Am vergangenen Mittwoch hatte das Gericht der Europäischen Union (EuG) in der Rechtssache T-553/23 über eine Klage aus dem Jahr 2023 gegen den Angemessenheitsbeschluss der Europäischen Kommission für Datenübermittlungen in die USA, dem sogenannten Data Privacy Framework, zu entscheiden. Nachdem in der Vergangenheit bereits die beiden vorherigen Angemessenheitsbeschlüsse durch Urteile des Europäischen Gerichtshofes (EuGH) in den Jahren 2015 und 2020 gekippt wurden, waren die Befürchtungen zum Teil groß, dass es nun erneut zu einem abrupten Ende der transatlantischen Übermittlungsgrundlage kommen könnte. Diese Befürchtungen sollten sich jedoch nicht bewahrheiten…

Zur Klage

Bereits am 6. September 2023 reichte Philippe Latombe, ein französischer Abgeordneter und Mitglied der französischen Datenschutz-Aufsichtsbehörde Commission Nationale de l’Informatique et des Libertés (CNIL), eine Nichtigkeitsklage gegen den zu diesem Zeitpunkt erst jüngst verabschiedeten Angemessenheitsbeschluss auf Basis des Data Privacy Framework ein. Der Antrag lautete konkret „die Art. 1 und 2 des Durchführungsbeschlusses […] für nichtig zu erklären, mit dem […] festgestellt wird, dass das im Datenschutzrahmen EU‑USA gebotene Schutzniveau für personenbezogene Daten angemessen ist.“

Als Argumentation führte Latombe unter anderem an, dass „das Recht auf einen wirksamen Rechtsbehelf und ein unparteiisches Gericht nicht gewährleistet sei.“ Weiterhin sei „die in den Vereinigten Staaten von Amerika errichtete Rechtsbehelfsbehörde, die durch einen Akt der amerikanischen Exekutive und nicht durch Gesetz geschaffen worden sei, sei kein unabhängiges Gericht und biete keine den Anforderungen des europäischen Rechts entsprechende Garantien.“ Daneben wurden weitere Verstöße, insbesondere gegen Art. 7 und 8 der Charta der Grundrechte der Europäischen Union sowie Art. 22 DS-GVO und Art. 32 in Verbindung mit Art. 45 Abs. 2 der DS-GVO vorgetragen.

Zum Urteil

Mit Beschluss vom 3. September 2025 wies das EuG die Nichtigkeitsklage nun ab. In der Pressemitteilung heißt es hierzu in Bezug auf die angezeigte fehlende Unabhängigkeit Data Protection Review Court (DPRC), einer Institution, die es europäischen Bürgern ermöglichen soll, Beschwerden in Bezug auf die Verarbeitung personenbezogener Daten durch US-amerikanische Ermittlungsbehörden überprüfen zu lassen:

„Was erstens den DPRC betrifft, stellt das Gericht u. a. fest, dass die Ernennung der Richter des DPRC und seine Arbeitsweise ausweislich der Akten mit mehreren Garantien und Bedingungen verbunden sind, die die Unabhängigkeit seiner Mitglieder gewährleisten sollen. Zum einen können die Richter des DPRC nur vom Generalstaatsanwalt aus triftigen Gründen abberufen werden, zum anderen dürfen der Generalstaatsanwalt und die Nachrichtendienste deren Arbeit nicht behindern oder unrechtmäßig beeinflussen.“

Und weiter: „Außerdem hat die Kommission nach dem Wortlaut des angefochtenen Beschlusses die Anwendung des Rechtsrahmens, der Gegenstand des Beschlusses ist, fortlaufend zu überwachen. Wenn sich der zum Zeitpunkt des Erlasses des angefochtenen Beschlusses in den Vereinigten Staaten geltende Rechtsrahmen ändert, kann die Kommission daher soweit erforderlich beschließen, den angefochtenen Beschluss auszusetzen, zu ändern oder aufzuheben oder seinen Anwendungsbereich einzuschränken.“

Auch in Bezug auf mögliche Sammelerhebungen personenbezogener Daten durch US-amerikanische Nachrichtendienste folgte das Gericht der Argumentation des Klägers nicht.

Ist das Data Privacy Framework damit sicher?

Nein. Bereits aus der dargestellten Pressemitteilung geht besonders aus zwei Passagen deutlich hervor, dass in Bezug auf den derzeitigen Angemessenheitsbeschluss zu jeder Zeit auch anderslautende Beschlüsse getroffen werden könnten.

Einerseits heißt es, „dass die Vereinigten Staaten von Amerika zum Zeitpunkt des Erlasses des angefochtenen Beschlusses ein angemessenes Schutzniveau für personenbezogene Daten gewährleisteten […].“ Andererseits wird wie zuvor bereits zitiert darauf hingewiesen, dass die Europäische Kommission bei Änderungen der Rechtslage in den USA den Angemessenheitsbeschluss jederzeit aussetzen, ändern, aufheben oder in seinem Anwendungsbereich einschränken kann. Diesbezüglich wurde bereits im Februar dieses Jahres bekannt, dass die Europäische Kommission seitens Mitglieder des Europäischen Parlaments aufgefordert wird, die Grundlagen des Angemessenheitsbeschlusses zu prüfen.

Insofern bleibt es bei dem bisherigen Resümee unserer Beiträge zu diesem Thema: Verantwortliche sollten sich zumindest einen möglichen Plan B ohne Data Privacy Framework zurechtlegen.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Security & Privacy wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Der Europäische Datenschutzausschuss (EDSA) hat eine Stellungnahme zum Entwurf des Angemessenheitsbeschlusses („EU-US Data Privacy Framework“) der Europäischen Kommission für Datenübermittlung in die USA verabschiedet. Die wesentlichen Inhalte der Stellungnahme und die nunmehr aktualisierte Rechtslage zur Datenübermittlung zwischen der EU und den USA sollen im nachfolgenden Beitrag näher beleuchtet werden.

Was bisher Geschah

Im Juli 2020 kippte der Europäische Gerichtshof (EuGH) in seinem viel besprochenen Schrems-II-Urteil (Rechtssache Az.: C-311/18) den früheren Angemessenheitsbeschluss (EU-US-Privacy Shield) und stellte die Datenübermittlung zwischen der Europäischen Union und den USA „auf den Kopf“. Die Europäische Kommission kann grundsätzlich im Rahmen eines solchen Angemessenheitsbeschlusses feststellen, dass das Datenschutzniveau in einem Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren dessen innerhalb der Europäischen Union/dem Europäischen Wirtschaftsraum entsprechen. Liegt ein solcher Angemessenheitsbeschluss vor, können personenbezogene Daten auf dieser Grundlage an ein Drittland übermittelt werden.

Seit dem „Fall“ des EU-US-Privacy-Shield bilden die Standardvertragsklauseln den wesentlichen Baustein für die Übermittlung personenbezogener Daten in die USA. Am 4. Juni 2021 verabschiedete die Europäische Kommission die überarbeiteten Standardvertragsklauseln. Sowohl für die verantwortliche Stelle als auch für den Datenempfänger im betroffenen datenschutzrechtlichen Drittstaat ergeben sich hierdurch eine Reihe von Pflichten. Im Rahmen seines des „Schrems II“-Urteils konstatierte der EuGH jedoch, dass ein angemessenes Datenschutzniveau nicht allein durch ein Abkommen oder vertragliche Regelungen erreicht werden könne. Es bedarf insoweit weiterer geeigneter Garantien, welche die weitreichenden Zugriffsmöglichkeiten von Ermittlungsbehörden oder anderer staatlicher Einrichtungen einschränken. Hierunter zählt u.a., dass vor Vertragsschluss mit dem potenziellen Datenimporteuer eine Dokumentation („Transferfolgenabschätzung“ / „Transfer Impact Assessment“) vorzunehmen ist. Im März 2022 wurde anschließend bekannt, dass die EU und die USA an einem Nachfolgeabkommen zum EU-US-Privacy Shield arbeiten.

Im Oktober 2022 spielte die US-Regierung den Ball zurück: Es folgte der Erlass einer Exekutivverordnung über die Verbesserung der Garantien für US-Signalspionagetätigkeiten (Executive Order (EO) 14086). Hierdurch wurde die Grundlage für die Umsetzung des „EU-US Privacy Framework“ geschaffen, da eine Änderung der Rechtslage in den USA die Folge ist. Die Rechtsform der Executive Order ist ein Regelungsinstrument in den USA für extraterritoriale Anordnungen. Durch den Erlass versprach man sich die Lösung der größten Kritikpunkte aus dem Schrems-II-Urteil: Mangelnde Verhältnismäßigkeit sowie fehelende Rechtsbehelfe für die betroffenen Personen in den USA bezogen auf die Überwachungsmaßnahmen.

Die Executive Order schafft u.a. besagte Garantien für europäische Betroffene gegenüber den amerikanischen Geheimdiensten durch bspw. die Einrichtung des Data Protection Review Court. Durch diese Institution können u.a. Datenlöschungen und Verarbeitungseinschränkungen angeordnet werden. Werden im Rechtsschutzverfahren rechtswidrige Verarbeitungen ermittelt, verpflichtet die Executive Order ebenfalls, diese zu beseitigen. Erstmals wurden zudem geheimdienstliche Aktivitäten unter einen Verhältnismäßigkeitsvorbehalt gestellt. Darüber hinaus wird ein Kontrollmechanismus durch das Privacy and Civil Liberties Oversight Board (PCLOB) neu eingeführt. Der EDSA sieht seinerseits in diesen Punkten erhebliche Verbesserungen durch die Executive Order.

Auf Grundlage der Ececutive Order folgte am 13. Dezember 2022 der Beschlussentwurf der Europäischen Kommission über die Angemessenheit des Schutzniveaus personenbezogener Daten nach dem EU-U.S. Data Privacy Framework. Hierdurch soll der neue Rechtsrahmen für Datenübermittlungen zwischen der EU und den USA geschaffen werden. Der Entwurf des Angemessenheitsbeschlusses kommt zu dem Schluss, dass die Vereinigten Staaten ein angemessenes Schutzniveau für personenbezogene Daten gewährleisten, die aus der EU in die USA übermittelt werden.

Was sagt der EDSA?

Im Wesentlichen begrüßt der EDSA einige Verbesserungen, die durch das Data Privacy Framework erreicht werden wie z.B. die Einführung von Anforderungen an Notwendigkeit und Verhältnismäßigkeit für die nachrichtendienstliche Datenerhebung und den neuen Rechtsbehelfsmechanismus für betroffene Personen aus der Europäischen Union. Allerdings werden seitens des EDSA auch Bedenken geäußert. Diese betreffen insbesondere den Bereich der Rechte der von der Datenübermittlung betroffenen Person, die Weiterübermittlung personenbezogener Daten, den Umfang von Ausnahmen sowie die Erhebung von Massendaten im Rahmen der Executive Order 12333 und  das Fehlen einer systematischen unabhängigen nachträglichen Überprüfung durch ein Gericht oder eine gleichwertige unabhängige Stelle.

Und die nationalen Datenschutzaufsichtsbehörden?

Positive Kritik folgte zudem seitens der nationalen Datenschutzaufsichtsbehörden. So äußerte der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI): „Wir sehen den Willen, ein angemessenes Schutzniveau für Betroffene, deren personenbezogenen Daten an Unternehmen in die USA übermittelt werden, zu schaffen. Deutliche Fortschritte gibt es insbesondere im Bereich des Government Access für Zwecke der nationalen Sicherheit. Bedenken haben wir, ob die neuen Regelungen in allen Punkten ein Schutzniveau gewährleisten, das den EU-Datenschutzstandards der Sache nach gleichwertig ist.“ Aus Sicht des BfDI wird zudem ein wichtiger Beitrag für sichere und vertrauenswürdige Datenübermittlungen im internationalen Kontext geschaffen: „Die erzielten Fortschritte im transatlantischen Kontext sind wichtige Voraussetzungen, an die wir beim diesjährigen Treffen der G7-Datenschutzaufsichtsbehörden im Juni in Japan anknüpfen können.“

Ebenfalls „positiv“ äußert sich der der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit: „Der nun zu erwartende Erlass der Angemessenheitsentscheidung schafft dringend benötigte Rechtssicherheit und ist trotz einiger verbesserungswürdiger Punkte ein Erfolg für den Datenschutz. Im Zuge der Verhandlungen haben die USA bisher nicht dagewesene Zugeständnisse gemacht und ihr nationales Sicherheitsrecht an europäische Grundrechtsmaßstäbe angepasst. Der Beschluss kann jedoch kein Freibrief sein. Ob und inwiefern tatsächlich Geheimdienstaktivitäten auf ein verhältnismäßiges Maß reduziert werden, und wirksamer Rechtsschutz gewährleistet ist, kann nur die Umsetzung in der Praxis zeigen. Die Wahrheit ist auf dem Platz, um es im Fußballjargon zu sagen. Es wird Aufgabe der Datenschutzbehörden und der Kommission sein, dabei sehr genau hinzuschauen, und Aufgabe der US-Administration, tiefgreifende Prüfungen auch zu ermöglichen. Die Forderung des EDSA, in Anbetracht der noch offenen Umsetzung in den USA den Überprüfungsrhythmus zu verkürzen, ist deshalb absolut richtig.“

Fazit

In seiner Stellungnahme hebt der EDSA einige positive und negative Kritikpunkte hervor. Als erfreulich für die Datenschutzpraxis kann jedoch bewertet werden, dass sich aber nicht gegen eine Annahme des Beschlusses durch die EU-Kommission ausgesprochen wird. Dies kann insoweit als Fingerzeig gedeutet werden, dass durch das Data Privacy Framework eine wirkliche Verbesserung der Rechtslage in Sachen Datenschutz in den USA erreicht wurde. Ein weiterer wichtiger Schritt zur Verabschiedung eines neuen Angemessenheitsbeschlusses ist somit getan. Tritt der Angemessenheitsbeschluss in Kraft tritt, können zukünftig personenbezogene Daten auch ohne einen Rückgriff auf weitere geeignete Garantien – wie z.B. durch Abschluss der Standardvertragsklauseln und Durchführung einer Transferfolgenabschätzung – in die USA übermitteln. Dies würde gleichwohl für mehr Rechtssicherheit in der Praxis sorgen.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Das „Schrems II“-Urteil des Europäischen Gerichtshofs führte zu tiefgreifenden Änderungen bezüglich der Übermittlung personenbezogener Daten in Drittländer. Kurzgefasst ging es in dem Urteil um die Unzulässigkeit des sogenannten „EU-US-Privacy Shield“- Abkommens zwischen der Europäischen Union und den USA. Der Einfluss dieses Urteils auf die betriebliche Praxis ist bis heute sehr groß, denn die bedeutenden US-Amerikanischen Unternehmen, wie beispielsweise Facebook, Google, Cloudflare oder YouTube, können somit nicht mehr oder nur unter erschwerten Bedingungen von Unternehmen eingesetzt werden.

Allerdings bleibt die Übermittlung personenbezogener Daten in den USA zulässig, sofern – kurz gesagt – die Voraussetzungen der Art. 44 bis Art. 49 erfüllt sind. Demnach ist die Übermittlung rechtskonform, wenn geeignete Garantien nach Art. 46 DS-GVO eingesetzt werden. In diesem Kontext geraten insbesondere die sogenannten Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DS-GVO) in den Fokus, da diese nach Auffassung des EuGH weiterhin eine gültige Rechtsgrundlage darstellen. Standardvertragsklauseln sind Musterverträge zwischen Auftraggeber und Auftragnehmer oder datenübermittelnder und datenempfangender Stellen, in denen Rechte und Pflichten geregelt sind.

Problematisch waren allerdings einige Punkte, die große Verunsicherung bei vielen Unternehmen verursachte: nämlich die Tatsache, dass der Datentransfer weiterer geeigneter Garantien bedurfte, welche die Zugriffsmöglichkeiten von Behörden weiter einschränken sollen. Hierauf aufbauend hat die Europäische Kommission die neuen Standardvertragsklauseln entwickelt.

Die „neuen“ Standardvertragsklauseln

Wesentlicher Unterschied zwischen den alten und neuen Standardvertragsklauseln ist, dass die neuen Standardvertragsklauseln für verschiedene Konstellationen zwischen Verantwortlichen und Auftragsverarbeitern verfügbar sind. Weiterhin bieten diese einen modularen Aufbau, welcher einen auf den Einzelfall angepasstes Vertragswerk ermöglicht. 

Eine Neuheit hierbei ist der risikobasierte Ansatz, nach dem vor Vertragsschluss eine sogenannte „Transferfolgenabschätzung“ oder „Transfer Impact Assessment“ durchgeführt werden muss. Darüber hinaus sind technische und organisatorische Garantien vorzunehmen, die geeignet sein müssen, staatlichen Behörden den Zugriff zu personenbezogenen Daten zumindest zu erschweren. Beabsichtigt der Staat trotzdem einen Zugriff, ist der Dienstleister im Drittland verpflichtet, die Rechtmäßigkeit des Zugriffs zu überprüfen und dem Vertragspartner über den geplanten Zugriff zu unterrichten.

Wichtig für nahezu alle Unternehmen ist, dass bis zum 27. Dezember 2022 die neuen Vertragsklauseln nunmehr auch in bestehenden Vertragsverhältnissen anzuwenden sind. Die Zeit drängt!

Transferfolgenabschätzung

Klausel 14 der neuen Standarddatenschutzklauseln gibt vor, dass Unternehmen bestimmte Aspekte bei der Durchführung der Transferfolgenabschätzung berücksichtigen müssen. Hierzu gehörten zum einen die besonderen Umstände der Übermittlung personenbezogener Daten. Dies beinhaltet unter anderem die Prüfung beziehungsweise Offenlegung der Verarbeitungskette, Anzahl der verarbeitenden Unternehmen und Übertragungskanäle. Zum anderen müssen die relevanten Rechtsvorschriften, Gepflogenheiten und die geltenden Beschränkungen und Garantien berücksichtigt werden. Klausel 14 erwähnt explizit diejenigen Vorschriften, Gepflogenheiten und Beschränkungen, die die Offenlegung von Daten gegenüber Behörden vorschreiben oder den Zugang zu diesen Daten gestatten.

Zu guter Letzt müssen alle relevanten vertraglich festgelegten technischen oder organisatorischen Garantien, die ergänzend zu den Garantien der Standardvertragsklauseln eingerichtet wurden, betrachtet werden. Hierzu gehören auch diejenigen Maßnahmen, die während der Übermittlung und Verarbeitung der Daten im Bestimmungsland zur Anwendung kommen.  

Handlungsempfehlungen

Die Umsetzung der neuen Standardvertragsklauseln empfehlen wir in folgenden Schritten:

• Prüfen Sie zunächst sämtliche von Ihnen eingesetzte Dienstleister, die mit einem Drittland in Bezug stehen. Beachtung bedürfen insbesondere auch solche Unternehmen, welche Tochterunternehmen eines in einem Drittland ansässigen Mutterunternehmens sind.
• Betrachten Sie nach Möglichkeit ebenfalls gleichwertige Alternativen innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums. Bestehen gleichwertige Alternativen, kann dies einer Übermittlung in Drittländer entgegenstehen.
• Führen Sie vor Abschluss der Standardvertragsklauseln eine Transferfolgenabschätzung für den jeweiligen Fall durch. Nur bei Vorlage eines positiven Ergebnisses dürfen die Standardvertragsklauseln abgeschlossen und eine Datenübermittlung vorgenommen werden.

Gern unterstützen wir Sie bei der Umsetzung der rechtlichen Anforderungen. Kommen Sie hierfür gern auf uns zu!

Über den Autor: Andreas Nanos LL.M. ist Wirtschaftsjurist und als externer Datenschutzbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Unternehmen im Speditionssektor, mittelständische Unternehmen, sowie Hochschulen und Kultureinrichtungen. Neben seiner Tätigkeit als Datenschutzbeauftragter promoviert er an der juristischen Fakultät der Karls-Universität Prag im Bereich der strafrechtlichen Verantwortung für künstliche Intelligenz. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Eines der derzeit meist diskutiertesten datenschutzrechtlichen Themen stellt die Übermittlung personenbezogener Daten in Drittländer dar. Als Drittland sind im Sinne der Datenschutz-Grundverordnung (DS-GVO) sämtliche Länder zu verstehen, welche nicht Mitglied der Europäischen Union (EU) oder des Europäischen Wirtschaftsraums (EWR) sind und somit die Normen der DS-GVO nicht unmittelbar Wirkung entfalten. In den Mittelpunkt rückte die Betrachtung dieses Themas insbesondere durch die Rechtsprechung des Europäischen Gerichtshofes (EuGH), welcher das EU-US-Privacy Shield kippte. Auch wenn aktuelle Ereignisse darauf hindeuten, dass sowohl die EU als auch die USA auch ein Nachfolgeabkommen hinarbeiten, stellen diese keine belastbare Übermittlungsgrundlage dar.

AKTUELLE SITUATION

Für verantwortliche Stellen verspricht die aktuelle Situation einen nicht zu vernachlässigenden Handlungsbedarf. So ist eine Übermittlung personenbezogener Daten in Drittländer nicht ausschließlich bei einer aktiven Übermittlung vorliegend, sondern bereits im Falle der reinen Möglichkeit einer Kenntnisnahme. Diese ist beispielsweise bei der Nutzung von Dienstleistern in datenschutzrechtlichen Drittländern anzunehmen, welche Cloud-Services oder andere Dienstleistungen im Rahmen einer Auftragsverarbeitung zur Verfügung stellen.

Als Übermittlungsgrundlage kommen hierbei fast ausschließlich die sogenannten Standardvertragsklauseln bzw. Standarddatenschutzklauseln zum Einsatz. Diese wurden bereits im vergangenen Jahr durch die Europäische Kommission in einer überarbeiteten Version zur Verfügung gestellt. Sowohl für die verantwortliche Stelle im Anwendungsbereich der DS-GVO als auch für den Dienstleister im datenschutzrechtlichen Drittstaat ergeben sich in diesem Zusammenhang eine Reihe von Pflichten.

DIE NEUEN STANDARDDATENSCHUTZKLAUSELN

Bei Standarddatenschutzklauseln handelt es sich um eine besondere vertragliche Vereinbarung zwischen datenübermittelnder und datenempfangender Stelle, im Rahmen derer datenschutzrechtliche Rechten und Pflichten festgelegt werden. Hierdurch wird eine Vereinheitlichung des hohen Datenschutzniveaus auf beiden Seiten angestrebt. Im Rahmen des „Schrems II“-Urteils konstatierte der EuGH jedoch, dass ein solches Datenschutzniveau nicht allein durch ein Abkommen oder vertragliche Regelungen erreicht werden könne. Es bedürfe darüber hinaus weiterer geeigneter Garantien, welche die weitreichenden Zugriffsmöglichkeiten von Ermittlungsbehörden oder anderer staatlicher Einrichtungen einschränken.

Waren die bisherigen Standardvertragsklauseln für Datenübermittlungen in Drittländer in den Versionen „Verantwortlicher – Auftragsverarbeiter“ und „Verantwortlicher – Verantwortlicher“ verfügbar, erscheinen die neuen Standardvertragsklauseln hingegen nur in einer Version. Dafür bieten diese einen neuen modularen Aufbau, welcher es ermöglicht, dass ein jeweils auf den Einzelfall angepasstes Vertragswerk erstellt werden kann. Neben den bereits genannten Konstellationen finden sich ebenfalls Module für Datenübermittlungen von einem Auftragsverarbeiter an einen weiteren Auftragsverarbeiter sowie von einem Auftragsverarbeiter an einen Verantwortlichen. Weiterhin können von nun an auch Festlegungen hinsichtlich des anwendbaren Rechts sowie hinsichtlich des Gerichtsstandes getroffen und leichter weitere Vertragspartner in die Regelungen aufgenommen werden.

Gänzlich neu ist die Implementierung des risikobasierten Ansatzes, welcher insbesondere den Anforderungen des „Schrems II“-Urteils gerecht werden soll. Hierbei ist vor Vertragsschluss eine Dokumentation („Transferfolgenabschätzung“ / „Transfer Impact Assessment“) vorzunehmen. Darüber hinaus getroffene technische oder organisatorische Garantien müssen geeignet sein, einem möglichen Zugriff auf personenbezogene Daten von staatlichen Behörden entgegenzuwirken.

Sollte eine staatliche Behörde dennoch einen Datenzugriff (erkennbar) beabsichtigen, so hat der Dienstleister im Drittland den beziehungsweise die Vertragspartner hierüber umgehend zu informieren. Darüber hinaus obliegt es dem Dienstleister die Rechtmäßigkeit für einen solchen Zugriff zu überprüfen und gegebenenfalls dagegen rechtlich vorzugehen. Sollten ihm derartige Maßnahmen unmöglich sein, so sind die Vertragspartner hierüber in Kenntnis zu setzen und das jeweilige Vorgehen ist dokumentiert nachzuweisen.

Ergänzend sei erwähnt, dass wie bereits bei den bisherigen Standardvertragsklauseln auch im Rahmen der neuen Version keine Veränderungen, jedoch Ergänzungen von vertraglichen Regelungen vorgenommen werden können. Darüber hinaus ist sicherzustellen, dass die neuen Standardvertragsklauseln bis Dezember 2022 auch in bereits bestehenden Vertragsverhältnissen umzusetzen sind. Es besteht somit nahezu für jeden Verantwortlichen unmittelbarer Handlungsbedarf.

DIE SOGENANNTE TRANSFERFOLGENABSCHÄTZUNG

Die Verpflichtung zur Durchführung einer Transferfolgenabschätzung im Rahmen des Abschlusses von Standardvertragsklauseln ergibt sich aus Klausel 14. Darin heißt es unter anderem: „Die Parteien sichern zu, keinen Grund zu der Annahme zu haben, dass die für die Verarbeitung personenbezogener Daten durch den Datenimporteur geltenden Rechtsvorschriften und Gepflogenheiten im Bestimmungsdrittland, einschließlich Anforderungen zur Offenlegung personenbezogener Daten oder Maßnahmen, die öffentlichen Behörden den Zugang zu diesen Daten gestatten, den Datenimporteur an der Erfüllung seiner Pflichten gemäß diesen [Standardvertrags-]Klauseln hindern.“ Hieraus ergibt sich ebenfalls die Verpflichtung, dass auch der Auftragsverarbeiter im Drittland den Verantwortlichen hierzulande bei der Durchführung der Transferfolgenabschätzung zu unterstützen hat.

Um eine Einschätzung entsprechend der Vorgaben vornehmen zu können, sieht Klausel 14 die Berücksichtigung bestimmter Aspekte als verpflichtend an. Hierzu gehören nach dem Wortlaut der Klausel:

– Die besonderen Umstände der Übermittlung, einschließlich der Länge der Verarbeitungskette, der Anzahl der beteiligten Akteure und der verwendeten Übertragungskanäle, beabsichtigte Datenweiterleitungen, die Art des Empfängers, den Zweck der Verarbeitung, die Kategorien und das Format der übermittelten personenbezogenen Daten, den Wirtschaftszweig, in dem die Übertragung erfolgt, den Speicherort der übermittelten Daten,

– die angesichts der besonderen Umstände der Übermittlung relevanten Rechtsvorschriften und Gepflogenheiten des Bestimmungsdrittlandes (einschließlich solcher, die die Offenlegung von Daten gegenüber Behörden vorschreiben oder den Zugang von Behörden zu diesen Daten gestatten) sowie die geltenden Beschränkungen und Garantien,

– alle relevanten vertraglichen, technischen oder organisatorischen Garantien, die zur Ergänzung der Garantien gemäß der Standardvertragsklauseln eingerichtet wurden, einschließlich Maßnahmen, die während der Übermittlung und bei der Verarbeitung personenbezogener Daten im Bestimmungsland angewandt werden.

Darüber hinaus empfehlen wir darzulegen, aus welchen zwingenden Gründen es einer solchen Übermittlung personenbezogener Daten beziehungsweise des Einsatzes des Dienstleisters in dem Drittland bedarf. In diesem Zusammenhang sollte gegebenenfalls auf fehlende gleichwertige Alternativen innerhalb der EU / des EWR verwiesen werden. Unter Berücksichtigung der Rechenschaftspflicht gemäß Art. 5 Abs. 2 DS-GVO sollte auch die Betrachtung und der Ausschluss derartiger Alternativen in die datenschutzrechtliche Dokumentation aufgenommen werden. Die Transferfolgenabschätzung ist auf Anfrage der Aufsichtsbehörde vorzulegen.

Die Durchführung einer Transferfolgenabschätzung ist grundsätzlich nicht an eine bestimmte Form gebunden, soweit eine Nachweisbarkeit der Durchführung möglich ist. In diesem Zusammenhang bietet es sich an, die Transferfolgenabschätzung als Anlage zum jeweiligen Verzeichnis der Verarbeitungstätigkeiten zu nehmen.

FAZIT

Der Beitrag zeigt auf, welche datenschutzrechtlichen Verpflichtungen aktuell mit Übermittlungen personenbezogener Daten in Drittländer im Zusammenhang stehen. Im Rahmen unseres neuen Leitfadens „Drittlandtransfer – Datenschutzrechtliche Grundlagen und Hinweise für verantwortliche Stellen“ geben wir einen thematischen Überblick und stellen Handlungsempfehlungen dar. Die weiteren Entwicklungen, insbesondere hinsichtlich eines Nachfolgeabkommens zwischen der EU und der USA, sind im Blick zu behalten.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

DATENÜBERMITTLUNGEN IN ANDERE STAATEN

Die DS-GVO regelt den Datenschutz in der gesamten Europäischen Union (darüber hinaus auch in den EWR-Staaten) einheitlich. Bei Datenübermittlungen innerhalb der EU (also auch aus einem Mitgliedstaat in einen anderen Mitgliedstaat) gelten keine zusätzlichen Anforderungen. Der Datenaustausch von Akteuren in verschiedenen Mitgliedstaaten wird behandelt wie der Datenaustausch innerhalb ein und desselben EU-Staats. Etwas ganz anderes gilt bei Datenübermittlungen an einen Verantwortlichen oder Auftragsverarbeiter außerhalb des EWR: Zusätzlich zu den allgemeinen Anforderungen – vor allem: Rechtsgrundlage für den konkreten Datentransfer und datenschutzkonforme Ausgestaltung – verlangt die DS-GVO entweder einen Angemessenheitsbeschluss der Kommission für den Zielstaat (Art. 45 Abs. 3), geeignete Garantien für ein angemessenes Datenschutzniveau im Zielstaat (Art. 46) oder die Voraussetzungen für eine der Ausnahmeregelungen in Art. 49.

AUSNAHMEREGELUNGEN DES ART. 49 DS-GVO

Artikel 49 regelt ausdrücklich „Ausnahmen“. In den Normalfällen nach Art. 45 Abs. 3 und Art. 46 wird verlangt, dass der Datenempfänger im Drittstaat ein „angemessenes Datenschutzniveau“ gewährleistet. Wenn anfangs vielleicht noch zu diesem Begriff verschiedene Vorstellungen existierten, hat der Europäische Gerichtshof (als letztzuständige Institution für die Auslegung des EU-Rechts) in den Entscheidungen Safe Harbour und Privacy Shield eindeutig geklärt: „Angemessenes Datenschutzniveau“ bei einem Datenempfänger bedeutet, dass dort eine Behandlung der Daten nach den Vorschriften der DSGVO garantiert werden muss. Mit anderen Worten: Die DS-GVO-Pflichten werden auf den ausländischen Datenempfänger „projiziert“; nur wenn der Empfänger diese Pflichten erfüllen wird, darf der Verantwortliche die Daten aus der EU übermitteln.

Ein großes Problem: Jeder Akteur in jedem Staat auf dieser Erde – gleichgültig, ob Unternehmen in Brasilien oder Behörden in Indonesien – unterliegt den jeweiligen nationalen Gesetzen. Vereinfacht und auf den Punkt gebracht: Wenn die nationalen Gesetze in einem Drittstaat nicht vollständig den Datenschutzregeln der DS-GVO entsprechen, kann eine Person oder ein Unternehmen in diesem Drittstaat die Einhaltung der Regelungen der DS-GVO auch nicht gewährleisten. Diese – eigentlich offensichtliche – Tatsache wurde bei Ausgestaltung der „Regelfälle“ in Art. 45 Abs. 3 und Art. 46 DSGVO völlig übersehen:

ANGEMESSENHEITSBESCHLUSS DER KOMMISSION

Artikel 45 DS-GVO sieht vor, dass die EU-Kommission unter anderem Drittstaaten durch Beschluss ein angemessenes Datenschutzniveau attestieren kann (Eine Liste der bisherigen Angemessenheitsbeschlüsse finden Sie hier). Auf dieser Grundlage bzw. der Vorgänger-Richtlinie (RL 95/46/EG) erließ die Kommission auch die Beschlüsse zu Safe Harbour und Privacy Shield. In beiden Fällen entschied der EuGH, die Kommission habe das Datenschutzniveau falsch (nämlich zu günstig) beurteilt. Dies wurde u.a. damit begründet, dass weder Safe Harbour noch Privacy Shield gegen einen Datenzugriff US-amerikanischer Sicherheitsbehörden bei dem jeweiligen Datenempfänger in den USA schützen können.

Es liegt auf der Hand, dass die Kommission eigentlich sofort ihren Angemessenheitsbeschluss betreffend Kanada aufheben müsste. Darin hatte sie ausdrücklich nur für den nicht-öffentlichen Bereich Kanadas (hauptsächlich die dortigen Wirtschaftsunternehmen) ein angemessenes Datenschutzniveau bestätigt. Kanadische Behörden gewährleisten in den Augen der EU keinen ausreichenden Datenschutz (u.a. wegen Einbindung der dortigen Geheimdienste in die von Edward Snowden veröffentlichte massenhafte E-Mail-Auswertung). Die Kommissions-Entscheidung zu Kanada beruht offenbar auf der vom EuGH nun eindeutig abgelehnten Ansicht, Unternehmen eines Staates könnten auch dann angemessenen Datenschutz gewährleisten, wenn nach den dort geltenden staatlichen Gesetzen die Sicherheitsbehörden DS-GVO-widrige Datenverarbeitungen durchführen dürfen.

Ob die anderen Angemessenheitsentscheidungen (u.a. zugunsten Israels) unter diesem Aspekt einer Überprüfung Stand halten würden, mag dahinstehen. Viel wichtiger ist: Für gerade einmal zwölf Staaten hat die Kommission ein gleichwertiges Datenschutzniveau anerkannt; davon besitzen nur sechs eine wirtschaftlich nennenswerte Bedeutung. Für den „ganz normalen“ und notwendigen weltweiten Datenaustausch bietet Art. 45 DS-GVO somit keine Grundlage.

VEREINBARUNGEN ZWISCHEN AKTEUREN

Damit bleibt der Blick auf die in Art. 46 DS-GVO gelisteten Wege. Diese bestehen durchweg in Vereinbarungen zwischen den beteiligten Unternehmen, Behörden etc. oder Selbstverpflichtungen der beteiligten Akteure. Ohne, dass man auf die einzelnen Varianten speziell eingehen müsste (z.B. Binding Corporate Rules, Standardvertragsklauseln, Verhaltensregeln) ist spätestens mit den EuGH-Entscheidungen zu Safe Harbour und Privacy Shield klar: Ein „angemessenes Datenschutzniveau“ setzt nach Auffassung des EuGH stets voraus, dass die beteiligten Akteure auch im Stande sind, ihre Vereinbarungen, Selbstverpflichtungen etc. im jeweiligen Drittstaat einzuhalten. Wenn sie nach dort geltenden Gesetzen oder nach den dortigen Machtverhältnissen gar nicht im Stande sind, die auf dem Papier gegebene Zusagen zu erfüllen, dann bewirken die Datenschutzpapiere (natürlich) auch kein „angemessenes Datenschutzniveau“.

Besonders deutlich wird das Dilemma am Beispiel der Sicherheitsbehörden / Geheimdienste: Für die Datenverarbeitung durch Sicherheitsbehörden der EU-Staaten enthält Art. 2 Abs. 2 DSGVO Ausnahmeregelungen. Sie werden also nicht an den Vorschriften der DS-GVO gemessen. Diese Ausnahmen gelten aber nur für EU-Behörden. Mit anderen Worten: Geheimdienste von Drittstaaten müssen die DS-GVO-Vorgaben einhalten, damit diesen Drittstaaten ein angemessenes Datenschutzniveau zugesprochen wird (so auch die Sichtweise des EuGH). Beim Brexit könnte sich dies auswirken: Solange Großbritannien EU-Mitglied war, benötigten Datenübermittlungen in das Vereinigte Königreich keine zusätzliche Prüfung. Wenn nach Jahresende die Übergangsregelungen ohne Ersatz auslaufen sollten („harter Brexit“), könnte ein „angemessenes Datenschutzniveau“ im Vereinigten Königreich mit Hinweis auf die Tätigkeit der britischen Geheimdienste verneint werden.

FAZIT

Das Modell der DS-GVO für den internationalen Datentransfer ist schlicht nicht praxistauglich. Auf EU-Ebene gibt es jedoch keine Anzeichen für ein grundsätzliches Problembewusstsein und Änderungsbereitschaft. Vernünftige Regelungen sind nicht in Sicht. Denkbar wären verschiedene Lösungen – dazu in einem späteren Beitrag mehr; dieser ist bereits viel zu lang geraten.

WAS WURDE ENTSCHIEDEN?

Der Österreicher Max Schrems hatte gegen die Facebook Ireland Ltd. geklagt. In der Begründung brachte er vor, dass Daten der Nutzer des Social-Media-Plattform zu großen Teilen auf den Servern in den Vereinigten Staaten gespeichert werden. In den USA könne jedoch u.a. aufgrund der Zugriffsrechte der US-Geheimdienste kein angemessenes Schutzniveau garantiert werden.

Der EuGH stellte nunmehr in seinem Urteil fest, dass die Übermittlung personenbezogener Daten in die USA auf der Grundlage des EU-US-Privacy Shield unzulässig ist und unverzüglich eingestellt werden muss, weil das durch den EuGH bewertete US-Recht kein Schutzniveau bietet, das dem in der EU im Wesentlichen gleichwertig ist. Somit wurde die Hauptgrundlage für einen Datentransfer zwischen der EU und den USA entzogen. Konsequenz ist, dass der Einsatz der meisten US-Unternehmen wie bspw. Cloudflare, Facebook, Google, LinkedIn, MailChimp Twitter, YouTube, etc. torpediert wurde.

IST EINE DATENÜBERMITTLUNG IN DIE USA WEITERHIN MÖGLICH

Das Urteil hebt nicht den kompletten Datentransfer in die USA auf. Eine Datenübermittlung bleibt weiterhin zulässig, sofern die Voraussetzungen der Art. 44 bis Art. 49 DS-GVO erfüllt sind, d.h. eine gültige Rechtsgrundlage für die Übermittlung von personenbezogenen Daten in ein Drittland vorliegt. Bei den USA handelt es sich um ein solches Drittland. Nach dem Wegfall des Privacy-Shields rücken allem voran die Standardvertragsklauseln (nach Art. 46 Abs. 2 lit. c) DS-GVO „Standarddatenschutzklauseln“ genannt) ins Blickfeld. Diese Klauseln können auch nach Ansicht des EuGHs grundsätzlich eine gültige Rechtsgrundlage für die Datenübermittlung darstellen. Voraussetzung ist jedoch, dass das europäische Datenschutzniveau entsprechend eingehalten wird.

Mittlerweile hat der Europäische Datenschutzausschuss diesbezüglich Leitlinien veröffentlicht, welche Verantwortlichen bei der Anwendung der Norm eine Hilfestellung leisten sollen. Als weitere Handlungsmöglichkeit wird immer häufiger in Betracht gezogen, die betroffenen Personen jeweils in die Übertragung ihrer personenbezogenen Daten in die USA einwilligen zu lassen.

WELCHER HANDLUNGSBEDARF ERGIBT SICH FÜR VERANTWORTLICHE IN DER PRAXIS?

Verantwortliche, die weiterhin personenbezogene Daten in die USA übermitteln wollen, müssen alternative Rechtsgrundlagen wie bspw. die Standardvertragsklauseln in Betracht ziehen und diese entsprechend überprüfen. Hierfür ist es ratsam sich zunächst einen Überblick zu verschaffen, welche US-Dienstleister eingesetzte werden und ob eine Übermittlung personenbezogener Daten von Betroffenen an diese Unternehmen erfolgt.

Ergibt sich nach der Überprüfung, dass Sie den US-Unternehmen personenbezogene Daten Ihrer Nutzer übermitteln, bedarf es anschließend einer Regelung zur Legitimation der Datenübermittlung, z.B. Abschluss von Standardvertragsklauseln, Nutzung einer Einwilligungslösung, Verwendung von Servern innerhalb der EU usw. Bei der Verwendung der Standardvertragsklausel sollte bei den US-Unternehmen nachgehakt werden, wie die vertraglichen Garantien eingehalten werden und durch welche geeigneten technischen Maßnahmen sie den Zugriff der US-Behörden unterbinden.

Insbesondere ergibt sich voraussichtlich auch Handlungsbedarf hinsichtlich der meisten Datenschutzinformationen. So enthalten zahlreiche Informationen einen Hinweis auf den EU-US-Privacy-Shield als Rechtsgrundlage für die Datenübermittlung. Diese Formulierungen sind nunmehr entsprechend anzupassen.

Mittlerweile haben die deutschen Datenschutzaufsichtsbehörden angekündigt, bundesweit Webseiten hinsichtlich der rechtkonformen Einbindung von Tracking-Technologien zu überprüfen (hierzu die Pressemitteilung des Landesbeauftragten für Datenschutz und Informationsfreiheit Baden-Württemberg). Gleichzeitig hat auch Max Schrems mit seiner „NGO noyb“ 101 Beschwerden gegen zahlreiche Unternehmen in Europa eingereicht.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und IT-Sicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine.