Die Konsequenzen der Entscheidung des EuGH zu Schrems II für Amplitude-Kunden
Das Ziel des Amplitude Trust-Programms ist nicht nur, die gesetzlichen und Branchenanforderungen zu erfüllen, sondern sie zu übertreffen und den Erwartungen unserer Kunden gerecht zu werden.
DATENSCHUTZBEAUFTRAGTER UND LEITER DES BEREICHS DATENSCHUTZ
Am 16. Juli 2020 hat der Gerichtshof der Europäischen Union („EuGH“) sein Urteil zur Rechtssache Schrems II verkündet. Der EuGH hat das EU-US-Datenschutzschild für ungültig erklärt. Vor dem Urteil war das Rahmenwerk des EU-US-Datenschutzschilds einer von mehreren Datentransfermechanismen für Unternehmen, um personenbezogene Daten von EU-Bürgern aus der Europäischen Union in die Vereinigten Staaten zu übertragen. Das heißt, dass Unternehmen, die sich für die Übermittlung personenbezogener Daten von EU-Bürgern auf Server in den Vereinigten Staaten auf das Rahmenwerk des EU-US-Datenschutzschilds berufen haben, hierfür zukünftig einen weiteren Transfermechanismus benötigen.
Welche Konsequenzen hat das Urteil auf Daten, die Sie Amplitude übermitteln?
Daten zunächst minimieren
Bevor wir hierauf näher eingehen, ist anzumerken, dass diese Entscheidung Konsequenzen für die Übermittlung personenbezogener Daten hat. Viele Kunden von Amplitude übermitteln jedoch gar keine personenbezogenen Daten ihrer Endanwender. Amplitude hat Funktionen entwickelt, um unsere Kunden dabei zu unterstützen, personenbezogene Daten aus der Product Intelligence zu entfernen. Um die Product Intelligence auf der Amplitude-Plattform einzusehen, sind keine personenbezogenen Daten erforderlich. Dauerhaft lösen lässt sich dieses Problem durch das Entfernen personenbezogener Daten aus den Event-Daten.
Die EU-Standardvertragsklauseln waren immer besser
Es ist nicht das erste Mal, dass Bedenken hinsichtlich des Rahmenwerks des EU-US-Datenschutzschilds geäußert wurden. So wurde auch schon der Vorgänger, das EU-US Safe-Harbour-Abkommen, außer Kraft gesetzt. Obwohl sich Amplitude selbst für das Rahmenwerk des EU-US-Datenschutzschilds zertifiziert hat, sind unsere Datenverarbeitungsvereinbarungen (DPA) so strukturiert, dass sie sich auf die EU-Standardvertragsklauseln (SCC) berufen. Diese sind strenger und erfordern ein höheres Schutzniveau für die personenbezogenen Daten von EU-Bürgern.
Als der EuGH das Rahmenwerk des EU-US-Datenschutzschilds als Transfermechanismus für ungültig erklärt hat, folgte er der Empfehlung des EuGH-Generalanwalts, der schlussfolgerte, dass die SCCs ausreichend Schutz für personenbezogene Daten aus der EU bieten. Demzufolge ist durch Nutzung der SCCs in den DPAs von Amplitude auch weiterhin ein rechtsgültiger Transfermechanismus für personenbezogene Daten, die unsere Kunden aus der EU übermitteln, gegeben.
Die SCCs sind in Ordnung, doch zusätzliche Garantien müssen her
Als der EuGH die Gültigkeit der SCCs bestätigte, entschied er auch, dass Unternehmen (Datenverantwortliche), die sich auf SCCs als Transfermechanismen berufen, selbst bestimmen müssen, ob zusätzliche Garantien umzusetzen sind. Diese Zusatzmaßnahmen sind gegebenenfalls erforderlich, um ein „angemessenes Schutzniveau“ für personenbezogene Daten von EU-Bürgern unter Berücksichtigung der nationalen Sicherheitsgesetze und Überwachungspraktiken des Empfängerlandes, in das die Daten übermittelt werden, in unserem Fall die USA, zu gewährleisten.
