Glaubw\u00fcrdigkeit und Vertrauensw\u00fcrdigkeit sind entscheidend, wenn es um Whistleblowing geht. Whistleblower-Systeme verarbeiten h\u00e4ufig sensible Informationen \u00fcber die T\u00e4tigkeit einer Person oder eines Unternehmens. Nach der Umsetzung der Allgemeinen Datenschutzverordnung (DSGVO) und der Aufhebung des Privacy Shield (mehr dazu weiter unten) steht der Schutz von Hinweisgebern nun im Mittelpunkt. Externe Stellen sollten unter keinen Umst\u00e4nden in der Lage sein, Informationen in F\u00e4llen von Hinweisgebern anzufordern oder darauf zuzugreifen. Aus diesem Grund ist es immer wichtiger geworden, ein europ\u00e4isches Hosting f\u00fcr Ihre Whistleblower-L\u00f6sung zu w\u00e4hlen. <\/p>\n\n\n\n
In diesem Leitfaden werden wir die Folgen des f\u00fcr ung\u00fcltig erkl\u00e4rten Privacy Shield und des Schrems II-Urteils f\u00fcr europ\u00e4ische Unternehmen erl\u00e4utern. Wir werden auch einige wichtige Punkte erw\u00e4hnen, die bei der Auswahl einer Whistleblower-L\u00f6sung, die personenbezogene Daten hostet und verwaltet, zu beachten sind <\/p>\n\n\n\n
Personenbezogene Daten umfassen alle Informationen \u00fcber eine identifizierte oder identifizierbare Person, einschlie\u00dflich, aber nicht beschr\u00e4nkt auf: <\/p>\n\n\n\n
Sensible Daten bed\u00fcrfen eines besonderen Schutzes, da ihre Offenlegung zu erheblichen Risiken f\u00fcr die Grundrechte und die Freiheit des Einzelnen f\u00fchren k\u00f6nnte. Dazu geh\u00f6ren Informationen \u00fcber ethnische Zugeh\u00f6rigkeit, Sexualit\u00e4t, politische und religi\u00f6se \u00dcberzeugungen, Informationen \u00fcber die Gesundheitsf\u00fcrsorge, genetische und biometrische Informationen sowie soziale Verh\u00e4ltnisse und Informationen \u00fcber das Privatleben einer Person. <\/p>\n\n\n\n
Seit der Einf\u00fchrung der Allgemeinen Datenschutzverordnung (DSGVO)<\/a> genie\u00dfen alle B\u00fcrger der EU-Mitgliedstaaten das gleiche Schutzniveau f\u00fcr personenbezogene Daten. Das bedeutet auch, dass Sie personenbezogene Daten innerhalb der EU\/des EWR-Raums sicher \u00fcbermitteln k\u00f6nnen. Da es au\u00dferhalb der EU keine vergleichbaren Gesetze gibt, sind die Regeln f\u00fcr die Daten\u00fcbermittlung in Drittl\u00e4nder sehr streng und die \u00dcbermittlung personenbezogener Daten ist nur in bestimmten F\u00e4llen zul\u00e4ssig. <\/p>\n\n\n\n Als \u201eDrittstaaten\u201c gelten in diesem Zusammenhang alle Staaten au\u00dferhalb des EU-\/EWR-Raums. Personenbezogene Daten d\u00fcrfen grunds\u00e4tzlich nicht an Drittl\u00e4nder \u00fcbermittelt werden. Dies gilt auch f\u00fcr die Nutzung eines externen Anbieters zur Verarbeitung oder Speicherung von Daten, einschlie\u00dflich des Hostings von Hinweisgeberl\u00f6sungen. <\/p>\n\n\n\n Nach der DSGVO muss der Schutz europ\u00e4ischer B\u00fcrgerinnen und B\u00fcrger auch bei der \u00dcbermittlung personenbezogener Daten in L\u00e4nder au\u00dferhalb der EU gelten. Ihre Organisation darf Daten nur dann in Drittl\u00e4nder exportieren, wenn die folgenden Kriterien erf\u00fcllt sind: <\/p>\n\n\n\n Privacy Shield ist eine Selbstzertifizierung