„Privacy-Shield“ in Kraft getreten – viele Fragen bleiben ungeklärt

Nach langen Verhandlungen haben sich die EU-Kommission und die US-Regierung auf ein neues Datenschutz-Abkommen geeinigt. Dieses ist zum 12.07.2016 in Kraft getreten. US-Unternehmen können sich seit dem 01.08.2016 für Datentransfers nach diesem Abkommen zertifizieren lassen.

Hintergrund

Wenn europäische Unternehmen personenbezogene Daten an Unternehmen außerhalb der EU / des EWR übermitteln wollen, müssen sie für ein angemessenes Datenschutzniveau beim Empfänger der Daten Sorge tragen. Für einige Länder (derzeit: Andorra, Argentinien, Kanada, Schweiz, Färöer, Guernsey, Israel, Isle of Man, Jersey, Neuseeland und Uruguay) hat die EU-Kommission positiv festgestellt, dass dort ein angemessenen Datenschutzniveau herrscht. Eine Einzelfallprüfung ist daher entbehrlich.

Für alle anderen Länder bedarf es jedoch einer Einzelfallprüfung. Dabei gibt es bestimmte standardisierte Verfahren, um das angemessene Datenschutzniveau festzustellen. Eines dieser Verfahren ist der Abschluss sogenannter „EU-Standardvertragsklauseln“ mit dem Datenempfänger. Dabei bleibt aber der Datenexporteur in der Pflicht, die Einhaltung des Vertrages zu überprüfen.

Für die USA bestand bis zur Entscheidung des EuGH vom 6. Oktober 2015 (wir berichteten) das sogenannte „Safe-Harbor-Abkommen“. US-Unternehmen, die sich nach den Regelungen dieses Abkommens zertifiziert hatten, galten als „sicher“. Der Entscheidung des EuGH folgte eine mehrmonatige Prüfphase für das im Februar 2016 angekündigte neue Abkommen (siehe hier).

An deren Ende steht nun der neue Datenschutzschild, oder auch „Privacy Shield“. Es handelt sich um ein Abkommen, welches ähnlich seinem Vorgänger die Selbstzertifizierung durch US-Unternehmen vorsieht. Diese unterwerfen sich den Prinzipien und Inhalten des „Privacy Shield“.

Ausblick

Der „Privacy Shield“ schafft zumindest vorläufig ein Stück Rechtssicherheit für Unternehmen. Allerdings reißt die Kritik der Datenschutzbehörden und insbesondere der sogenannten „Artikel 29 Working Group“ (ein Zusammenschluss der europäischen Datenschutzbehörden) nicht ab.

Nach ihrer Auffassung stelle vieles zwar eine Verbesserung zu „Safe Harbor“ dar. Es mangele allerdings an Klarheit an einigen sensiblen Stellen, insbesondere zum Zugriff US-amerikanischer Behörden auf übermittelte Daten. Hierbei handelt es sich letztlich um denselben Kritikpunkt, den auch der EuGH anführte, um „Safe Harbor“ für unwirksam zu erklären. Den Unionsbürgern sollen nun zwar Auskunftsmöglichkeiten sowie die Möglichkeit, die Korrektur gespeicherter persönlicher Daten zu beantragen, eingeräumt werden; zu einer Löschung der Daten verpflichtet das die Behörden allerdings nicht. Eine etwaige Gesetzesänderung in den USA ist auch nicht absehbar.

Praxishinweis

Für europäische Unternehmen ist somit nach wie vor Vorsicht geboten, wenn es darum geht, personenbezogene Daten in die USA zu übermitteln. Einerseits wird es sicherlich noch etwas dauern, bis sich die US-amerikanischen Unternehmen nach dem neuen Abkommen zertifiziert haben. Andererseits wird es wohl auch einige Unternehmen geben, die nicht bereit sind, den Aufwand einer solchen Zertifizierung zu betreiben. Bei letzteren Unternehmen (oder vor Abschluss einer Zertifizierung) bietet sich die Verwendung der „EU-Standardvertragsklauseln“ an. Bei diesen ist dann aber wiederum zu berücksichtigen, dass auch sie bereits Gegenstand eines Beschwerdeverfahrens vor dem EuGH sind. Die irische Datenschutzbehörde will die „EU-Standardvertragsklauseln“ auf das Risiko des Zugriffs auf Daten durch US-Behörden prüfen lassen. Es ist nicht auszuschließen, dass der EuGH hier zu einem ähnlichen Ergebnis wie bei „Safe-Harbor“ kommt.

Vor einer Datenübertragung sollten Unternehmen zudem immer berücksichtigen, dass neben der Angemessenheit des Datenschutzniveaus beim Empfänger auch eine rechtliche Rechtfertigung der Datenübermittlung vorliegen muss. Jedenfalls innerhalb von Konzernen bedeutet die im Mai 2018 in Kraft tretende Datenschutzgrundverordnung eine gewisse Erleichterung. Zwar muss die Rechtfertigung nach wie vor im Einzelfall geprüft werden; der europäische Verordnungsgeber erkennt aber ein berechtigtes Interesse an der Weitergabe innerhalb des Konzerns ausdrücklich an.