Die neuen russischen Datenschutzregelungen – Wer, wie, was?

Vor zwei Wochen trafen sich Vertreter der Deutsch-Russischen Auslandshandelskammer (AHK) mit leitenden Beamten von Roskomnadzor, der Aufsichtsbehörde für Massenmedien, Telekommunikation und Datenschutz in Russland. Ziel war es, die neuen Datenschutzregelungen, die ab dem 1. September in Kraft treten werden, zu diskutieren.

WORUM GEHT ES – WAS IST DAS PROBLEM?

Ab dem 1. September 2015 sind Datenbank-Betreiber in Russland dazu verpflichtet, personenbezogene Daten russischer Bürger innerhalb der Russischen Föderation zu speichern und binnen einer gesetzliche vorgeschriebenen Frist den Standort dieser Primärdatenbank der Aufsichtsbehörde zu melden. Daraus folgt die Pflicht für alle Unternehmen zur Serverlokalisierung in Russland. Es wird jedoch befürchtet, dass die verschärften Speicherregelungen dennoch keinen besonderen Datenschutz gewährleisten, da die russischen Technologien in diesem Bereich als nicht ausreichend angesehen werden.

WER IST BETROFFEN?

Laut Roskomnadzor wird kein Unterschied zwischen „Personen“ des Datenschutzes gemacht. Egal ob es nun russische Firmen, ausländische Firmen mit Niederlassungen in Russland oder ausländische Firmen ohne Russlandpräsenz betrifft. Was zählt, ist einzig und alleine, dass die von einem ausländischen Unternehmen angebotenen Leistungen oder Waren an russische Kunden adressiert sind. Gleichzeitig wird der Begriff „Datenbank“ so breit ausgelegt, dass bereits eine „Anhäufung von personenbezogenen Daten unabhängig vom materiellen Träger“ – also auch eine Word- oder Excel-Tabelle – in diese Kategorie fallen.

DATENTRANSFER ÜBER DIE GRENZEN HINAUS

Die, durch die Ratifizierung des Übereinkommens des Europarats zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten eingegangenen Verpflichtungen Russlands, bleiben vorrangig. Die Datenschutzkonvention besagt, dass Russland die grenzüberschreitende Übermittlung personenbezogener Daten weder verbieten noch sich Sondergenehmigungen dafür herausnehmen darf. Laut Roskomnadzor können Datenbanken mit personenbezogenen Daten russischer Bürger im Ausland entweder als gleichwertige Kopie der russischen Primärdatenbank oder auch nur als ein Teil davon aufbewahrt werden.

WELCHE ARTEN DER DATENVERARBEITUNG SIND NUR FÜR RUSSISCHE DATENBANKEN ERLAUBT?

Es wird unterschieden zwischen Arten der Datenverarbeitung die ausschließlich für russische Datenbanken erlaubt sind und für diejenigen, die auch für ausländische Datenbanken zulässig sind.
Ausschließlich auf der Primärdatenbank in Russland erlaubt ist:

Erfassen
Aufnehmen
Systematisieren
Aufbewahren
Speichern
Abfragen
Anpassen bzw. aktualisieren oder verändern

Auf ausländische Datenbanken zulässig ist nur:

Benutzen
Anonymisieren
Sperren
Löschen
Vernichten
Weitergeben

WIE WIRD KONTROLLIERT?

Das ist völlig unklar. Laut Roskomnadzor sollen Datenbanken im Ausland über die Betreiber der Primärdatenbanken in Russland kontrolliert werden. Dies soll durch schriftliche Anfragen erfolgen. Die Effektivität einer derartigen Kontrolle bleibt dahingestellt. Die große Gefahr für nicht kooperationsbereite Unternehmen liegt aber wohl darin, dass Roskomnadzor über entsprechende Sanktionshebel gegen ausländische Firmen verfügt. Roskomnadzor kann und wird sicherlich auch die Internetseite eines solchen „Querlulanten“ in Russland einfach komplett blockieren.

WIE GEHT ES WEITER?

Roskomnadzor sieht durchaus selbst gewisse Schwierigkeiten bei der praktischer Umsetzung des Gesetzes. Deshalb empfehlen sie auch die Vorgaben des Gesetzes selbständig und so breit wie möglich auszulegen. Die Deutsch-Russische Auslandshandelskammer schlug deshalb vor, bis zum Jahresende noch weitere Treffen für Unternehmen mit Roskomnadzor durchzuführen. Dies soll helfen, die bei der Anwendung des Gesetzes entstehenden Fragen zeitnah zu diskutieren und so auch gemeinsam nach Lösungen zu suchen. Roskomnadzor erklärte sich auch bereit, weitere dieser Treffen zu organisieren.