Heute Abend bin ich der Einladung des #BVMW (Bundesverband Mittelstand) gefolgt, zu einer Veranstaltung, die bestimmt das #TeamDatenschutz interessiert.

„Internationaler Datentransfer zwischen der EU und den USA“, mit Dr. Tatia Baugarie, Jan Lichtenberg, Dirk von Seggern und Martin Bahr. Partner: T-Systems, Detecon. Wir sind bei der Telekom Deutschland GmbH in #Bonn zu Gast. #Datenschutz #TeamDatenschutz

https://bonn.jetzt/event/internationaler-datentransfer-zwischen-der-eu-und-den-usa


geschrieben von meinem Apple iPhone 😜

Internationaler Datentransfer zwischen der EU und den USA

Ort: Telekom Deutschland GmbH, Raum D3/A.19 Kiev Landgrabenweg 151 53227 Bonn Internationaler Datentransfer zwischen der EU und den USA: Wie gestalte ich ihn rechtlich und technisch in der heutigen Cyberwelt? Entdecke, wie Europa und Amerika durch internationalen Datentransfer verbunden sind! Trotz rechtlicher und technischer Hürden zeigen wir dir präventive und nachgelagerte Lösungen. Erlebe, wie die Deutsche Telekom in über 50 Ländern reibungslosen Datentransfer sicherstellt. Sei dabei und erfahre, wie Binding Corporate Rules Privacy, Standardvertragsklauseln und Transfer Impact Assessments in der Praxis funktionieren! Internationaler Datentransfer aus rechtlicher und technischer Sicht Dr. Tatia Bagauri Weltweit sind Europa und Amerika die führende Akteure und die wichtigsten Partner füreinander. Daher ist der internationale Datentransfer (insbesondere für Strafverfahren sowie wirtschaftliche Aktivitäten) zwischen diesen Länder ein sehr wichtiges Thema. Es ist allerdings mit vielen rechtlichen Hindernisse und technische Schwierigkeiten verbunden, die betrachtet werden müssen. Präventive sowie nachgelagerte Maßnahmen spielen dabei eine entscheidende Rolle. Internationaler Datentransfer @ Deutsche Telekom Jan Lichtenberg Die Deutsche Telekom Gruppe hat Tochtergesellschaften in mehr als 50 Ländern und kooperiert mit Partnern weltweit. Deshalb ist ein rechtssicherer und unkomplizierter internationaler Datentransfer von zentraler Bedeutung. Der Vortrag geht auf die praktische Umsetzung bei der Telekom ein und zeigt wie bei der Telekom Binding Corporate Rules Privacy, Standardvertragsklauseln sowie das Transfer Impact Assessment im Rahmen der Datenschutzfolgeabschätzung eingesetzt werden. Podiumsdiskussion: Dr. Tatia Bagauri, Jan Lichtenberg, Dirk von Seggern, Martin Bahr Dr. Tatia Bagauri Security and Privacy Manager Detecon International In dieser Funktion ist sie Datenschutzbeauftragte für drei Detecon-Einheiten, stellvertretende Konzernsicherheitsbeauftragte und BCM/ECM-Koordinatorin. Zuvor arbeitete sie für verschiedene Organisationen im Bereich Datenschutz und Informationssicherheit. Sie promovierte in Rechtswissenschaft über den internationalen Datentransfer zwischen der EU und den USA und untersuchte dabei die rechtlichen und technischen Anforderungen. Jan Lichtenberg Syndikusrechtsanwalt und Vice President Strategy & Steering Group Privacy Deutsche Telekom AG Er verantwortet strategische und steuernde Aufgaben im Bereich Datenschutz der Unternehmensgruppe. So war sein Cluster unter anderem für die Implementierung der Anforderungen aus dem sogenannten Schrems II Urteil des EUGH verantwortlich. Zuvor hatte er verschiedene Positionen innerhalb der Telekom inne, darunter als Vice President Privacy Audits & Standards und als Senior Expert Privacy. Dirk von Seggern Corporate Security Officer Detecon International Er ist für die Sicherheit von Menschen und Daten verantwortlich. Er hat Physik studiert und war schon immer im Bereich der Informatik tätig, sodaß man ihn als „Geek im Anzug“ bezeichnen kann. Zuletzt war sein Team unter anderem für die Implementierung der Anforderungen zur Datenschutz Zertifizierung (ISO 27701) verantwortlich. Martin Bahr Head of International Governance, Group Privacy Deutsche Telekom AG Er verantwortet die Steuerung der Datenschutzbeauftragten der Telekom Gruppe weltweit. Er hat Wirtschaftsinformatik studiert und verfügt über ein fundiertes Verständnis für die technologischen und rechtlichen Aspekte des Datenschutzes. In den letzten Jahren hat er u. a. in der Projektleitung maßgeblich zur Umsetzung der Schrems II Anforderungen in den Gesellschaften außerhalb Deutschlands beigetragen. Freuen Sie sich jetzt schon auf einen informativen Abend. Beste Grüße Ihr BVMW NRW Südwest TEAM Reza Abdi, Sabine & Dr. Alois Kreins, Nelly Kostadinova, Michael Krause Anmeldung erforderlich via: https://www.bvmw.de/de/nrw-suedwest/internet-und-digitalisierung/veranstaltungen/internationaler-datentransfer-zwischen-der-eu-und-den-usa-2 [https://www.bvmw.de/de/nrw-suedwest/internet-und-digitalisierung/veranstaltungen/internationaler-datentransfer-zwischen-der-eu-und-den-usa-2]