Die SCCs sind in Ordnung, doch zusätzliche Garantien müssen her
Als der EuGH die Gültigkeit der SCCs bestätigte, entschied er auch, dass Unternehmen (Datenverantwortliche), die sich auf SCCs als Transfermechanismen berufen, selbst bestimmen müssen, ob zusätzliche Garantien umzusetzen sind. Diese Zusatzmaßnahmen sind gegebenenfalls erforderlich, um ein „angemessenes Schutzniveau“ für personenbezogene Daten von EU-Bürgern unter Berücksichtigung der nationalen Sicherheitsgesetze und Überwachungspraktiken des Empfängerlandes, in das die Daten übermittelt werden, in unserem Fall die USA, zu gewährleisten.
Solche Maßnahmen sind der Treiber hinter dem Modell der geteilten Verantwortung und der Umsetzung des Security and Privacy-by-Design-Modells: Amplitude stellt die Infrastruktur und Tools zur Verfügung, um für unsere Kunden Datenrisiken zu minimieren. Durch Bereitstellen einer sicheren Plattform, regelmäßiges Hinzufügen von Features für Zugriffsbeschränkung und indem wir Kunden helfen, die Speicherung von potentiell personenbezogenen Daten zu vermeiden, ist für unsere Kunden gewährleistet, dass sie nur Daten an unsere Plattform senden, die für ihre Ziele hinsichtlich der Produktverbesserung tatsächlich erforderlich sind. Zudem wird so verhindert, dass Daten gesendet werden, mit denen sich Endanwender identifizieren lassen. Die partnerschaftliche Zusammenarbeit mit unseren Kunden trägt dazu bei, sicherzustellen, dass die individuellen Datenverwaltungsaufgaben erfüllt werden.
Ein Beispiel: Mittels Datenminimierung können Kunden sicherstellen, dass die Systeme von Amplitude außerstande sind, einzelne Endanwender aus allen Daten zu identifizieren. Somit können auch keine Informationen zu einem bestimmten Anwender an Dritte weitergeben werden, auch nicht auf gerichtliche Anordnung hin. In der Zwischenzeit können unsere Kunden die notwendigen Informationen sicher verwalten, um die spezifischen Anwender mit einem Profil auf der Amplitude-Plattform zu verbinden.
Gemeinsam erreichen wir mehr
Die Kunden von Amplitude – die Datenverantwortlichen – tragen letztlich die Verantwortung dafür, dass die Daten ihrer Endanwender entsprechend den Vorschriften erhoben, geschützt und sicher verwaltet werden. Die Verantwortung von Amplitude ist es, die Unterstützung für unsere Kunden stetig zu verbessern. Das Ziel unseres Trust-Programms ist nicht nur, die gesetzlichen und Branchenanforderungen zu erfüllen, sondern sie zu übertreffen und den Erwartungen unserer Kunden gerecht werden.
Unsere Verpflichtung zum Schutz der Privatsphäre der Endanwender unserer Kunden basiert auf drei Grundsätzen:
- Unterstützung unserer Kunden in Bezug auf Datenminimierung
- Berufung auf die EU-Standardvertragsklauseln als gültiger Transfermechanismus, wenn personenbezogene Daten in Länder außerhalb der EU übertragen werden müssen
- Aufrechterhaltung von Sicherheitsprogrammen und eingebauten Datenschutzprogrammen (privacy-by-design) sowie weiterer Ausbau kundenorientierter Sicherheitskontrollen und -funktionen
Weitere Informationen
Hier einige Links zur Übersicht unserer Sicherheitsmaßnahmen und der Tools, die wir unseren Kunden zur Minimierung ihrer Daten zur Verfügung stellen:
Idan Levin hat umfassende Erfahrung als Technologie- und Business-Stratege und unterstützt seit mehr als zehn Jahren Startups in Sachen Datenschutz. Er ist darauf spezialisiert, einen pragmatischen Ansatz beim Schutz der Privatsphäre zu fördern, und hat außerdem multinationale Unternehmen, wie Mulesoft, Barnes and Noble und TD Ameritrade, in Bezug auf den Schutz von Privatsphäre und personenbezogenen Daten beraten.
3 -minute Read,
Posted on July 28, 2020