Deshalb ist Ihr Datenschutz so wichtig

In der sich ständig wandelnden Welt des Datenschutzes gab es eine weitere Verschiebung, und wir möchten wie immer sicherstellen, dass Sie über die Änderungen informiert sind. Es ist also wieder einmal so weit.

In diesem Artikel behandeln wir die Grundlagen des Datenschutzes und untersuchen einige der diesbezüglichen Gesetze und Vorschriften. Wir gehen auf den inzwischen veralteten Privacy Shield ein, der früher der Standard für die Datenübermittlung zwischen der Europäischen Union (EU) und den Vereinigten Staaten (USA) war, und zeigen auf, wie Mailgun den Datenschutz über die gesetzlichen Standards hinaus gewährleistet.

Datenschutz, auch bekannt als Informationsdatenschutz, befasst sich mit dem ordnungsgemäßen Umgang mit sensiblen oder personenbezogenen Daten auf Grundlage der in den Datenschutzvorschriften festgelegten Standards. Wir haben alle schon gehört, dass Daten das neue Gold sind. Daher wird der Datenschutz immer wichtiger, da Mechanismen zur Datenerfassung allgegenwärtig werden.

Im Kern gewährleistet der Datenschutz das Recht auf eine Trennung von öffentlichem und privatem Bereich, einschließlich:

• Das Recht, nicht kontaktiert zu werden.
• Das Recht auf Kontrolle über die eigenen personenbezogenen Daten.
• Das Recht, den Zugriff auf die eigenen personenbezogenen Daten zu widerrufen.

Unter Berücksichtigung dieser Rechte betrifft der Datenschutz die Art und Weise, wie Daten:

• Erfasst werden: Obwohl es Unterschiede in den spezifischen Datenschutzgesetzen gibt, wird allgemein erwartet, dass personenbezogene Daten nur für rechtmäßige Zwecke erfasst werden, die in direktem Zusammenhang mit der Funktion oder Aktivität der Nutzerinnen und Nutzer stehen. Zudem sollten die erfassten Daten angemessen und nicht übermäßig sein. Viele Datenschutzvorschriften besagen, dass die Datenerfassung transparent, rechtmäßig und fair erfolgen muss.
• Gespeichert werden: Trotz der Unterschiede in den Datenschutzgesetzen besteht allgemeines Einvernehmen darüber, dass Daten ordnungsgemäß gespeichert werden sollten, um sie vor Bedrohungen der Cybersicherheit zu schützen. Außerdem sollte die Datenaufbewahrung nur so lange andauern wie nötig und nicht länger. Im Folgenden erklären wir, warum eine ordnungsgemäße Speicherung für den Datenschutz so wichtig ist.
• Verwaltet werden: Allgemein gesagt erfordert der Datenschutz ein ordnungsgemäßes Datenmanagement. Das bedeutet, dass Sie physische und Cybersicherheitsmaßnahmen ergreifen müssen, um den Schutz der Daten zu gewährleisten, solange sie sich in Ihrem Besitz befinden. Sie sollten diese vor unbefugtem Zugriff sowie vor Verfälschung schützen. 
• Mit Dritten geteilt werden: Datenschutzvorschriften legen fest, dass Sie achtsam damit umgehen sollten, wie die in Ihrem Besitz befindlichen Daten an Dritte weitergegeben werden. Die meisten Vorschriften verlangen, dass Nutzerinnen und Nutzer ausdrücklich ihre Einwilligung dazu geben müssen, dass ihre Daten von Dritten genutzt werden.

Die letzte Komponente des Datenschutzes ist die Compliance mit der Datenschutzgesetzgebung. Im Folgenden gehen wir auf einige der wichtigsten Datenschutzgesetze ein.

Bevor wir uns dem Datenschutz (Data Privacy) widmen, klären wir die mögliche Verwirrung zwischen Data Protection, Data Privacy und Datensicherheit auf.

