Schutz personenbezogener Daten Datenschutzkonforme Datenübermittlung in Drittländer

Durch die Datenschutz-Grundverordnung haben sich aus datenschutzrechtlicher Sicht viele Veränderungen im Umgang mit personenbezogenen Daten innerhalb der Europäischen Union ergeben. Aber auch die Datenübermittlung in Drittländer, dies sind Länder außerhalb der Mitgliedstaaten der EU, gestaltet sich als überaus wichtiges Thema im Hinblick auf den Datenschutz.

Anbieter zum Thema

SEPPmail - Deutschland GmbH

Insider Research

valvisio international AG

Zunächst gilt es zu klären, was unter dem Begriff „Drittland“ zu verstehen ist. Die Datenschutz-Grundverordnung hat diesen Begriff nicht näher definiert. Als Drittländer werden demnach solche Länder bezeichnet, welche nicht Teil des europäischen Wirtschaftsraumes (EWR) und der Europäischen Union sind. Hierzu zählen unter anderem Länder wie beispielsweise China und die Schweiz. Besonderes Augenmerk ist in diesem Zusammenhang auf eine Übermittlung in die USA zu legen, worauf im Laufe dieses Beitrages noch näher eingegangen wird.

Von einer „Datenübermittlung“ in ein Drittland im Sinne der DSGVO spricht man ferner, sobald Daten aus dem europäischen Wirtschaftsraum in Länder außerhalb der EU gelangen und der Empfänger der Daten in einem Land außerhalb der EU ansässig ist. Eine Drittlandsübermittlung ist auch einschlägig, wenn personenbezogene Daten nur über einen Server in ein Drittland und wieder zurück zu einem Server im EWR geleitet werden. Die Übermittlung ist hierbei als eine Form der Weitergabe bzw. dem Zugänglichmachen oder auch der Abrufbarkeit von Daten anzusehen.

Safe Harbour Abkommen & Privacy Shield Vereinbarung

Maßgeblich für den Drittlandstransfer von personenbezogenen Daten z.B. in die USA war einst das Safe Harbour Abkommen, ein Beschluss der Europäischen Kommission aus dem Jahre 2000. Dieses Abkommen wurde jedoch mit dem Schrems I Urteil für ungültig erklärt und fand durch die sogenannte Privacy Shield Verordnung Ablösung, welche allerdings ihrerseits mit der Schrems II-Entscheidung vom 16.07.2020 ebenfalls für ungültig erklärt wurde, da auch hier kein DSGVO-konformes Datenschutzniveau durch die US-Amerikaner garantiert werden konnte. Gründe für diese Entscheidung waren unter anderem das Fehlen von Rechtbehelfen für europäische Personen, sowie die fehlende Eingrenzung auf ein notwendiges Maß im Hinblick auf amerikanische Überwachungsprogramme. Die Ungültigkeit führte zu einer enormen Verwirrung und Unsicherheit im Hinblick auf den künftigen Datentransfer.

Zulässigkeit einer Drittlandsübermittlung

Aber wie genau funktioniert nun, ein Jahr nach Abschaffung des Angemessenheits­beschlusses, ein zulässiger Transfer von personenbezogenen Daten in ein Land außerhalb der EU?

Die Zulässigkeitsprüfung einer Datenübermittlung in Drittstaaten erfolgt grundsätzlich zweistufig und muss vor der Übermittlung durch den Verantwortlichen im Zuge der sogenannten Zwei-Stufen-Prüfung durchgeführt und dokumentiert werden.

Auf der ersten Stufe muss geprüft werden, ob sonstige Bestimmungen wie Art. 6 DSGVO oder auch Art. 28 DSGVO eingehalten werden, sowie alle weiteren für den Sachverhalt wichtigen Bestimmungen. Es gilt es somit festzustellen, ob überhaupt eine Rechtsgrundlage für die Übermittlung der Daten gegeben ist. Sollte dies der Fall sein, gelangt man zur zweiten Stufe der Prüfung. Auf dieser sekundären Ebene wird nun sichergestellt, ob in dem jeweiligen Drittland ein angemessenes Datenschutzniveau vorhanden ist. Folgende Instrumente kommen hierzu in Betracht: Zunächst kann gem. Art. 45 DSGVO auf der Grundlage eines Angemessenheits­beschlusses, wie Safe Harbour und Privacy Shield es waren, durch die EU-Kommission festgestellt werden, dass das jeweilige Drittland ein angemessenes Datenschutzniveau bietet. Sollte dies nicht der Fall sein, ist eine Datenübermittlung in Drittländer gem. Art. 46 Abs. 2 lit. c) DSGVO auch zulässig, sofern der Verantwortliche oder Auftragsverarbeiter geeignete Garantien vorgesehen hat und sofern den betroffenen Personen durchsetzbare Rechte sowie wirksame Rechtsbehelfe zur Verfügung stehen. Diese Garantien lassen sich wiederum in zwei große Gruppen aufteilen, einerseits existieren genehmigungsfreie und andererseits genehmigungspflichtige Möglichkeiten.

Zu den genehmigungsfreien Möglichkeiten gehören unter anderem die von der europäischen Kommission beschlossenen Standardvertragsklauseln (SCC). Sofern diese von beiden Vertragsparteien akzeptiert werden, ist eine behördliche Genehmigung nicht mehr notwendig. An dieser Stelle gilt es zu betonen, welch große Relevanz die Standardvertragsklauseln in der Praxis haben.

Eine Alternative ergibt sich aus den genehmigungspflichtigen Möglichkeiten. Hier sind die sog. „Bonding Corporate Rules“ kurz BCR zu erwähnen, welche individuellen, verbindlichen, internen Datenschutzvorschriften beispielweise eines international agierenden Konzerns sind. Hier verpflichtet sich ein Unternehmen, die datenschutzrechtlichen Vorschriften nach der DSGVO einzuhalten. Die BCR müssen z.B. unter anderem inhaltlich die Vorgaben des Art. 47 Abs. 1 und Abs. 2 DSGVO erfüllen.

Sind für die Datenübermittlung in ein Drittland weder Angemessenheitsbeschlüsse getroffen worden noch geeignete Garantien vorhanden, so enthält Art. 49 DSGVO eine Reihe von Ausnahmereglungen, wie zum Beispiel, dass die betroffene Person in die vorgeschlagene Datenübermittlung ausdrücklich eingewilligt hat, nachdem sie über die für sie bestehenden möglichen Risiken derartiger Datenübermittlungen ohne Vorliegen eines Angemessenheits­beschlusses und ohne geeignete Garantien unterrichtet wurde oder die Übermittlung ist für die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen oder zur Durchführung von vorvertraglichen Maßnahmen auf Antrag der betroffenen Person erforderlich, etc.

Drittlandsübermittlung durch Nutzung von Social Media, Tracking-Diensten und sonstigen Tools

Wie verhält es sich nun mit dem Datenschutz, wenn die gängigen US-Tools, wie z.B. Google Analytics, aber auch Newsletter-Anbieter wie MailChimp und Videoplattformen wie Youtube, mit Sitz in den USA zum Einsatz kommen? Wie und in welchem Umfang ist der Datentransfer nach Abschaffung der Privacy Shield Verordnung durchzuführen? Können US-Firmen ein ähnliches Schutzniveau wie das der EU nachweisen? Wie oben bereits dargestellt, können die EU-Standardvertragsklauseln als gültige Grundlage für den Transfer genutzt werden. Auch die Binding Corporate Rules, als interne verbindliche Datenschutz-Regelungen, stellen eine Möglichkeit dar, der Datentransfer in die USA zu legitimieren.

Um die große Verwirrung in diesem doch sehr komplexen Thema zu entzerren, veröffentlichte der Europäische Datenschutzausschuss (kurz EDSA) weiterhin am 11. November 2020 eine Leitlinie mit Maßnahmen, welche ergriffen werden sollten, um die Gewährleistung des EU-Schutzniveaus bei der Übertragung personenbezogener Daten sicherzustellen.

Darüber hinaus existieren sogenannte „Codes of Conduct“ (CoD). Dies sind brancheninterne Verhaltenskodexe, welche zunächst von der EU genehmigt werden müssen. Im Anschluss der Genehmigung können sich Unternehmen aus den sog. Drittländern einem CoD „unterwerfen“.

Über den Autor: Ferris Imken hat seine Leidenschaft für Datenschutz in seinem Masterstudium im Wirtschaftsrecht an der Hochschule Osnabrück entdeckt und ist nunmehr bei der Keyed GmbH als Data Protection Consultant tätig. Mit seiner Erfahrung und seinem Interesse an Rechtsfragen rund um das Thema Digitalisierung unterstützt er unsere Kunden bei der Umsetzung von Projekten und hat dabei stets die Erzielung von Wettbewerbsvorteilen und eine praxistaugliche Umsetzung von datenschutzrechtlichen Anforderungen im Blick.

(ID:47878445)