in den Vereinigten Staaten, bei der US-Unternehmen bescheinigen k\u00f6nnen, dass sie bestimmte Anforderungen erf\u00fcllen. Zuvor hatte die EU zugestimmt, dass das Privacy-Shield-Abkommen ein angemessenes Schutzniveau gew\u00e4hrleistet und eine g\u00fcltige Grundlage f\u00fcr die \u00dcbermittlung personenbezogener Daten aus der EU in die Vereinigten Staaten darstellt. <\/p>\n\n\n\n Nach einer \u00dcberpr\u00fcfung des Abkommens durch den Europ\u00e4ischen Gerichtshof (siehe Schrems II) wurde festgestellt, dass das Privacy Shield keinen angemessenen Rechtsschutz gegen \u00dcberwachungs- und Geheimdienstprogramme bietet. Die US-Gesetze k\u00f6nnten es bestimmten US-Beh\u00f6rden erm\u00f6glichen, Zugang zu den personenbezogenen Daten von EU-B\u00fcrgern zu verlangen. <\/p>\n\n\n\n Privacy Shield erm\u00f6glicht europ\u00e4ischen Unternehmen die Nutzung amerikanischer Cloud-Dienste ohne R\u00fccksicht auf die erhobenen und gespeicherten personenbezogenen Daten. Etwa 5.000 amerikanische Unternehmen (einschlie\u00dflich Facebook) haben den Datenschutzschild ebenfalls verwendet, um personenbezogene Daten von europ\u00e4ischen Nutzern zu erhalten. <\/p>\n\n\n\n Maximilian Schrems, ein Datenschutzaktivist aus \u00d6sterreich, war nicht damit einverstanden, dass Facebook seine pers\u00f6nlichen Daten in die Vereinigten Staaten \u00fcbermittelt hat. Grund daf\u00fcr ist, dass die amerikanischen Gesetze keinen ausreichenden Schutz vor nachrichtendienstlichen Aktivit\u00e4ten bieten. Schrems brachte seinen Fall vor die irische Datenschutzbeh\u00f6rde, und im Juli 2020 entschied der Europ\u00e4ische Gerichtshof, dass das Datenschutzschild-Abkommen zwischen der EU und den USA keinen ausreichenden Schutz bietet. Das Urteil besagt eindeutig, dass die allgemeine Datenschutzverordnung der EU (GDPR) auch dann anzuwenden ist, wenn kommerzielle Akteure personenbezogene Daten in L\u00e4nder au\u00dferhalb des EU\/EWR-Raums \u00fcbermitteln. <\/p>\n\n\n\n Das Urteil in der Rechtssache Schrems II unterstreicht, dass der Schutz nat\u00fcrlicher Personen durch die Datenschutz-Grundverordnung auch f\u00fcr die \u00dcbermittlung personenbezogener Daten gelten muss. Daher ist es verboten, Daten in L\u00e4nder zu \u00fcbermitteln, in denen der Schutz personenbezogener Daten geringer ist als in der EU garantiert. Daten\u00fcbermittlungen sind nur m\u00f6glich, wenn ausreichende Schutzma\u00dfnahmen getroffen wurden. <\/p>\n\n\n\n Im Juni 2021 verabschiedete die Europ\u00e4ische Kommission eine neue Reihe sogenannter Standardvertragsklauseln“. Damit soll das gleiche Schutzniveau f\u00fcr die pers\u00f6nliche Freiheit und die Grundrechte, das innerhalb der EU gilt, aufrechterhalten und die Einhaltung des Schrems-II-Urteils erleichtert werden. Um alle Anforderungen an die sichere \u00dcbermittlung personenbezogener Daten zu erf\u00fcllen, m\u00fcssen diese Klauseln m\u00f6glicherweise noch durch zus\u00e4tzliche Schutzma\u00dfnahmen erg\u00e4nzt werden. Dies muss der f\u00fcr die Verarbeitung personenbezogener Daten Verantwortliche der Organisation von Fall zu Fall