• Der englische Begriff „Data Protection“ besteht aus zwei Komponenten: Datensicherheit (Data Security) und Datenschutz (Data Privacy). Mit anderen Worten: Data Protection ist der Überbegriff dafür, wie Daten geschützt werden (Datensicherheit) und wie ordnungsgemäß mit ihnen umgegangen wird (Datenschutz).
• Datenschutz (Data Privacy) konzentriert sich darauf, wie sensible Informationen ordnungsgemäß gehandhabt werden. Der Datenschutz stellt das Individuum in den Mittelpunkt sowie dessen Erwartungen darüber, was als öffentlich und was als privat anzusehen ist. Einwilligung und Datenlöschung sind dabei zentrale Komponenten.
• Datensicherheit befasst sich damit, wie Daten geschützt werden sollten. So sind beispielsweise Verschlüsselungsstandards, Netzwerksicherheit und die Reaktion auf Datenschutzverletzungen allesamt Teil der Datensicherheit. Was E-Mail-Programme betrifft, ist die Sicherung der E-Mail-Gateways ein guter Anfang für eine angemessene Datensicherheit.

Kurz gesagt: Datensicherheit und Datenschutz sind Komponenten von Data Protection. Obwohl alle drei Bereiche zusammenwirken, um geeignete Sicherheitspraktiken für den Schutz und Umgang mit Daten zu schaffen, konzentrieren wir uns in diesem Artikel auf den Datenschutz.

Datenschutz ist sowohl aus Unternehmens- als auch aus Verbrauchersicht wichtig. Sehen wir uns an, warum das so ist.

Verbraucherinnen und Verbraucher, auch als „datenutzende Personen“ bekannt, legen Wert auf Datenschutz, denn:

• Es werden persönliche und sensible Daten weitergegeben. Dazu zählen Bankkontodaten, Kreditkartennummern, Sozialversicherungsdaten sowie persönliche Angaben wie Geschlecht und Gewicht, E-Mail-Adressen und vieles mehr.
• Die weitergegebenen Daten können mit katastrophalen Folgen missbraucht werden. Personen, die Daten nutzen, sind am Datenschutz interessiert, da ohne ordnungsgemäße Datenschutzprotokolle ihre persönlichen Daten leicht von Hackern und anderen böswilligen Personen oder Unternehmen missbraucht werden können.
• Selbst wenn ihre Daten nicht missbraucht werden, können sie zur Identifizierung herangezogen werden. Bei der Weitergabe von Daten wird Einzelpersonen ein gewisses Maß an Schutz gewährt, dass ihre Informationen nicht zur Identifizierung verwendet werden können. Gibt eine Person beispielsweise bei der Datenerfassung ihre Religionszugehörigkeit an, besteht die Gefahr der Diskriminierung, wenn keine angemessenen Datenschutzprotokolle vorhanden sind. Datenschutz schützt vor unerwünschter Überwachung.
• Ihre Daten könnten an Werbetreibende und das Marketing verkauft werden. Diese handeln zwar nicht in böser Absicht, können Posteingänge aber dennoch mit Spam überfluten. Dies ist ein besonderes Anliegen für Unternehmen, die auf E-Mail-Marketing setzen. Wir alle haben schon einmal Junk-E-Mails erhalten, weil unsere E-Mail-Adressen von skrupellosen Unternehmen verkauft wurden. Dies ist ein weiterer Grund, warum Datenschutz für Ihre Kundschaft wichtig ist.

Aus Unternehmenssicht ist Datenschutz aus folgenden Gründen ebenso wichtig:

• Ein Unternehmen muss den Datenschutzbedarf seiner Kundschaft erfüllen können, da es eine gesellschaftliche Verpflichtung hat, deren Daten zu respektieren. So bewahren Sie das Vertrauen der Verbraucherinnen und Verbraucher in Ihre Marke.
• Ein Unternehmen sollte den Datenschutzbedarf seiner Kundschaft erfüllen, um deren Engagement aufrechtzuerhalten und weiterhin ein hochwertiges Produkt bereitzustellen.
• Unternehmen haben eine gesetzliche Verpflichtung zur Compliance mit Datenschutzgesetzen, abhängig davon, in welchen Ländern sie tätig sind.

Fehlende Transparenz sowie fehlerhafte Protokolle zur Datenerfassung, -speicherung und -verwaltung sind die größten Bedrohungen für den Datenschutz. Wenn Unternehmen ihre Datenschutzpraktiken nicht transparent gestalten, riskieren sie, ihre Kundschaft zu vergraulen und gegen Datenschutzgesetze zu verstoßen.

