Ein Datenschutz-Debakel mit globalen Auswirkungen
Ein alltägliches Szenario:
Eine deutsche Behörde oder ein europäisches Krankenhaus nutzen eine bekannte US-Cloud-Plattform, um sensible Daten zu speichern und zu verarbeiten. Diese Daten beinhalten nicht nur personenbezogene Informationen, sondern auch strategische Pläne, medizinische Befunde oder sicherheitskritische Dokumente.
Bisher gab es zumindest formale Garantien, dass solche Daten nicht willkürlich von US-Behörden oder Unternehmen analysiert und weiterverwendet werden konnten. Doch diese Garantie ist nun mit einem Schlag hinfällig:
Am 27. Januar 2025 entließ die Trump-Administration drei demokratische Mitglieder des Privacy and Civil Liberties Oversight Board (PCLOB). Diese unabhängige Behörde ist für die Überwachung und Bewertung der US-Überwachungspraktiken verantwortlich, um Transparenz und Datenschutz sicherzustellen. Mit dem Wegfall der Mitglieder verlor das PCLOB seine Beschlussfähigkeit und kann seine Arbeit momentan nicht mehr effektiv ausführen.
Für europäische Unternehmen, die mit den USA Geschäfte machen oder dort Daten speichern, ist diese Entwicklung von großer Bedeutung. Denn sie wirft erneut Fragen zur EU-Datensouveränität und zu sicheren Kommunikationslösungen auf.
Die Rolle des PCLOB für den EU-US-Datenschutzrahmen
Das Privacy and Civil Liberties Oversight Board (PCLOB) ist eine unabhängige Behörde innerhalb der Exekutive der US-Regierung, die 2004 vom Kongress eingerichtet wurde. Ziel ist es, das Gleichgewicht zwischen nationaler Sicherheit und dem Schutz der Bürgerrechte herzustellen.
Dazu berät das Gremium den Präsidenten und andere hochrangige Beamte der Exekutive, um sicherzustellen, dass die Belange des Schutzes der Privatsphäre und der bürgerlichen Freiheiten in den Vereinigten Staaten bei der Ausarbeitung und Umsetzung aller Gesetze, Vorschriften und Maßnahmen der Exekutive im Zusammenhang mit dem Terrorismus angemessen berücksichtigt werden.
Auswirkungen auf europäische Unternehmen
Bereits in der Vergangenheit war der transatlantische Datenverkehr ein kritisches Thema. Der Europäische Gerichtshof (EuGH) erklärte das EU-US Privacy Shield 2020 für ungültig (Schrems II-Urteil), weil die US-Überwachungsgesetze nicht mit der Datenschutz-Grundverordnung (DSGVO) vereinbar sind. Insbesondere kritisierte der EuGH die weitreichenden Überwachungsbefugnisse US-amerikanischer Sicherheitsbehörden und den mangelnden Rechtsschutz für betroffene EU-Bürger.
Die Entscheidung der Trump-Administration, die drei demokratischen Mitglieder des PCLOB zu entlassen, hat nun weitere tiefgreifende Folgen für europäische Unternehmen, Organisationen und Behörden:
Das PCLOB war eine der wenigen US-Institutionen, die zumindest einen formellen Mechanismus zur Wahrung von Datenschutzrechten bot. Ohne diese Schutzinstanz sind europäische Unternehmen und Organisationen nun in einer noch unsichereren Lage. Die Daten, die über US-Dienste verarbeitet werden, sind kaum mehr vor unkontrolliertem Zugriff geschützt.
Unternehmen, die ihre Daten in US-Clouds speichern, müssen nun davon ausgehen, dass diese Daten legal analysiert, verkauft oder sogar an US-Regierungsstellen weitergegeben werden können.
Dies stellt insbesondere für Betreiber kritischer Infrastrukturen, Stadtverwaltungen, staatliche Behörden und das Gesundheitswesen eine erhebliche Bedrohung dar. Sensible Informationen können in falsche Hände geraten, was nicht nur Datenschutzverletzungen, sondern auch sicherheitspolitische Risiken zur Folge hat.
Für Verantwortliche in Europa ist diese Entwicklung ein Weckruf. Die Abhängigkeit von US-Cloud-Diensten birgt enorme Risiken für Datenschutz, Compliance und Cybersicherheit.
Doch welche Alternativen gibt es? Und wie können europäische Unternehmen und Organisationen ihre Datensouveränität zurückgewinnen?