entscheiden. <\/p>\n\n\n\n Gro\u00dfe amerikanische Cloud-Dienstleister, wie z. B. Microsoft (Azure und Microsoft 365), haben ihren Kunden versichert, dass sie alle Daten innerhalb der EU verarbeiten und speichern und somit die DSGVO einhalten werden. <\/p>\n\n\n\n Abgesehen von der Schaffung paralleler Strukturen gibt es keine Garantie daf\u00fcr, dass diese Unternehmen in der Lage sein werden, die US-Gesetzgebung zu umgehen. FISA – Foreign Intelligence Surveillance Act <\/a>– ist ein Bundesgesetz, das es den US-Beh\u00f6rden erm\u00f6glicht, auf europ\u00e4ische personenbezogene Daten zuzugreifen, selbst wenn sich die Server des Unternehmens auf EU-Gebiet befinden. <\/p>\n\n\n\n Maximilian Schrems ist der Gr\u00fcnder der gemeinn\u00fctzigen Organisation „None of Your Business (Noyb)“<\/a>. Ziel der Organisation ist es, die Einhaltung der Datenschutz-Grundverordnung und andere potenziell die Privatsph\u00e4re verletzende Datenverarbeitungen zu \u00fcberwachen. Ihm zufolge unterliegen gro\u00dfe US-Unternehmen immer noch dem FISA-Gesetz und m\u00fcssen den US-Beh\u00f6rden auf Verlangen Folge leisten. Die schwedische Datenschutzbeh\u00f6rde IMY hat ebenfalls mehrere Untersuchungen eingeleitet, nachdem Noyb Beschwerden gegen schwedische Unternehmen eingereicht hatte. <\/p>\n\n\n\n Derzeit gibt es keine einheitliche, einfache und umfassende L\u00f6sung f\u00fcr die legale Verarbeitung personenbezogener Daten in den USA oder in einem anderen Land au\u00dferhalb der EU. Wenn der f\u00fcr die Datenverarbeitung Verantwortliche sich f\u00fcr die Verwendung der Standardvertragsklauseln entscheidet, muss er dennoch von Fall zu Fall entscheiden, ob zus\u00e4tzliche Sicherheitsma\u00dfnahmen erforderlich sind. <\/p>\n\n\n\n Die Arbeiten zur Schaffung eines europ\u00e4ischen digitalen \u00d6kosystems und einer Daten Cloud sind im Gange, doch wird dies noch einige Zeit in Anspruch nehmen. Derzeit besteht die beste L\u00f6sung f\u00fcr europ\u00e4ische Unternehmen, die personenbezogene Daten verarbeiten, darin, einen europ\u00e4ischen Anbieter zu w\u00e4hlen. Auf diese Weise k\u00f6nnen Sie sicherstellen, dass alle Daten auf Servern in der EU\/im EWR gespeichert werden und alle Anforderungen der Datenschutz-Grundverordnung erf\u00fcllt sind. Dies gilt auch, wenn die \u00dcbermittlung von einem Unterauftragnehmer durchgef\u00fchrt wird. <\/p>\n\n\n\n Es ist \u00e4u\u00dferst wichtig, dass sowohl private Unternehmen als auch \u00f6ffentliche Organisationen wissen, welche Art von Daten sie sammeln und wie sie diese verwalten und speichern. Sie m\u00fcssen wissen, in welcher Umgebung Ihr Dienstanbieter organisatorische Daten verwaltet, da Sie m\u00f6glicherweise keine Rechtsgrundlage f\u00fcr die Verarbeitung personenbezogener Daten au\u00dferhalb der EU\/des EWR haben. Wenn Sie einen europ\u00e4ischen Anbieter f\u00fcr das Hosting Ihrer Whistleblower-L\u00f6sung w\u00e4hlen, k\u00f6nnen Sie eine Datenverarbeitung vermeiden, die den Schutz der Privatsph\u00e4re der Nutzer nicht gew\u00e4hrleistet. Es ist auch viel einfacher, alle Anforderungen der Allgemeinen Datenschutzverordnung