Sicherheit schützenswerter Daten Drittlandtransfer von Daten nach DSGVO und DGA

Anbieter zum Thema

Insider Research

WatchGuard Technologies GmbH

Impossible Cloud GmbH

XOPERO SOFTWARE S.A.

Der Data Governance Act bietet einen Rahmen, um das Vertrauen in den freiwilligen Datenaustausch zum Nutzen von Unternehmen und Bürgern zu stärken, so die EU-Kommission. Doch was passiert, wenn die Daten den EU-/EWR-Raum verlassen?

Kontrolle über sensible Daten, auch ohne Personenbezug

Der Data Governance Act (DGA) soll dafür sorgen, dass in einem europäischen Rahmen das Potenzial der ständig wachsenden Datenbestände besser ausgeschöpft werden kann. Die Verordnung soll den unionsweiten Datenaustausch erleichtern und so den gesellschaftlichen Wohlstand mehren, sowohl den Bürgerinnen und Bürgern als auch den Unternehmen mehr Kontrolle über ihre Daten geben und deren Vertrauen stärken und als Alternative zur Praxis der großen Technologieplattformen ein alternatives europäisches Modell für den Umgang mit Daten bieten, wie die EU-Kommission erklärte.

Man müsse nicht alle Daten teilen, wie die EU-Kommission betonte. Aber wenn man Daten teilt und diese sensibel sind, sollte man die Möglichkeit haben, dies in einer Weise zu tun, in der die Vertrauenswürdigkeit und der Schutz der Daten gewährleistet werden. Auf den ersten Blick scheint es hier um klassischen Datenschutz zu gehen. Tut es aber nicht, denn im Data Governance Act finden sich auch Regeln zum Umgang mit Daten ohne Personenbezug.

Datenschutzaufsichtsbehörde gibt Hilfestellung

Nicht nur der Datenschutz, auch der Binnenmarkt für Daten ist ein wichtiges Anliegen der Europäischen Union, erklärt der Bayerische Landesbeauftragte für den Datenschutz. Zur Regulierung dieses Binnenmarkts gehört der seit Herbst 2023 geltende Daten-Governance-Rechtsakt, der mit einheitlichen Vorgaben die Datenverfügbarkeit stärken und das Vertrauen in den Datenaustausch erhöhen soll.

Dabei geht es insbesondere auch um solche Daten, die keinen Personenbezug aufweisen. Trotzdem ist es ein Datenschutzthema, weil damit neben anderen Informationen auch personenbezogene Daten „in Bewegung geraten“, wie es die Datenschutzaufsichtsbehörde beschreibt.

Deshalb hat der Bayerische Landesbeauftragte für den Datenschutz eine Orientierungshilfe im „Daten-Governance-Rechtsakt“ erarbeitet. Erfreulicherweise stellt das Papier auch die Ordnung von Drittlandtransfers nicht personenbezogener Daten vor, denn diese unterliegen ja nicht den Vorgaben der DSGVO (Datenschutz-Grundverordnung). Die Bestimmungen des Daten-Governance-Rechtsakts werden aber von der Aufsichtsbehörde in ihrem Verhältnis zur Datenschutz-Grundverordnung beleuchtet.

Dazu der Bayerische Landesbeauftragte für den Datenschutz Prof. Dr. Thomas Petri: „Ich hoffe, meine neue Orientierungshilfe macht den Daten-Governance-Rechtsakt für Rechtsanwender in Deutschland etwas transparenter und hilft bayerischen öffentlichen Stellen, die Bedeutung für die eigene Praxis einzuschätzen. Das Papier macht deutlich, dass die vom Gesetzgeber beabsichtigte Erhöhung der Datenverfügbarkeit bei personenbezogenen Daten grundsätzlich nur unter Achtung der im Datenschutzrecht etablierten Schutzstandards zu erreichen ist.“

Datenschutzstandards helfen auch bei Daten ohne Personenbezug

Wenn es also um die Frage geht, was passieren muss, wenn man Daten ohne Personenbezug in einen Cloud-Dienst überträgt, der außerhalb des EU-/EWR-Raumes betrieben wird, kann man von den Standards, die der Datenschutz für Drittlandtransfers erarbeitet hat, profitieren. Dabei könnte es sich zum Beispiel um umweltrelevante Informationen oder Daten aus dem Bereich Smart Farming handeln.

Hierzu erklärt die EU-Kommission, dass mit dem Daten-Governance-Gesetz (DGA) Schutzvorkehrungen für Daten des öffentlichen Sektors, Datenvermittlungsdienste und datenaltruistische Organisationen getroffen werden, um die unrechtmäßige internationale Übertragung nicht personenbezogener Daten oder den unrechtmäßigen internationalen Zugang von Regierungsorganisationen dazu zu vermeiden.

Insbesondere kann die EU-Kommission auch hier Angemessenheitsbeschlüsse erlassen, mit denen erklärt wird, dass bestimmte Drittländer angemessene Sicherheitsvorkehrungen für die Nutzung von aus der EU übertragenen nicht personenbezogenen Daten bieten. Diese Beschlüsse würden den Angemessenheitsbeschlüssen für personenbezogene Daten im Rahmen der DSGVO ähneln. Solche Sicherheitsvorkehrungen sollten als vorhanden gelten, wenn das betreffende Land über gleichwertige Maßnahmen verfügt, die ein Schutzniveau gewährleisten, das dem durch das EU-Recht oder das Recht der EU-Mitgliedstaaten gewährten Schutzniveau entspricht, so die EU-Kommission.

Die Kommission kann auch Vorlagen für Vertragsklauseln annehmen, um öffentliche Stellen und Weiterverwender im Fall von Übertragungen von nicht personenbezogenen Daten gemäß dem Daten-Governance-Gesetz an Drittländer zu unterstützen. Das erinnert nicht von ungefähr an die Angemessenheitsbeschlüsse und die Standardvertragsklauseln, die man von der DSGVO her kennt.

Datenübermittlung in Drittstaaten nur bei gleichem Schutzniveau

Wie der Bayerische Landesbeauftragte für den Datenschutz erläutert, dürfen nach DGA nicht personenbezogene vertrauliche oder durch Rechte des geistigen Eigentums geschützte Daten generell nur in solche Drittländer übertragen werden, bei denen die Voraussetzungen nach DGA vorliegen und somit angemessene Schutzvorkehrungen für die Nutzung der Daten getroffen wurden.

Vor einer Übertragung nicht personenbezogener vertraulicher oder durch Rechte des geistigen Eigentums geschützter Daten in Drittstaaten muss der Weiterverwender die öffentliche Stelle nach DGA bei Beantragung der Weiterverwendung über diese Transferabsicht sowie den Zweck des Datentransfers unterrichten.

Hier zeigt sich beispielhaft, wie die Vorgehensweisen bei Drittlandtransfers nach DSGVO auch bei der Compliance nach DGA helfen. Der Datenschutz erweist sich also als erfolgreiches Modell auch dann, wenn es nicht um Daten mit Personenbezug geht. Also letztlich immer dann, wenn zu schützende Daten in ein Drittland übertragen werden sollen, ob mit oder ohne Personenbezug.

(ID:50077529)