Zwar gibt es sehr reale Datensicherheitsrisiken wie Phishing-Betrug, Datenschutzverletzungen, SQL-Injection-Angriffe und dergleichen, jedoch konzentrieren wir uns in diesem Artikel auf den Datenschutz.

Wie bereits erwähnt, gibt es verschiedene Gesetze und Vorschriften, die den Datenschutz regeln. Dazu gehören:

• Der EU-US Data Privacy Shield
• Die Datenschutz-Grundverordnung (DSGVO)
• Der California Consumer Privacy Act (CCPA)
• Der Children’s Online Privacy Protection Act (COPPA)
• Der Health Insurance Portability and Accountability Act (HIPAA)

Diese Liste ist nicht vollständig, aber sie umfasst die Vorreiter im Bereich der Datenschutzgesetzgebung. Im Folgenden sehen wir uns diese genauer an.

Vielleicht haben Sie schon vom EU-US Data Privacy Shield gehört. Ab 2016 regelte er die Nutzung von Verbraucherdaten bei Transaktionen zwischen Europa und den Vereinigten Staaten. US-Unternehmen konnten den Privacy Shield nutzen, um diese transatlantischen Datentransaktionen zu validieren und zu akkreditieren. Die Nutzung des Privacy Shield ermöglichte es US-Unternehmen, diese Transaktionen durchzuführen.

Am 16. Juli 2020 hat der Europäische Gerichtshof (EuGH) jedoch die Angemessenheit des Schutzes durch den EU-US Data Privacy Shield ungültig erklärt. Mit anderen Worten: US-Unternehmen können den Privacy Shield nicht mehr nutzen, um transatlantische Datentransaktionen zu „erlauben“.

Aber was bedeutet das für Mailgun? Damit sind Sie nicht allein. Seit dem Urteil haben einige unserer Kundinnen und Kunden nach den Auswirkungen auf unsere Dienste und unser Geschäft gefragt. Keine Sorge – wir sind weiterhin bestens aufgestellt. Im nächsten Abschnitt gehen wir näher darauf ein. Dort finden Sie detaillierte Informationen dazu, wie wir mit Datenschutz umgehen und wie sich die Entscheidung des EuGH auf unsere Protokolle auswirkte.

Gemäß der Datenschutz-Grundverordnung (DSGVO) der EU müssen für Datenübermittlungen in und aus Ländern außerhalb der Europäischen Union, einschließlich der USA, angemessene Sicherheitsvorkehrungen getroffen werden. Bis zum 16. Juli 2020 galt der Privacy Shield als angemessener Schutz im Sinne der DSGVO und erfüllte deren Anforderungen bei der Übermittlung personenbezogener Daten in die USA. Wie bereits erwähnt, änderte sich dies jedoch im Juli 2020.

Da das Privacy-Shield-Framework nun als unzureichend gilt, ist für sämtliche Datenübermittlungen ein alternativer Schutz erforderlich. Zu diesen Alternativen gehören die Standardvertragsklauseln (SCCs), auch EU-Standardvertragsklauseln genannt, oder verbindliche interne Datenschutzvorschriften (Binding Corporate Rules). Gemäß der DSGVO gewährleisten diese Standardvertragsklauseln angemessene Datenschutzvorkehrungen und können daher für Datenübermittlungen aus der EU in Drittländer. verwendet werden. Wir gehen im Folgenden näher darauf ein, aber Mailgun verwendet SCCs, um Datenübermittlungen aus der EU zu ermöglichen.

Abgesehen von den Datenübermittlungen zwischen den USA und der EU ist der California Consumer Privacy Act (CCPA) von 2018 ein Gesetz des Bundesstaates Kalifornien, das eine Vorreiterrolle dabei spielte, der Verbraucherschaft mehr Kontrolle darüber zu geben, wie ihre Nutzerdaten erfasst werden. Tatsächlich hat der CCPA viele nachfolgende Empfehlungen und Gesetze geprägt.