Bonn.jetzt

Es sind nicht viele, dafür interessante Menschen da, in sich in Unternehmen, Konzernen und aus der Forschung mit diesem Thema beschäftigen. Ich finde es mega spannend. :)

Und wow. Es wird direkt mit Abkürzungen und Pragraphen gearbeitet. Ich glaube, ich bin schon überfordert. DPF, … ah, es wurde aufgelöst. Data privacy framework.

Datenübertragungen sind möglich, wird hier schon mal gesagt. Und das DPF sei stabil.

Was ich mich frage? Möchte man denn, dass Daten in die USA übertragen werden? Auch wenn die Verträge stabil sind und wir wirtschaftliche Interessen haben, die neben den rechtlichen Interessen auch eine Rolle spielen. Aber gerade die Abhängigkeiten sind ja auch teilweise ein Problem, wie wir z.B. am Thema Gas sehen. Daten als das Erdöl das 21. Jahrhunderts. Der Vergleich hinkt irgendwo, aber irgendwie passt es auch. Inkl. Öl-Katastrophe, bzw. „Datenreichtum“.

„Keiner will schlechte Nachrichten in Sachen Datenschutz haben“ (außer vielleicht Elon Musk).

Wer beantwortet den kleinen und mittleren Unternehmen, ob die Datenverarbeitung in den USA stattfinden sollen. Kann das jedes kleine Unternehmen leisten? Oder muss es Angemessenheitsbeschlüsse geben? Letzteres wird hier im Raum gerade befürwortet. Und zugleich will man auf Nummer sicher gehen. Globale rechtliche Sicherheitsrahmen würden da helfen.

Diskussion im Raum: Wenn wir ein Handy nutzen, müssen wir die AGB und die Datenverarbeitung akzeptieren. Gleiches gilt bei Pay oder Ok.
Aber spannend ist auch, dass Apple z.B. inzwischen mit Datenschutz Werbung macht.“

Und nach 30 Minuten sagt endlich jemand: „Es kommt darauf an.“ Die Rechtsanwaltsdichte ist wohl hoch.

Noch so ein Wort: Transfer Risk Assessment. Man muss also die Risiken prüfen.

Was für ein Prüfaufwand ist angemessen? Und das betrifft ja die ganze „Datenlieferkette“, denn selbst ein Rechenzentrum in Europa schließt nicht aus, dass Datenzugriffe aus den USA oder Nicht-EU stattfinden.

Impact Analyse wäre ratsam, wird hier gesagt.

Hm, zweites Mal „es kommt darauf an“. Jetzt geht es um eine TIER. Auch bei dem Tier verstehe ich nur Bahnhof. :) ISO27 IT Sicherheit spielt wohl auch eine Rolle. (Irgendwie ist das für uns als „Schön-Wetter-Agentur“ schwierig…).

Hier wird gespannt gewartet, ob es noch Schrems III und IV geben wird. Bisher hätte Max Schrems aber noch nicht geklagt…

Das TIER wird erklärt. Es ist ein TIA, ein Transfer-Impact-Assessmen (TIA). Das ist ein einheitlicher Bewertungsrozess für Datenexporte.

Es gibt eine abstrakte Bewertung (vom Land), eine konkrete Bewertung (des Lieferanten), eine abschließende Risiko-Einordnung. Und zuletzt das Privacy-Security-Assessment (PSA). Ggfs. müssen dann noch Maßnahmen mit dem Lieferanten beschlossen werden, um den Datenschutz besser zu gewährleisten.

Ist auch relativ aufwändiger Prozess für Händler.

