Die USA verschärfen trotz rückläufiger Besucherzahlen ihre Einreisebestimmungen. Die geplanten Maßnahmen nehmen dabei zunehmend digitale Daten von Reisenden in den Blick. Über Passkontrollen und Zollabfragen hinaus, werden bereits seit einiger Zeit umfassende Überprüfungen der digitalen Identität vorgenommen. Für Unternehmen mit internationalen Geschäftsbeziehungen stellt sich damit die Frage, welche Risiken für die staatenübergreifende Zusammenarbeit und Geschäftsreisende entstehen.
Verpflichtende Angaben zu Social Media, Kontakten und biometrischen Merkmalen
US‑Behörden und insbesondere die Customs and Border Protection (CBP) entwickeln das bestehende Einreise‑ und Kontrollsystem derzeit tiefgreifend weiter. Diese Entwicklungen umfassen nunmehr verpflichtende Angabe zur Social‑Media‑Historie der letzten fünf Jahre bei ESTA-Anträgen aber im Rahmen neuer ESTA-Regelungen auch die Erhebung zusätzlicher Daten wie die E-Mail-Historie der letzten zehn Jahre, Telefonnummern der letzten fünf Jahre, Familieninformationen und biometrische Merkmale wie Gesichtsbilder oder Fingerabdrücke. Zudem ist eine deutlich erweiterte Nutzung digitaler Identitätsprüfungen, u. a. durch den geplanten Umstieg auf eine „mobile-only ESTA‑App“ mit „liveness detection“ und Auswertung von Pass-Chip-Daten geplant sowie der Aufbau eines weitreichenden digitalen Analyse-Regimes zur Risikobewertung, das Social Media, Geodaten, biometrische Informationen und Metadaten verknüpft. Auch wenn die Quellen nicht ausdrücklich von “KI-Systemen” sprechen, ist klar dokumentiert, dass CBP eine automatisierte, datengetriebene Risikobewertung plant, die einer KI-gestützten Profilbildung funktional nahekommt. Parallel dazu wird das bestehende I-94 System zur Erfassung von Ein- und Ausreisen weiter ausgebaut und digitalisiert. Bereits heute sind allerdings Gerätekontrollen durch CBP rechtlich möglich und werden zunehmend häufiger durchgeführt.
Warum diese Maßnahmen?
Laut mehreren Federal-Register-Notices und CBP-Initiativen sollen die Änderungen, Identitätsbetrug reduzieren, Sicherheitsrisiken früher erkennen, die digitale Identitätsprüfung vereinheitlichen und neue technische Möglichkeiten (z. B. NFC‑Chips, Gesichtserkennung) ausschöpfen Es handelt sich also um eine gezielte Erweiterung staatlicher Analyse- und Kontrollmöglichkeiten in Form umfassender, digital gestützter Einreisebestimmungen.
Worauf sollten Unternehmen achten und sich vorbereiten?
- Schutz sensibler Unternehmensdaten: Geschäftsreisende führen häufig sensible Informationen mit sich – etwa auf Laptops oder Smartphones. Da CBP digitale Geräte „ohne Verdacht“ im Rahmen eines „Basic Search“ einsehen darf, können Geschäftsreisende sensible Daten preisgeben müssen.
- Datenschutzrechtliche Risiken: Aus europäischer Sicht kann die Offenlegung personenbezogener Daten gegenüber US-Behörden problematisch sein, da die Einreisegrenze außerhalb der DSGVO‑Schutzzone liegt. Weitergabe personenbezogener oder unternehmensbezogener Daten an US‑Behörden ist daher regelmäßig mit Compliance‑Risiken nach EU‑Recht verbunden.
- Notwendige Anpassungen interner Richtlinien: Angesichts der neuen Anforderungen sollten Unternehmen prüfen, ob sie interne Richtlinien anpassen müssen. Denkbar wären Bestimmungen zur Nutzung von „Clean Devices“ für US‑Reisen, klare Anweisungen zum Umgang mit Behördenanfragen und Sensibilisierung von Mitarbeitenden für typische Risiken.
- Arbeitsrechtliche Überlegungen: Arbeitgeber stehen in der Verantwortung, ihre Mitarbeitenden über Risiken aufzuklären und sie zu schützen. Gleichzeitig müssen sie abwägen, welche Reisen noch vertretbar sind.
Fazit
Die Grenzen der Zukunft verlaufen nicht mehr nur geografisch sondern auch digital. Für Reisende – insbesondere für Geschäftsreisende – wird der US‑Grenzübertritt zunehmend zu einem umfassenden Daten-Check, lange bevor sie den Flughafen tatsächlich betreten. Unternehmen sollten diese Entwicklungen ernst nehmen und ihre Prozesse frühzeitig anpassen, um rechtliche Risiken und Datenverluste zu vermeiden.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
