Welche Nicht-EU-Staaten sind "EU-compliant"?
Neben ihren Mitgliedsstaaten hat die Europäische Union zwölf Drittländer identifiziert, die einen den EU-Standards angepassten und damit ausreichenden Datenschutz gewährleisten. Unternehmen, die Daten in diese Staaten respektive Gebiete der britischen Krone übertragen, sollen sich demnach in Compliance-Sicherheit wiegen können: Andorra, Argentinien, Kanada, Färöer-Inseln, Guernsey, Isle of Man, Israel, Jersey, Neuseeland, Schweiz, Uruguay und USA.
Wie sieht der "Datenschutz" der USA konkret aus?
Auch wenn es nach allgemeiner öffentlicher Auffassung so aussieht, als seien sämtliche Daten in den USA Freiwild, müssen sich doch zumindest datenverarbeitende Unternehmen auch in den Staaten an branchenspezifische Regeln halten. Der europäische Datenschutz begreift sich als individualrechtliche Angelegenheit, als das Recht jedes einzelnen Menschen auf Privatsphäre - egal ob innerhalb oder außerhalb der Ökonomie. Das nordamerikanische "Datenschutzrecht" hingegen ist treffender als Sammlung von Compliance-Richtlinien zu bezeichnen und fokussiert sich vollständig auf bestimmte unternehmerische Pflichten im marktwirtschaftlichen Umgang mit Daten. Daten, die keinem ökonomischen Zweck dienen, sind demnach tatsächlich "Freiwild". Wichtig für den amerikanischen Datenschutz sind Industriestandard wie der PCI DSS (für die Kreditkartenindustrie) oder der HIPAA (für die Gesundheitsbranche). Mehr zu diesen und weiteren US-Standards lesen Sie im Beitrag "Die Compliance-Spielregeln der USA".
Müssen europäische Unternehmen im Wettbewerb mit den USA "leiden"?
Forrester-Analyst Rose meint: Nein! "Da alle EU-Staaten die gleichen strengen Datenschutzgesetze hätten, könnte es für Unternehmen von Vorteil sein, ihre Services nur innerhalb der EU zu kaufen und zu verkaufen. US-Unternehmen beginnen ja bereits, EU-Rechenzentren zu bauen, um Dienste anbieten zu können, die EU-compliant sind und weiter wettbewerbsfähig mit der europäischen Konkurrenz zu bleiben", gibt er sich zuversichtlich, dass EU-Unternehmen künftig vielleicht sogar einen kleinen Vorteil gegenüber der amerikanischen Konkurrenz besitzen.
Was mache ich als deutsches Unternehmen, wenn mir Daten entwendet wurden?
Liegt der Verdacht einer Straftat vor, also beispielsweise eines gezielten Hacker- oder Insiderangriffs auf das Unternehmen, bei dem Daten kopiert wurden, genügt die Information der Datenschutzstelle nicht. Betroffene sollten zusätzlich polizeilich Anzeige erstatten und die Staatsanwaltschaft einschalten. Datenschutzverstöße sind Antragsdelikte - die Strafverfolgungsbehörden können diesen deshalb erst nach einer Anzeige wirksam nachgehen.
Wohin können sich deutsche Unternehmen bei Fragen wenden?
An die zuständige Landesdatenschutzstelle ihres Bundeslandes, auf folgender interaktiver Karte mit Kontaktdaten dargestellt: