Dieser Deal könnte platzen

Der Vertrag, den Du nie unterschrieben hast

Ein großer Teil Deiner Tools steht darauf. Und gerade wird der Boden wieder unsicher.

Ich habe vor Kurzem mit einem guten Freund eine Firma gegründet. Wir kennen uns ewig, wir verstehen uns blind. Und wir hatten sogar beide einen Opa, der Erwin hieß.

Also war der Name schnell klar. Wir nennen die GmbH Erwins Enkel. Weil wir genau das sind, die Enkel von zwei Männern namens Erwin.

Die IHK sah das anders. Keiner von uns beiden heißt Erwin, also sei der Name irreführend. Erstmal nicht genehmigt.

Sollen wir jetzt etwa einen Stammbaum einreichen, um zu beweisen, dass unsere Opas wirklich Erwin hießen? Das Kapital lag seit Juni auf dem Konto. Nur stand die Firma monatelang nicht im Handelsregister. Und ich kam an mein eigenes Geld nicht heran.

Inzwischen ist die GmbH tatsächlich eingetragen, ganz ohne Stammbaum. Aber es hat eben Monate gedauert.

Wie bürokratisch kann ein Land eigentlich sein?! Ärgerlich ist das. Aber ehrlich gesagt ist das nur ein kleines, fast lustiges Beispiel für etwas Größeres.

Denn als Unternehmer sind wir an viele Regeln gebunden, die wir selbst nie gemacht haben oder teilweise nicht mal kennen. Mal blockiert Dich so eine Regel, wie bei meiner Gründung. Mal zieht sie Dir direkt den Boden unter den Füßen weg.

Und mit genau diesem Gedanken habe ich mich vor Kurzem wieder mit einer Regel beschäftigt, auf der vermutlich ein großer Teil Deines digitalen Arbeitens steht.

Patrick Lenz ist Inhaber von top.media, Innovationstreiber & Wissensvermittler.

01

Der unsichtbare Vertrag unter Deiner Software

Sobald Du personenbezogene Daten verarbeitest, also Namen, E-Mails, Kundendaten, gelten die europäischen Datenschutz-Regeln. Und sobald diese Daten die EU verlassen, brauchst Du dafür eine besondere Erlaubnis.

Und das passiert öfter, als Du denkst. Dein Newsletter-Tool. Dein Speicher in der Cloud. Dein CRM. Bei vielen liegen die Daten auf Servern in den USA. Sie verlassen die EU also jeden Tag, ganz automatisch.

Warum ist das ein Problem? Weil in den USA die Sicherheitsbehörden bei jeder US-Firma Daten anfordern dürfen. Für ihre Überwachung. Und Dein Kunde in Deutschland erfährt davon nicht mal etwas. Wehren kann er sich auch nicht.

Damit Deine Daten trotzdem legal dorthin dürfen, haben die EU und die USA einen Deal gemacht. Eine US-Firma verspricht, sich an die europäischen Regeln zu halten. Dafür kommt sie auf eine offizielle Liste.

Seit Juli 2023 heißt dieser Deal Data Privacy Framework. Über 2.800 Firmen stehen drauf, von Microsoft und Google bis zu Mailchimp.

Steht der Anbieter Deines Tools auf dieser Liste, ist der Transfer in die USA erlaubt. Die Liste ist Deine Eintrittskarte.

Ganz ohne eigenes Zutun geht es aber nicht. Den Vertrag mit dem Anbieter brauchst Du weiter, die sogenannte AVV. Der Auftragsverarbeitungsvertrag legt fest, was der Anbieter mit Deinen Daten machen darf und was nicht.

Und wenn etwas schiefgeht, haftest am Ende Du. Nicht der Anbieter in den USA.

Diese Erlaubnis ist übrigens nicht neu. Es gab sie schon zweimal. Und beide Male hat der höchste EU-Gerichtshof sie wieder gekippt, einmal 2015, einmal 2020.

Der Grund war beide Male derselbe und lag nie an einer einzelnen Firma. Er lag im US-Gesetz. Die Sicherheitsbehörden dürfen dort zugreifen, egal was eine Firma verspricht.

Klingt paradox, ein Schutz-Abkommen zu streichen, das Dich doch schützen soll. Aber es war nie ein echter Schutz. Den Zugriff der US-Behörden hat es nie verhindert, es gab Dir nur die Erlaubnis, Deine Daten legal dorthin zu geben.

Fällt die weg, verlierst Du keine Sicherheit. Du verlierst Deine Grundlage, die US-Tools legal zu nutzen.

Beide Klagen kamen übrigens von einem einzigen Mann, einem Österreicher namens Max Schrems. Als Student sah er, wie seine Facebook-Daten stillschweigend in die USA wanderten. Also zog er vor Gericht. Nach ihm heißen die beiden Verfahren bis heute Schrems I und Schrems II.

Ein Weltuntergang war das nicht. Die großen Firmen haben ihre Verträge umgestellt, viele kleinere haben mit ein paar Zusatz-Verträgen einfach weitergemacht. Ein paar hat es aber erwischt.

In Bayern hat sich 2021 ein Kunde beschwert, woraufhin die Datenschutzbehörde einer Firma verbot, weiter Mailchimp zu nutzen, weil sie nie geprüft hatte, ob ihre Daten in den USA sicher genug sind.

