Datenschutz über mehrere Rechtsräume hinweg: Ein Plattformansatz

Die Herausforderung der Compliance über mehrere Rechtsräume hinweg#

Jede Plattform, die personenbezogene Daten über Landesgrenzen hinweg verarbeitet, steht vor einer grundlegenden Herausforderung: Datenschutzgesetze unterscheiden sich von einem Rechtsraum zum nächsten in Geltungsbereich, Definitionen, Einwilligungsmodellen, Aufbewahrungsanforderungen und Durchsetzungsmechanismen. Es gibt keinen einheitlichen globalen Datenschutzstandard. Eine Plattform, die in der Europäischen Union vollständig konform ist, kann gegen Anforderungen in der Türkei, Brasilien oder China verstoßen und umgekehrt.

Für Identitätsprüfungsplattformen ist diese Herausforderung besonders akut. KYC-Prozesse erheben naturgemäß sensible personenbezogene Daten, darunter staatlich ausgestellte Identitätsdokumente, Gesichtsbiometrie und Finanzinformationen. Die regulatorische Exposition wird verstärkt, weil diese Daten häufig über Grenzen hinweg fließen: Ein Kunde in Brasilien reicht Dokumente bei einer aus der EU betriebenen Plattform ein, die die Verifizierung an einen Anbieter in den Vereinigten Staaten weiterleitet.

Vergleich wichtiger Datenschutz-Rahmenwerke#

GDPR (Europäische Union)

Die GDPR bleibt das umfassendste und einflussreichste Datenschutz-Rahmenwerk weltweit. Sie verlangt eine Rechtsgrundlage für die Verarbeitung, schreibt Datenschutz-Folgenabschätzungen für die Verarbeitung mit hohem Risiko vor, gewährt umfangreiche Betroffenenrechte (Auskunft, Berichtigung, Löschung, Übertragbarkeit, Widerspruch) und legt strenge Beschränkungen für grenzüberschreitende Übermittlungen fest. Bußgelder können 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes erreichen. Auskunftsersuchen von Betroffenen müssen innerhalb von 30 Tagen erfüllt werden.

KVKK (Türkei)

Das türkische Kisisel Verilerin Korunmasi Kanunu weist strukturelle Ähnlichkeiten mit der GDPR auf, enthält jedoch bemerkenswerte Unterschiede. Datenverantwortliche müssen sich im VERBIS-Register registrieren. Grenzüberschreitende Übermittlungen erfordern entweder Angemessenheitsbeschlüsse oder verbindliche unternehmensinterne Vorschriften, die von der türkischen Datenschutzbehörde (KVKK-Vorstand) genehmigt wurden. Sensible Daten, einschließlich biometrischer Daten, dürfen nur mit ausdrücklicher Einwilligung oder soweit gesetzlich ausdrücklich gestattet verarbeitet werden. Die Fristen für Betroffenenanfragen betragen 30 Tage.

CCPA/CPRA (Kalifornien)

Der California Consumer Privacy Act, in der durch den California Privacy Rights Act geänderten Fassung, gewährt Verbrauchern das Recht zu erfahren, welche Daten erhoben werden, die Löschung zu verlangen, dem Verkauf oder der Weitergabe zu widersprechen und die Nutzung sensibler personenbezogener Informationen einzuschränken. Anders als die GDPR wendet der CCPA eine breitere Definition von „Verkauf“ an, die auch die Weitergabe von Daten für kontextübergreifende verhaltensbasierte Werbung umfasst. Der CPRA schuf die California Privacy Protection Agency mit eigener Durchsetzungsbefugnis. Die Frist für Verbraucheranfragen beträgt 45 Tage.

