DSGVO, eDiscovery und grenzüberschreitende Rechtsstreitigkeiten – Ein reibungsloser Übergang oder endloses Kopfzerbrechen?

In weniger als vier Monaten tritt die Datenschutz-Grundverordnung (DSGVO) im Vereinigten Königreich in Kraft. Doch obwohl britische und US-amerikanische Unternehmen davon ausgehen, dass sie am 25. Mai 2018 die Anforderungen erfüllen werden, deuten aktuelle Untersuchungen darauf hin, dass viele von ihnen zu optimistisch sind.

Laut einer Umfrage unter FTSE-500- und Fortune-500-Unternehmen hat weniger als die Hälfte (39 % in Großbritannien und 47 % in den USA) eine interne DSGVO-Arbeitsgruppe eingerichtet, nur ein Drittel beauftragt einen externen Dienstleister mit der Durchführung einer DSGVO-Lückenanalyse, und etwa nur ein Drittel beauftragt einen externen Berater, um bei der Einhaltung der Vorschriften zu helfen. Diese Faktoren könnten darauf hindeuten, dass einige Unternehmen nicht so gut vorbereitet sind, wie sie es gegenüber dem Markt behaupten^[1].

Die DSGVO wird für Unternehmensjuristen und externe Prozessanwälte auf beiden Seiten des Atlantiks im Bereich eDiscovery enorme Auswirkungen haben. Es ist nicht zwangsläufig so, dass die Übermittlung von Daten aus der EU in Drittländer, insbesondere in die USA, schwieriger wird.  Dies stellte schon immer eine Herausforderung dar, weniger für Unternehmen mit Sitz im Vereinigten Königreich, wohl aber für solche aus Kontinentaleuropa, wo der Schwerpunkt stets auf dem Datenschutz lag, im Gegensatz zur Priorisierung der Offenlegung in den USA^[2]. In Amerika legen die „Federal Rules of Civil Procedure“ fest, dass der Maßstab für die Offenlegung die Relevanz ist, was einen weiten Rahmen dafür setzt, was offenlegungspflichtig ist und was nicht^[3]. Im Gegensatz dazu betrachten europäische Staaten den Datenschutz und die Privatsphäre als unantastbare Menschenrechte.  Vor diesem Hintergrund ist es keine Überraschung, dass die DSGVO eher in der Alten Welt als in der Neuen Welt entstanden ist.

Wenn die DSGVO also die Übermittlung von Daten in ein Drittland zu Prozesszwecken nicht unbedingt erschwert, warum ist sie dann so ein großes Thema? Um diese Frage zu beantworten, muss man sich nur die Strafen bei Nichteinhaltung ansehen.  Bei schwerwiegenden Verstößen, wie beispielsweise der unterlassenen Meldung einer Sicherheitsverletzung oder dem Fehlen einer Einwilligung zur Datenverarbeitung, beträgt die Höchststrafe 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro – je nachdem, welcher Betrag höher ist. Leichte Verstöße, wie beispielsweise das Fehlen von Aufzeichnungen über Einwilligungen, werden mit einer Strafe in Höhe von 2 % des weltweiten Jahresumsatzes oder 10 Millionen Euro geahndet.

Beachten Sie, dass es hier um den Umsatz geht, nicht um den Gewinn. Solche Geldbußen könnten Unternehmen, die mit knappen Margen arbeiten oder durch bestehende Verbindlichkeiten überlastet sind, schwer schaden.

Unternehmensjuristen und Prozessanwälte, die sich mit grenzüberschreitenden Rechtsstreitigkeiten befassen, benötigen fundierte Kenntnisse der DSGVO und müssen wissen, wie sie bei der Durchführung von eDiscovery die Einhaltung der Vorschriften sicherstellen können.

Ein kurzer Überblick über die DSGVO

Die DSGVO zielt darauf ab, die Datenschutzgesetze in der gesamten EU zu harmonisieren. Die britische Regierung hat deutlich gemacht, dass sie die Verordnung auch nach dem formellen Austritt des Vereinigten Königreichs aus der EU im Jahr 2019 weiterhin anwenden wird. Die Vorschriften sollen sicherstellen, dass betroffene Personen einen besseren Schutz genießen und dass Datenverarbeiter und -verantwortliche strengeren und einheitlicheren Compliance-Verpflichtungen unterliegen.

Die DSGVO gilt nicht nur für Organisationen mit einer physischen Präsenz in der EU, sondern auch für solche, die ihren Sitz in Drittländern haben, aber Waren und Dienstleistungen an EU-Bürger anbieten. Darüber hinaus fallen auch alle Unternehmen mit einer Niederlassung in der EU (wie beispielsweise ein Callcenter oder eine Personalabteilung) unter diese Vorschriften.

Welche Auswirkungen hat die DSGVO auf den Bereich eDiscovery?

Wer Ermittlungen für gerichtliche Zwecke durchführt, befindet sich in Bezug auf die Einhaltung der DSGVO am „Ground Zero“. Internationale Organisationen, die in EU-Staaten tätig sind oder dort Handel treiben, müssen die DSGVO daher ernst nehmen.

