Übermittlung personenbezogener Daten in die USA - ist das erlaubt?

Unternehmen aus den Vereinigten Staaten können persönliche Daten in die Hände bekommen. Denken Sie an Google, das über Google Analytics IP-Adressen sammeln kann. Arbeiten Sie mit einer US-Partei zusammen? Mithilfe des Data Privacy Framework können Sie untersuchen, ob die Übermittlung personenbezogener Daten in die USA zulässig ist und welche Erwägungen dabei relevant sein können. Wir geben Ihnen einen Überblick über die Schritte, die Sie befolgen können, um eine fundierte Entscheidung zu treffen....

Was ist das Data Privacy Framework?

Der Datenschutzrahmen umfasst Vereinbarungen über die sichere Übermittlung personenbezogener Daten in die USA. Am 10. Juli 2023 traten neue Abkommen zwischen der Europäischen Union und den USA über die Übermittlung personenbezogener Daten aus dem Europäischen Wirtschaftsraum (EWR) in die USA in Kraft. Diese Abkommen sind als Data Privacy Framework bekannt.

Beispiele für persönliche Daten

• IP-Adressen
• E-Mail-Adressen
• Geburtsdaten

US-Organisationen können dem Data Privacy Framework beitreten. Wenn sie dies tun, ist die Übermittlung personenbezogener Daten aus dem EWR an diese Organisationen erlaubt, ohne dass die europäische Partei zusätzliche rechtliche und technische Maßnahmen ergreifen muss. Diese Unternehmen müssen ähnliche Anforderungen erfüllen wie das AVG, einschließlich der Beschränkung des Zugriffs durch US-Geheimdienste. Für nicht teilnehmende Unternehmen, z.B. aus dem Banken- und Versicherungssektor, gelten jedoch weiterhin strenge Bedingungen.

Schritt 1: Prüfen Sie, ob die Organisation an der Datenschutzrichtlinie teilnimmt

Der erste Schritt besteht darin, zu überprüfen, ob die US-Organisation, an die Sie personenbezogene Daten übermitteln möchten, am Data Privacy Framework teilnimmt. Gehen Sie dazu auf die Website des Data Privacy Framework und geben Sie den Namen des Unternehmens ein, mit dem Sie zusammenarbeiten werden.

Schritt 2: Folgemaßnahmen

Als nächstes gibt es zwei mögliche Szenarien:

Organisation tritt dem Datenschutzrahmenwerk bei

Wenn die US-Organisation, an die Sie personenbezogene Daten übermitteln möchten, an der Datenschutz-Grundverordnung teilnimmt und wenn das spezifische Produkt, das Sie verwenden möchten, ebenfalls unter diese Grundverordnung fällt, können Sie die personenbezogenen Daten übermitteln. Sie müssen dazu kein anderes Übermittlungsinstrument verwenden oder zusätzliche Maßnahmen zum Schutz der Daten ergreifen.

Organisation nimmt nicht an der Datenschutzrichtlinie teil

Wenn die US-Organisation, an die Sie personenbezogene Daten übermitteln möchten, nicht am Data Privacy Framework teilnimmt, können Sie möglicherweise zusätzliche Maßnahmen ergreifen.

1. Verwenden Sie ein Überweisungsinstrument: Für Überweisungen in ein Land außerhalb des EWR können Sie ein Überweisungsinstrument verwenden, z. B. einen Mustervertrag oder verbindliche Unternehmensregeln (BCR).
2. Ergreifen Sie zusätzliche Maßnahmen: Falls erforderlich, können Sie zusätzliche Maßnahmen ergreifen, um persönliche Daten zu schützen.

Was könnten diese zusätzlichen Maßnahmen sein? Um die richtigen zusätzlichen Maßnahmen zu bestimmen, können Sie die"Empfehlungen für ergänzende Maßnahmen zu Pass-Through-Instrumenten" des EDPB verwenden. Der EDPB listet mehrere Schutzmaßnahmen auf, die Sie in Betracht ziehen können, wie z.B. eine angemessene Verschlüsselung und Pseudonymisierung. Sie sollten von Fall zu Fall abwägen, welche Maßnahme oder Kombination von Maßnahmen notwendig ist, um personenbezogene Daten angemessen zu schützen.

Haben Sie Zweifel?

Wenn dies der Fall ist, rät die niederländische Behörde für personenbezogene Daten (AP), zusätzlich bei der Organisation selbst zu prüfen, ob das spezifische Produkt auch unter den Datenschutzrahmen fällt.

Wie TAGGRS den Schutz persönlicher Daten sicherstellt

Server Side Tracking

TAGGRS bietet Hosting-Software für Google Tag Manager Server Side Tracking. Auf diese 3 Arten stellt Server Side GTM sicher, dass Sie GDPR-konform sein können:

• Verbesserte Kontrolle über Daten von Dritten: Mit Server Side GTM können Sie genauer verwalten, welche Daten an externe Parteien wie Facebook gesendet werden, so dass Sie die Kontrolle über die Informationen haben, die diese sehen können.
• Sichere Verarbeitung sensibler Informationen und personenbezogener Daten: Serverseitiges GTM hilft Ihnen, die Richtlinien von Plattformen wie Google und Facebook einzuhalten, indem es persönlich identifizierbare Informationen (PII) wie IP-Adressen entfernt oder verschlüsselt, bevor es sie an externe Plattformen sendet.
• Effektives Datenmanagement: Serverseitiges GTM bietet Lösungen wie das Hashing von Benutzerdaten nach den Standards verschiedener Plattformen und die Anpassung von Website-URLs vor der Weiterleitung an externe Parteien, was besonders nützlich für den Schutz sensibler Informationen in URLs ist.

Lesen Sie mehr in unserem Blog über GDPR und Server Side Tracking.

GDPR-Tool für Anonymisierung

TAGGRS bietet ein GDPR-Tool, das personenbezogene Daten effektiv anonymisiert. Dieses Tool hilft Ihnen bei der Einhaltung der AVG-Vorschriften, indem es sicherstellt, dass sensible Daten in eine Form umgewandelt werden, die nicht zu Einzelpersonen zurückverfolgt werden kann.

Eigene Serverstandorte

TAGGRS nutzt seine eigenen Serverstandorte, so dass die Daten das Land nicht verlassen müssen. Dies bietet einen zusätzlichen Schutz, da die Daten innerhalb der Landesgrenzen verbleiben können. Dies kann dazu beitragen, die Einhaltung lokaler Gesetze und Vorschriften zu gewährleisten und die mit internationalen Datentransfers verbundenen Risiken zu minimieren.

Outro

Die Übermittlung personenbezogener Daten in die USA muss sorgfältig geprüft werden. Prüfen Sie, ob Ihre Partnerorganisation am Data Privacy Framework teilnimmt und ergreifen Sie gegebenenfalls zusätzliche Maßnahmen. Mit Tools wie denen von TAGGRS können Sie personenbezogene Daten effektiv verwalten und schützen.

FAQ Rahmen für den Datenschutz

Warum ist TAGGRS nicht im Datenschutzrahmen enthalten?

TAGGRS ist ein europäisches Unternehmen, und das Data Privacy Framework ist nur für US-Unternehmen bestimmt.

Gehört Google zum Data Privacy Framework?

Ja, Google nimmt am Data Privacy Framework teil.