EU-US-Datentransfers: Nachfolger für Privacy Shield Was leistet das neue Data Privacy Framework?

Anbieter zum Thema

Insider Research

FTAPI Software GmbH

valvisio international AG

Die Europäische Kommission hat entschieden, dass das Datenschutzniveau in den USA als gleichwertig mit dem EU-Datenschutz eingestuft wird. Damit gibt es einen Nachfolger für Privacy Shield als mögliche Rechtsgrundlage für die Übermittlung personenbezogener Daten in die USA, ohne dass zusätzliche Datenschutzvorkehrungen getroffen werden müssen. Die Frage ist nur, wie lange das neue Data Privacy Framework Bestand haben wird.

Die Europäische Kommission hat ihren Angemessenheitsbeschluss für den Datenschutzrahmen EU-USA angenommen. Darin wird festgelegt, dass die Vereinigten Staaten ein angemessenes Schutzniveau – vergleichbar mit dem der Europäischen Union – für personenbezogene Daten gewährleisten, die innerhalb des neuen Rahmens aus der EU an US-Unternehmen übermittelt werden.

„Der neue EU-US-Datenschutzrahmen wird sichere Datenströme für Europäer gewährleisten und Rechtssicherheit für Unternehmen auf beiden Seiten des Atlantiks bringen“, erklärte EU-Kommissionspräsidentin Ursula von der Leyen. „Im Anschluss an die grundsätzliche Vereinbarung, die ich letztes Jahr mit Präsident Biden getroffen habe, haben die USA beispiellose Verpflichtungen zur Schaffung des neuen Rahmens umgesetzt. Heute unternehmen wir einen wichtigen Schritt, um den Bürgern das Vertrauen zu geben, dass ihre Daten sicher sind, um unsere Wirtschaftsbeziehungen zwischen der EU und den USA zu vertiefen und gleichzeitig unsere gemeinsamen Werte zu bekräftigen. Es zeigt, dass wir durch Zusammenarbeit die komplexesten Probleme lösen können.“

Konkret soll das neue Data Privacy Framework neue verbindliche Garantien einführen, um alle vom Europäischen Gerichtshof geäußerten Bedenken auszuräumen, einschließlich der Beschränkung des Zugriffs auf EU-Daten durch US-Geheimdienste auf das Notwendige und Verhältnismäßige und die Einrichtung eines Datenschutzüberprüfungsgerichts (Data Protection Review Court, DPRC).

Die EU-Kommission sieht im neuen Rahmenwerk DPF erhebliche Verbesserungen im Vergleich zu dem unter dem Privacy Shield bestehenden Mechanismus. Wenn das DPRC beispielsweise feststellt, dass Daten unter Verstoß gegen die neuen Garantien erhoben wurden, kann sie die Löschung der Daten anordnen, erklärte die EU-Kommission. Die neuen Schutzmaßnahmen im Bereich des Datenzugriffs der Regierung werden die Verpflichtungen ergänzen, denen sich US-Unternehmen unterwerfen müssen, die Daten aus der EU importieren.

Was jetzt möglich ist

US-Unternehmen können nun dem EU-US-Abkommen DPF beitreten. Damit garantieren sie, eine Reihe detaillierter Datenschutzverpflichtungen einzuhalten, beispielsweise die Anforderung, personenbezogene Daten zu löschen, wenn sie für den Zweck, für den sie erfasst wurden, nicht mehr erforderlich sind, und die Kontinuität des Schutzes sicherzustellen, wenn personenbezogene Daten mit anderen geteilt werden.

Darüber hinaus sieht der neue Rechtsrahmen eine Reihe von Schutzmaßnahmen für den Zugriff auf Daten vor, die im Rahmen des Data Privacy Frameworks von US-amerikanischen Behörden übermittelt werden, insbesondere für Zwecke der Strafverfolgung und der nationalen Sicherheit. Der Zugriff auf Daten ist auf das zum Schutz der nationalen Sicherheit erforderliche und verhältnismäßige Maß beschränkt, betont die EU-Kommission.

Die Wirksamkeit des EU-US-Datenschutzrahmens wird regelmäßigen Überprüfungen unterzogen, die von der Europäischen Kommission zusammen mit Vertretern europäischer Datenschutzbehörden und zuständiger US-Behörden durchgeführt werden. Die erste Überprüfung wird innerhalb eines Jahres nach Inkrafttreten des Angemessenheitsbeschlusses, also in 2024, stattfinden, um zu überprüfen, ob alle relevanten Elemente vollständig im US-Rechtsrahmen umgesetzt wurden und in der Praxis wirksam funktionieren.

