EU GDPR, BCR, CPC and other stuff

Ein Artikel von Tobias Höllwarth der eine Beziehung zwischen der neuen EU General Data Protection Regulation, Binding Corporate Rules, den Strategien von Microsoft und Salesforce sowie dem Cloud Privacy Check herstellt.

 
Soeben hat Salesforce, einer der größten US-amerikanischen Cloud-Anbieter, bekanntgegeben, dass seine BCR (Binding Corporate Rules) von den europäischen Datenschutzbehörden (Art. 29 WP) akzeptiert worden sind. Siehe detaillierte Informationen dazu hier.

Die führende Behörde hinter der Zulassung war die französische Commission Nationale de l'Informatique et des Libertés (CNIL), unterstützt von der niederländischen DPA und dem bayerischen Landesamt für Datenschutzaufsicht. Liste der von der Europäischen Union akzeptierten BCR hier.

Diese Entwicklung muss im Zusammenhang mit dem vom österreichischen Juristen Max Schrems im Oktober 2015 erwirkten Ende des Safe Harbor Agreements (siehe "EU versus Facebook") gesehen werden. „Meiner Meinung nach würden auch die europäischen BCR eine ähnliche Untersuchung durch den Europäischen Gerichtshof nicht überleben,“ sagt Tobias Höllwarth, Vizepräsident von EuroCloud Europe. Laut Ansicht von Höllwarth könne wohl keine individuelle Vereinbarung zwischen zwei Unternehmen – egal, wie gut es formuliert sei – das grundsätzliche Problem beseitigen, „dass das geltende US-Recht auf der Basis des Patriot Act in manchen Bereichen fundamentale Unterschiede zum bestehenden europäischen Recht aufweist. Unternehmen werden dieses Hindernis nicht überwinden können – nicht einmal mit BCR.“

Soweit also die unangenehmen Tatsachen für etliche tausend amerikanische Cloud-Anbieter, die Daten von europäischen Kunden speichern und verarbeiten. Siehe dazu Informationen vom Repräsentantenhaus der Vereinigten Staaten (link), den laufenden Gerichtsfall von Microsoft gegen die USA (der sogenannte „Ireland case“) (link) und einen Kommentar im New York Law Journal (link)

Andererseits ist auch klar, dass dies zu einer katastrophalen Situation für europäische Cloud-Kunden führen könnte, die Cloud-Dienste von Anbietern außerhalb des IT-Schengen-Raums beziehen wollen – eine Situation, die sich sicherlich niemand wünscht.

Trotz der überraschenden und geschickten Vereinbarung zwischen Microsoft und der Deutschen Telekom, die DT als Treuhänder für die Microsoft-Dienste Azure und Office 365 einzusetzen (link), ist klar, dass diese Vorgehensweise nicht als Modell für jeden Cloud-Anbieter außerhalb der EU dienen kann. „Weder kann die Deutsche Telekom beliebig viele Cloud-Dienste abwickeln, noch ist das Modell für den Cloud-Kunden wirtschaftlich von Vorteil, da er für die Treuhandschaft zusätzliche Gebühren bezahlen muss,“ so Höllwarth der weiter ausführt: „Die Bemühungen von Firmen wie Microsoft oder Salesforce sich in Europa in vorbildlicher Weise um hochwertige Servicequalität und die Einhaltung sehr komplexer und in jedem EU-Land leicht unterschiedlicher gesetzlicher Datenschutzvorgaben zu bemühen, verdient höchsten Respekt. Es sind die unerträglichen juristischen Rahmenbedingungen in Europa, die kritisiert werden müssen. Dass sich große internationale Unternehmen dennoch darum Bemühen, es in jedem einzelnen Land richtig zu machen, ist bewundernswert. Die meisten Unternehmen haben gar nicht ausreichend Ressourcen um diese Herkulesaufgabe zu bewältigen“

Es ist daher interessant zu wissen, dass zunehmenden Gerüchten zufolge die neue Europäische Datenschutzrichtlinie zu Beginn des kommenden Jahres vom EU-Ministerrat angenommen werden könnte.

Nach dem Entwurf der Kommission von 2012 und dem Albrecht-Bericht (siehe EU/Albrecht Report), der vom EU-Parlament kurz nach der Enthüllung des Falls Snowden mit 95-prozentiger Zustimmung abgesegnet wurde, warten wir nun schon seit mehr als 18 Monaten darauf, dass der Rat die Vorlage hoffentlich unverändert absegnet.

Derzeit läuft in auswählten Kinos ein äußerst beeindruckender unabhängiger Dokumentarfilm (link), welcher die Entwicklung dieses neuen Gesetzes und den massiven Widerstand von Lobbyisten gegenüber Jan Philipp Albrecht (link), einem 33-jährigen Mitglied des Europaparlaments und Vorsitzenden des Ausschusses für bürgerliche Freiheiten, Justiz und Inneres, zeigt. Albrecht war der offizielle Berichterstatter über den Gesetzesentwurf im Europaparlament.  

In seiner letzten Entwicklungsphase befindet sich zur Zeit auch ein einschlägiges multinationales Programm namens Cloud Privacy Check (CPC). Mehr als 40 Juristen aus 31 Ländern arbeiten an diesem Projekt, dessen Endbericht in Kombination mit einem sachdienlichen Online-Tool voraussichtlich Ende Januar 2016 in 25 Sprachen veröffentlicht wird. Vor dem Hintergrund von Safe Harbor, Binding Corporate Rules und der erwarteten Europäischen Datenschutzrichtlinie wird der CPC also genau zur richtigen Zeit zugänglich werden.

Der CPC soll für die kommenden 2-3 Jahre als Richtlinie für Cloud-Anbieter, -Kunden und -Benutzer dienen und ihnen helfen, Konzepte, Bedingungen und den grundsätzlichen Wert von Datenschutzregelungen zu verstehen. Ebenso soll er den Umgang mit länderspezifisch unterschiedlichen Datenschutzverordnungen vereinfachen, bis einheitliche – oder zumindest ähnliche und vergleichbare – Datenschutzgesetze in allen betroffenen Ländern wirksam werden.

Der Cloud Privacy Check erleichtert die Arbeit durch drei methodische Ansätze: 

Vereinfachung einer komplexen Materie ohne inhaltliche Verluste. Das Ziel des CPC ist es, das Thema Datenschutz in der Cloud zu 90% auf einer einzigen Seite zu erläutern und damit für 90% der Leute, die sich damit auseinandersetzen müssen, eine verständliche und umsetzbare Basis zu bieten. Aber keine Sorge: Juristen werden nach wie vor benötigt.

Strukturierung einer Vielzahl von Fragen in einzelne Themenblöcke, welche dann schrittweise angegangen werden können – vom einfachsten bis zum kompliziertesten Fall. Damit korreliert werden gleichzeitig die jeweils benötigten rechtlichen Werkzeuge, die dann im Detail von Juristen auszuarbeiten und zu bewerten sind.  

Trennung des Allgemeingültigen vom Spezifischen. Dies ist wahrscheinlich die wichtigste Hilfe für die Handhabung von komplexen grenzüberschreitenden Unternehmungen. Indem er diejenigen Aspekte identifiziert, die in allen Ländern gleich sind, erlaubt der CPC es dem Benutzer, sich auf die Unterschiede und Eigenheiten zu konzentrieren – wenn diese überhaupt auf ihn zutreffen. Der CPC will schnell und einfach Zugang zu relevanter Information bezüglich der Regelungen in anderen Ländern bereitstellen, ohne dass der Nutzer sich mit Aspekten aufhalten muss, die gleich sind wie zu Hause.

EU GDPR, BCR, CPC and other stuff

Tobias Höllwarth draws some lines between the new EU General Data Protection Regulation, Binding Corporate Rules, strategies of Microsoft and Salesforce as well as the Cloud Privacy Check.

It is interesting to hear that Salesforce, one of the largest US cloud providers, has announced that its BCR (Binding Corporate Rules) have been accepted by the European Data Protection Authorities (WP29). See detailed text here.

The leading authority behind the acceptance was the French Commission Nationale de l'Informatique et des Libertés (CNIL), which was assisted by the Netherlands DPA and the Bavarian Landesamt für Datenschutzaufsicht. Link to the list of BCR accepted by the European Union here.

This development should be viewed in context with the end of the Safe Harbor Agreement caused by the Austrian law student Max Schrems (see "EU versus Facebook") in October 2015. “My personal guess is that the European BCR will not survive a similar kind of inspection by the European High Court” says Tobias Höllwarth, VP of EuroCloud Europe. Höllwarth argues that no matter how well an individual agreement between two companies is worded, it will never overcome the core problem “that existing US law – related to the Patriot Act – shows fundamental differences to existing European law in some areas. Companies will not be able to overcome this issue – not even with BCR.”

This seems to be the uncomfortable truth for several thousand US cloud providers that store and process data for European customers. See information by the US House of Representatives here, the ongoing court case of Microsoft versus USA (the so called Ireland case) here, and a comment in the New York Law Journal here.

On the other hand, it is quite obvious that this would lead to a disastrous situation for European cloud customers who are willing to use cloud services delivered by providers outside the IT-Schengen area – a situation that nobody would wish to become reality.

Despite the surprising and clever agreement between Microsoft and Deutsche Telecom to use DT as a trustee for the Microsoft Azure and Office365 services (see here), it is clear that this cannot be a model for each and every cloud service provider outside the EU. “Neither will Deutsche Telekom be able to handle numerous cloud services, nor is this a model that is economically advantageous for the cloud customer, since he is forced to pay an additional charge for the trustee service,” says Höllwarth and argues: " “I have the greatest respect for companies like Microsoft or Salesforce, that deliver high service quality and do everything to comply with the complex situation of data privacy regulations in Europe, that vary from country to country. Most cloud providers do not have the necessary resources to handle such an unnecessary complex framework. It is this fragmented legal framework that we need to chang.”

It is therefore interesting to know that there are more and more rumours indicating that the European Data Protection Directive might be approved by the Council of the European Union at the beginning of next year.

After the Commission’s draft in 2012 and the Albrecht Report (see EU/Albrecht Report), which was passed by the EU Parliament with 95% approval shortly after the Snowden case was revealed, we have now been waiting for more than 18 months for the Council to approve a hopefully not substantially modified text.

There is a very impressive independent movie (Link) currently running in selected cinemas that shows the development of this new law and the massive opposition by lobbyists against Mr. Jan Philipp Albrecht, a 33-year-old member of the European Parliament who acts as Vice Chair of the EU Committee on Civil Liberties, Justice and Home Affairs (see here). Mr. Albrecht was the official rapporteur of this new law to the EU parliament.

A pertinent multinational program called the Cloud Privacy Check (CPC) is also currently in its final phase of development.  45 lawyers from 32 countries are working on the project, whose final report as well as an online tool are expected to be published in 26 different languages at the end of January 2016. In the context of Safe Harbor, Binding Corporate Rules and the expected European Data Directive, the CPC will arrive at the perfect moment.

For the next 2-3 years, the CPC will serve as a guideline for cloud providers, customers and users alike. The CPC will help people to understand the generic value, concept and requirements of data protection regulations, and will make easy for them to handle the country-specific differences with confidence until unified – or at least similar and comparable – data protection regulations come into effect in all of these countries.

The Cloud Privacy Check (CPC) is intended to provide relief by employing three methodical approaches: 

Simplification of a complex subject matter without loss in terms of content. The goal of the CPC is to elucidate the topic of data protection in the cloud to 90 percent on a single page, thus providing a comprehensible and workable basis of information for 90 percent of the people having to deal with the topic. But don’t worry: Jurists will still be needed.

Structuring of a plethora of questions into individual topical blocks which can then be approached step by step – from the simplest to the most complex case. Simultaneous correlation of the respectively required legal tools to be generated and evaluated in detail by jurists.

Separation of the generally applicable from the specific. This is probably the most significant aid for managing a complex trans-border endeavour. By identifying what is the same throughout all countries, the CPC allows the user to focus on the differences – if they actually apply to him. The CPC aims to provide access to relevant information affecting another country quickly and easily, without having to deal with those aspects that are the same as “at home”.