Und genau hier wird es für Dich wichtig. Ob Du ein Microsoft oder ein Google sauber nutzen darfst, hängt zu einem großen Teil an diesem einen Deal. An einem Deal, den Du nie unterschrieben hast, der aber im Hintergrund über Deine Tools bestimmt.

02

Warum der Deal gerade zum dritten Mal wackelt

Genau dieser Deal hat in diesem Sommer ein neues Problem bekommen.

Er hält vor allem an einer Bedingung. In den USA muss eine unabhängige Behörde über den Datenschutz wachen. Unabhängig heißt, sie macht ihre Arbeit, ohne dass die Regierung ihr reinredet.

Doch diese Unabhängigkeit ist in diesem Sommer gefallen. Denn der oberste US-Gerichtshof hat entschieden, dass der Präsident die Chefs dieser Behörde jederzeit absetzen darf. Möglich wurde das, weil das Gericht eine fast neunzig Jahre alte Schutzregel gekippt hat, die genau das bisher verhindert hatte.

In dem Urteil ging es offiziell um die Machtverteilung zwischen Präsident und Behörden, nicht um Datenschutz. Die Folge trifft den Datenschutz aber trotzdem mit voller Wucht.

Denn eine Behörde, die der Präsident jederzeit feuern kann, ist nicht mehr wirklich unabhängig. Und diese Unabhängigkeit war eine der Grundbedingungen dafür, dass die EU die USA überhaupt als sicher eingestuft hat. Fällt die Bedingung weg, steht die ganze Einstufung infrage.

Die europäischen Datenschützer haben deshalb die EU-Kommission bereits aufgefordert, den Deal zu überprüfen. Und die Datenschutz-Organisation von Max Schrems hat öffentlich angekündigt, auch gegen dieses dritte Abkommen vor Gericht zu ziehen. Eine Klage liegt aktuell noch nicht vor, aber wer die zwei Vorgänger kennt, ahnt, wohin das geht.

Und was heißt das jetzt für Dich? Erstmal wenig im Alltag. Kein Tool schaltet sich morgen ab, kein Brief flattert ins Haus. Der Deal gilt weiter.

Was Du aber wie immer im Blick behalten musst: dass für jeden US-Anbieter Deine AVV sauber im Haus liegt. Das gilt heute wie vor jedem Urteil.

Aber die Richtung ist klar. Fällt das Abkommen zum dritten Mal, brauchst Du wieder eine neue Grundlage für Deine US-Tools. Und diesmal weißt Du es vorher. Beim ersten und zweiten Mal hat es die meisten kalt erwischt. Diesmal kannst Du Dich in Ruhe vorbereiten, statt hinterher zu hetzen.

03

Was das heißt und was Du jetzt tust

Diesen Vorsprung kannst Du ganz konkret nutzen, wenn Du jetzt einen Plan hast. Und diesen Plan zu erstellen ist einfacher, als es klingt.

Dabei geht es nicht darum, jedes US-Tool über Bord zu werfen. Das wäre weder machbar noch nötig. Es geht darum, dort unabhängiger zu werden, wo es leicht geht oder wo Deine Daten besonders heikel sind.

Denn das eigentliche Risiko ist nicht, dass sich ausgerechnet über Dich jemand beschwert. Das eigentliche Risiko ist, dass der Deal fällt und dann alle US-Tools auf einen Schlag ihre Grundlage verlieren, nicht nur eines.

Wer dann Alternativen kennt, wechselt in Ruhe. Wer nicht, baut unter Zeitdruck um oder muss im schlimmsten Fall ein Tool abschalten, an dem Dein halber Betrieb hängt.

Du könntest beim nächsten Mal zwar wieder mit Zusatz-Verträgen nachbessern, so wie viele nach dem letzten Urteil. Aber das ist ein Pflaster, das jedes Mal Arbeit macht.

Und das eigentliche Problem lösen diese Verträge auch nicht. Vor dem Zugriff der US-Behörden schützen sie Deine Daten nämlich nicht. Das tut nur ein europäischer Anbieter.

Fang deshalb bewusst beim Einfachen an. Deine Dateiablage, Dein Chat, Deine Videocalls, dafür gibt es gute europäische Wege und der Wechsel ist meist schnell erledigt. Das sind die schnellen Erfolge.

Wir haben das vor kurzem auch selbst gemacht. Für unseren Newsletter-Versand sind wir von HubSpot aus den USA auf Brevo aus Frankreich gewechselt.

Die größeren Bausteine, an denen richtig viel hängt, gehst Du in Ruhe an, Schritt für Schritt. Wichtig ist vor allem, dass Du weißt, wo Du überall an einem US-Anbieter hängst.

Und oft musst Du gar nicht den ganzen Anbieter ersetzen. Manchmal reicht es, einzelne Funktionen herauszulösen und durch eine eigene, passgenaue Lösung zu ersetzen, die sogar besser zu dem passt, wofür Du sie wirklich brauchst.

So entsteht Deine Roadmap. Kein Umsturz über Nacht. Nur ein klarer Weg, Schritt für Schritt weg von der Abhängigkeit, bevor Dich ein Urteil dazu zwingt.

Bis nächsten Donnerstag,
Patrick & das top.media Team