Mit dem neuen EU-U.S. Data Privacy Framework wurde nun ein neues Datenschutzabkommen zwischen der EU und den USA vereinbart. Das Abkommen bestätigt zertifizierten US-Unternehmen ein angemessenes Datenschutzniveau. Das EU-U.S. Data Privacy Framework ist jedoch mit Vorsicht zu genießen, denn der Beschluss ebnet wohl eher den Weg für eine dritte Runde beim Europäischen Gerichtshof (EuGH). Wir erklären, was Unternehmen in der EU jetzt tun können, ob das EU-U.S. Data Privacy Framework eine nachhaltige Lösung ist und welche Alternativen sich anbieten.
Inhaltsverzeichnis
Aktueller Stand des EU-U.S. Data Privacy Frameworks
Die EU-Kommission nahm am 10. Juli 2023 den Angemessenheitsbeschluss für das EU-U.S. Data Privacy Framework an. Somit können personenbezogene Daten aus der EU wieder in die USA übermittelt werden, ohne dass weitere zusätzliche Garantien erforderlich sind. Dies gilt jedoch nur für Organisationen, die sich dem EU-U.S. Data Privacy Framework anschließen.
Auch die Mehrheit der Mitgliedsstaaten hat sich für den Angemessenheitsbeschluss ausgesprochen.
Warum braucht es das EU-U.S. Data Privacy Framework?
Wenn personenbezogene Daten in ein Drittland (also außerhalb der EU bzw. des Europäischen Wirtschaftsraums – EWR) übertragen werden sollen, fordert die EU-Datenschutz-Grundverordnung (DSGVO) zusätzliche Garantien. Dies kann u.a. ein Angemessenheitsbeschluss der EU-Kommission sein, der besagt, dass im Empfängerland ein angemessenes Datenschutzniveau vorliegt bzw. durch zusätzliche Maßnahmen erreicht werden kann.
Ein solcher Angemessenheitsbeschluss ist auch das EU-U.S. Data Privacy Framework. Es hatte bereits zwei Vorgänger:
- Safe Harbor, 2015 durch den EuGH im sogenannten Schrems-Urteil für ungültig erklärt,
- EU-U.S. Privacy Shield, 2020 vom EuGH im sogenannten Schrems-II-Urteil kassiert.
Das EU-U.S. Data Privacy Framework ist also der dritte Versuch der EU-Kommission, Transfers personenbezogener Daten in die USA ohne zusätzliche Sicherheiten wie Standardvertragsklauseln (Standard Contractual Clauses – SCC) zu ermöglichen.
Was regelt das EU-U.S. Data Privacy Framework (neu)?
US-Unternehmen können sich dem EU-U.S. Data Privacy Framework anschließen, indem sie sich (wie auch zuvor beim EU-U.S. Privacy Shield) zur Einhaltung detaillierter Datenschutzpflichten verpflichten. Hierunter fallen beispielsweise die Pflichten personenbezogene Daten zu löschen, wenn der Zweck, für den sie erhoben worden sind, erreicht ist, oder den Fortbestand des Schutzes zu gewährleisten, wenn personenbezogene Daten an Dienstleister oder Dritte weitergegeben werden.
Auf amerikanischer Seite kümmert sich das U.S. Department of Commerce um die Anträge auf Zertifizierung und die Überwachung der Einhaltung.
Das neue Datenschutz-Abkommen zwischen EU und den USA bringt – zumindest auf dem Papier – einige Verbesserungen gegenüber seinen Vorgängern mit sich. Es werden neue verbindliche Garantien eingeführt, um insbesondere den vom EuGH geäußerten Bedenken Rechnung zu tragen. So ist vorgesehen, dass der Zugang von amerikanischen Nachrichtendiensten zu EU-Daten auf ein notwendiges und verhältnismäßiges Maß beschränkt wird. Außerdem wird ein Gericht zu Datenschutzüberprüfungen, das sogenannte Data Protection Review Court (DPRC), eingeführt, zu dem Betroffene aus der EU Zugang haben.
