Der folgende Beitrag befasst sich mit dem Datentransfer in die USA und erläutert den am 10.07.2023 in Kraft getretenen Angemessenheitsbeschluss der Europäischen Kommission.
Was ist das EU‑U.S. Data Privacy Framework?
Ob Website‑Analyse‑Tools oder Cloud‑Dienstleistungen: US‑Unternehmen sind aus dem modernen Geschäftsleben kaum wegzudenken. Datentransfers personenbezogener Daten unter Einsatz dieser Anbieter lassen sich in vielen Fällen kaum vermeiden, müssen jedoch strengen rechtlichen Anforderungen genügen.
Bereits in der Vergangenheit versuchten die EU und die USA mit dem Safe‑Harbor‑Abkommen und später dem Privacy‑Shield‑Abkommen, eine rechtliche Grundlage für die Übermittlung personenbezogener Daten in die USA zu schaffen. Beide Regelwerke wurden vom Europäischen Gerichtshof für unwirksam erklärt.
Am 10. Juli 2023 hat die Europäische Kommission nun einen neuen Angemessenheitsbeschluss für das Nachfolgeabkommen „EU‑U.S. Data Privacy Framework“ erlassen. Dieser Beschluss soll künftig wieder rechtssichere Datentransfers an teilnehmende US‑Unternehmen ermöglichen.
Eckpunkte des neuen Abkommens
Im Rahmen des neuen Datenschutzabkommens wurden unter anderem folgende Maßnahmen vereinbart:
- In den USA soll ein spezielles Datenschutzgericht eingerichtet werden, das sogenannte Data Protection Review Court, zu dem auch EU‑Betroffene Zugang erhalten sollen.
- Die Zugriffsbefugnisse von US‑Behörden im Bereich Strafverfolgung und nationale Sicherheit wurden durch Executive Order 14086 eingeschränkt und sollen nur noch unter dem Grundsatz der Notwendigkeit und Verhältnismäßigkeit erfolgen.
- Zusätzlich wurden neue Kontroll‑ und Überwachungsmechanismen eingeführt, um die Einhaltung der vereinbarten Datenschutzstandards sicherzustellen.
Was ist ein Angemessenheitsbeschluss?
Ein Angemessenheitsbeschluss im Sinne von Art. 45 DSGVO ist eine Entscheidung der Europäischen Kommission, mit der festgestellt wird, dass ein Drittland oder eine internationale Organisation ein angemessenes Schutzniveau für personenbezogene Daten gewährleistet.
Bei der Bewertung werden unter anderem die innerstaatlichen Rechtsvorschriften, Aufsichtsstrukturen und internationalen Verpflichtungen des jeweiligen Landes berücksichtigt. Liegt ein solcher Beschluss vor, können personenbezogene Daten aus der EU ohne zusätzliche Garantien an dieses Drittland übermittelt werden.
Der Angemessenheitsbeschluss nach Art. 45 DSGVO stellt damit den einfachsten und zugleich rechtssichersten Mechanismus für internationale Datenübermittlungen dar.
Besonderheiten des Angemessenheitsbeschlusses für die USA
Der Angemessenheitsbeschluss der EU‑Kommission gilt nicht pauschal für die Vereinigten Staaten, sondern ausschließlich für Datenübermittlungen im Rahmen des EU‑U.S. Data Privacy Framework. Zulässig sind daher nur Transfers an US‑Unternehmen, die dem neuen Rahmenwerk beigetreten sind.
Ähnlich wie beim früheren Privacy Shield müssen sich US‑Unternehmen, die personenbezogene Daten aus der EU erhalten möchten, aktiv für das neue Abkommen zertifizieren. Die Zertifizierung erfolgt durch Selbstverpflichtung zur Einhaltung der Datenschutzanforderungen sowie durch teilweise Überprüfungen der Umsetzung.
Nach Angaben des US‑amerikanischen Außenministeriums soll eine neue offizielle Website veröffentlicht werden, auf der US‑Unternehmen ihre Zertifizierung für das Data Privacy Framework transparent darstellen können. Diese Plattform soll auch den Übergang vom ehemaligen Privacy Shield zum neuen Datenschutzrahmen ermöglichen.
Aktuell ist noch unklar, ob bestehende Privacy‑Shield‑Zertifizierungen automatisch fortgelten oder ob ein erneuter Selbstverpflichtungs‑ und Zertifizierungsprozess erforderlich sein wird.
Wer ist betroffen?
Betroffen sind alle Unternehmen innerhalb der EU, die US‑Dienste einsetzen und in diesem Zusammenhang personenbezogene Daten in die Vereinigten Staaten übermitteln.
Was können Sie tun?
Das EU‑U.S. Data Privacy Framework erlaubt Datentransfers nur an Organisationen, die durch das US Department of Commerce zertifiziert wurden. EU‑Unternehmen sind daher verpflichtet zu prüfen, ob der jeweilige US‑Dienstleister auf der entsprechenden Zertifizierungsliste geführt wird.
Liegt eine gültige Zertifizierung vor, können personenbezogene Daten grundsätzlich ohne zusätzliche Übertragungsmechanismen wie Standardvertragsklauseln (SCC) übermittelt werden. Dennoch empfiehlt sich eine regelmäßige Überprüfung der Zertifizierungen und der eingesetzten Dienstleister.
Um datenschutzrechtliche Anforderungen im Umgang mit internationalen Dienstleistern dauerhaft im Unternehmen zu verankern, empfehlen sich außerdem Datenschutz‑ & Compliance‑Schulungen für Mitarbeitende.
Haben Sie Fragen zum EU‑U.S. Data Privacy Framework, zu Datenübermittlungen in die USA, Datenschutz, DSGVO oder Compliance‑Pflichten in Ihrem Unternehmen? Wir unterstützen Unternehmen mit praxisnaher Beratung, strukturierten Lösungen und klarer Orientierung. Nehmen Sie gerne unverbindlich Kontakt mit uns auf.