Nach Ende von Privacy Shield: Microsoft verbessert Schutz der Privatsphäre

Microsoft hat neue Maßnahmen zum Schutz der Privatsphäre seiner Nutzer ergriffen. Der Softwarekonzern ist nach eigenen Angaben das erste Unternehmen weltweit, das die Empfehlungen von europäischen Datenschutzbehörden umsetzt, nachdem der EU-Gerichtshof im Juli das Datenschutzabkommen Privacy Shield gekippt hatte.

„Heute kündigen wir neue Schutzmaßnahmen für unsere Kunden aus dem öffentlichen Sektor und Unternehmen an, die ihre Daten aus der Europäischen Union transferieren müssen, einschließlich einer vertraglichen Verpflichtung, Datenanfragen von Regierungen anzufechten“, schreibt Julie Brill, Chief Privacy Officer bei Microsoft, in einem Blogeintrag. „Microsoft ist das erste Unternehmen, das diese Zusagen als Reaktion auf die klaren Vorgaben der Datenschutzbehörden in der Europäischen Union von letzter Woche gemacht hat.“

Der Gerichtshof der Europäischen Union stellte im Juli fest, dass die USA keinen angemessenen Schutz persönlicher Daten gemäß eigener Gesetze und internationaler Vereinbarungen dienen. Damit hob er den Angemessenheitsbeschluss der EU-Kommission, auf dem der Datenschutzschild Privacy Shield basiert, auf. Der EU-Datenschutzausschuss bestätigte kurz darauf, dass durch das auch als Schrems-II bezeichnete Urteil alle Datenübertragungen gemäß Privacy Shield ab sofort illegal seien.

In der vorletzten Woche legte das Gremium schließlich Empfehlungen für ergänzende Maßnahmen vor, die sich aus dem Schrems-II-Urteil ergeben sollen. „Die für die Verarbeitung Verantwortlichen, die sich auf Standardvertragsklauseln (SCC) stützen, müssen von Fall zu Fall und gegebenenfalls in Zusammenarbeit mit dem Empfänger der Daten im Drittland prüfen, ob das Recht des Drittlandes ein Schutzniveau für die übermittelten personenbezogenen Daten gewährleistet, das im Wesentlichen dem im Europäischen Wirtschaftsraum (EWR) garantierten Schutzniveau entspricht.“ Zudem habe der EU-Gerichtshof ergänzende Maßnahmen erlaubt, „um die wirksame Einhaltung dieses Schutzniveaus zu gewährleisten, wenn die in den SCCs enthaltenen Schutzmaßnahmen nicht ausreichend sind.“

Brill verspricht, dass Microsoft gegen alle staatlichen Auskunftsersuchen zu Daten des öffentlichen Sektors und von Enterprise-Kunden vorgeht, sobald es eine rechtliche Begründung gibt. „Diese Zusage geht über die vorgeschlagenen Empfehlungen des EU-Datenschutzausschusses hinaus“, so Brill weiter. Microsoft verpflichte sich zudem, Schadenersatz zu zahlen, falls Microsoft Daten aufgrund einer staatlichen Anfrage weitergebe und damit gegen die Datenschutzgrundverordnung verstoße. „Das zeigt, dass Microsoft zuversichtlich ist, dass wir die Daten unserer Kunden des öffentlichen Sektors und von Unternehmen schützen und sie keiner unangemessenen Offenlegung aussetzen werden.“