Am 26. Januar 2026 stellte die Europäische Kommission offiziell fest, dass Brasilien ein mit der Europäischen Union vergleichbares Schutzniveau für die Verarbeitung personenbezogene Daten bietet und damit die Anforderungen des Art. 45 DS-GVO erfüllt. Mit diesem Angemessenheitsbeschluss wird die Übermittlung personenbezogener Daten von der Europäischen Union nach Brasilien deutlich erleichtert, da keine zusätzlichen Übermittlungsinstrumente wie Standardvertragsklauseln oder Binding Corporate Rules erforderlich sind. Für Organisationen bedeutet dies eine spürbare Vereinfachung und erhöhte Rechtssicherheit bei Datenübermittlungen nach Brasilien.

Was ist ein Angemessenheitsbeschluss?

Werden personenbezogene Daten an Organisationen außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums übermittelt, reicht eine allgemeine Rechtsgrundlage (z. B. vertragliche Grundlage, berechtigtes Interesse) allein nicht aus. Zusätzlich müssen die Anforderungen aus Kapitel V der DS-GVO erfüllt sein. Ziel ist es dabei, dass das europäische Datenschutzniveau auch bei einer Verarbeitung in sogenannten Drittländern gewahrt bleibt. Hier setzt der Angemessenheitsbeschluss an: Die Europäische Kommission kann feststellen, dass ein bestimmtes Drittland oder eine internationale Organisation ein der Europäischen Union vergleichbares Datenschutzniveau bietet.

Maßgeblich sind dabei gemäß Art. 45 Abs. 2 DS-GVO:

• Die Rechtsstaatlichkeit, die Achtung der Menschenrechte und Grundfreiheiten, einschlägige Rechtsvorschriften, auch in Bezug auf die öffentliche Sicherheit, Verteidigung, nationale Sicherheit und Strafrecht sowie der Zugang der Behörden zu personenbezogenen Daten, die Anwendung dieser und datenschutzrechtlicher Vorschriften sowie die Möglichkeit zur Durchsetzung von Rechten der betroffenen Person und die Wirksamkeit der verwaltungsrechtlichen und gerichtlichen Rechtsbehelfe;

• Die Existenz und wirksame Funktionsweise unabhängiger Aufsichtsbehörden für die Einhaltung und Durchsetzung datenschutzrechtlicher Vorschriften, einschließlich angemessener Durchsetzungsbefugnisse sowie für die Unterstützung und Beratung von betroffenen Personen bei der Ausübung ihrer Rechte und für die Zusammenarbeit mit Aufsichtsbehörden anderer Mitgliedstaaten;

• Die eingegangenen internationalen Verpflichtungen, die sich aus rechtsverbindlichen Übereinkünften oder Instrumenten sowie aus der Teilnahme an multilateralen oder regionalen Systemen insbesondere in Bezug auf den Schutz personenbezogener Daten ergeben.

Wird ein solches angemessenes Schutzniveau festgestellt, dürfen personenbezogene Daten in dieses Land grundsätzlich ohne zusätzliche Garantien (z. B. Standardvertragsklauseln oder Binding Corporate Rules) übermittelt werden – der Angemessenheitsbeschluss wirkt damit wie eine „datenschutzrechtliche Brücke“ und vereinfacht internationale Datenübermittlungen erheblich. Um sicherzustellen, dass das festgestellte Schutzniveau weiterhin besteht, überprüft die Europäische Kommission bestehende Angemessenheitsbeschlüsse regelmäßig.

Hintergründe zum Angemessenheitsbeschluss für Brasilien

Mit Blick auf Brasilien ist insbesondere die strukturelle Annäherung des dortigen Datenschutzrechts an europäische Standards hervorzuheben. Die brasilianische „Lei Geral de Proteção de Dados“ (LGPD) orientiert sich systematisch an zentralen Prinzipien der DS-GVO, darunter Transparenz, Zweckbindung, Datenminimierung sowie umfassende Betroffenenrechte. Auch die Existenz einer eigenständigen Datenschutzaufsichtsbehörde (Autoridade Nacional de Proteção de Dados – ANPD) war ein wesentlicher Bestandteil der Bewertung. Diese institutionellen und materiell-rechtlichen Parallelen bildeten die Grundlage für die positive Entscheidung der Europäischen Kommission.

Für Organisationen mit Niederlassungen, Auftragsverarbeitern oder Geschäftspartnern in Brasilien vereinfacht der Angemessenheitsbeschluss die praktische Umsetzung von Datentransfers erheblich. Bestehende Standardvertragsklauseln oder andere Transferinstrumente, die ausschließlich zur Absicherung des Drittlandtransfers implementiert wurden, können überprüft und gegebenenfalls angepasst werden. Dadurch lassen sich vertragliche Strukturen und interne Prozesse verschlanken.

Wichtig bleibt jedoch: Der Angemessenheitsbeschluss ersetzt nicht die übrigen Anforderungen der DS-GVO. Für jede Verarbeitung ist weiterhin eine belastbare Rechtsgrundlage erforderlich. Zudem müssen die allgemeinen Grundsätze – etwa Zweckbindung, Datenminimierung, Speicherbegrenzung und Datensicherheit – eingehalten werden. Auch Informationspflichten, Betroffenenrechte sowie Dokumentations- und Rechenschaftspflichten gelten unverändert fort. Der Beschluss schafft damit operative Erleichterungen bei Datenübermittlungen nach Brasilien, entbindet Unternehmen jedoch nicht von einem strukturierten und ganzheitlichen Datenschutzmanagement.

Fazit

Der Angemessenheitsbeschluss für Brasilien stellt für international tätige Organisationen einen relevanten Schritt zur Vereinfachung grenzüberschreitender Datenflüsse dar. Datenübermittlungen können künftig auf einer stabilen unionsrechtlichen Grundlage erfolgen, ohne dass zusätzliche Übermittlungsinstrumente erforderlich sind. Gleichzeitig bleibt jedoch festzuhalten: Die Erleichterung betrifft ausschließlich die Transfermechanik. Die weiteren Anforderungen der DS-GVO gelten unverändert fort.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Security & Privacy wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Bereits vor zwei Wochen berichteten wir im Rahmen eines Blog-Beitrags über die aktuellen Entwicklungen in den USA mit Blick auf das EU-U.S. Data Privacy Framework (DPF) und möglichen Folgen für Verantwortliche. In einem kürzlich auf LinkedIn veröffentlichten Beitrag wird nun deutlich, dass das DPF womöglich kurz vor dem Aus stehen könnte: Die Europäische Kommission wird seitens Mitgliedern des Europäischen Parlaments aufgefordert, die Grundlagen des Angemessenheitsbeschlusses zu prüfen.

Schreiben an die Europäische Kommission

Das veröffentliche Schreiben des Vorsitzenden des Ausschusses für bürgerliche Freiheiten, Justiz und Inneres (LIBE), Javier Zarzalejos, enthält eine an den EU-Kommissar für Demokratie, Justiz und Rechtsstaatlichkeit, Michael McGrath, gerichtete Aufforderung, zu prüfen, inwiefern sich die aktuellen Entwicklungen in den USA auf den Angemessenheitsbeschluss, insbesondere unter Berücksichtigung des Schrems II – Urteils, auswirken. Konkret heißt es:

„The LIBE Committe has learned that some members of the PCLOB were recently removed by the White House from their positions. As there ist only one out of five Board members remaining, the PCLOB is no longer operational due to not reaching the minimum level of members required to have a quorum. Therefore, I would be grateful if you could provide me wit he Commissions’s assessment of whether the above-mentioned changes affect the adequacy of the Data Privacy Framework, including whether the mechanism still meets the requirements of „essential equivalence“ as established by the Court of Justice in case C-311/18 Schrems II.“

Die Darstellungen decken sich insoweit auch mit einer Berichterstattung von Bloomberg. Abzuwarten bleibt, wie sich die Europäische Kommission hierzu verhält beziehungsweise ob und wann möglicherweise eine Aberkennung des Angemessenheitsbeschlusses erfolgt.

Mögliche Folgen

In den Kommentaren des benannten LinkedIn-Beitrags wird kontrovers diskutiert, welche konkreten Folgen eine mögliche Aberkennung des Angemessenheitsbeschlusses haben könnte. Schließlich bestehen neben einem Angemessenheitsbeschluss (Art. 45 DS-GVO) noch eine Reihe weiterer Übermittlungsgrundlagen, mittels derer die Übermittlung personenbezogener Daten in die USA legitimiert werden könnte. Allen voran sind die seitens der Europäischen Kommission verabschiedeten Standardvertragsklauseln zu benennen.

Oftmals wird jedoch übersehen, dass nicht in allen Sektoren ein Wechsel auf die Standardvertragsklauseln erfolgen kann. So heißt es zum Beispiel in § 80 Abs. 2 SGB X: „Der Auftrag zur Verarbeitung von Sozialdaten darf nur erteilt werden, wenn die Verarbeitung im Inland, in einem anderen Mitgliedstaat der Europäischen Union, in einem diesem nach § 35 Absatz 7 des Ersten Buches gleichgestellten Staat, oder, sofern ein Angemessenheitsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 vorliegt, in einem Drittstaat oder in einer internationalen Organisation erfolgt.“ Eine Übermittlung auf Grundlage der Standardvertragsklauseln ist demnach explizit nicht vorgesehen.

Weiterhin muss kritisch hinterfragt werden, inwiefern eine Datenübermittlung in der Breite überhaupt noch auf die Standardvertragsklauseln gestützt werden könnte. Schließlich bedarf der Abschluss der Standardvertragsklauseln nach Klausel 14 die Durchführung einer Transferfolgenabschätzung, wonach ebenfalls die „relevanten Rechtsvorschriften und Gepflogenheiten des Bestimmungsdrittlandes“ gebührend berücksichtigt werden müssen. Unter Wahrnehmung der derzeit stattfinden Einwirkungen auf rechtsstaatliche Prinzipien, wird eine objektiv durchgeführte und nicht vom (positiven) Ergebnis her argumentierte Transferfolgenabschätzung des Öfteren negativ ausfallen werden müssen.