Der CCPA sichert der kalifornischen Verbraucherschaft die folgenden Datenschutzrechte, darunter:

• Das Recht zu erfahren, welche persönlichen Daten ein Unternehmen über sie erfasst, wie diese verwendet und wie sie weitergegeben werden
• Das Recht auf Löschung der über sie erfassten persönlichen Daten
• Das Recht, dem Verkauf ihrer persönlichen Daten zu widersprechen
• Das Recht auf Nichtdiskriminierung bei der Ausübung ihrer CCPA-Rechte

Unternehmen sind verpflichtet, der Verbraucherschaft Transparenz in Bezug auf ihre Datenpraktiken zu bieten. Tatsächlich ist der CCPA recht umfassend, da er auch für Datenbroker gilt.

In der Der Children’s Online Privacy Protection Act (COPPA) ist ein Datenschutzgesetz aus dem Jahr 1998, das darauf abzielt, Kinder unter 13 Jahren bei ihren Online-Aktivitäten zu schützen. COPPA erlegt Betreibern von Webdiensten, die sich an Kinder unter 13 Jahren richten, Beschränkungen auf. Darüber hinaus erlegt COPPA auch Betreibern von Webdiensten Beschränkungen auf, denen bekannt ist, dass sie persönliche Daten von einem Kind unter 13 Jahren erfassen.

Gemäß diesen Beschränkungen müssen Webbetreiber:

• In einer Datenschutzerklärung angeben, wann und wie die nachprüfbare Einwilligung der Eltern oder Erziehungsberechtigten eingeholt wird
• Ihre Verantwortung beim Schutz der Sicherheit und der Privatsphäre von Kindern im Internet ausdrücklich darlegen
• Eine klare und umfassende Online-Datenschutzerklärung veröffentlichen, in der ihre Informationspraktiken für online erfasste persönliche Daten beschrieben werden
• Eltern über jegliche Änderungen der Datenpraktiken informieren, denen sie zuvor im Namen ihres Kindes zugestimmt haben
• Eltern die Möglichkeit geben, die über ihr Kind erfassten persönlichen Daten einzusehen
• Eltern die Möglichkeit geben, der weiteren Nutzung oder Speicherung der Daten ihres Kindes durch den Webbetreiber zu widersprechen
• Angemessene Verfahren zum Schutz der Vertraulichkeit, Sicherheit und Integrität der persönlichen Daten einführen und aufrechterhalten, die von Kindern unter 13 Jahren erfasst wurden
• Persönliche Daten, die online von einem Kind erfasst wurden, nur so lange aufbewahren, wie es zur Erfüllung des Erfassungszwecks erforderlich ist, und diese Daten durch angemessene Maßnahmen löschen, um sie vor unbefugtem Zugriff oder unbefugter Nutzung zu schützen.
• Betreibern ist es untersagt, die Teilnahme eines Kindes an einer Online-Aktivität davon abhängig zu machen, dass das Kind mehr Informationen preisgibt, als für die Teilnahme an dieser Aktivität vernünftigerweise erforderlich sind

In der Health Insurance Portability and Accountability Act (HIPAA) ist ein US-amerikanisches Gesetz aus dem Jahr 1996, das die Erfassung, Speicherung, Verwaltung und Nutzung persönlicher Daten im Gesundheits- und Medizinbereich regelt. Das US-Gesundheitsministerium (HHS) hat die HIPAA Privacy Rule erlassen, um die HIPAA-Anforderungen umzusetzen. Die HIPAA Security Rule schützt eine Teilmenge der Informationen, die unter die Privacy Rule fallen.

HIPAA zielt insbesondere auf Folgendes ab:

• Gewährleistung der Übertragbarkeit von Krankenversicherungen durch die Beseitigung der Bindung an den Arbeitsplatz aufgrund von Vorerkrankungen
• Eindämmung von Betrug und Missbrauch im Gesundheitswesen
• Durchsetzung von Standards für Gesundheitsinformationen
• Garantie der Sicherheit und des Datenschutzes von Gesundheitsinformationen

Obwohl es als Gesetz zum Schutz persönlicher Gesundheitsdaten und nicht als allgemeines Datenschutzgesetz konzipiert war, legt HIPAA den Grundstein für viele moderne Datenschutzvorschriften.