LGPD (Brasilien)

Das brasilianische Lei Geral de Protecao de Dados folgt eng dem GDPR-Modell, jedoch mit lokalen Anpassungen. Es legt zehn Rechtsgrundlagen für die Verarbeitung fest (gegenüber sechs in der GDPR), enthält besondere Bestimmungen zur Datenanonymisierung und verlangt die Bestellung eines Datenschutzbeauftragten (Encarregado). Die Autoridade Nacional de Protecao de Dados (ANPD) verfügt über Durchsetzungsbefugnis mit Bußgeldern von bis zu 2 % des Umsatzes, begrenzt auf 50 Millionen BRL pro Verstoß. Die Frist für Betroffenenanfragen beträgt 15 Werktage.

PIPL (China)

Das chinesische Personal Information Protection Law stellt einige der weltweit strengsten Anforderungen an grenzüberschreitende Datenübermittlungen. Verarbeiter personenbezogener Informationen müssen entweder eine von der Cyberspace Administration of China (CAC) durchgeführte Sicherheitsbewertung bestehen, eine Zertifizierung zum Schutz personenbezogener Informationen erlangen oder von der CAC herausgegebene Standardvertragsklauseln abschließen. Für grenzüberschreitende Übermittlungen ist eine gesonderte Einwilligung erforderlich. Betreiber kritischer Informationsinfrastruktur und Verarbeiter, die große Mengen personenbezogener Daten verarbeiten, müssen Daten lokal speichern und sich für jeden Export einer Sicherheitsbewertung unterziehen.

Anforderungen an den Datenstandort#

Der Datenstandort – die Anforderung, dass personenbezogene Daten innerhalb bestimmter geografischer Grenzen gespeichert werden – variiert dramatisch je nach Rechtsraum. Das russische Föderalgesetz 242-FZ verlangt, dass personenbezogene Daten russischer Bürger auf physisch in Russland befindlichen Servern gespeichert werden. Der indische Digital Personal Data Protection Act verlangt, dass kritische personenbezogene Daten innerhalb Indiens verarbeitet werden. Das vietnamesische Cybersicherheitsgesetz verlangt die inländische Speicherung bestimmter Datenkategorien.

Für eine KYC-Plattform bedeutet die Erfüllung der Anforderungen an den Datenstandort die Fähigkeit, die Datenspeicherung pro Mandant oder pro Rechtsraum auf bestimmte Regionen zu lenken. Dies ist nicht nur eine Konfigurationsoption, sondern eine architektonische Anforderung, die das Datenbankdesign, das Routing der Objektspeicherung, Backup-Strategien und die Notfallwiederherstellungsplanung betrifft.

Einwilligungsmanagement über Kulturen hinweg#

Einwilligungsmodelle unterscheiden sich zwischen den Rahmenwerken auf eine Weise, die betriebliche Komplexität schafft. Die GDPR verlangt eine freiwillig erteilte, spezifische, informierte und unmissverständliche Einwilligung mit einfacher Widerrufsmöglichkeit. Die KVKK verlangt eine ausdrückliche Einwilligung für sensible Daten mit einem ähnlichen Standard. Das LGPD lässt die Einwilligung als eine von zehn Rechtsgrundlagen zu, betont jedoch, dass die Einwilligung „frei, informiert und eindeutig“ sein muss. Das PIPL verlangt eine gesonderte Einwilligung für die Verarbeitung sensibler personenbezogener Informationen und für grenzüberschreitende Übermittlungen.

Ein Plattformansatz für das Einwilligungsmanagement erfordert: rechtsraumbewusste Einwilligungsvorlagen, die die gesetzlich vorgeschriebenen Hinweise für jedes Rahmenwerk darstellen; eine granulare Einwilligungsverfolgung, die festhält, wofür, wann und unter welchem Rahmenwerk eingewilligt wurde; Mechanismen zum Widerruf der Einwilligung, die sich über die gesamte Verarbeitungskette fortpflanzen; sowie eine Versionskontrolle der Einwilligungstexte, um die Compliance zum Zeitpunkt der Einwilligungserteilung nachzuweisen.

