Viele österreichische KMU verwenden digitale Dienste aus den USA, ohne dies im Alltag bewusst wahrzunehmen.

Ein E-Mail-System in der Cloud, ein Termin im Online-Kalender, ein Analyse-Tool auf der Website, ein Newsletter-System oder ein Zahlungsdienst im Webshop können bereits dazu führen, dass personenbezogene Daten in die USA übertragen werden.

Datenschutzrechtlich ist das relevant, weil die DSGVO für solche Übermittlungen besondere Anforderungen vorsieht. Unternehmen müssen nachvollziehen können, auf welcher Grundlage personenbezogene Daten außerhalb der EU verarbeitet werden. Für Datenübermittlungen an bestimmte US-Unternehmen gibt es seit Juli 2023 wieder eine wichtige Erleichterung: das EU-US Data Privacy Framework.

Ein aktuelles Urteil des US Supreme Court sorgt nun für neue Diskussionen. Es hebt das Framework nicht auf. Es zeigt aber, dass die rechtliche Absicherung von US-Diensten kein Thema ist, das einmal geprüft und dann dauerhaft abgelegt werden sollte. Gerade KMU profitieren von einem pragmatischen Ansatz: Überblick schaffen, Anbieter prüfen, Verträge dokumentieren und bei besonders wichtigen Diensten Alternativen kennen.

Zusätzlich sollte das Thema in das bestehende Risikomanagement aufgenommen werden, sofern ein solches im Unternehmen vorhanden ist. Datenübermittlungen in die USA können ein rechtliches und operatives Risiko darstellen, insbesondere wenn geschäftskritische Dienste betroffen sind. Unternehmen sollten daher dokumentieren, welche US-Dienstleister eingesetzt werden, welche Daten verarbeitet werden, welche Rechtsgrundlage für den Datentransfer genutzt wird und welche Alternativen bestehen, falls sich die Rechtslage ändert. Auch ohne formales Risikoinventar empfiehlt sich zumindest eine einfache Übersicht der wichtigsten US-Dienste und ihrer datenschutzrechtlichen Absicherung.

Digitale Souveränität: Mehr Entscheidungsfreiheit statt blinder Abhängigkeit

Das aktuelle Urteil aus den USA ist auch ein guter Anlass, über digitale Souveränität nachzudenken. Für KMU bedeutet das nicht, alle US-Dienste sofort zu ersetzen oder ausschließlich europäische Software einzusetzen. Das wäre in vielen Fällen weder realistisch noch wirtschaftlich sinnvoll.

Digitale Souveränität bedeutet vor allem, die eigenen digitalen Abhängigkeiten zu kennen und steuerbar zu machen. Welche Cloud-Dienste werden genutzt? Wo werden Daten verarbeitet? Welche Anbieter sind für den laufenden Betrieb kritisch? Gibt es vertragliche, technische oder wirtschaftliche Hürden, falls ein Dienst gewechselt werden muss?

Gerade bei neuen Softwareentscheidungen kann diese Perspektive helfen. Wenn zwei Lösungen fachlich vergleichbar sind, kann ein europäischer Anbieter mit transparenter Datenverarbeitung, klaren Verträgen und guter Wechselmöglichkeit ein strategischer Vorteil sein. Bei bestehenden Diensten geht es zunächst um Transparenz: Welche US-Dienste sind unverzichtbar, welche könnten mittelfristig ersetzt werden, und wo reichen ergänzende Schutzmaßnahmen aus?

Der richtige Zugang lautet daher nicht „USA oder Europa“, sondern „bewusste Entscheidung statt ungeprüfter Abhängigkeit“. Wer Datenschutz, IT-Sicherheit, Anbietersteuerung und Risikomanagement gemeinsam betrachtet, erhöht die Handlungsfähigkeit des Unternehmens.

Eine geeignete Mindestprüfung umfasst folgende Punkte:

• Welche digitalen Dienste mit möglichem US-Bezug werden eingesetzt?
  Dazu zählen etwa Cloud-Dienste, Website-Tools, Newsletter-Systeme, CRM-Lösungen, Zahlungsdienste, Chatbots, Analyse-Tools oder Social-Media-Integrationen. 

   

• Welche personenbezogenen Daten werden dabei verarbeitet?
  Relevant ist, ob es sich nur um einfache Kontaktdaten handelt oder um sensiblere Daten, etwa Beschäftigtendaten, Kundendaten, Gesundheitsdaten, Zahlungsdaten oder umfangreiche Nutzungsprofile. 

   

• Wie kritisch ist der jeweilige Dienst für das Unternehmen?
  Je wichtiger ein Dienst für den laufenden Betrieb ist, desto wichtiger sind saubere Dokumentation, vertragliche Absicherung und ein möglicher Plan B. 

   

• Welche Rechtsgrundlage wird für den internationalen Datentransfer genutzt?
  Das EU-US Data Privacy Framework kann derzeit weiterhin eine geeignete Grundlage sein, sofern der konkrete US-Anbieter aktiv zertifiziert ist und die konkrete Dienstleistung vom Zertifizierungsumfang umfasst ist. 

   

• Gibt es ergänzende oder alternative Absicherungen?
  Zu prüfen sind insbesondere Standardvertragsklauseln, Data Processing Agreements, Transfer Impact Assessments und technische Schutzmaßnahmen wie Verschlüsselung, Datenminimierung sowie klare Rollen- und Rechtekonzepte. 

   

• Welche Sub-Auftragsverarbeiter und weiteren Drittländer sind eingebunden?
  Auch wenn der Hauptanbieter auf das Data Privacy Framework verweist, können weitere Dienstleister oder Datenflüsse relevant sein. 

   

• Was passiert, wenn das Data Privacy Framework künftig eingeschränkt oder aufgehoben wird?
  Für kritische Dienste sollte zumindest grob dokumentiert sein, ob Standardvertragsklauseln genutzt werden können, ob technische Zusatzmaßnahmen ausreichen oder ob mittelfristig Alternativen erforderlich wären. 

   

• Ist das Risiko im bestehenden Risikomanagement berücksichtigt?
  Sofern ein Risikoinventar oder ein formales Risikomanagement vorhanden ist, sollten kritische US-Datentransfers dort als rechtliches, operatives und lieferantenbezogenes Risiko aufgenommen werden. Ohne formales Risikomanagement reicht für viele KMU zumindest eine einfache Übersicht der wichtigsten Dienste, Risiken und Maßnahmen. 

   

• Welche digitalen Abhängigkeiten sollen mittelfristig reduziert werden?
  Bei besonders kritischen Diensten sollte geprüft werden, ob europäische oder zumindest besser kontrollierbare Alternativen verfügbar sind. Maßgeblich sind nicht nur Datenschutzaspekte, sondern auch Funktionalität, Kosten, Integrationsaufwand, Datenportabilität, Supportqualität und Wechselmöglichkeit. 

Wenn Sie weitere Infos oder eine Beratung über dieses Thema in Anspruch nehmen wollen, kontaktieren Sie uns gerne!