Ein Großteil unserer Kundschaft fragt, wie wir bei Mailgun mit dem Thema Datenschutz umgehen und diesen umsetzen. Die Kurzfassung haben wir Ihnen oben bereits gegeben, aber hier ist die ausführliche Version:

• Wir gehen weit über die Mindestanforderungen der DSGVO (und die Empfehlungen des Ausschusses der Europäischen Kommission) hinaus.
• Wir verlassen (und verließen) uns nicht nur auf den Privacy Shield. Daher ist es kein Problem, dass das Urteil des EuGH im Juli 2020 den Privacy Shield für unzureichend erklärte.
• Wir wenden bei all unseren Datenübermittlungen Standardvertragsklauseln (SCCs) an – einschließlich der Übermittlungen an unsere Unterauftragsverarbeiter, die die persönlichen Daten unserer Kundschaft verarbeiten. Gemäß dem Urteil des EuGH stellen diese SCCs weiterhin einen gültigen rechtlichen Mechanismus zur Datenübermittlung im Rahmen der DSGVO dar. Wenn Sie Mailgun nutzen, sind Ihre Daten sicher und rechtmäßig.

Um noch einen Schritt weiterzugehen, haben wir über die SCCs hinaus zusätzliche Sicherheitsvorkehrungen implementiert. So stellen wir sicher, dass wir für jede Übermittlung persönlicher Daten über angemessene technische und organisatorische Maßnahmen verfügen, einschließlich Datenverschlüsselung und -sicherheit. Was bedeutet das?

Das bedeutet, dass wir höchste Sicherheitsmaßnahmen ergreifen, um die von uns verarbeiteten persönlichen Daten zu schützen. Zudem verfügen wir über ein Verfahren zum Lieferantenmanagement, um sicherzustellen, dass all unsere Unterauftragsverarbeiter unsere strengen Anforderungen einhalten. Wir nutzen dieses Verfahren zum Lieferantenmanagement, um:

• all unsere Daten-Unterauftragsverarbeiter zu kontrollieren
• all unsere Daten-Unterauftragsverarbeiter zu auditieren und zu überprüfen
• regelmäßig Audits zu sämtlichen Verarbeitungen und/oder Übermittlungen der persönlichen Daten unserer Kundschaft durchzuführen.

Das ist im Grunde nur eine elegante Umschreibung dafür, dass unsere Datenprozesse und Datenverarbeiter sicher und rechtmäßig sind und regelmäßig überprüft werden. Wir führen zudem Audit-Risikobewertungen durch und implementieren die erforderlichen technischen und organisatorischen Maßnahmen, um die Einhaltung angemessener Sicherheit und des Datenschutzes zu gewährleisten. Erfahren Sie mehr über Sicherheits- und Datenschutzmaßnahmen von Mailgun.

Nein, Sie müssen überhaupt nichts tun – wir haben bereits alle notwendigen Schutzmaßnahmen implementiert. Mailgun schützt Sie und sorgt für absolute Sicherheit.

Wir wissen, dass sich Datenschutzgesetze rasant weiterentwickeln. Wir setzen jedoch alles daran, diesen Entwicklungen einen Schritt voraus zu sein und eine rechtmäßige Grundlage für Datenübermittlungen in Compliance mit den geltenden Datenschutzgesetzen zu schaffen.

Wenn Sie mehr erfahren möchten, werfen Sie einen Blick in unseren AV-Vertrag (DPA). Dieser bietet Informationen darüber, wie wir Ihre persönlichen Daten verarbeiten, und enthält die spezifischen Maßnahmen, die wir zu deren Schutz ergreifen.

Wir verstehen die Bedenken unserer Kundschaft und halten an unserer Verpflichtung fest, dafür zu sorgen, dass ihre Daten sicher und geschützt sind. Sie können sich darauf verlassen, dass wir stets alles daransetzen werden, diese Daten – und ihre Übermittlung – nach internationalen Gesetzen bestmöglich zu schützen. Lehnen Sie sich also entspannt zurück und überlassen Sie den Datenschutz uns.

Haben Sie weitere Fragen zum Thema Datenschutz an unser Legal-Team? Schreiben Sie uns gerne eine Nachricht an legal@mailgun.com!

Autor: Darine Fayed Darine Fayed is the Vice President Head of Legal EMEA for Sinch. She provides legal counsel on our international contracts, oversees our data protection and handles a variety of other legal matters. She writes often about compliance laws and policy standards that affect email communication.