Haftungsfalle für Unternehmer: Verschlüsselung von Unternehmensdaten
Frankfurt. Die von Edward Snowden zu Tage gebrachten Erkenntnisse über den massenhaften Datenmissbrauch durch die USA haben unmittelbare Auswirkungen auf Unternehmen in Deutschland. Die Arbeitsgemeinschaft hessischer Industrie- und Handelskammern fordert die Unternehmen auf, ihren Datenverkehr mit Partnern in den USA kritisch zu überprüfen.
Der Hessische Datenschutzbeauftragte Prof. Dr. Michael Ronellenfitsch wies gegenüber den hessischen IHKs darauf hin, dass mit dem Ausspähen der bundesdeutschen Daten die Grundlage für das so genannte Safe-Harbour-Abkommen entzogen worden sei. Dies hatte es bisher deutschen Unternehmen erlaubt, Daten in die USA zu transferieren. Dies galt sowohl für personenbezogene Daten und Produktentwicklungen als etwa auch für relevante Korrespondenz, die über die Cloud eines amerikanischen Anbieters gesendet wird.
Nach Darstellung des Datenschützers wurde „dem Safe-Harbour-Abkommen und den darauf bezogenen Kommissionsentscheidungen mit dem jetzt bekannten Datenschutz-Verstoß teilweise die Geschäftsgrundlage entzogen“. Alle Unternehmensdaten müssen bei der Datenübertragung in die USA nachweislich sicher verschlüsselt werden. Unternehmer tragen die Verantwortung gegenüber ihren Mitarbeitern, Produktentwicklern und nicht zuletzt den Investoren dafür, dass nur noch verschlüsselt Daten ins Ausland gelangen. Das Verschlüsseln und der Nachweis der Verschlüsselung von Unternehmensdaten seien der datenschutzrechtlich geforderte Weg.
Da nach Auskunft des Hessischen Datenschutzbeauftragten gegenwärtig keine Möglichkeit bestehe, durchgängig verschlüsselt Daten weiter zu verarbeiten, ist derzeit allenfalls eine Speicherung in den USA bzw. im Ausland möglich, bei der der Schlüssel unter alleiniger Kontrolle des Unternehmens in Deutschlands ist.
Soweit aufgrund bestehender rechtlicher Bindungen bereits personenbezogene Daten im Ausland verarbeitet werden, besteht für diese Verarbeitung ein Vertrauens-/Bestandschutz. Im Übrigen ist bei der Abwägung, ob eine Datenverarbeitung im Ausland möglich ist, die derzeitige Situation im jeweiligen Land zu berücksichtigen. Im Zweifelsfall sollten die Unternehmen die Beratung des Hessischen Datenschutzbeauftragten wahrnehmen (http://www.datenschutz.hessen.de).
Gleichzeitig appellierte Prof. Dr. Ronellenfitsch an die hiesigen IT-Firmen, die Entwicklung von Verschlüsselungs- und Datensicherheitstechnik voran zu treiben. Bisher liege die Marktführerschaft dieser Technologien in amerikanischer bzw. israelischer Hand. Es werde Zeit, dass das in Deutschland wohlgeordnete Verwaltungsrecht an dieser Stelle im positiven Sinne zum Einsatz käme.
Die Branchenvertreter der Medienpolitischen Kommission Hessen sehen in dieser Situation eine Chance für die hessischen IT-Rechenzentren, die mit einem der höchsten Standards an IT-Sicherheit arbeiten. Die hohen Sicherheitsstandards sollten sich als vorteilhafter Standortfaktor einsetzen lassen.