Bei der Telekom war es ein großer Aufwand überhaupt erstmal zu erfassen, welchen Daten wo und wie verarbeitet werden. Der eine Weg zur Bestandsaufnahme führt über das Papier und das andere über die technische Analyse. Alle Daten waren zwar da, aber nicht an einer Stelle verfügbar.

Bei der Telekom z.B. 20.000 Lieferanten, die befragt werden müssen.

Stand heute:
Es gibt seit 2022 das Data Privacy Framework.
Seitdem reicht eigentlich ein AV-Vertrag und eine DPF-Zertifizierung für Datenexport in die USA. Zusätzlich kann es mit Standard-Vertragsklauseln, Transfer-Impact-Assessment (TIA) und BCRP (verbindliche Unternehmensvorschriften) absichern.

Spannend ist: wie das wird.

@Sascha Du meinst „Schrems III“? 🤔
@padeluun Ja, aber auch wie Trump und die EU weiter handeln werden, ob es Handelskriege geben wird und wie dann plötzlich die Abhängigkeiten nicht mehr so toll sind.

Haha, endlich sagt einer: „Cloud ist nur der Computer eines anderen Menschen.“

Und zugleich wird nach meinem Geschmack doch etwas zu „cloud-gläubig“ argumentiert. E-Mails solle man auf keinen Fall selbst hosten, außer es ist ein Hobby, wurde gesagt. Ich denke da anders: E-Mail möchte ich lieber unter Kontrolle haben, weil es die Möglichkeit ist, Passwörter zurückzusetzen, bis heute. Damit wird indirekt Tür und Tor geöffnet.

Aber genau das sei das Risiko-Assessment.

Vielen Dank für die Aufmerksamkeit. Es geht jetzt ins persönliche Networking. :)
Ich hab gelernt wie unfassbar komplex das Thema Datenschutz in einem globalen Konzern ist. Ich würde mir wünschen, dass die Telekom da mehr europäische, datenschutzfreundliche Lösungen anbietet und der Wettbewerb auch mal reguliert wird, wenn der Datenschutz missachtet wird. Aber die Tendenz geht wohl in Richtung „mehr internationale Datenweitergabe“. Es bleibt spannend, auch mit dem neuen Präsidenten in den USA und globalen Entwicklungen.
Bleibt souverän und macht immer schön eure Backups! 😌
@Sascha „Ich bin so froh kein Vorstand zu sein“ ;))
@padeluun „Wir haben doch ein Risk Assessment gemacht.“
@Sascha Ich hoste selbst meine E-Mails, und bekomme von manchen SMTP Servern schonmal einen Korb. Die wollen meine Mail nicht nehmen. Nicht seeehr oft, aber immer mal wieder. Das Ding steht in einem Datacenter (in Bonn - allerdings vermutlich ein eher Verträumtes, Kleines). Wenn ich noch dahinter komme, was da schief läuft, bleibe ich auch beim Selbsthosten. Sonst gebe ich es vermutlich bald mal auf.

@pino
Bei mir gehts nur schief, wenn spf gefordert wird, da von mir noch nicht aktiviert.
Z.B. bei Adressaten an Gmail....

@Sascha

@halbwach @pino @Sascha #mailcow kann ich fürs selfhosting wärmstens empfehlen
@boris @halbwach @Sascha Danke für den Ratschlag. Ich glaube, meinem persönlichen Geschmack entspricht das nicht ganz, aber den einen oder anderen Trick oder irgendein nettes Tool kann ich mir da bestimmt noch abgucken. Über ein Webmail-Interface hatte ich bspw. auch immer mal wieder nachgedacht, und bin auch damals schon bei Roundcube gelandet, aber wirklich probiert habe ich es dann doch nicht.
@halbwach @Sascha Das werde ich bei Gelegenheit mal ausprobieren, danke!
@pino Wir hosten die Mails auch selber. Klar, man muss sich dann mit ein paar DNS- und Mail-Einstellungen befassen, aber das ist jetzt auch keine Raketenwissenschaft. Mir macht das Freude und ich vertraue auch meinem Hoster mehr als anderen. ;)
@Sascha
Na dann bleiben wir bei dem was wir haben und haben Risiko Assrsment richtig verstanden 🤣
@Sascha
Natürlich möchte "man"
Das ist ein Markt. So wie jeder andere auch.
Generiere ein Bedürfnis und decke den Bedarf.
Wenn die Deckungssumme höher ist als der Einsatz, hast Du gewonnen.
@halbwach Klar. Und andererseits wird bei der Risikoanalyse so gemacht: 🙈 und viele Zertifikate und Papiere machen es nicht besser, wenn wir in immer größere globale Abhängigkeiten geraten und erpressbar werden als Europäer. Wäre doch schade um ihre Daten.