Wirtschaftsverbände reagieren erleichtert

„Mit der heutigen Veröffentlichung des Data Privacy Frameworks geht eine dreijährige Hängepartie zu Ende“, kommentierte der neue Bitkom-Präsident Dr. Ralf Wintergerst. „Unternehmen erhalten damit grundsätzlich wieder Rechtssicherheit, wenn sie personenbezogene Daten zwischen der EU und den USA transferieren müssen. Vor allem kleine und mittelständische Unternehmen profitieren davon, dass künftig keine Einzelfallprüfungen mehr notwendig sind. Die mühsamen transatlantischen Verhandlungen haben sich gelohnt und waren auch deshalb erfolgreich, weil die aktuelle US-Regierung mit einer Executive Order im vergangenen Jahr auf die europäischen Bedenken reagiert hat und auf die EU zugegangen ist.“

Digitaleurope-Generaldirektorin Cecilia Bonefeld-Dahl sieht dies ähnlich: „Die heutige Entscheidung ist eine gute Nachricht für die vielen tausend großen und kleinen Unternehmen, die täglich Daten über den Atlantik übertragen. Der Datenfluss ist die Grundlage für die jährlichen Dienstleistungsexporte der EU in die USA in Höhe von 1 Billion Euro. Diese Entscheidung wird den Unternehmen mehr Vertrauen in die Geschäftsabwicklung geben und zum Wachstum unserer Volkswirtschaften beitragen“.

Cecilia Bonefeld-Dahl ergänzte: „Wir sind zuversichtlich, dass sowohl die Europäische Kommission als auch die US-Regierung alles Notwendige getan haben, um sicherzustellen, dass dieses Abkommen allen rechtlichen Prüfungen gerecht wird.“

Das aber wird sich zeigen müssen.

Datenschützer haben bereits Kritik geäußert, Abkommen landet wieder vor Gericht

Im Vorfeld hatten sich bereits die Datenschutzaufsichtsbehörden zu dem neuen Abkommen zu Wort gemeldet. So sagte der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) Professor Ulrich Kelber: „Wir sehen den Willen, ein angemessenes Schutzniveau für Betroffene, deren personenbezogenen Daten an Unternehmen in die USA übermittelt werden, zu schaffen. Deutliche Fortschritte gibt es insbesondere im Bereich des Government Access für Zwecke der nationalen Sicherheit. Bedenken haben wir, ob die neuen Regelungen in allen Punkten ein Schutzniveau gewährleisten, das den EU-Datenschutzstandards der Sache nach gleichwertig ist.“

Bitkom-Präsident Wintergerst erwartet, dass auch das neue DPF vor Gericht landen wird: „Sicher ist aber auch, dass die nun gefundene Neuregelung erneut von den Gerichten überprüft werden wird. Dort wird sich zeigen, ob der EU-Gesetzgeber mit dem Data Privacy Framework eine rechtlich belastbare Regelung gefunden hat.“

Damit dürfte der Bitkom-Präsident richtig liegen. Noyb, die Non-Profit-Organisation, in der Max Schrems aktiv ist, hat sich bereits zu DPF geäußert: „Der dritte Versuch der Europäischen Kommission, ein stabiles Abkommen zu den Datentransfers zwischen der EU und den USA zu erreichen, wird in wenigen Monaten wieder vor dem Europäischen Gerichtshof (EuGH) landen“.

Das Datenschutzabkommen sei weitgehend eine Kopie des gescheiterten „Privacy Shield“-Abkommens. Anders als von der Europäischen Kommission behauptet, ändere sich am US-Recht wenig, so die Position von noyb.

Wer also gedacht hat, mit dem neuen Angemessenheitsbeschluss DPF wären nun die Übermittlungen personenbezogener Daten in die USA langfristig auf eine neue Rechtsgrundlage gestellt, könnte in nicht zu ferner Zukunft wieder da stehen, wo man nach dem EuGH-Urteil zur Ungültigkeit von Privacy Shield stand. Man sollte also lieber nicht alle anderen möglichen Rechtsgrundlagen und Schutzverfahren für Datentransfers in die USA vergessen und ganz auf DPF setzen.

Wir werden über die weitere Entwicklung berichten.

(ID:49611352)