CIO.de: Wird das mittelfristig passieren?

Schaar: Es ist ja in vollem Gang. Auf europäischer Ebene haben wir seit 1995 ein gemeinsames Verständnis durch den laufenden Reformprozess. Die Harmonisierung wird weiter voran schreiten. Durch die neue Verordnung, die die EU-Kommission vorgeschlagen hat, soll sich die Kooperation zwischen den Datenschutzbehörden verbessern.

Auf der anderen Seite gibt es viele Bemühungen, international auf einen gemeinsamen Nenner zu kommen. 2011 ist die FTC erstmals als Vollmitglied in der internationalen Datenschutzkonferenz akzeptiert worden. Auf allen Ebenen wird diskutiert. Ob wir auch eine UN-Konvention zum Datenschutz bekommen, steht allerdings noch nicht fest. Die Vorarbeit hierzu wurde bereits 2009 auf der Internationalen Datenschutzkonferenz in Madrid geleistet.

In den USA fehlt ein generelles Datenschutzgesetz

CIO.de: Wo gibt es noch weiße Flecken auf der Karte des Datenschutzes?

Schaar: Das sind zum einen Staaten, die keine Rechtsstaaten sind. Dort ist jegliche Form des Datenschutzes, wie wir ihn verstehen, noch nicht einmal rudimentär gewährleistet, weil es eben keinerlei Rechtsschutz gibt. Selbst wenn ein autoritärer Staat ein Datenschutzgesetz erlässt, bietet das keine Gewähr, dass die Rechte auch wirklich durchgesetzt werden können. Datenschutz setzt rechtsstaatliche Verhältnisse voraus.

Zum anderen gibt es Staaten, die keine Datenschutzgesetze haben oder in denen sich diese nur auf bestimmte Bereiche beschränken. In den USA etwa gibt es nur drei bereichsspezifische Regeln zum Datenschutz - im Bereich des Bankensektors, der Gesundheitsinformationen und des Kinderschutzes. Ein generelles Datenschutzgesetz fehlt. Dafür existiert dort die Vorstellung von „fair information practices". Danach dürfen Unternehmen nicht von dem abweichen, was sie ihren Kunden versprochen haben.

CIO.de: Sind Sie zufrieden damit, wie deutsche CIOs mit den Daten in ihren Unternehmen umgehen?

Schaar: Gerade bei Datenübermittlungen außerhalb Europas sind die CIOs gefordert, ein angemessenes Schutzniveau der personenbezogenen Daten in ihrem Unternehmen sicherzustellen. Hier haben sich verbindliche Unternehmensregelungen, sogenannte Binding Corporate Rules (BCR), als praktikabel erwiesen.