Zu den wichtigsten Themen, mit denen sich Prozessanwälte in Drittländern, insbesondere in den USA, auseinandersetzen müssen, gehören unter anderem:

• Artikel 48 – Dieser Artikel verbietet die Übermittlung personenbezogener Daten außerhalb der EU, es sei denn, die Anträge stützen sich auf internationale Verträge wie das Haager Übereinkommen. Daher ist jede Anordnung eines US-amerikanischen Gerichts, die die Offenlegung oder Übermittlung personenbezogener Daten aus der EU verlangt, nur dann gültig, wenn sie auf einen internationalen Vertrag oder ein Übereinkommen gestützt werden kann.  Bislang haben die US-Gerichte uneinheitlich entschieden, ob ein Prozessbeteiligter sich aufgrund des EU-Rechts weigern kann, einer Offenlegungsanordnung nachzukommen. Die Fälle hingen in der Regel von den jeweiligen Sachverhalten ab, beispielsweise davon, wie wichtig die Dokumente für den Ausgang des Verfahrens sind und ob die Offenlegung im öffentlichen Interesse liegt.  Angesichts des hohen Ermessensspielraums der Gerichte wäre es für jede Partei in einem Rechtsstreit in den USA unklug, einfach die Hände in die Luft zu werfen und zu behaupten, die DSGVO verhindere die Offenlegung – ein Plan B ist erforderlich.
• Das Recht auf Vergessenwerden – Artikel 17 Absatz 1 lautet: „Die betroffene Person hat das Recht, vom Verantwortlichen die Löschung der sie betreffenden personenbezogenen Daten unverzüglich zu verlangen, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen …“ – anschließend werden die entsprechenden Gründe aufgeführt. Artikel 17 Absatz 3 Buchstabe e besagt jedoch, dass Artikel 17 Absatz 1 keine Anwendung findet, wenn die Daten für „die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen“ erforderlich sind.  Es dürfte zu Spannungen zwischen Unternehmen kommen, die argumentieren könnten, dass fast alle Daten potenziell für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sein könnten. Die Aufsichtsbehörden hingegen dürften bei der Auslegung des Begriffs „erforderlich“ einen engeren Ansatz verfolgen.  Was würde zudem geschehen, wenn eine Person ihr Recht auf Vergessenwerden ausübt, nachdem eine gerichtliche Aufbewahrungsanordnung eingegangen ist? Wird die zuständige EU-Datenschutzbehörde (im Vereinigten Königreich ist dies das Information Commissioner’s Office) prüfen, ob eine Aufbewahrungsanordnung vorlag, bevor sie auf der Löschung der Daten besteht? Es ist unwahrscheinlich, dass US-Gerichte einer Anordnung zur Löschung von Daten, die für einen Rechtsstreit äußerst relevant sein könnten, mit Verständnis begegnen würden, nur weil damit die Rechte und die Privatsphäre einer Person geschützt werden sollen.
• Die Verpflichtung für bestimmte Organisationen, einen Datenschutzbeauftragten (DSB) zu benennen – dies könnte zu Konflikten führen, da ein DSB unabhängig von den Entscheidungsprozessen des Unternehmens sein muss und nicht entlassen werden darf, wenn er seine Befugnisse gegenüber der Geschäftsführung ausübt, um die Einhaltung der Vorschriften zu gewährleisten. Da internationale Gerichte jedoch noch umfassend über die Auswirkungen der DSGVO und von eDiscovery aufgeklärt werden müssen, könnten Datenschutzbeauftragte eine wichtige Rolle dabei spielen, sicherzustellen, dass Richter und Aufsichtsbehörden in Drittländern die Herausforderungen verstehen, die die neuen Vorschriften für Prozessparteien im Zusammenhang mit Offenlegungsanordnungen mit sich bringen.

Abschließende Bemerkungen

Es besteht kein Zweifel daran, dass die DSGVO Rechtsanwälte und Organisationen nicht nur in der EU, sondern weltweit vor Herausforderungen stellen wird. Die an grenzüberschreitenden Rechtsstreitigkeiten Beteiligten müssen die Compliance-Anforderungen genau kennen und sicherstellen, dass sie über Ausweichpläne verfügen, falls sie inländischen Offenlegungsanordnungen nicht nachkommen können.  Eine Möglichkeit, dies zu erreichen, ist der Einsatz einer mobilen Lösung, mit der Daten vor Ort gesichtet und analysiert werden können, anstatt sie ins Ausland übertragen zu müssen.

Leider gibt es keine Einheitslösung. Es bleibt abzuwarten, wie die Anforderungen der DSGVO mit der Notwendigkeit einer fairen Offenlegung und der Möglichkeit, bei grenzüberschreitenden Rechtsstreitigkeiten eine angemessene eDiscovery durchzuführen, in Einklang gebracht werden können. Es wird wahrscheinlich einige Jahre dauern, bis die Gerichte Leitlinien vorlegen, auf die sich Prozessanwälte stützen können. In der Zwischenzeit ist es unerlässlich, dass Unternehmen und ihre Rechtsberater umfassend darauf vorbereitet sind, ihre Compliance-Verpflichtungen ab Mai 2018 zu erfüllen.

Lineal ist ein weltweit führender Anbieter von flexiblen eDiscovery- und Prozessunterstützungslösungen. Wenn Sie mehr über eDiscovery und die DSGVO erfahren möchten, rufen Sie uns bitte unter +44 (0)20 7940 4799 an oder senden Sie eine E-Mail an info@linealservices.com.

^[1] https://www.computerweekly.com/news/450432510/Top-UK-and-US-firms-still-overestimating-GDPR-readiness

^[2] https://www.mjilonline.org/international-e-discovery-eu-privacy-protection-vs-us-broad-disclosure/

^[3] Fed. R. Civ. P. 26.