Insofern wird zukünftig eine stärkere Fokussierung auf umzusetzende technische Maßnahmen zu legen sein. Allen voran ist hierbei die Verschlüsselung nach aktuellem Stand der Technik zu nennen, wobei diese wohl auch nur dann als wirksamer Schutzmechanismus bezeichnet werden kann, wenn eine Verwaltung der Schlüssel nicht durch den identischen oder einen weiteren US-Dienstleister erfolgt. Diese Anforderung mag zwar banal klingen, findet in der Praxis jedoch meist zu wenig Berücksichtigung. Mit Umsetzung einer wirksamen Verschlüsselung können datenschutzrechtliche Problematiken reduziert oder ganz ausgeschlossen werden. Jedoch muss ebenfalls darauf hingewiesen werden, dass eine Reihe verbreiteter Cloud-Dienste mit verschlüsselten Informationen nicht (vollständig) nutzbar sind.

Spätestens an dieser Stelle ergibt sich die Empfehlung zur Prüfung vergleichbarer Software-Alternativen mit Verarbeitungsort innerhalb der Europäischen Union – wohlwissend, dass sich auch hierüber nicht immer eine passende Lösung finden lassen wird.

Fazit

Auch nach wie vor ist zum gegenwärtigen Zeitpunkt keine Panik angebracht. Die ersten Anzeichen machen jedoch deutlich, dass noch in diesem Jahr eine Änderung der Rechtslage eintreten könnte. Insofern bleibt es bei dem Resümee des vor kurzem veröffentlichten Blog-Beitrags: Verantwortliche sollten sich zumindest einen möglichen Plan B ohne EU-U.S. Data Privacy Framework zurechtlegen.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Security & Privacy wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Es vergeht derzeit wohl kaum ein Tag, an dem die neue Regierung um US-Präsident Donald Trump nicht für neue Schlagzeilen sorgt. Einige der Entscheidungen, die derzeit in Washington, D. C. getroffen werden, könnten sich auch auf datenschutzrechtliche Aspekte in Europa auswirken. So drohen Verantwortlichen, die personenbezogene Daten derzeit auf Grundlage des EU-U.S. Data Privacy Frameworks in die USA übermitteln, erneut rechtliche Unsicherheiten. Unter Berücksichtigung der oftmals selbstverständlichen Nutzung von Cloud- und KI-Anwendungen US-amerikanischer Anbieter, könnte dies eine Vielzahl von Unternehmen, Behörden und Vereinen treffen.

Was ist das EU-U.S. Data Privacy Framework (DPF)?

Mit dem DPF wird zertifizierten Unternehmen in den USA ein im Verhältnis zur Europäischen Union vergleichbares Datenschutzniveau attestiert. Es räumt Bürgern der Europäischen Union gegenüber US-amerikanischen Unternehmen neue Rechte ein, zum Beispiel das Recht auf Auskunft, das Recht auf Berichtigung, das Recht auf Löschung unrichtiger oder unrechtmäßig verarbeiteter personenbezogener Daten. Weiterhin bestehen verschiedene Rechtsbehelfe sowie unabhängige Streitbeilegungsmechanismen und ein Schlichtungsgremium.

Die US-amerikanischen Unternehmen können ihre Teilnahme am DPF zertifizieren lassen, indem diese sich verpflichten, verschiedene datenschutzrechtliche Anforderungen (z. B. Zweckbindung, Datenminimierung) einzuhalten. Die Zertifizierungsanträge werden durch das US-Handelsministerium bearbeitet. Dieses überwacht ebenfalls, ob die teilnehmenden Unternehmen die Zertifizierungsanforderungen weiterhin erfüllen.

Möglich ist ein solches Vorgehen auf Grundlage des Art. 45 DS-GVO, wonach die Europäische Kommission unter Prüfung verbindlich definierter Kriterien sogenannte Angemessenheitsbeschlüsse treffen kann. Vorteil: In die betreffenden Länder kann eine Übermittlung personenbezogener Daten auf Grundlage des Angemessenheitsbeschlusses erfolgen. Es bedarf sodann – neben der Beachtung der sonstigen datenschutzrechtlichen Vorschriften – keiner weiteren besonderen Vorkehrungen, wie beispielsweise des Abschlusses von Standardvertragsklauseln und der Durchführung einer Transferfolgenabschätzung.

Wieso könnte das EU-U.S. Data Privacy Framework in Gefahr sein?

Möglich wurde das DPF insbesondere aufgrund von Änderungen der Rechtslage in den USA: Nachdem im März 2022 bekannt wurde, dass die EU und die USA an einem Nachfolgeabkommen zum EU-US-Privacy Shield arbeiten, erfolgte im Oktober 2022 der Erlass einer Executive Order über die Verbesserung der Garantien für US-Signalspionagetätigkeiten (Executive Order (EO) 14086). Hierdurch wurde die Grundlage für die Umsetzung des DPF geschaffen. Auf Grundlage der Executive Order folgte am 13. Dezember 2022 der Beschlussentwurf der Europäischen Kommission über die Angemessenheit des Schutzniveaus personenbezogener Daten nach dem DPF.

Mittels Executive Orders (deutsch: Durchführungsverordnung) können US-Präsidenten ohne Zustimmung des Kongresses rechtlich verbindliche Regelungen erlassen. Diese gelten zeitlich unbefristet, können jedoch durch einen amtierenden US-Präsidenten zu jeder Zeit abgeändert oder zurückgenommen werden.

Einerseits steht nun die benannte Executive Order, auf der das DPF beruht, in ihrer Gesamtheit auf der Kippe. Andererseits habe die US-Regierung bereits die demokratischen Mitglieder des Privacy und Civil Liberties Oversight Board (PCLOB) zum Rücktritt aufgefordert. Dies stellt eine unmittelbare Gefährdung der Funktionsfähigkeit des PCLOB dar, welches unter anderem für die Überwachung der Einhaltung der Vorgaben des DPF ist. Insofern könne auch die Begrenzung der Zugriffe von US-Geheimdiensten auf ein notwendiges und verhältnismäßiges Maß nicht mehr hinreichend kontrolliert werden.

Eine derartige Entwicklung könnte nun dafür sorgen, dass die Europäische Kommission den bestehenden Angemessenheitsbeschluss widerruft, ändert oder aussetzt (Art. 45 Abs. 5 DS-GVO). Aber auch im Rahmen eines Verfahrens vor dem Europäischen Gerichtshof könnte der Angemessenheitsbeschluss auf Grundlage des DPF kassiert werden. Ein Schicksal, dass bereits die Vorgänger-Abkommen „Safe Harbour“ und „Privacy Shield“ ereilte. Konkrete Anzeichen lassen sich derzeit jedoch noch (?) für keines der beiden Szenarien finden.

Wie sollten Verantwortliche mit der Situation umgehen?

In jedem Fall empfiehlt es sich, einen genauen Überblick darüber zu haben, inwieweit personenbezogene Daten in die USA (und andere Länder außerhalb der Europäischen Union) übermittelt und cloudbasierte Anwendungen von Anbietern mit Sitz in diesen Ländern verwendet werden. Insbesondere sofern solche Übermittlungen im Rahmen von geschäftskritischen Prozessen stattfinden, sollten alternative Übermittlungsmechanismen (z. B. Standardvertragsklauseln) geprüft und vorbereitet oder zumindest bereitgehalten werden.

Darüber hinaus empfiehlt sich stets eine Prüfung, ob mittels vergleichbarer Software-Alternativen mit Verarbeitungsort innerhalb der Europäischen Union derartige Datenübermittlungen für die Zukunft reduziert werden könnten. Weiterhin können auch geeignete und wirksame Verschlüsselungsverfahren angewandt werden. Hierbei sollte jedoch stets ein kritischer Blick darauf gelegt werden, an welchem Ort und durch wen die zugehörigen Schlüssel verwaltet werden.

Panik ist zum gegenwärtigen Zeitpunkt nicht angebracht. Verantwortliche sollten sich jedoch der Risiken bewusst sein und sich zumindest einen möglichen Plan B ohne EU-U.S. Data Privacy Framework zurechtlegen.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Security & Privacy wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Die Vorweihnachtszeit in der Datenschutzwelt war geprägt durch eine Vielzahl von Urteilen des Europäischen Gerichtshofes (EuGH), wie wir im Rahmen unseres Jahresrückblicks teilweise schon dargestellt haben. Hierbei ist ein Urteil aus Deutschland fast übersehen wurden, was diesem aufgrund seiner Bedeutung beziehungsweise der vielfach zugemessenen Bedeutung nicht gerecht würde. Gemeint ist das Urteil des OLG Köln vom 3.11.2023 – Az.: 6 U 58/23. Zum Teil wird aus dem Urteil geschlussfolgert, dass das OLG Köln das Data Privacy Framework für unzulässig erklärt habe, was selbstredend nicht stimmt, wie bereits durch den Kollegen Carlo Piltz zutreffend dargestellt wurde. Worum es in dem Urteil wirklich geht und welche Auswirkungen für die Praxis zu erwarten sind, soll im nachstehenden Beitrag näher dargestellt werden.

Was ist eigentlich Inhalt des Urteils?

Gegenstand des Verfahrens war die Internetpräsenz www.telekom.de der Telekom Deutschland GmbH. Der Seite war ein sogenanntes Cookie-Banner vorgeschalten, mit welchem unter Verweis auf die Datenschutzinformationen die Einwilligung in die Verwendung von Analyse- und Marketing-Cookies eingeholt wurde. Die Klägerin, die Verbraucherzentrale NRW, beanstandete die Einbindung von Google Analytics. In erster Instanz befand das LG Köln mit Urteil vom 23. März 2023 – Az.: 33 O 376/22 die Einbindung als rechtswidrig, da eine unzulässige Datenübermittlung in die USA erfolge und mithin kein ausreichendes Datenschutzniveau gewährleistet werden könne.

Die Telekom Deutschland GmbH übermittelte bei Aufruf der Seite die IP-Adresse, Informationen über den genutzten Browser und das genutzte Endgerät der Nutzer an Server der Google LLC in den USA. Das LG Köln nahm in seinem Urteil unter anderem Bezug auf die Standarddatenschutzklauseln nach Art. 46 Abs. 2 lit. c) DS-GVO.

Zur Erinnerung: Am 10. Juli 2023 hat die Europäische Kommission den Angemessenheitsbeschluss nach dem EU-U.S. Data Privacy Framework angenommen. Das Data Privacy Framework stellt einen Angemessenheitsbeschluss im Sinne des Art. 45 DS-GVO dar. Damit wird den USA ein im Vergleich zur Europäischen Union vergleichbares Datenschutzniveau attestiert. Das EU-U.S. Data Privacy Framework räumt Bürgern der Europäischen Union gegenüber US-amerikanischen Unternehmen neue Rechte ein (z.B. das Recht auf Auskunft, das Recht auf Berichtigung, das Recht auf Löschung unrichtiger oder unrechtmäßig verarbeiteter personenbezogener Daten). Weiterhin bestehen verschiedene Rechtsbehelfe sowie unabhängige Streitbeilegungsmechanismen und ein Schlichtungsgremium. Die US-amerikanischen Unternehmen können ihre Teilnahme am EU-U.S. Data Privacy Framework zertifizieren lassen, indem diese sich verpflichten, verschiedene datenschutzrechtliche Anforderungen (z.B. Zweckbindung, Datenminimierung) einzuhalten.

Das OLG Köln hat sich sodann im Rahmen des Berufungsverfahrens mit der erstinstanzlichen Entscheidung befasst. Das Gericht beanstandet in seiner Entscheidung die Übermittlung personenbezogener Daten an Server der Google LLC sowohl für den Zeitraum vor als auch nach Geltung der des EU-U.S. Data Privacy Framework.

Und was ist nun durch das OLG Köln wirklich entschieden worden?

Das OLG Köln stuft die Datenübermittlungen mangels wirksamer Rechtsgrundlage nach Art. 6 DS-GVO, hier konkret in Ermangelung einer entsprechenden Einwilligung, als unzulässig ein:

„Die Datenübermittlung war auch unzulässig, da sie nicht von einem Erlaubnistatbestand der DSGVO gedeckt war.“ Und weiter heißt es: „Die Datenübertragung an die Google LLC und damit in die USA war vor Geltung des DPF nicht durch Erlaubnistatbestände der DSGVO gedeckt. Denn die Übermittlung war weder nach Art. 46 Abs. 1 DSGVO aufgrund geeigneter Garantien für ein angemessenes Datenschutzniveau in den USA als Drittland […] noch aufgrund einer Einwilligung nach Art. 49 Abs. 1 S. 1 lit. a) DSGVO […] zulässig.“

In Bezug auf die Standarddatenschutzklauseln wird festgehalten: „Insofern reicht es jedoch nicht aus, dass die Beklagte sich auf Standardvertragsklauseln im Verhältnis zwischen Google und Google Ireland Ltd. […] sowie auf zusätzliche Maßnahmen, die von Google in den sogenannten „Google Ads IDTI“ […] ausgeführt werden, stützt. Denn der EuGH hat in seiner Entscheidung „Schrems II“ […] zunächst klargestellt, dass die Verwendung von Standardvertragsklauseln zwar im Verhältnis der Vertragsparteien relevant sei, aber keinen Schutz vor Maßnahmen der Behörden von Drittstaaten biete, weil diese durch die vertragliche Vereinbarung nicht gebunden seien. Deshalb gebe es Situationen, in denen die in den Klauseln enthaltenen Regelungen kein ausreichendes Mittel darstellten, um den effektiven Schutz von in das betreffende Drittland übermittelten personenbezogenen Daten zu gewährleisten […].“

Das nunmehr in Kraft getretene EU-U.S. Data Privacy Framework stellt nach Ansicht des OLG Köln sogar ein entsprechende Übermittlungsgrundlage dar:

„Der unter dem 10.07.2023 gefasste Beschluss der EU-Kommision mit dem Titel „EU US Data Privacy Framework“ […] stellt nunmehr in den USA ein angemessenes Datenschutzniveau fest und entfaltet unmittelbare Wirkung, so dass Datenübermittlungen in das betreffende Land keiner besonderen aufsichtsbehördlichen Genehmigung bedürfen […]. Auf der Grundlage des neuen Angemessenheitsbeschlusses können personenbezogene Daten aus der EU an solche US-Unternehmen übermittelt werden, die an dem DPF teilnehmen […].“

Vielmehr führt das Gericht weiter aus: „Auch bei Vorliegen eines Angemessenheitsbeschlusses müssen die übrigen – allgemeinen – Anforderungen an eine zulässige Datenverarbeitung erfüllt sein, wozu unter anderem das Erfordernis der in Kapitel II der DSGVO geregelten Einwilligung (Art. 6, 7 DSGVO) gehört […] Daran fehlt es im Streitfall […].“ Und dies dürfte der springende Punkt der Entscheidung sein, wie man so schön sagt. Der Entscheidung des OLG Köln ist zu entnehmen, dass die streitgegenständliche Datenübermittlung nicht auf der Stufe der Prüfung einer Rechtsgrundlage zur Übermittlung der Daten an datenschutzrechtliche Drittländer (vgl. Artt. 45 ff. DS-GVO) scheitert, sondern bereits an den Grundsätzen der Datenverarbeitung, insbesondere dem Vorliegen einer belastbaren Rechtsgrundlage gemäß Art. 6 DS-GVO.

Interessant für die Praxis ist, was anschließend folgt: „Denn ebenso wie im Kontext des Art. 49 Abs. 1 S. 1 lit. a) DSGVO ist die eingeholte Einwilligung, die nunmehr Art. 6 Abs. 1 S. 1 lit. a) DSGVO unterfällt, unwirksam. Eine Einwilligung im Sinne der letzteren Vorschrift erfordert, dass der für die Verarbeitung Verantwortliche der betroffenen Person eine Information über alle Umstände im Zusammenhang mit der Verarbeitung der Daten in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zukommen lässt, da dieser Person insbesondere die Art der zu verarbeitenden Daten, die Identität des für die Verarbeitung Verantwortlichen, die Dauer und die Modalitäten dieser Verarbeitung sowie die Zwecke, die damit verfolgt werden, bekannt sein müssen. Solche Informationen müssen diese Person in die Lage versetzen, die Konsequenzen einer etwaigen von ihr erteilten Einwilligung leicht zu bestimmen, und gewährleisten, dass die Einwilligung in voller Kenntnis der Sachlage erteilt wird […].“

Und weiter: „Gemessen hieran wird im Datenschutzhinweis, wie oben näher ausgeführt, suggeriert, dass die Verwendung von Google Ads grundsätzlich ohne Übermittlung personenbezogener Daten auskommt. Unabhängig davon, ob diese Übermittlung in ein Drittland mit oder ohne Angemessenheitsbeschluss erfolgt, entspricht es nicht dem Erfordernis einer transparenten und leicht verständlichen Unterrichtung des Nutzers, wenn dieser aufgrund einer entsprechenden Aussage von Google, auf die sich die Beklagte beruft, davon ausgeht, es komme erst gar nicht zu einer Verarbeitung seiner personenbezogenen Daten.“

Vorab hatte das OLG Köln bereits ausgeführt: „Gemessen an diesen Grundsätzen teilt der Senat die landgerichtliche Bewertung, wonach die Datenschutzhinweise keine AGB sind. Denn insoweit handelte die Beklagte in Erfüllung der sich aus Art. 13 und 14 DSGVO ergebenden Informationspflichten, die – wovon das Landgericht zutreffend ausgegangen ist – nicht – dispositives Recht darstellen […] Es ist anerkannt, dass die bloße Wiedergabe gesetzlicher Informationspflichten, die nicht auf eine Änderung oder Ausgestaltung bestimmter Regelungen abzielt, keine AGB darstellt.“

Zu unterscheiden sind hiervon Klauseln zu den Themen „Analytische Cookies“ und „Marketing-Cookies“ in den Datenschutzhinweisen, bei diesen sei von kontrollfähigen AGB auszugehen: „Dieses Cookie-Banner dient der Einholung der Einwilligung von Besuchern der Webseite zum Setzen bestimmter Cookies und der Datenverarbeitung […] Indem der Datenschutzhinweis zum Gegenstand dieser Einwilligung gemacht wird, hat er an dem Rechtscharakter der vorformulierten Einwilligungserklärung als AGB teil.“

Fazit

Das EU-U.S. Data Privacy Framework gilt also auch weiter, zumindest so lange bis der EuGH etwas anderes verlauten lässt. Eine Unzulässigkeitserklärung durch das OLG Köln ist jedenfalls nicht erfolgt. Vielmehr konstatiert das Gericht entsprechende Prüffragen, an denen sich verwendete Einwilligungserklärungen wie zum Beispiel in Form von Consent-Management-Plattformen beziehungsweise Cookie-Bannern, insbesondere im Punkto Informiertheit messen lassen müssen. Darüber hinaus setzt das OLG einen Fingerzeig in Richtung AGB-Kontrolle von Datenschutzinformationen und Einwilligungserklärungen.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Am 10. Juli 2023 hat die Europäische Kommission den Angemessenheitsbeschluss nach dem EU-U.S. Data Privacy Framework angenommen. Damit wird den USA ein im Vergleich zur Europäischen Union vergleichbares Datenschutzniveau attestiert. Für Verantwortliche ergeben sich hierdurch erhebliche Erleichterungen im Rahmen des Einsatzes US-amerikanischer Dienstleister. Doch an dem neuen Angemessenheitsbeschluss gibt es auch Kritik. Alle wichtigen Informationen erhalten Sie in diesem Beitrag.

Was ist ein Angmessenheitsbeschluss?

Die Europäische Kommission kann auf Grundlage des Art. 45 DS-GVO einen Beschluss treffen, nach welchem für ein Drittland oder eine internationale Organisation ein angemessenes Schutzniveau festgestellt wird. Gemäß Art. 45 Abs. 2 DS-GVO hat die Kommission hierbei folgende Kriterien zu berücksichtigen:

• Die Rechtsstaatlichkeit, die Achtung der Menschenrechte und Grundfreiheiten, einschlägige Rechtsvorschriften, auch in Bezug auf die öffentliche Sicherheit, Verteidigung, nationale Sicherheit und Strafrecht sowie der Zugang der Behörden zu personenbezogenen Daten, die Anwendung dieser und datenschutzrechtlicher Vorschriften sowie die Möglichkeit zur Durchsetzung von Rechten der betroffenen Person und die Wirksamkeit der verwaltungsrechtlichen und gerichtlichen Rechtsbehelfe;

•  Die Existenz und wirksame Funktionsweise unabhängiger Aufsichtsbehörden für die Einhaltung und Durchsetzung datenschutzrechtlicher Vorschriften, einschließlich angemessener Durchsetzungsbefugnisse sowie für die Unterstützung und Beratung von betroffenen Personen bei der Ausübung ihrer Rechte und für die Zusammenarbeit mit Aufsichtsbehörden anderer Mitgliedstaaten;

• Die eingegangenen internationalen Verpflichtungen, die sich aus rechtsverbindlichen Übereinkünften oder Instrumenten sowie aus der Teilnahme an multilateralen oder regionalen Systemen insbesondere in Bezug auf den Schutz personenbezogener Daten ergeben.

Sofern die Kommission unter Berücksichtigung der aufgeführten Kriterien eine Angemessenheit des Datenschutzniveaus feststellt, übernimmt diese die Aufgabe der regelmäßigen Überwachung, im Rahmen derer stets die aktuellen Entwicklungen innerhalb des Drittlandes oder der internationalen Organisation berücksichtigt werden.

Bisher verfügten folgende Länder und Gebiete über einen Angemessenheitsbeschluss der Europäischen Kommission: Andorra, Argentinien, Färöer-Inseln, Guernsey, Isle of Man, Israel, Japan, Jersey, Kanada (beschränkt auf Datenübermittlungen an „commercial organisations“), Neuseeland, Schweiz, Südkorea, Uruguay und das Vereinigte Königreich. Nun sind auch die USA in diesem Zusammenhang mit aufzuführen.

In die zuvor genannten Länder kann eine Übermittlung personenbezogener Daten auf Grundlage des Angemessenheitsbeschlusses erfolgen. Es bedarf sodann – neben der Beachtung der sonstigen datenschutzrechtlichen Vorschriften – keiner weiteren besonderen Vorkehrungen, wie beispielsweise des Abschlusses von Standardvertragsklauseln und der Durchführung einer Transferfolgenabschätzung.

Was ist das EU-U.S. Data Privacy Framework?

Nachdem im März 2022 bekannt wurde, dass die EU und die USA an einem Nachfolgeabkommen zum EU-US-Privacy Shield arbeiten, erfolgte im Oktober 2022 der Erlass einer Exekutivverordnung über die Verbesserung der Garantien für US-Signalspionagetätigkeiten (Executive Order (EO) 14086). Hierdurch wurde die Grundlage für die Umsetzung des „EU-U.S. Data Privacy Framework“ geschaffen. Auf Grundlage der Executive Order folgte am 13. Dezember 2022 der Beschlussentwurf der Europäischen Kommission über die Angemessenheit des Schutzniveaus personenbezogener Daten nach dem EU-U.S. Data Privacy Framework (wir berichteten).

Das EU-U.S. Data Privacy Framework räumt Bürgern der Europäischen Union gegenüber US-amerikanischen Unternehmen neue Rechte ein (z.B. das Recht auf Auskunft, das Recht auf Berichtigung, das Recht auf Löschung unrichtiger oder unrechtmäßig verarbeiteter personenbezogener Daten). Weiterhin bestehen verschiedene Rechtsbehelfe sowie unabhängige Streitbeilegungsmechanismen und ein Schlichtungsgremium. Die US-amerikanischen Unternehmen können ihre Teilnahme am EU-U.S. Data Privacy Framework zertifizieren lassen, indem diese sich verpflichten, verschiedene datenschutzrechtliche Anforderungen (z.B. Zweckbindung, Datenminimierung) einzuhalten. Die Zertifizierungsanträge werden durch das US-Handelsministerium bearbeitet. Dieses überwacht ebenfalls, ob die teilnehmenden Unternehmen die Zertifizierungsanforderungen weiterhin erfüllen.

Welche Beschränkungen gelten nun hinsichtlich US-amerikanischer Ermittlungsbehörden?

Bezugnehmend  auf die Exekutivverordnung über die Verbesserung der Garantien für US-Signalspionagetätigkeiten (Executive Order (EO) 14086) führt die Europäische Kommission im Rahmen ihrer Presseerklärung folgende Punkte an:

• Verbindliche Garantien, die den Zugriff auf Daten durch US-Nachrichtendienste auf das beschränken, was zum Schutz der nationalen Sicherheit notwendig und verhältnismäßig ist;

• eine verstärkte Aufsicht über die Aktivitäten der US-Geheimdienste, um die Einhaltung der Beschränkungen von Überwachungsmaßnahmen zu gewährleisten; und

• die Einrichtung eines unabhängigen und unparteiischen Rechtsbehelfsmechanismus, zu dem auch ein neues Datenschutzprüfungsgericht gehört, das Beschwerden über den Zugriff der nationalen Sicherheitsbehörden der USA auf ihre Daten untersucht und entscheidet.

Für welchen Zeitraum gilt der Angemessenheitsbeschluss?

Der Angemessenheitsbeschluss trat mit seiner Annahme am 10. Juli 2023 in Kraft und gilt zunächst unbefristet. Zu beachten ist jedoch, dass es zunächst einer Zertifizierung teilnehmender Unternehmen unter dem EU-U.S. Data Privacy Framework bedarf, bevor Datenübermittlungen auf Grundlage des Angemessenheitsbeschlusses rechtssicher erfolgen können.

Kritik an dem neuen Angemessenheitsbeschluss äußerte bereits Max Schrems sowie die von ihm gegründete NGO „noyb“. Nachdem Schrems vor dem Europäischen Gerichtshof bereits das Kippen der beiden vorhergehenden Angemessenheitsbeschlüsse („Safe Harbor„, „Privacy Shield„) erreichte, scheint es nur eine Frage der Zeit zu sein, bevor der Europäische Gerichtshof auch über das EU-U.S. Data Privacy Framework entscheiden müssen wird.

Update 13. Juli 2023:

Die International Trade Administration (ITA), eine Behörde des Handelsministeriums der Vereinigten Staaten, weist auf ihrer Internetseite darauf hin, dass die Unternehmen, welche bereits unter dem EU-U.S.-Privacy Shield zertifiziert waren, keine gesonderte Zertifizierung nach dem EU-U.S. Data Privacy Framework benötigen. Konkret heißt es:

„The EU-U.S. DPF Principles entered into effect as of the same date. U.S. based organizations that self-certified their commitment to comply with the EU-U.S. Privacy Shield Framework Principles must comply with the EU-U.S. DPF Principles, including by updating their privacy policies by October 10, 2023. Those organizations do not need to make a separate, initial self-certification submission to participate in the EU-U.S. DPF and may begin relying immediately on the EU-U.S. DPF adequacy decision to receive personal data transfers from the European Union / European Economic Area.“

Weiterhin wird durch die ITA am 17. Juli 2023 die offizielle Internetseite zum Data Privacy Framework veröffentlicht.

UPDATE 17. JUli 2023:

Die offizielle Internetseite zum Data Privacy Framework wurde heute veröffentlicht. Von nun an können Datenübermittlungen in die USA auf Grundlage des Angemessenheitsbeschlusses gestützt werden, sofern der Empfänger nachprüfbar unter dem Data Privacy Framework zertifziert ist. Die bestehenden Zertifizierungen können auf der Internetseite unter dem Menüpunkt „Data Privacy Framework List“ eingesehen werden.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Privacy & Security wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Der Europäische Datenschutzausschuss (EDSA) hat eine Stellungnahme zum Entwurf des Angemessenheitsbeschlusses („EU-US Data Privacy Framework“) der Europäischen Kommission für Datenübermittlung in die USA verabschiedet. Die wesentlichen Inhalte der Stellungnahme und die nunmehr aktualisierte Rechtslage zur Datenübermittlung zwischen der EU und den USA sollen im nachfolgenden Beitrag näher beleuchtet werden.

Was bisher Geschah

Im Juli 2020 kippte der Europäische Gerichtshof (EuGH) in seinem viel besprochenen Schrems-II-Urteil (Rechtssache Az.: C-311/18) den früheren Angemessenheitsbeschluss (EU-US-Privacy Shield) und stellte die Datenübermittlung zwischen der Europäischen Union und den USA „auf den Kopf“. Die Europäische Kommission kann grundsätzlich im Rahmen eines solchen Angemessenheitsbeschlusses feststellen, dass das Datenschutzniveau in einem Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren dessen innerhalb der Europäischen Union/dem Europäischen Wirtschaftsraum entsprechen. Liegt ein solcher Angemessenheitsbeschluss vor, können personenbezogene Daten auf dieser Grundlage an ein Drittland übermittelt werden.

Seit dem „Fall“ des EU-US-Privacy-Shield bilden die Standardvertragsklauseln den wesentlichen Baustein für die Übermittlung personenbezogener Daten in die USA. Am 4. Juni 2021 verabschiedete die Europäische Kommission die überarbeiteten Standardvertragsklauseln. Sowohl für die verantwortliche Stelle als auch für den Datenempfänger im betroffenen datenschutzrechtlichen Drittstaat ergeben sich hierdurch eine Reihe von Pflichten. Im Rahmen seines des „Schrems II“-Urteils konstatierte der EuGH jedoch, dass ein angemessenes Datenschutzniveau nicht allein durch ein Abkommen oder vertragliche Regelungen erreicht werden könne. Es bedarf insoweit weiterer geeigneter Garantien, welche die weitreichenden Zugriffsmöglichkeiten von Ermittlungsbehörden oder anderer staatlicher Einrichtungen einschränken. Hierunter zählt u.a., dass vor Vertragsschluss mit dem potenziellen Datenimporteuer eine Dokumentation („Transferfolgenabschätzung“ / „Transfer Impact Assessment“) vorzunehmen ist. Im März 2022 wurde anschließend bekannt, dass die EU und die USA an einem Nachfolgeabkommen zum EU-US-Privacy Shield arbeiten.

Im Oktober 2022 spielte die US-Regierung den Ball zurück: Es folgte der Erlass einer Exekutivverordnung über die Verbesserung der Garantien für US-Signalspionagetätigkeiten (Executive Order (EO) 14086). Hierdurch wurde die Grundlage für die Umsetzung des „EU-US Privacy Framework“ geschaffen, da eine Änderung der Rechtslage in den USA die Folge ist. Die Rechtsform der Executive Order ist ein Regelungsinstrument in den USA für extraterritoriale Anordnungen. Durch den Erlass versprach man sich die Lösung der größten Kritikpunkte aus dem Schrems-II-Urteil: Mangelnde Verhältnismäßigkeit sowie fehelende Rechtsbehelfe für die betroffenen Personen in den USA bezogen auf die Überwachungsmaßnahmen.

Die Executive Order schafft u.a. besagte Garantien für europäische Betroffene gegenüber den amerikanischen Geheimdiensten durch bspw. die Einrichtung des Data Protection Review Court. Durch diese Institution können u.a. Datenlöschungen und Verarbeitungseinschränkungen angeordnet werden. Werden im Rechtsschutzverfahren rechtswidrige Verarbeitungen ermittelt, verpflichtet die Executive Order ebenfalls, diese zu beseitigen. Erstmals wurden zudem geheimdienstliche Aktivitäten unter einen Verhältnismäßigkeitsvorbehalt gestellt. Darüber hinaus wird ein Kontrollmechanismus durch das Privacy and Civil Liberties Oversight Board (PCLOB) neu eingeführt. Der EDSA sieht seinerseits in diesen Punkten erhebliche Verbesserungen durch die Executive Order.

Auf Grundlage der Ececutive Order folgte am 13. Dezember 2022 der Beschlussentwurf der Europäischen Kommission über die Angemessenheit des Schutzniveaus personenbezogener Daten nach dem EU-U.S. Data Privacy Framework. Hierdurch soll der neue Rechtsrahmen für Datenübermittlungen zwischen der EU und den USA geschaffen werden. Der Entwurf des Angemessenheitsbeschlusses kommt zu dem Schluss, dass die Vereinigten Staaten ein angemessenes Schutzniveau für personenbezogene Daten gewährleisten, die aus der EU in die USA übermittelt werden.

Was sagt der EDSA?

Im Wesentlichen begrüßt der EDSA einige Verbesserungen, die durch das Data Privacy Framework erreicht werden wie z.B. die Einführung von Anforderungen an Notwendigkeit und Verhältnismäßigkeit für die nachrichtendienstliche Datenerhebung und den neuen Rechtsbehelfsmechanismus für betroffene Personen aus der Europäischen Union. Allerdings werden seitens des EDSA auch Bedenken geäußert. Diese betreffen insbesondere den Bereich der Rechte der von der Datenübermittlung betroffenen Person, die Weiterübermittlung personenbezogener Daten, den Umfang von Ausnahmen sowie die Erhebung von Massendaten im Rahmen der Executive Order 12333 und  das Fehlen einer systematischen unabhängigen nachträglichen Überprüfung durch ein Gericht oder eine gleichwertige unabhängige Stelle.

Und die nationalen Datenschutzaufsichtsbehörden?

Positive Kritik folgte zudem seitens der nationalen Datenschutzaufsichtsbehörden. So äußerte der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI): „Wir sehen den Willen, ein angemessenes Schutzniveau für Betroffene, deren personenbezogenen Daten an Unternehmen in die USA übermittelt werden, zu schaffen. Deutliche Fortschritte gibt es insbesondere im Bereich des Government Access für Zwecke der nationalen Sicherheit. Bedenken haben wir, ob die neuen Regelungen in allen Punkten ein Schutzniveau gewährleisten, das den EU-Datenschutzstandards der Sache nach gleichwertig ist.“ Aus Sicht des BfDI wird zudem ein wichtiger Beitrag für sichere und vertrauenswürdige Datenübermittlungen im internationalen Kontext geschaffen: „Die erzielten Fortschritte im transatlantischen Kontext sind wichtige Voraussetzungen, an die wir beim diesjährigen Treffen der G7-Datenschutzaufsichtsbehörden im Juni in Japan anknüpfen können.“

Ebenfalls „positiv“ äußert sich der der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit: „Der nun zu erwartende Erlass der Angemessenheitsentscheidung schafft dringend benötigte Rechtssicherheit und ist trotz einiger verbesserungswürdiger Punkte ein Erfolg für den Datenschutz. Im Zuge der Verhandlungen haben die USA bisher nicht dagewesene Zugeständnisse gemacht und ihr nationales Sicherheitsrecht an europäische Grundrechtsmaßstäbe angepasst. Der Beschluss kann jedoch kein Freibrief sein. Ob und inwiefern tatsächlich Geheimdienstaktivitäten auf ein verhältnismäßiges Maß reduziert werden, und wirksamer Rechtsschutz gewährleistet ist, kann nur die Umsetzung in der Praxis zeigen. Die Wahrheit ist auf dem Platz, um es im Fußballjargon zu sagen. Es wird Aufgabe der Datenschutzbehörden und der Kommission sein, dabei sehr genau hinzuschauen, und Aufgabe der US-Administration, tiefgreifende Prüfungen auch zu ermöglichen. Die Forderung des EDSA, in Anbetracht der noch offenen Umsetzung in den USA den Überprüfungsrhythmus zu verkürzen, ist deshalb absolut richtig.“

Fazit

In seiner Stellungnahme hebt der EDSA einige positive und negative Kritikpunkte hervor. Als erfreulich für die Datenschutzpraxis kann jedoch bewertet werden, dass sich aber nicht gegen eine Annahme des Beschlusses durch die EU-Kommission ausgesprochen wird. Dies kann insoweit als Fingerzeig gedeutet werden, dass durch das Data Privacy Framework eine wirkliche Verbesserung der Rechtslage in Sachen Datenschutz in den USA erreicht wurde. Ein weiterer wichtiger Schritt zur Verabschiedung eines neuen Angemessenheitsbeschlusses ist somit getan. Tritt der Angemessenheitsbeschluss in Kraft tritt, können zukünftig personenbezogene Daten auch ohne einen Rückgriff auf weitere geeignete Garantien – wie z.B. durch Abschluss der Standardvertragsklauseln und Durchführung einer Transferfolgenabschätzung – in die USA übermitteln. Dies würde gleichwohl für mehr Rechtssicherheit in der Praxis sorgen.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Erst vor kurzem haben wir über den aktuellen Stand in Sachen Microsoft vs. Datenschutz berichtet. Seitdem hat sich wieder einiges getan. Den Stein brachte die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder – Datenschutzkonferenz (DSK) mit neuen Veröffentlichungen ins Rollen. Ein Update zur aktuellen Rechtslage soll der nachstehende Beitrag liefern.

Die DSK äußert sich wiederholt zu Microsoft 365

Auslöser des erneuten Gesprächsstoffs war die Veröffentlichung einer Festlegung der DSK in Sachen Microsoft 365 samt Zusammenfassung des der Festlegung zugrundeliegenden Berichtes der Arbeitsgruppe „Microsoft-Onlinedienste“ am 25. November 2022. In dieser Festlegung hält die DSK zunächst in Ziff. 1 fest, dass sie den vorbezeichneten Bericht und dessen Zusammenfassung zur Kenntnis genommen hat. Darüber hinaus folgt in Ziff. 2 unter datenschutzrechtlichen Gesichtspunkten der direkte Hammer:

„Die DSK stellt unter Bezugnahme auf die Zusammenfassung des Berichts fest, dass der Nachweis von Verantwortlichen, Microsoft 365 datenschutzrechtskonform zu betreiben, auf der Grundlage des von Microsoft bereitgestellten „Datenschutznachtrags vom 15. September 2022“ nicht geführt werden kann.“ Und weiter: „Solange insbesondere die notwendige Transparenz über die Verarbeitung personenbezogener Daten aus der Auftragsverarbeitung für Microsofts eigene Zwecke nicht hergestellt und deren Rechtmäßigkeit nicht belegt wird, kann dieser Nachweis nicht erbracht werden.“

Dies bedeutet für datenschutzrechtlich Verantwortliche, da insbesondere aus Transparenzgründen der Nachweis eines datenschutzkonformen Einsatzes von Microsoft 365 den Verantwortlichen nach Ansicht der DSK, anhand der seitens Microsoft aktuell zur Verfügung gestellten vertraglichen Dokumenten nicht gelingt, verstoßen diese zumindest gegen ihre Rechenschaftspflicht aus Art. 5 Abs. 2 DS-GVO. Einen Blick in Art. 83 DS-GVO sparen wir uns an dieser Stelle. Der Vollständigkeit halber sei noch erwähnt, dass in Ziff. 3 der Festlegung die DSK festhält, dass eine Zusammenfassung der Arbeitsgruppenergebnisse zur Verfügung gestellt wird. Mittlerweile ist am 7. Dezember 2022 eine Veröffentlichung des Abschlussberichtes der Arbeitsgruppe erfolgt, der der Positionierung der DSK zu Grunde liegt. Sicherlich wäre hier mit Blick auf den Prüfungsumfang mehr drin gewesen, aber nüchtern betrachtet ist es nicht Aufgabe der DSK, Produkte auf deren Datenschutzkonformität zu überprüfen. Die Hauptkritikpunkte treten aber deutlich hervor: Transparenz, Transparenz und nochmals Transparenz.

Wie reagiert Microsoft?

Microsoft Deutschland hat auf die oben dargestellten Dokumente der DSK seinerseits umgehend reagiert und eine „Stellungnahme zur datenschutzrechtlichen Bewertung von Microsoft 365 durch die DSK“ veröffentlicht. Hierin heißt es zunächst:

„Wir teilen die Position der DSK nicht. Wir stellen sicher, dass unsere M365-Produkte die strengen EU-Datenschutzgesetze nicht nur erfüllen, sondern oft sogar übertreffen. Unsere Kunden in Deutschland und in der gesamten EU können M365-Produkte weiterhin bedenkenlos und rechtssicher nutzen.“ Dem nicht genug: „Die von der DSK geäußerten Bedenken berücksichtigen die von uns bereits vorgenommenen Änderungen nicht angemessen und beruhen auf mehreren Missverständnissen hinsichtlich der Funktionsweise unserer Dienste und der von uns bereits ergriffenen Maßnahmen.“

Das sollte man erst einmal auf sich wirken lassen. Microsoft lässt hier zunächst durchblicken, dass sie der Meinung sind, die DSK – respektive die zuständige Arbeitsgruppe – habe die Funktionsweise der Microsoft-Onlinedienste nicht angemessen berücksichtigt oder einfacher ausgedrückt, nicht verstanden. Nichts desto trotz geht Microsoft auf die DSK und deren Forderung nach mehr Transparenz ein: „Wir nehmen uns die Forderung der DSK nach mehr Transparenz zu Herzen. Während unsere Transparenzstandards schon jetzt die der meisten anderen Anbieter in unserem Sektor übertreffen, verpflichten wir uns, noch besser zu werden. Insbesondere werden wir im Rahmen unserer geplanten EU-Datengrenze im Sinne der Transparenz weitere Dokumentationen über die Datenströme unserer Kunden und die Zwecke der Verarbeitung bereitstellen. Wir werden auch mehr Transparenz über die Standorte und die Verarbeitung durch Unterauftragsverarbeiter und Microsoft Mitarbeiter außerhalb der EU schaffen.“

Siehe da, nicht nur bekommen noch die Konkurrenten einen Seitenhieb ab, obwohl man Microsoft wohl zugutehalten kann und wohl auch muss, dass für sie im Vergleich zu anderen US-Techgiganten Datenschutz nicht nur für eine Phrase halten. Auch die DSK wird nochmals adressiert: „Microsoft hat vollumfänglich mit der DSK kooperiert, und obwohl wir mit der Bewertung der DSK nicht einverstanden sind, möchten wir verbleibende Bedenken ausräumen.“

Und sonst?

Neben der DSK haben sich auch andere aktive und ehemalige Landesdatenschutzbeauftragte zu Wort gemeldet. So ist in einem Interview mit Dr. Stefan Brink (Landesbeauftragter für Datenschutz und Informationsfreiheit Baden-Württemberg – LfDI) zu lesen, dass die Arbeitsgruppe Microsoft im Rahmen von Anhörungen aktiv einbezogen und daher sehr häufig mit Microsoft geredet wurde und sogar die Untersuchungsergebnisse Microsoft auch vorab zur Verfügung gestellt wurden. Und weiter führt Dr. Brink aus: „Die Ergebnisse der Arbeitsgruppe waren dann auch aus meiner Sicht nicht überraschend. Es war absehbar, dass es Probleme insbesondere mit der Transparenz und der Nachvollziehbarkeit der Datenverarbeitungen geben würde.“

Im Ergebnis sieht der LfDI dann ähnlich wie die DSK die nunmehr bestehende Hauptprüfungspflicht – zur Erfüllung der Rechenschaftspflicht aus Art. 5 Abs. 2 DS-GVO bei den datenschutzrechtlichen Verantwortlichen, also von Behörden, Unternehmen über Vereinen bis hin zum Blumenhändler um die Ecke jeden, der Microsoft 365 im Einsatz hat oder einsetze möchte. Allerdings lässt der LfDI auch Hoffnung am Horizont aufkommen: „[…]wenn es in absehbarer Zeit aus Perspektive des Verantwortlichen gelingt, den Dienstleister Microsoft und sein Angebot weiter zu verbessern. Und da gibt es immer auch positive Entwicklungen zu verzeichnen. Microsoft hat sich wiederholt beschwert, dass aus den DSK-Beschlüssen nicht hinreichend ersichtlich würde, dass sie erhebliche Verbesserungen vorgenommen haben. Und das stimmt auch: Das Angebot von Microsoft ist inzwischen besser als vor zwei Jahren. Aber es reicht gemessen an den Maßstäben der DSK halt noch nicht.“

Ebenfalls hat sich der Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit (TLfDI) Dr. Lutz Hasse zu Wort gemeldet, wie einem aktuellen Beitrag zu entnehmen ist. Der TLfDI will mit den Verantwortlichen über die Umsetzung des Beschlusses der Datenschutzkonferenz zur Office-Software Microsoft sprechen: „Konsequenz könnte laut Hasse sein, dass die Software nicht mehr verwendet werden kann.“

Aber auch Thomas Kranig (Präsident des Bayerischen Landesamtes für Datenschutzaufsicht a. D) .äußert sich gemeinsam mit Kristin Benedikt und Prof. Dr. Rolf Schwartmann in einem Beitrag. Dabei erfolgt zuweilen eine sehr kritische Auseinandersetzung mit der Thematik: „Nach dem Willen der Aufsicht soll hierzulande die Nutzung von Microsoftprodukten also faktisch eingestellt werden. Nehmen Deutschlands Unternehmen, Schulen, Städte und Gemeinden, Gerichte und Gesetzgebungseinrichtungen die Empfehlung zu diesem „digitalen Lockdown“ ernst, dann steht hier faktisch alles still, denn es gibt keine alternative Software, die in der Fläche einsetzbar wäre.“ Dem ist aus Sicht der Praxis nichts hinzuzufügen. Verantwortliche werden durch die Datenschutzaufsicht derzeit vor schier unlösbare Aufgaben gestellt.

Fazit

Wer bei der rasanten Entwicklung und der fortwährenden Streitigkeit zwischen Microsoft und der DSK den Überblick verloren hat oder ihn gar nicht erst behalten wollten, für diejenigen stellen die Kollegen Steffan Hessel und Christina Kiefer eine Gegenüberstellung der wesentlichen Aussagen der Datenschutzkonferenz und von Microsoft bereit. Festzuhalten bleibt, dass die Rechtslage in Bezug auf den Einsatz von Microsoft 365 alles andere als rechtssicher bezeichnet werden darf. Datenschutzrechtlich Verantwortliche sollten sich bei dem Einsatz intensiv mit den datenschutzrechtlichen Verpflichtungen auseinandersetzen. Verantwortliche, die auf externe Unterstützung zurückgreifen sollten spätestens dann hellhörig werden, wenn mit dem datenschutzkonformen Einsatz von Microsoft 365 geworben wird. Daneben bleibt für die Anwender zu hoffen, dass es entweder seitens Microsoft weitere Anpassungen erfolgen oder dass letztendlich eine gerichtliche Entscheidung für Rechtssicherheit sorgt.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Das „Schrems II“-Urteil des Europäischen Gerichtshofs führte zu tiefgreifenden Änderungen bezüglich der Übermittlung personenbezogener Daten in Drittländer. Kurzgefasst ging es in dem Urteil um die Unzulässigkeit des sogenannten „EU-US-Privacy Shield“- Abkommens zwischen der Europäischen Union und den USA. Der Einfluss dieses Urteils auf die betriebliche Praxis ist bis heute sehr groß, denn die bedeutenden US-Amerikanischen Unternehmen, wie beispielsweise Facebook, Google, Cloudflare oder YouTube, können somit nicht mehr oder nur unter erschwerten Bedingungen von Unternehmen eingesetzt werden.

Allerdings bleibt die Übermittlung personenbezogener Daten in den USA zulässig, sofern – kurz gesagt – die Voraussetzungen der Art. 44 bis Art. 49 erfüllt sind. Demnach ist die Übermittlung rechtskonform, wenn geeignete Garantien nach Art. 46 DS-GVO eingesetzt werden. In diesem Kontext geraten insbesondere die sogenannten Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DS-GVO) in den Fokus, da diese nach Auffassung des EuGH weiterhin eine gültige Rechtsgrundlage darstellen. Standardvertragsklauseln sind Musterverträge zwischen Auftraggeber und Auftragnehmer oder datenübermittelnder und datenempfangender Stellen, in denen Rechte und Pflichten geregelt sind.

Problematisch waren allerdings einige Punkte, die große Verunsicherung bei vielen Unternehmen verursachte: nämlich die Tatsache, dass der Datentransfer weiterer geeigneter Garantien bedurfte, welche die Zugriffsmöglichkeiten von Behörden weiter einschränken sollen. Hierauf aufbauend hat die Europäische Kommission die neuen Standardvertragsklauseln entwickelt.

Die „neuen“ Standardvertragsklauseln

Wesentlicher Unterschied zwischen den alten und neuen Standardvertragsklauseln ist, dass die neuen Standardvertragsklauseln für verschiedene Konstellationen zwischen Verantwortlichen und Auftragsverarbeitern verfügbar sind. Weiterhin bieten diese einen modularen Aufbau, welcher einen auf den Einzelfall angepasstes Vertragswerk ermöglicht. 

Eine Neuheit hierbei ist der risikobasierte Ansatz, nach dem vor Vertragsschluss eine sogenannte „Transferfolgenabschätzung“ oder „Transfer Impact Assessment“ durchgeführt werden muss. Darüber hinaus sind technische und organisatorische Garantien vorzunehmen, die geeignet sein müssen, staatlichen Behörden den Zugriff zu personenbezogenen Daten zumindest zu erschweren. Beabsichtigt der Staat trotzdem einen Zugriff, ist der Dienstleister im Drittland verpflichtet, die Rechtmäßigkeit des Zugriffs zu überprüfen und dem Vertragspartner über den geplanten Zugriff zu unterrichten.

Wichtig für nahezu alle Unternehmen ist, dass bis zum 27. Dezember 2022 die neuen Vertragsklauseln nunmehr auch in bestehenden Vertragsverhältnissen anzuwenden sind. Die Zeit drängt!

Transferfolgenabschätzung

Klausel 14 der neuen Standarddatenschutzklauseln gibt vor, dass Unternehmen bestimmte Aspekte bei der Durchführung der Transferfolgenabschätzung berücksichtigen müssen. Hierzu gehörten zum einen die besonderen Umstände der Übermittlung personenbezogener Daten. Dies beinhaltet unter anderem die Prüfung beziehungsweise Offenlegung der Verarbeitungskette, Anzahl der verarbeitenden Unternehmen und Übertragungskanäle. Zum anderen müssen die relevanten Rechtsvorschriften, Gepflogenheiten und die geltenden Beschränkungen und Garantien berücksichtigt werden. Klausel 14 erwähnt explizit diejenigen Vorschriften, Gepflogenheiten und Beschränkungen, die die Offenlegung von Daten gegenüber Behörden vorschreiben oder den Zugang zu diesen Daten gestatten.

Zu guter Letzt müssen alle relevanten vertraglich festgelegten technischen oder organisatorischen Garantien, die ergänzend zu den Garantien der Standardvertragsklauseln eingerichtet wurden, betrachtet werden. Hierzu gehören auch diejenigen Maßnahmen, die während der Übermittlung und Verarbeitung der Daten im Bestimmungsland zur Anwendung kommen.  

Handlungsempfehlungen

Die Umsetzung der neuen Standardvertragsklauseln empfehlen wir in folgenden Schritten:

• Prüfen Sie zunächst sämtliche von Ihnen eingesetzte Dienstleister, die mit einem Drittland in Bezug stehen. Beachtung bedürfen insbesondere auch solche Unternehmen, welche Tochterunternehmen eines in einem Drittland ansässigen Mutterunternehmens sind.
• Betrachten Sie nach Möglichkeit ebenfalls gleichwertige Alternativen innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums. Bestehen gleichwertige Alternativen, kann dies einer Übermittlung in Drittländer entgegenstehen.
• Führen Sie vor Abschluss der Standardvertragsklauseln eine Transferfolgenabschätzung für den jeweiligen Fall durch. Nur bei Vorlage eines positiven Ergebnisses dürfen die Standardvertragsklauseln abgeschlossen und eine Datenübermittlung vorgenommen werden.

Gern unterstützen wir Sie bei der Umsetzung der rechtlichen Anforderungen. Kommen Sie hierfür gern auf uns zu!

Über den Autor: Andreas Nanos LL.M. ist Wirtschaftsjurist und als externer Datenschutzbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Unternehmen im Speditionssektor, mittelständische Unternehmen, sowie Hochschulen und Kultureinrichtungen. Neben seiner Tätigkeit als Datenschutzbeauftragter promoviert er an der juristischen Fakultät der Karls-Universität Prag im Bereich der strafrechtlichen Verantwortung für künstliche Intelligenz. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Einsatz und Verwendung von Microsoft 365 im Lichte datenschutzrechtlicher Bestimmungen ist bereits seit vielen Jahren immer wieder Thema und Ausgangspunkt zahlreicher Diskussion über den Einsatz der wohl meistgenutzten Software weltweit. Wir haben bereits in der Vergangenheit über die Thematik berichtet. Der nachfolgende Beitrag beschäftigt sich erneut mit der „Problematik“ Microsoft 365 und soll die aktuellen datenschutzrechtlich relevanten Entwicklungen aufzeigen. 

Wo liegt das datenschutzrechtliche Problem beim Einsatz von Microsoft 365?

Bei dem Einsatz von Microsoft 365 werden unter Berücksichtigung datenschutzrechtlicher Gesichtspunkte üblicherweise die folgenden Probleme angeführt: Es kann nicht ausgeschlossen werden, dass Microsoft bestimmte Nutzungsdaten für eigene Zwecke verwendet oder an Werbepartner weitergibt. Ferner erfolgt bei der Nutzung eine Übermittlung von bestimmten Kategorien von Nutzerdaten.

Die bisher zwischen Microsoft und den Kunden geschlossenen Nutzungsbedingungen (Online Service Terms – OST) bzw. der Auftragsverarbeitungsvertrag (Date Processing Agreement – DPA) entsprachen nach Ansicht der Datenschutzaufsichtsbehörden nicht den datenschutzrechtlichen Anforderungen. So wurden insbesondere Verstöße gegen die Transparenz der Datenverarbeitung, die Einwirkungsmöglichkeiten des Auftraggebers, die Zwecke der Datenverarbeitung oder die Löschung von Daten bemängelt. Hierzu gab es bereits eine Äußerung der Datenschutzkonferenz zu MS Office 365. Dem ging die Prüfung die dem Einsatz des Produktes Microsoft Office 365 zu Grunde liegenden Online Service Terms (OST) sowie die Datenschutzbestimmungen für Microsoft Onlinedienste (Data Processing Addendum) – jeweils Stand Januar 2020 durch einen Arbeitskreis der Datenschutzkonferenz (DSK) voraus. Doch damit der Sache nicht genug, denn da es sich bei Microsoft um einen Anbieter außerhalb der Europäischen Union bzw. außerhalb des Europäischen Wirtschaftsraumes handelt, klingeln vermutlich bei allen Datenschützern die Alarmglocken hinsichtlich der Übermittlung personenbezogener Daten in Drittländer. Seit das EuGH-Urteil zum EU-US-Privacy-Shield gefallen ist, bestehen bei Datenübermittlungen an datenschutzrechtliche Drittländer erhebliche Rechtsunsicherheiten.

Was tut Microsoft für den Datenschutz?

Schon in der jüngeren Vergangenheit konnte man durchaus Bestrebungen seitens Microsoft in Sachen Datenschutz feststellen. So hat Microsoft beispielsweise ein Additional Safeguards Addendum to Standard Contractual Cluases veröffentlicht. In dieser Ergänzung der Standardvertragsklauseln unterbreitet der US-Dienstleister Vorschläge für Garantien zur Stärkung der Betroffenenrechte. Im August 2022 folgte die Veröffentlichung einer Stellungnahme durch Microsoft Deutschland zur Datenschutzkonformität von Microsoft 365 und Microsoft Teams. Bereits aus den einleitenden Sätzen geht die Brisanz der Thematik hervor:

„Stellungnahmen öffentlicher Stellen, insbesondere die einiger Datenschutzbehörden, erwecken bereits seit längerem möglicherweise den Eindruck, Microsoft 365 und Microsoft Teams für Unternehmen und die öffentliche Hand (insb. den Bildungssektor) könnten nicht datenschutzkonform eingesetzt werden oder seien gar selbst nicht datenschutzkonform. Derartige Aussagen sind nicht richtig […].“

Inhaltlich handelt die Stellungnahme zahleiche Punkte und Argumente ab, weshalb eine datenschutzkonforme Benutzung der Microsoft Produkte möglich sei. Im Mittelpunkt stehen dabei mögliche Zugriffe durch US-Behörden:

„Ein Interesse von US-Behörden z.B. an Daten aus einem Schulunterricht in Deutschland kann nicht ernsthaft behauptet werden.“

Und weiter:

„Eine umfangreiche Auswertung öffentlich verfügbarer Dokumente von US-Regierungs-Behörden zur Nutzung von § 702 des Foreign Intelligence Surveillance Act (FISA) in der Praxis belegt dagegen: Es gibt keinen Anhaltspunkt dafür, dass die US-Regierung § 702 FISA nutzt, um (i) Industriespionage zu betreiben oder US-amerikanische wirtschaftliche Interessen zu verfolgen oder (ii) Regierungen im Europäischen Wirtschaftsraum ins Visier zu nehmen; und die US-Regierung nutzt § 702 FISA im Wesentlichen zur Sammlung von Informationen für Ermittlungen zu schwerwiegenden Bedrohungen der nationalen Sicherheit, wie Terrorismus, Cybersecurity-Angriffe und Waffenproliferation.“

Zu den Datenübermittlungen an Drittländer führt Microsoft wie folgt aus:

„Die DS-GVO erlaubt Übermittlungen in Drittstaaten, einschließlich in die USA, unter Nutzung von geeigneten Garantien (z.B. Standardvertragsklauseln 2021/914 und zusätzliche Maßnahmen). Dabei ist eine Risikoanalyse im Lichte der Schrems II-Rechtsprechung des EuGH durchzuführen und es sind ggf. zusätzliche Maßnahmen zu implementieren. Microsoft bietet für Datenübermittlungen in Drittstaaten zusätzliche, rechtlich anerkannte Schutzmechanismen, wie zusätzliche vertragliche Klauseln. Es ist rechtlich nicht geboten, jedes theoretische Restrisiko, etwa eines behördlichen Zugriffs im Drittstaat, im Zusammenhang mit einer internationalen Datenübermittlung auszuschließen. Einen „Null-Risiko-Ansatz“ zu fordern, ist unverhältnismäßig und steht weder im Einklang mit der DS-GVO noch mit den Regelungen der Standardvertragsklauseln, der Schrems II-Rechtsprechung und den Empfehlungen des Europäischen Datenschutzausschusses für Maßnahmen zu Datenübermittlungen in Drittstaaten.“

Wie kann ich mich einer datenschutzkonformen Nutzung von Microsoft 365 nähern?

Seit dem 15. September 2022 ist nunmehr eine neue Fassung des Auftragsverarbeitungsvertrages verfügbar, in welchem gleichfalls die die neuen Standardvertragsklauseln eingebunden sind. Die Unterlagen werden wie gewohnt in die OST eingebunden. Der Vertrag muss nach Angaben von Microsoft aktiv abgeschlossen werden. Hierzu ist eine Aktualisierung der bestehenden Verträge über den Onlinedienst notwendig. 

Die wesentlichen Änderungen betreffen die o.g. Kritikpunkte seitens der Datenschutzaufsichtsbehörden. So nimmt Microsoft insbesondere Änderungen in Bezug auf die Beschreibungen der Datenverarbeitungen zu eigenen Zwecken vor. Die Standardvertragsklauseln sind im Modul 3 (Processor–Processor) verfügbar, da die Microsoft Ireland Operations, Ltd. als Auftragnehmer des Kunden als datenschutzrechtlich Verantwortlicher im Sinne des Art. 4 Nr. 7 DS-GVO fungiert und die Microsoft Corporation als Unterauftragnehmer tätig wird. Dies führt gleichwohl nicht zu einem Übertragen der Verantwortlichkeit in Bezug auf die stattfinden Datenübermittlungen an Drittländer und dem damit einhergehenden Prüfungsauftrag. Vielmehr obliegt es dem Kunden sich von den getroffenen technischen, organisatorischen und vertraglichen Maßnahmen zu überzeugen. Dies gilt ebenso für die nach Klausel 14 der Standardvertragsklauseln anzufertigenden Transferfolgenabschätzung (Transfer Impact Assessment – TIA). Aufgrund der geschilderten Vertragssituation Kunde >> Microsoft Ireland Operations, Ltd >> Microsoft Corporation ist der TIA in der vertraglichen Beziehung zwischen den Microsoft Unternehmen anzufertigen und sollte vom Kunden angefordert und geprüft werden. Eine Dokumentation dieses Vorgehens ist mit Blick auf die nach Art. 5 Abs. 2 und Art. 24 DS-GVO bestehende Rechenschaftspflicht absolut empfehlenswert.

Darüber hinaus empfiehlt sich den Betrieb von Microsoft 365 auf eigenen IT-Strukturen des Verantwortlichen oder bei Datenlokalisierungen innerhalb der EU bzw. des EWR vorzunehmen, die per se keiner Herausgabepflicht nach dem US-CLOUD-Act unterliegen. Ebenfalls muss eine weitestgehende Unterbindung der Übertragung von Telemetrie-Daten beim Einsatz von Microsoft 365 vorgenommen werden, um den Anforderungen nach Art. 25DS-GVO gerecht zu werden. Ein vollständiger Ausschluss wird wohl kaum möglich sein.

Weitere Anregungen zu möglichen „Stellschrauben“ lassen sich in den FAQs zu Microsoft 365 des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz finden.

FAZIT

Der Stein des Anstoßes ist mehr als nur ins Rollen gekommen. Insbesondere da der Umsetzungszeitraum für die „neuen“ Standardvertragsklauseln am 27. Dezember 2022 endet, war die Einführung selbiger durch Microsoft eigentlich nur eine Frage der Zeit. Positiv hervorzuheben sind jedoch auch die weiteren Schritte, die Microsoft Richtung Datenschutzkonformität bereit ist zu unternehmen. Richtig erscheint – mit Blick auf den risikobasierten Ansatz, welcher der Datenschutz-Grundverordnung innewohnt und mithin ein stückweit den Ausführungen von Microsoft folgend – im Rahmen der Prüfung der Datenübermittlungen an Drittländer und der notwendigen Risikoanalysen, wie sie bei einem TIA erforderlich sind, keinen „Null-Risiko-Ansatz“ zu fahren. Deutlich wird jedoch ebenfalls, dass ohne jegliche Prüfungen und Konfigurationen Microsoft 365 Produkte derzeit nicht datenschutzkonform genutzt werden können.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Eines der derzeit meist diskutiertesten datenschutzrechtlichen Themen stellt die Übermittlung personenbezogener Daten in Drittländer dar. Als Drittland sind im Sinne der Datenschutz-Grundverordnung (DS-GVO) sämtliche Länder zu verstehen, welche nicht Mitglied der Europäischen Union (EU) oder des Europäischen Wirtschaftsraums (EWR) sind und somit die Normen der DS-GVO nicht unmittelbar Wirkung entfalten. In den Mittelpunkt rückte die Betrachtung dieses Themas insbesondere durch die Rechtsprechung des Europäischen Gerichtshofes (EuGH), welcher das EU-US-Privacy Shield kippte. Auch wenn aktuelle Ereignisse darauf hindeuten, dass sowohl die EU als auch die USA auch ein Nachfolgeabkommen hinarbeiten, stellen diese keine belastbare Übermittlungsgrundlage dar.

AKTUELLE SITUATION

Für verantwortliche Stellen verspricht die aktuelle Situation einen nicht zu vernachlässigenden Handlungsbedarf. So ist eine Übermittlung personenbezogener Daten in Drittländer nicht ausschließlich bei einer aktiven Übermittlung vorliegend, sondern bereits im Falle der reinen Möglichkeit einer Kenntnisnahme. Diese ist beispielsweise bei der Nutzung von Dienstleistern in datenschutzrechtlichen Drittländern anzunehmen, welche Cloud-Services oder andere Dienstleistungen im Rahmen einer Auftragsverarbeitung zur Verfügung stellen.

Als Übermittlungsgrundlage kommen hierbei fast ausschließlich die sogenannten Standardvertragsklauseln bzw. Standarddatenschutzklauseln zum Einsatz. Diese wurden bereits im vergangenen Jahr durch die Europäische Kommission in einer überarbeiteten Version zur Verfügung gestellt. Sowohl für die verantwortliche Stelle im Anwendungsbereich der DS-GVO als auch für den Dienstleister im datenschutzrechtlichen Drittstaat ergeben sich in diesem Zusammenhang eine Reihe von Pflichten.

DIE NEUEN STANDARDDATENSCHUTZKLAUSELN

Bei Standarddatenschutzklauseln handelt es sich um eine besondere vertragliche Vereinbarung zwischen datenübermittelnder und datenempfangender Stelle, im Rahmen derer datenschutzrechtliche Rechten und Pflichten festgelegt werden. Hierdurch wird eine Vereinheitlichung des hohen Datenschutzniveaus auf beiden Seiten angestrebt. Im Rahmen des „Schrems II“-Urteils konstatierte der EuGH jedoch, dass ein solches Datenschutzniveau nicht allein durch ein Abkommen oder vertragliche Regelungen erreicht werden könne. Es bedürfe darüber hinaus weiterer geeigneter Garantien, welche die weitreichenden Zugriffsmöglichkeiten von Ermittlungsbehörden oder anderer staatlicher Einrichtungen einschränken.

Waren die bisherigen Standardvertragsklauseln für Datenübermittlungen in Drittländer in den Versionen „Verantwortlicher – Auftragsverarbeiter“ und „Verantwortlicher – Verantwortlicher“ verfügbar, erscheinen die neuen Standardvertragsklauseln hingegen nur in einer Version. Dafür bieten diese einen neuen modularen Aufbau, welcher es ermöglicht, dass ein jeweils auf den Einzelfall angepasstes Vertragswerk erstellt werden kann. Neben den bereits genannten Konstellationen finden sich ebenfalls Module für Datenübermittlungen von einem Auftragsverarbeiter an einen weiteren Auftragsverarbeiter sowie von einem Auftragsverarbeiter an einen Verantwortlichen. Weiterhin können von nun an auch Festlegungen hinsichtlich des anwendbaren Rechts sowie hinsichtlich des Gerichtsstandes getroffen und leichter weitere Vertragspartner in die Regelungen aufgenommen werden.

Gänzlich neu ist die Implementierung des risikobasierten Ansatzes, welcher insbesondere den Anforderungen des „Schrems II“-Urteils gerecht werden soll. Hierbei ist vor Vertragsschluss eine Dokumentation („Transferfolgenabschätzung“ / „Transfer Impact Assessment“) vorzunehmen. Darüber hinaus getroffene technische oder organisatorische Garantien müssen geeignet sein, einem möglichen Zugriff auf personenbezogene Daten von staatlichen Behörden entgegenzuwirken.

Sollte eine staatliche Behörde dennoch einen Datenzugriff (erkennbar) beabsichtigen, so hat der Dienstleister im Drittland den beziehungsweise die Vertragspartner hierüber umgehend zu informieren. Darüber hinaus obliegt es dem Dienstleister die Rechtmäßigkeit für einen solchen Zugriff zu überprüfen und gegebenenfalls dagegen rechtlich vorzugehen. Sollten ihm derartige Maßnahmen unmöglich sein, so sind die Vertragspartner hierüber in Kenntnis zu setzen und das jeweilige Vorgehen ist dokumentiert nachzuweisen.

Ergänzend sei erwähnt, dass wie bereits bei den bisherigen Standardvertragsklauseln auch im Rahmen der neuen Version keine Veränderungen, jedoch Ergänzungen von vertraglichen Regelungen vorgenommen werden können. Darüber hinaus ist sicherzustellen, dass die neuen Standardvertragsklauseln bis Dezember 2022 auch in bereits bestehenden Vertragsverhältnissen umzusetzen sind. Es besteht somit nahezu für jeden Verantwortlichen unmittelbarer Handlungsbedarf.

DIE SOGENANNTE TRANSFERFOLGENABSCHÄTZUNG

Die Verpflichtung zur Durchführung einer Transferfolgenabschätzung im Rahmen des Abschlusses von Standardvertragsklauseln ergibt sich aus Klausel 14. Darin heißt es unter anderem: „Die Parteien sichern zu, keinen Grund zu der Annahme zu haben, dass die für die Verarbeitung personenbezogener Daten durch den Datenimporteur geltenden Rechtsvorschriften und Gepflogenheiten im Bestimmungsdrittland, einschließlich Anforderungen zur Offenlegung personenbezogener Daten oder Maßnahmen, die öffentlichen Behörden den Zugang zu diesen Daten gestatten, den Datenimporteur an der Erfüllung seiner Pflichten gemäß diesen [Standardvertrags-]Klauseln hindern.“ Hieraus ergibt sich ebenfalls die Verpflichtung, dass auch der Auftragsverarbeiter im Drittland den Verantwortlichen hierzulande bei der Durchführung der Transferfolgenabschätzung zu unterstützen hat.

Um eine Einschätzung entsprechend der Vorgaben vornehmen zu können, sieht Klausel 14 die Berücksichtigung bestimmter Aspekte als verpflichtend an. Hierzu gehören nach dem Wortlaut der Klausel:

– Die besonderen Umstände der Übermittlung, einschließlich der Länge der Verarbeitungskette, der Anzahl der beteiligten Akteure und der verwendeten Übertragungskanäle, beabsichtigte Datenweiterleitungen, die Art des Empfängers, den Zweck der Verarbeitung, die Kategorien und das Format der übermittelten personenbezogenen Daten, den Wirtschaftszweig, in dem die Übertragung erfolgt, den Speicherort der übermittelten Daten,

– die angesichts der besonderen Umstände der Übermittlung relevanten Rechtsvorschriften und Gepflogenheiten des Bestimmungsdrittlandes (einschließlich solcher, die die Offenlegung von Daten gegenüber Behörden vorschreiben oder den Zugang von Behörden zu diesen Daten gestatten) sowie die geltenden Beschränkungen und Garantien,

– alle relevanten vertraglichen, technischen oder organisatorischen Garantien, die zur Ergänzung der Garantien gemäß der Standardvertragsklauseln eingerichtet wurden, einschließlich Maßnahmen, die während der Übermittlung und bei der Verarbeitung personenbezogener Daten im Bestimmungsland angewandt werden.

Darüber hinaus empfehlen wir darzulegen, aus welchen zwingenden Gründen es einer solchen Übermittlung personenbezogener Daten beziehungsweise des Einsatzes des Dienstleisters in dem Drittland bedarf. In diesem Zusammenhang sollte gegebenenfalls auf fehlende gleichwertige Alternativen innerhalb der EU / des EWR verwiesen werden. Unter Berücksichtigung der Rechenschaftspflicht gemäß Art. 5 Abs. 2 DS-GVO sollte auch die Betrachtung und der Ausschluss derartiger Alternativen in die datenschutzrechtliche Dokumentation aufgenommen werden. Die Transferfolgenabschätzung ist auf Anfrage der Aufsichtsbehörde vorzulegen.

Die Durchführung einer Transferfolgenabschätzung ist grundsätzlich nicht an eine bestimmte Form gebunden, soweit eine Nachweisbarkeit der Durchführung möglich ist. In diesem Zusammenhang bietet es sich an, die Transferfolgenabschätzung als Anlage zum jeweiligen Verzeichnis der Verarbeitungstätigkeiten zu nehmen.

FAZIT

Der Beitrag zeigt auf, welche datenschutzrechtlichen Verpflichtungen aktuell mit Übermittlungen personenbezogener Daten in Drittländer im Zusammenhang stehen. Im Rahmen unseres neuen Leitfadens „Drittlandtransfer – Datenschutzrechtliche Grundlagen und Hinweise für verantwortliche Stellen“ geben wir einen thematischen Überblick und stellen Handlungsempfehlungen dar. Die weiteren Entwicklungen, insbesondere hinsichtlich eines Nachfolgeabkommens zwischen der EU und der USA, sind im Blick zu behalten.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.