zu erf\u00fcllen. <\/p>\n\n\n\n F\u00fcr das Hosting unserer Whistleblowing-L\u00f6sungen arbeitet Whistlelink seit langem mit GleSYS zusammen. GleSYS ist ein skandinavisches Unternehmen<\/a> mit sicheren, hochmodernen Rechenzentren, die alle gesetzlichen Anforderungen erf\u00fcllen. Mit einer ISO 27001-Zertifizierung f\u00fcr Informationssicherheits-Managementsysteme erf\u00fcllt GleSYS alle Sicherheitsanforderungen, insbesondere in Bezug auf Vertraulichkeit, Genauigkeit und Verf\u00fcgbarkeit, sowie die geltenden Gesetze. \u00a0\u00a0<\/p>\n\n\n\n Unsere Vision ist es, allen Organisationen das beste, sicherste und benutzerfreundlichste Whistleblowing-System auf dem Markt zur Verf\u00fcgung zu stellen, und wir nehmen die Datensicherheit sehr ernst. Dank unserer langj\u00e4hrigen Zusammenarbeit mit GleSYS<\/a> k\u00f6nnen wir Ihnen einen kompletten Whistleblower-Service anbieten, bei dem alle sensiblen Daten auf europ\u00e4ischen (schwedischen) Servern gespeichert sind.\u00a0<\/p>\n\n\n\n Sind Sie daran interessiert, mehr \u00fcber einen Whistleblowing-Dienst und sichere interne Meldewege zu erfahren? Lesen Sie mehr \u00fcber die EU-Whistleblowing-Richtlinie zur Meldung von Missst\u00e4nden hier<\/a> und bei EUR-Lex<\/a>.<\/p>\n\n\n\n Sind Sie auf der Suche nach einem sicheren Hinweisgebersystem f\u00fcr die Meldung von Missst\u00e4nden? Lesen Sie hier mehr<\/a>.<\/p>\n\n\n\n M\u00f6chten Sie \u00fcber ein Whistleblower-System f\u00fcr Ihr Unternehmen sprechen? Bitte kontaktieren<\/a> Sie uns oder erbitten Sie eine kostenlose Demo<\/a>!<\/p>\n","protected":false},"excerpt":{"rendered":" Glaubw\u00fcrdigkeit und Vertrauensw\u00fcrdigkeit sind entscheidend, wenn es um Whistleblowing geht. Whistleblower-Systeme verarbeiten h\u00e4ufig sensible Informationen \u00fcber die T\u00e4tigkeit einer Person oder eines Unternehmens. Nach der Umsetzung der Allgemeinen Datenschutzverordnung (DSGVO) und der Aufhebung des Privacy Shield (mehr dazu weiter unten) steht der Schutz von Hinweisgebern nun im Mittelpunkt. Externe Stellen sollten unter keinen Umst\u00e4nden in […]<\/p>\n","protected":false},"featured_media":37321,"template":"","format":"standard","blog-category":[220],"class_list":["post-36441","blog","type-blog","status-publish","format-standard","has-post-thumbnail","hentry","blog-category-leitfaden"],"yoast_head":"\n2. Daten\u00fcbermittlung au\u00dferhalb der EU: Was ist ein \u201eDrittland\u201c? <\/h3>\n\n\n\n
3. Was ist das Privacy Shield? <\/h3>\n\n\n\n
4. Was ist das Schrems-II-Urteil und wie wirkt es sich auf europ\u00e4ische Organisationen aus? <\/h3>\n\n\n\n
5. Neue EU-Standardvertragsklauseln <\/h3>\n\n\n\n
6. Ist es f\u00fcr amerikanische Unternehmen \u00fcberhaupt m\u00f6glich, europ\u00e4ische personenbezogene Daten zu verarbeiten? \u00a0<\/h3>\n\n\n\n
7. Was sind die langfristigen L\u00f6sungen f\u00fcr das Hosten eines Whistleblower-Dienstes? <\/h3>\n\n\n\n
Hosting von Whistleblower-L\u00f6sung: Die Privatsph\u00e4re der Nutzer muss durch Datenverarbeitungs- und Sicherheitsprozesse gew\u00e4hrleistet werden\u00a0<\/h3>\n\n\n\n
<\/h3>\n\n\n\n