Bewertung der Auswirkungen von Datenübermittlungen für die Vereinigten Staaten

Angesichts des Urteils „Schrems II“ des Gerichtshofs der Europäischen Union und der Empfehlungen des Europäischen Datenschutzausschusses führt Ideanote Folgenabschätzungen für Datentransfers durch, die Bestandteil des Ideanote-Dienstes sind.

Diese Folgenabschätzung für Datentransfers („DTIA“) ermittelt und beschreibt die Risiken sowie die Schutzmaßnahmen, die Ideanote im Zusammenhang mit der Übermittlung personenbezogener Kundendaten aus dem Europäischen Wirtschaftsraum, dem Vereinigten Königreich oder der Schweiz („Europa“) in die Vereinigten Staaten getroffen hat, und bewertet Ideanotes Fähigkeit, seinen Verpflichtungen als „Datenexporteur“ nachzukommen.

In seiner Entscheidung Schrems II stellte der Gerichtshof der EU klar, dass die Verwendung von Standardvertragsklauseln („SCC“) eine Einzelfallprüfung durch die Verantwortlichen erfordert, um das Schutzniveau zu bewerten, das die SCC bieten können; dabei sind die Art der Übermittlung personenbezogener Daten und das Bestimmungsland zu berücksichtigen.

Eine Beschreibung der Art der Datenverarbeitung finden Sie im Ideanote-Datenschutz-Anhang („DPA“). Ideanote hat ergänzende Maßnahmen zum Schutz personenbezogener Daten bei Übermittlungen an Dritte in den Vereinigten Staaten getroffen. Informationen dazu, wohin wir Daten an unsere Anbieter außerhalb des Serverstandorts übermitteln, finden Sie in unserer Liste der Unterauftragsverarbeiter.

Bewertung des Bestimmungslands

Die folgenden für EU-US-Datentransfers relevanten US-amerikanischen Gesetze wurden vom Gerichtshof der Europäischen Union in Schrems II als mögliche Hindernisse für die Gewährleistung eines im Wesentlichen gleichwertigen Schutzes personenbezogener Daten in den USA identifiziert:

FISA 702
Präsidialverordnung 12333
Cloud Act

Da die Vereinigten Staaten personenbezogenen Daten kein Schutzniveau bieten, das im Wesentlichen dem von der GDPR gewährten Schutzniveau entspricht, sind zusätzliche technische, organisatorische oder vertragliche Maßnahmen erforderlich.

Zweck der Übermittlung und etwaige Weiterverarbeitung:

Ideanote nutzt mehrere Unterauftragsverarbeiter, die Daten in den Vereinigten Staaten speichern und deren Mitarbeitende möglicherweise in den Vereinigten Staaten auf personenbezogene Daten zugreifen können. Konkrete Informationen und Datenflüsse finden Sie in unserer Liste der Unterauftragsverarbeiter.

Häufigkeit

Ideanote übermittelt Daten fortlaufend während der Nutzung des Dienstes.

Kategorien personenbezogener Daten

E-Mail-Adressen von Endnutzern
Namen von Endnutzern
IP-Adresse des Endnutzers
Kreditkartendaten von Kunden
IP-Adresse des Kundenkontakts
Kundenadresse
Kreditkartendaten von Kunden
Name des Kundenkontakts
E-Mail-Adresse des Kunden

Bitte beachten Sie unsere Liste der Unterauftragsverarbeiter mit spezifischen Informationen zu den Verarbeitern der Kategorien personenbezogener Daten, die in den Vereinigten Staaten übermittelt oder verarbeitet werden.

Sensible Daten

Wir übermitteln wissentlich keine sensiblen Daten in die Vereinigten Staaten. Wenn Kunden per Kreditkarte bezahlen, wickeln sie die Transaktion über unseren Zahlungsdienstleister (Stripe Inc.) ab, der sensible Kreditkartendaten in den Vereinigten Staaten verarbeitet. An dieser Übermittlung sind wir jedoch nicht beteiligt.

Anfragen von Strafverfolgungsbehörden

Jeder Ideanote-Unterauftragsverarbeiter verfügt über eine Richtlinie für Anfragen von Strafverfolgungsbehörden und benachrichtigt Ideanote, soweit gesetzlich zulässig, vor der Offenlegung von Informationen als Reaktion auf eine Anfrage.

Länge der Verarbeitungskette

Daten werden extern an unsere Unterauftragsverarbeiter übermittelt.

Anwendbarer Übermittlungsmechanismus

Wenn Ideanote personenbezogene Kundendaten mit Ursprung in Europa an Unterauftragsverarbeiter von Drittanbietern in den Vereinigten Staaten übermittelt, hat Ideanote mit diesen Parteien DPAs mit SCCs abgeschlossen.

Zusätzliche Maßnahmen der Anbieter

Jeder Ideanote-Unterauftragsverarbeiter hat vertraglichen Maßnahmen zugestimmt, die mindestens ebenso restriktiv sind wie die von Ideanote mit Kunden vereinbarten Maßnahmen. Konkrete Informationen zu Zertifizierungen und Compliance sowie zu den technischen und organisatorischen Sicherheitsmaßnahmen der einzelnen Unterauftragsverarbeiter finden Sie in unserer Liste der Unterauftragsverarbeiter.

Zusätzliche Maßnahmen

Angewandte Einschränkungen oder Schutzmaßnahmen, die der Art der Daten und den damit verbundenen Risiken umfassend Rechnung tragen:

Jeder Ideanote-Unterauftragsverarbeiter, der personenbezogene Daten in den Vereinigten Staaten verarbeitet, verfügt über eine Richtlinie für Anfragen von Strafverfolgungsbehörden und benachrichtigt Ideanote, soweit gesetzlich zulässig, vor der Offenlegung von Informationen als Reaktion auf eine Anfrage.
Jeder Ideanote-Unterauftragsverarbeiter, der personenbezogene Daten in den Vereinigten Staaten verarbeitet, ist zertifiziert und erfüllt Standards, die denen von Ideanote entsprechen oder diese übertreffen, beispielsweise SOC2 Type 2.
Jeder Ideanote-Unterauftragsverarbeiter, der personenbezogene Daten in den Vereinigten Staaten verarbeitet, bewahrt diese Daten nur für einen begrenzten Zeitraum auf.
Die Kategorien personenbezogener Daten sind getrennt und nicht alle für denselben Unterauftragsverarbeiter verfügbar. Einige verarbeiten E-Mail-Adressen von Endnutzern, jedoch keine IP-Adressen. Ein weiterer verarbeitet IP-Adressen. Ein dritter verarbeitet Kreditkartendaten von Kunden.
Soweit möglich, werden Daten verschlüsselt und anonymisiert, und die Aufbewahrungsfristen werden auf ein Minimum beschränkt.
Ideanote bietet allen Mitarbeitenden von Ideanote Schulungen zum Datenschutz an.

Bitte beachten Sie unsere Liste der Unterauftragsverarbeiter mit spezifischen Informationen zu den Maßnahmen der Anbieter und den zusätzlichen Maßnahmen für in die Vereinigten Staaten übermittelte Daten.

Obwohl Gesetze wie „FISA 702“ dazu verwendet werden können, Informationen über Personen zu erhalten, die keine US-Bürger sind, sind die in die Vereinigten Staaten übermittelten personenbezogenen Daten minimal und nicht mit weiteren Datenpunkten verknüpft. Ein Name kann mit einer E-Mail-Adresse, jedoch nicht mit einer IP-Adresse und auch nicht mit Verhaltensinformationen oder Inhalten identifiziert werden.

Ideanote (als „Datenexporteur“) schätzt die Risiken für die Rechte Einzelner bei der Übermittlung und Verarbeitung der begrenzten Kategorien personenbezogener Daten aus Europa/in die Vereinigten Staaten als gering ein.

Angesichts der in diesem Dokument beschriebenen Art der Übermittlung personenbezogener Daten sowie der von Ideanote und den Drittanbietern von Ideanote ergriffenen zusätzlichen Maßnahmen sieht Ideanote derzeit keinen Bedarf an weiteren ergänzenden Maßnahmen.

Neubewertung

Ideanote wird die mit seinen Unterauftragsverarbeitern verbundenen Risiken sowie die von Ideanote selbst und von Dritten umgesetzten Maßnahmen regelmäßig, mindestens einmal jährlich, überprüfen und bei Bedarf neu bewerten.