Der Volltext des EU-U.S. Data Privacy Framework ist hier als PDF verfügbar.
Die EU-Kommission wird gemeinsam mit Vertretern der europäischen Datenschutzbehörden sowie der zuständigen US-Behörde die Funktionsweise des EU-U.S. Data Privacy Frameworks regelmäßig überprüfen. Die erste Überprüfung soll bereits ein Jahr nach dem Inkrafttreten des Angemessenheitsbeschluss erfolgen, um zu ermitteln, ob alle einschlägigen Elemente vollständig im US-Rechtsrahmen umgesetzt wurden und auch tatsächlich in der Praxis funktionieren.
Was bedeutet das EU-U.S. Data Privacy Framework für Unternehmen in der EU?
Das neue Abkommen verspricht für Unternehmen die schon lange ersehnte Rechtsgrundlage, an der es bisher fehlte, um personenbezogene Daten in die USA zu übermitteln. Nach einer dreijährigen Hängepartie, die nun zu Ende geht, erhalten Unternehmen somit grundsätzlich wieder Rechtssicherheit.
Sicher ist aber auch, dass diese Neuregelung erneut von den Gerichten überprüft werden wird. Der Datenschutzaktivist Max Schrems und seine NGO none of your business (noyb), die schon für den Sturz der beiden vorherigen Abkommen mit den USA gesorgt haben, kündigten bereits eine Klage an.
Bei dem neuen EU-U.S. Data Privacy Framework handelt sich wieder um einen sektoralen Ansatz, wonach personenbezogenen Daten nur an die Organisation übermittelt werden dürfen, die sich beim U.S. Department of Commerce zertifiziert haben. Die entsprechende Liste wird vom US Department of Commerce zur Verfügung gestellt. EU-Unternehmen müssen also zunächst überprüfen, ob das amerikanische Unternehmen zertifiziert ist. Ist dies der Fall, können personenbezogene Daten an diese Unternehmen übermittelt werden, ohne Anwendung zusätzlicher Datenschutzgarantien, wie beispielsweise Standardvertragsklauseln (SCC).
Aber auch mit US-Unternehmen, die nicht zertifiziert werden, könnte es in Zukunft einfacher sein, Daten auszutauschen. Sofern ein amerikanisches Unternehmen nicht zertifiziert ist, ist ein Datentransfer vorbehaltlich geeigneter Garantien, wie beispielsweise SCC, möglich. Die Garantien, die von der US-Regierung im Bereich der nationalen Sicherheit eingeführt wurden (einschließlich des Rechtsbehelfsverfahrens), gelten schließlich für alle Datenübermittlungen, unabhängig von den verwendeten Übermittlungsmechanismen. Unternehmen, die den Datenaustausch auf SCC stützen, müssen zwar die in Klausel 14 verpflichtende Daten-Transfer-Folgenabschätzung (Transfer Impact Assessment – TIA) durchführen, sollten nun aber leichter zum Schluss kommen, dass die Rechtslage und -praxis der USA den Datenimporteur nicht an der Erfüllung seiner Pflichten hindern.
Wie können Unternehmen in der EU das EU-U.S. Data Privacy Framework nutzen?
Folgende Schritte sind für Unternehmen, die aus der EU personenbezogene Daten in die USA übermitteln wollen, notwendig:
- Überprüfen Sie, ob der Dienstleister auf der Liste des U.S. Department of Commerce (verfügbar ab 17. Juli 2023) gelistet ist.
Gelisteter bzw. zertifizierter Dienstleister
- Prüfen Sie auch kritisch, in welchen anderen Drittländern das US-Unternehmen Subdienstleister einsetzt. Falls ja, hinterfragen Sie, ob hinreichende Garantien vorliegen und ein TIA durchgeführt wurde.
- Passen Sie Ihre Informationsschreiben und Datenschutzerklärungen bezüglich des Drittlandtransfers entsprechend an.
- Unternehmen, die sich auf das neue Abkommen stützen, müssen daran denken, bestehende SCC zu kündigen. Es handelt sich hier schließlich um ein Vertragswerk, dem die Parteien unterliegen. Klausel 16 e) legt fest, dass die SCC gültig bleiben, bis eine Partei die Zustimmung widerruft. Bitte beachten Sie auch, dass sie dann einen Vertrag zur Auftragsverarbeitung abschließen müssen, sofern dieser nicht vorhanden ist.
Nicht gelisteter bzw. zertifizierter Dienstleister
- Sorgen Sie für hinreichende Garantien nach 46 DSGVO, zum Beispiel SCC.
- Bewerten Sie im Rahmen eines Transfer-Impact-Assessments (TIA), ob die personenbezogenen Daten in dem Empfängerland innerhalb eines gleichwertigen Datenschutzniveaus geschützt sind, wie in der EU. Ergreifen Sie wenn notwendig zusätzliche Maßnahmen, um den Schutz der personenbezogenen Daten der Betroffenen zu garantieren.
Fazit: Nur ein kurzer Lichtblick
Auch wenn jetzt erst einmal Ruhe herrscht und der Angemessenheitsbeschluss der EU den Datentransfer zwischen der EU und der USA erheblich erleichtern wird, ist dies wohl mit Vorsicht zu genießen. Es steht außer Frage, dass der Angemessenheitsbeschluss angefochten und dem EuGH zur Überprüfung vorgelegt wird.
Ein Urteil könnte diesmal zudem bedeutend schneller erreicht werden, da sich im Grunde nicht viel geändert hat. Die neue Vereinbarung ist weitgehend eine Kopie alter Prinzipien. Die US-Nachrichtendienste haben in der Realität weiterhin weitgreifende Überwachungsmöglichkeiten und auch das Rechtsbehelfsverfahren ist eher eine Farce.
Unternehmen in der EU, die sich nun auf diesem Angemessenheitsbeschluss ausruhen, sollten gewarnt sein und diesen mit Vorsicht genießen. Des Weiteren wird oftmals nicht bedacht, dass auch amerikanische Unternehmen Dienstleister einsetzen, die sich in anderen Drittländern, wie zum Beispiel Indien, China, etc. befinden. Somit ist es nicht ausreichend, wenn ein US-Unternehmen nach dem neuen Datenschutzrahmen zertifiziert ist. Es muss weiterhin überprüft werden welche Subdienstleister eingesetzt werden und ob für diese geeignete Garantien gemäß Art. 46 DSGVO vorliegen.
Aus wirtschaftlicher Sicht wäre ein stabiles Datenschutzabkommen mit den USA sehr zu begrüßen. Bis dahin empfehlen wir wie bisher wenn möglich auf europäische Dienstleister zu setzen.
Für kompakten Wissenstransfer zum rechtskonformen Umgang mit personenbezogenen Daten im Marketing empfehlen wir Ihnen unseren aktuellen Kurs der B2B-Kompetenz-Werkstatt: Dieser Kurs will Sensibilität für mögliche Stolperfallen schaffen und klären, wie Marketingmaßnahmen rechtskonform umgesetzt werden können. Folgende drei Praxisfelder werden dabei behandelt: der rechtskonforme Umgang mit personenbezogenen Daten, die Verwendung von echten sowie KI-generierten Bildern unter Berücksichtigung des Persönlichkeits- und Urheberrechts sowie die rechtlichen Grundlagen für Corporate Social-Media-Marketing, insbesondere beim Einsatz von Markenbotschaftern.
Lesen Sie in unserem Glossareintrag zur DSGVO nochmal kompakt alle Informationen zur rechtlichen Grundlage. Den Beitrag finden Sie hier!