zeigt auch, wie dramatisch die nationalen Datenschutzbehörden mit der Bewertung der Lage überfordert sind. Das Verfahren gegen Facebook bei der irischen Datenschutzbehörde dauerte 7 Jahre! Es ist eine Ewigkeit für die digitale Wirtschaft. 

Die Frage nach der Wirksamkeit von DSGVO ist also in dieser Situation absolut berechtigt. Hat DSGVO den Datenschutz tatsächlich verbessert oder nur Formalismen (Verträge, Einwilligung, Begründung, …) geschafft? Haben die Unternehmen die Art wie sie personenbezogene Daten verarbeiten, tatsächlich verändert oder nur formell (Vertrag, Einwilligung, Begründung, …) scheinbare Gesetzeskonformität geschafft?

Was bringt uns ein sehr kompliziertes Gesetz, welches eher einen scheinbaren Datenschutz schafft und gleichzeitig die digitale Wirtschaft bremst?

Mehr über dieses EuG-Urteil und seine Konsequenzen kann man in diesem Heise-Artikel finden.

Die Verarbeitung der anonymisierten Bewegungsdaten ist erlaubt

Die Verarbeitung der ziemlich gut anonymisierten Bewegungsdaten ist aus Sicht von DSGVO erlaubt, meinte Dr. Jelinek, die Leiterin der Österreichischen Datenschutzbehörde, nachdem der österreichische Telekommunikationsprovider A1 diese Daten dem Roten Kreuz zur Verfügung gestellt hat.

Generell ist natürlich die Verarbeitung anonymisierten Daten, also Daten, die keiner Person zuordenbar sind, generell erlaubt. In vielen Fällen haben wir jedoch eher mit pseudo Anonymisierung zu tun. Bei den Bewegungsdaten kann man mit relativ großer Wahrscheinlichkeit doch auch die anonymisierten Daten einer Person zuordnen. Das hat New York Times in dieser Analyse recht gut bewiesen. 

Natürlich haben wir aktuell eine besondere Situation, in der solche Datenauswertungen im Interesse der Allgemeinheit vollkommen berechtigt sind. Umso erfreulicher ist dabei, dass DSGVO solche Ausnahme-Situationen vorgesehen hat:

Artikel 6 Absatz 1 lit. d) oder f) DSGVO, regelt, dass die Verarbeitung zulässig ist, wenn sie erforderlich ist, "um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen" beziehungsweise erforderlich ist "zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen".