10.07.2023 Neuer Rahmen für den transatlantischen Austausch personenbezogener Daten

„Data Privacy Framework“ verabschiedet

Von: Berthold Wesseler

Die Europäische Kommission hat ihren Angemessenheitsbeschluss für den EU-US-Datenschutzrahmen angenommen. Sie billigt also den Vereinigten Staaten ein im Vergleich zur EU angemessenes Schutzniveau für solche personenbezogene Daten zu, die aus der EU an US-Unternehmen übermittelt werden, die an dem EU-US-Datenschutzrahmen teilnehmen.

Das heißt: Auf dieser Grundlage könnten personenbezogene Daten sicher aus der EU an US-Unternehmen übermittelt werden, die am Rahmen teilnehmen, ohne dass zusätzliche Datenschutzgarantien eingeführt werden müssen. Das erleichtert auch den Einsatz anderer Instrumente, wie etwa Standardvertragsklauseln und verbindlicher Unternehmensregeln.

Das EU-US Data Privacy Framework führt neue verbindliche Garantien ein, um alle vom Europäischen Gerichtshof im Schrems-II-Urteil geäußerten Bedenken auszuräumen, einschließlich der Beschränkung des Zugriffs auf EU-Daten durch US-Geheimdienste auf das Notwendige und Verhältnismäßige und die Einrichtung eines Datenschutzüberprüfungsgerichts („Data Protection Review Court“), zu dem EU-Bürger Zugang haben werden. Schrems hingegegen sieht in diesem Framework „weitgehend eine Kopie“ des 2020 ausgemusterten Vorgängers „Privacy Shield“ und will wieder vor den EuGH ziehen. Bereits im Oktober 2015 war dessen Vorgänger nach der ersten Schrems-Klage „Safe Harbour“ vom EuGH für ungenügend erklärt worden.

Präsidentin Ursula von der Leyen sagte: „Das neue EU-US-Datenschutz-Framework wird sichere Datenströme für Europäer gewährleisten und Rechtssicherheit für Unternehmen auf beiden Seiten des Atlantiks schaffen.“ Im Anschluss an die grundsätzliche Vereinbarung, die sie letztes Jahr mit Präsident Biden getroffen habe, hätten die USA „beispiellose Verpflichtungen zur Schaffung des neuen Frameworks“ umgesetzt.

US-Unternehmen können dem Framework beitreten, indem sie sich zur Einhaltung einer Reihe detaillierter Datenschutzverpflichtungen verpflichten, beispielsweise der Anforderung, personenbezogene Daten zu löschen, wenn sie für den Zweck, für den sie erfasst wurden, nicht mehr erforderlich sind. Damit gibt es drei Jahre, nachdem das Privacy Shield 2020 vom Europäischen Gerichtshof für ungültig erklärt wurde, eine neue Rechtsgrundlage für die Übertragung personenbezogener Daten aus der EU in die USA.

Dazu erklärte der neue Bitkom-Präsident Dr. Ralf Wintergerst: „Mit der heutigen Veröffentlichung des Data Privacy Frameworks geht eine dreijährige Hängepartie zu Ende. Unternehmen erhalten damit grundsätzlich wieder Rechtssicherheit, wenn sie personenbezogene Daten zwischen der EU und den USA transferieren müssen. Vor allem kleine und mittelständische Unternehmen profitieren davon, dass künftig keine Einzelfallprüfungen mehr notwendig sind. Die mühsamen transatlantischen Verhandlungen haben sich gelohnt und waren auch deshalb erfolgreich, weil die aktuelle US-Regierung mit einer Executive Order im vergangenen Jahr auf die europäischen Bedenken reagiert hat und auf die EU zugegangen ist.“

Sicher ist für Wintergerst aber auch, dass die nun gefundene Neuregelung erneut von den Gerichten überprüft werden wird. „Dort wird sich zeigen, ob der EU-Gesetzgeber mit dem Data Privacy Framework eine rechtlich belastbare Regelung gefunden hat. Datentransfers sind ein zentraler Bestandteil der globalen Wirtschaft quer durch alle Branchen und auch der Wissenschaft. Die Be- oder sogar Verhinderung von Datentransfers kann häufig nicht einfach durch alternative Lösungen kompensiert werden und stellt die deutschen und europäischen Unternehmen vor ebenso gravierende Herausforderungen wie die Unterbrechung von Lieferketten.“