Fristen für die Beantwortung von Betroffenenanfragen#

• GDPR: 30 Tage (verlängerbar um 60 Tage bei komplexen Anfragen)
• KVKK: 30 Tage
• CCPA/CPRA: 45 Tage (verlängerbar um 45 Tage)
• LGPD: 15 Werktage
• PIPL: Antwort innerhalb eines „angemessenen Zeitraums“ (Leitlinien legen 15–30 Tage nahe)
• POPIA (Südafrika): 30 Tage
• PDPA (Thailand): 30 Tage

Konflikte bei Aufbewahrungsfristen#

Einer der schwierigsten Aspekte der Compliance über mehrere Rechtsräume hinweg ist der Konflikt zwischen den Anforderungen an die AML-Aufzeichnungspflicht und den datenschutzrechtlichen Grundsätzen der Datenminimierung. AML-Vorschriften verlangen typischerweise, dass KYC-Aufzeichnungen für fünf Jahre nach dem Ende der Geschäftsbeziehung aufbewahrt werden. Einige Rechtsräume dehnen dies auf zehn Jahre aus. Gleichzeitig verlangen Datenschutzgesetze, dass personenbezogene Daten gelöscht werden, wenn sie für den Zweck, zu dem sie erhoben wurden, nicht mehr erforderlich sind.

Die Lösung liegt in rechtsraumspezifischen Aufbewahrungsrichtlinien, die für jede Datenkategorie die korrekte Aufbewahrungsfrist auf Basis des anwendbaren Rechtsrahmens anwenden. Dies erfordert: eine Aufbewahrungsrichtlinien-Engine, die die anwendbaren Gesetze pro Datensatz bewertet; eine automatisierte Durchsetzung der Aufbewahrung, die am Ende der Aufbewahrungsfrist eine Prüfung oder Löschung auslöst; Funktionen für rechtliche Sperren (Legal Hold), die die Löschung für Datensätze aussetzen, die einer behördlichen Untersuchung unterliegen; sowie Prüfpfade, die dokumentieren, warum bestimmte Aufbewahrungsfristen angewandt wurden.

Praktische Lösungen: Eine Plattformarchitektur#

Anstatt für jeden Rechtsraum separate Systeme zu bauen, zentralisiert der Plattformansatz die Compliance-Logik in konfigurierbaren Richtlinienschichten, die ihr Verhalten an den anwendbaren Rechtsraum anpassen.

• Rechtsraumbewusste Richtlinien-Engine: Eine zentrale Konfiguration, die Rechtsräume ihren spezifischen Anforderungen an Einwilligung, Aufbewahrung, Übermittlungsbeschränkungen und Betroffenenanfrage-Fristen zuordnet.
• Konfigurierbares Daten-Routing: Die Fähigkeit, die Speicherung personenbezogener Daten auf Basis des Rechtsraums der betroffenen Person auf bestimmte geografische Regionen zu lenken.
• Automatisierte Orchestrierung von Betroffenenanfragen: Eine Workflow-Engine, die sämtliche personenbezogenen Daten über alle Teilsysteme hinweg identifiziert, die korrekte Antwortfrist anwendet und überprüfbare Abschlussnachweise erzeugt.
• Verwaltung des Einwilligungslebenszyklus: Granulare Verfolgung der Einwilligung pro Zweck und pro Rechtsraum mit automatisierter Fortpflanzung des Widerrufs.
• Folgenabschätzungen für Übermittlungen: Automatisierte Bewertung grenzüberschreitender Datenflüsse anhand der anwendbaren Übermittlungsmechanismen (Angemessenheit, Standardvertragsklauseln, verbindliche unternehmensinterne Vorschriften, Ausnahmeregelungen).

Die wesentliche Erkenntnis ist, dass Datenschutz-Compliance keine feste Menge von Regeln ist, sondern eine konfigurierbare Richtliniendomäne. Plattformen, die rechtsraumspezifische Anforderungen als Konfiguration statt als Codeänderungen behandeln, können sich an die regulatorische Entwicklung anpassen, ohne ihre Infrastruktur neu zu konstruieren.