Daten in Europa zu speichern ist nicht dasselbe wie sie zu kontrollieren
Datenhoheit wird oft als eine Frage der Geographie behandelt. In der Praxis geht es aber genauso sehr um rechtliche Reichweite und operative Kontrolle.
Eurojust, die EU-Agentur, die die justizielle Zusammenarbeit in Strafsachen unterstützt, hat erklärt, dass der U.S. CLOUD Act ausdrücklich festlegt, dass U.S.-Dienstleister verpflichtet werden können, die von ihnen kontrollierten Daten aufzubewahren und vorzulegen, unabhängig davon, wo diese Daten gespeichert sind.
Im Klartext: Das Hosting in der EU beseitigt nicht automatisch das rechtliche Risiko in den USA, wenn der Anbieter weiterhin der US-Gerichtsbarkeit unterliegt.
Für Organisationen, die mit am Körper getragenen Videos arbeiten, ist diese Unterscheidung wichtig. Diese Systeme verarbeiten oft sensibles Filmmaterial, sind mit der Öffentlichkeit verbunden und befinden sich in Umgebungen, in denen Rechenschaftspflicht und Beweiskette wichtig sind.
Das Risiko wird ernster, wenn:
- der Anbieter unterliegt der U.S.-Rechtsprechung aufgrund von Eigentum, Kontrolle oder operativer Verflechtung
- Unterstützung oder Verwaltung auf Daten von außerhalb des EWR zugreifen können (Europäischer Wirtschaftsraum)
- Unterauftragsverarbeiter sitzen in Drittländern, oder wichtige Dienstleistungen werden von Nicht-EWR-Unternehmen erbracht
Das Urteil des EuGH in der Rechtssache Schrems II unterstreicht, warum dies wichtig ist. Das EU-Recht verlangt einen im Wesentlichen gleichwertigen Schutz, wenn personenbezogene Daten dem Zugriff von Behörden in Drittländern ausgesetzt sind.
Wo die Spannung beginnt: Rechtlicher Zugang in den USA versus EU-Datenschutzbestimmungen
Die GDPR ist nicht die Quelle des Problems. Das eigentliche Problem besteht darin, dass das US-Recht bestimmte Anbieter dazu zwingen kann, die von ihnen kontrollierten Daten offenzulegen, während das EU-Datenschutzrecht strenge Grenzen setzt, wann personenbezogene Daten offengelegt oder übertragen werden dürfen.
Das schafft ein direktes Spannungsfeld für Organisationen, die mit sensiblen, am Körper getragenen Videos arbeiten. Selbst wenn die Daten in der EU gespeichert werden, kann die Weitergabe an einen Anbieter, der der US-Rechtsprechung unterliegt, Fragen zur Souveränität und Compliance aufwerfen.
Der Europäische Datenschutzausschuss hat klargestellt, dass eine ausländische behördliche Anordnung nicht automatisch eine rechtmäßige Grundlage für die Offenlegung oder Übermittlung nach der DSGVO schafft. Mit anderen Worten: Eine Anordnung zu erhalten ist nicht dasselbe wie ihr nach EU-Recht nachkommen zu dürfen.
Für Rechtsteams und Beschaffungsleiter bedeutet dies, dass die Bewertung der Anbieter über den reinen Speicherort hinausgehen sollte.
Eine Checkliste für Rechtsangelegenheiten und Beschaffung
Bei der Bewertung eines Anbieters sind die wichtigsten Fragen einfach:
- Wer ist die juristische Gegenpartei und welcher Rechtsordnung unterliegt sie?
- Wer kann technisch auf die Daten zugreifen, einschließlich Support und Reaktion auf Vorfälle?
- Wie sieht das dokumentierte Verfahren für Anfragen aus Drittländern aus, einschließlich Anfechtung, Benachrichtigung und Transparenzberichterstattung?
- Wer kontrolliert die Verschlüsselungsschlüssel, und kann der Anbieter darauf zugreifen?
In den EDPB-Empfehlungen 01/2020 wird auch erläutert, warum zusätzliche Maßnahmen, einschließlich starker Verschlüsselung und organisatorischer Kontrollen, notwendig sein können, wenn die Übermittlungsinstrumente allein keinen EU-äquivalenten Schutz bieten.
Was dies in der Praxis bedeutet
Für viele Organisationen ist die praktische Lektion einfach: Die Speicherung von Daten in der EU allein ist nicht genug. Wenn sensible Videodaten immer noch über die US-Justiz erreicht werden können, dann muss die wirkliche Bewertung die Anbieterstruktur, den operativen Zugriff, die Unterverarbeiter und die Governance umfassen.
Dies ist vor allem für die Polizei, die Strafverfolgungsbehörden, Inspektionen und andere öffentliche Einrichtungen von Bedeutung, in denen aufgezeichnetes Material persönliche Daten, Beweise oder rechtlich sensibles Material enthalten kann.
Wo ZEPCAM passt
Für Organisationen, die die potenzielle Gefährdung durch die US-Gerichtsbarkeit verringern möchten, besteht eine strukturelle Abschwächung darin, einen Anbieter von am Körper getragenen Videos zu wählen, dessen Eigentumsverhältnisse, Hosting-Modell und betriebliche Einrichtung darauf ausgelegt sind, diese Gefährdung so weit wie möglich zu minimieren.
ZEPCAM ist ein europäischer Anbieter von am Körper getragenen Videoüberwachungssystemen mit Hauptsitz in den Niederlanden und einer niederländischen Rechts- und Betriebsbasis. Er bietet Bereitstellungsoptionen, die eine stärkere lokale Kontrolle über sensible Videodaten unterstützen können, einschließlich des von ZEPCAM verwalteten Hostings in ausgewählten Ländern und einer vom Kunden kontrollierten Infrastruktur, wo dies möglich ist. und Vor-Ort-Installation.
ZEPCAM weist auch auf anerkannte Zertifizierungen für Informationssicherheit, Cloud-Sicherheit und Datenschutzkontrollen hin, einschließlich ISO 27001, ISO 27017 und ISO 27018, wo dies im Rahmen seines Dienstleistungsmodells anwendbar ist.
Dies beseitigt nicht alle Compliance-Verpflichtungen, aber es kann Organisationen dabei helfen, das rechtliche und operative Risiko im Vergleich zu Anbietermodellen zu reduzieren, die enger an die Nicht-EU-Rechtsprechung gebunden sind.
Letzter Gedanke
Wenn körpernah getragene Videoaufnahmen Teil Ihrer betrieblichen oder juristischen Arbeitsabläufe sind, stellt sich nicht nur die Frage, wo Ihre Daten gespeichert werden. Die wichtigere Frage ist, wer letztendlich dazu gezwungen werden kann, auf die Daten zuzugreifen.
Hier wird der Unterschied zwischen Speicherung und Souveränität sehr deutlich.