Der EuGH erklärte am 16. Juli 2020 (C-311/18) den EU-US-Privacy-Shield für unwirksam. Dieser war für viele Unternehmen die Grundlage ihrer Datenübertragungen in die USA. Weil diese Rechtfertigung wegbrach, war und ist die Unsicherheit der Unternehmen immer noch groß. Der Entwurf eines neuen Abkommens in Form eines Angemessenheitsbeschlusses der EU-Kommission für die USA könnte diese Unsicherheiten in Kürze beseitigen.
Status quo
Zurzeit ist eine Datenübertragung in die USA nur unter zusätzlichen Schutzmaßnahmen möglich, da es an einem wirksamen Angemessenheitsbeschluss der EU fehlt. Ein Angemessenheitsbeschluss bestätigt gem. Art. 45 Abs. 3 DSGVO einem Drittland ein angemessenes Schutzniveau. Das heißt, dass in diesem Land der Schutz der personenbezogenen Daten, dem Schutz innerhalb der EU gleichwertig ist.
Der zuvor bestehende Angemessenheitsbeschluss (EU-US-Privacy-Shield) wurde vom EuGH für unwirksam erklärt. Die Gründe lagen unter anderem an den Zugriffsmöglichkeiten amerikanischer Behörden und am Fehlen einer unabhängigen Beschwerdeinstanz für Datenschutzverletzungen. Eine geänderte Rechtslage in den USA soll nun einen neuen Angemessenheitsbeschluss ermöglichen.
Änderungen im amerikanischen Recht
Der Kommissionsentwurf bezieht sich auf das von US-Präsidenten Biden erlassene US-Dekret vom 07.10.2022 und die daraufhin erlassenen Verordnungen des US-Generalsekretärs Merrick Garland. Der Zugang von US-Behörden zu EU-Daten soll auf das für die nationale Sicherheit notwendige und verhältnismäßige Maß eingeschränkt werden. US-Unternehmen können sich dem neuen Abkommen und den darin definierten Pflichten unterwerfen. Bspw. werden sie zum Löschen von Daten verpflichtet, nachdem der Zweck erreicht wurde (Zweckbindungsgrundsatz) und es entstehen gesteigerte Anforderungen bei der Weitergabe von Daten an Dritte. Bei Verstößen gegen diese Anforderungen sollen EU-Bürgern Rechtsbehelfe, wie unentgeltliche Streitbeilegungsverfahren oder eine Schiedsstelle, zur Verfügung stehen.
Für Verstöße durch US-Behörden soll EU-Bürgern ein eigens dafür geschaffenes Gericht ein unabhängiges und unparteiisches Rechtsbehelfsverfahren ermöglichen. Das Gericht soll Verstöße und Streitigkeiten unabhängig untersuchen und beilegen, etwa unter Anordnung von Abhilfemaßnahmen.
Entwurf der EU-Kommission
Der Entwurf der EU-Kommission geht davon aus, dass durch diese Maßnahmen und Änderungen im amerikanischen Recht nun ein gleichwertiger Datenschutz in den USA vorhanden ist und die Kritikpunkte des EuGH damit aus der Welt geschafft werden. Der Entwurf sieht auch eine regelmäßige Prüfung vor, in der zu ermitteln ist, ob die Anforderungen an das US-Recht vollständig umgesetzt wurden und auch praktisch wirksam funktionieren. Die erste Prüfung soll binnen eines Jahres stattfinden.
Weiteres Verfahren
Dem Entwurf der EU-Kommission folgt nun das Annahmeverfahren. Der Entwurf wurde dem Europäischen Datenschutzausschuss (EDSA) bereits vorlegt, der dazu Stellung beziehen kann. Anschließend werden die EU-Mitgliedsstaaten durch einen Ausschuss, der aus Vertretern der EU-Mitgliedsstaaten besteht, beteiligt. Nachdem der Ausschuss seine Zustimmung erteilt hat, ist noch das Europäische Parlament zu beteiligen. Diesem steht ein Kontrollrecht zu. Erst nach Abschluss dieses Verfahrens kann die EU-Kommission den endgültigen Angemessenheitsbeschluss verabschieden.
Ausblick
Der neue Angemessenheitsbeschluss soll den Namen „EU-US Datenschutzrahmen“ tragen und im ersten Quartal 2023 verabschiedet werden. Zwar wird auch am neuen Angemessenheitsbeschluss bereits Kritik laut, die EU-Kommission geht jedoch davon aus, dass der neue Beschluss vor dem EuGH bestehen würde. Solange es kein Urteil des EuGH gibt, das die Unwirksamkeit des Beschlusses feststellt, können Unternehmen ihre Datentransfers in die USA auf diesen Angemessenheitsbeschluss stützen. Zusätzlicher Maßnahmen bedarf es dann nicht mehr.
weiterführende Informationen
- Datenübertragung in die USA unter Berufung auf den „Privacy Shield“ nicht zulässig
- Pressemitteilung der Euopäischen Kommission: „Datenschutz: Kommission leitet Verfahren zur Annahme eines Angemessenheitsbeschlusses für einen sicheren Datenverkehr mit den USA ein„
