Datenübermittlung in Drittländer Privacy-Shield-Nachfolger oder Datenschutz-Zertifizierung?

Anbieter zum Thema

FTAPI Software GmbH

Insider Research

valvisio international AG

Für die Übermittlung personenbezogener Daten in ein Drittland braucht es eine Rechtsgrundlage. Entsprechend hoffen viele auf den Nachfolger von Privacy Shield, wenn es um Datentransfers in die USA geht. Doch auch eine Datenschutzzertifizierung nach DSGVO könnte eine Grundlage sein, so scheint es. Was aber kann die Zertifizierung hier wirklich leisten?

„Datentransfers sind essenzieller Bestandteil der gesamten Wirtschaft und Wissenschaft“, erklärte Rebekka Weiß, Leiterin Vertrauen und Sicherheit beim Digitalverband Bitkom. „Die Be- oder Verhinderung von Datentransfers ist für deutsche und europäische Unternehmen mindestens ebenso gravierend wie die Blockade von physischen Warenströmen. Auch und insbesondere kleinere Unternehmen sind auf die Speicherung von Daten in der Cloud, Nutzung der Software US-amerikanischer Anbieter und Kommunikation in sozialen Netzwerken und die Nutzung von Videokonferenzsystemen internationaler Anbieter angewiesen.“

Entsprechend positiv reagierten viele Wirtschaftsverbände auf die politische Einigung über eine Neuauflage des Privacy Shield: „Bitkom begrüßt die Ankündigung der EU-Kommission, dass eine grundsätzliche politische Einigung mit den USA über einen Nachfolger des Privacy Shield erzielt worden ist“, so Rebekka Weiß von Bitkom weiter. „Die politische Einigung ist aber nur der dringend notwendige erste Schritt. Jetzt gilt es diesen politischen Willen in eine belastbare rechtliche Regelung zu überführen. Die Unternehmen brauchen rasch Rechtssicherheit, damit die bestehende Datenblockade endlich aufgelöst werden kann.“

Wie aber steht es darum?

Datenschützer haben Kritikpunkte am geplanten Privacy-Shield-Nachfolger

Der Europäische Datenschutzausschuss (EDSA) hat inzwischen eine Stellungnahme zum Entwurf des Angemessenheits­beschlusses zum EU-U.S. Data Privacy Framework (EU-U.S. DPF) verabschiedet.

Dazu sagte der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) Professor Ulrich Kelber: „Wir sehen den Willen, ein angemessenes Schutzniveau für Betroffene, deren personenbezogenen Daten an Unternehmen in die USA übermittelt werden, zu schaffen. Deutliche Fortschritte gibt es insbesondere im Bereich des Government Access für Zwecke der nationalen Sicherheit. Bedenken haben wir, ob die neuen Regelungen in allen Punkten ein Schutzniveau gewährleisten, das den EU-Datenschutzstandards der Sache nach gleichwertig ist.“

Anlass für Bedenken sieht der EDSA vor allem bei der Massenerhebung von Daten, die „Bulk Collection“, für die weder eine unabhängige Vorab-Kontrolle noch eine systematische unabhängige nachträgliche Überprüfung durch ein Gericht oder eine unabhängige Stelle vorgesehen ist.

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) unterstützt die Position des EDSA ausdrücklich. Dr. h. c. Marit Hansen, die Vorsitzende der DSK, sagte dazu: „Die Daten vieler EU-Bürgerinnen und EU-Bürger werden in die USA übermittelt. Für einen umfassenden Grundrechtsschutz ist es wichtig, dass das Schutzniveau auch in diesen Fällen gleichwertig mit dem in der EU garantierten Datenschutzniveau ist. Der Europäische Datenschutzausschuss hat unter Beteiligung deutscher Aufsichtsbehörden das in dem EU-U.S. Data Privacy Framework beschriebene Schutzniveau sorgfältig geprüft. Ich begrüße den erzielten Fortschritt und hoffe, dass die verbliebenen offenen Punkte, die wir gemeinsam aufgezeigt haben, nun ebenfalls geklärt werden.“

Angemessenheitsbeschluss ist in Sicht, aber auch neue Klagen

Thomas Fuchs, der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, betonte ebenso die Fortschritte: „Der nun zu erwartende Erlass der Angemessenheits­entscheidung schafft dringend benötigte Rechtssicherheit und ist trotz einiger verbesserungswürdiger Punkte ein Erfolg für den Datenschutz. Im Zuge der Verhandlungen haben die USA bisher nicht dagewesene Zugeständnisse gemacht und ihr nationales Sicherheitsrecht an europäische Grundrechtsmaßstäbe angepasst.“

Allerdings warnte der Datenschützer auch vor falschen Schlüssen: „Der Beschluss kann jedoch kein Freibrief sein. Ob und inwiefern tatsächlich Geheimdienstaktivitäten auf ein verhältnismäßiges Maß reduziert werden und wirksamer Rechtsschutz gewährleistet ist, kann nur die Umsetzung in der Praxis zeigen.“

So manche Datenschützerin und so mancher Datenschützer sieht schon die nächste Klage vor dem Europäischen Gerichtshof (EuGH). Wenn nun ein Unternehmen lieber auf eine andere Rechtsgrundlage setzen möchte, um auf die berühmte „Nummer Sicher“ zu gehen, stellt sich die Frage, was denn Alternativen sein könnten.

Zertifizierungen als mögliche Rechtsgrundlage

Die Datenschutz-Grundverordnung (DSGVO) nennt eine ganze Reihe von möglichen, rechtlichen Grundlagen für die Übermittlung personenbezogener Daten in ein Drittland, wie es die USA sind. Darunter sind auch Zertifizierungen nach DSGVO. Allerdings sind die Datenschutzzertifikate nach DSGVO noch nicht so weit gediehen, wie man es sich wünschen würde, als Unternehmen, aber auch als Aufsichtsbehörde, auch wenn es Bewegung im Bereich der Zertifizierung gegeben hat.

Nun aber gibt es von dem Europäischen Datenschutzausschuss (EDSA) neue Leitlinien über die Zertifizierung als Instrument für Übermittlungen (Guidelines 07/2022 on certification as tool for transfers). Diese erläutern die praktische Anwendung der Übermittlung personenbezogener Daten in Drittländer oder an internationale Organisationen auf der Grundlage von Zertifizierungen. In Ergänzung zu den allgemeinen Leitlinien für die Zertifizierung und Akkreditierung nach der Datenschutz-Grundverordnung (DSGVO) konzentrieren sich die vorliegenden Leitlinien auf die spezifischen Aspekte der Zertifizierung als Instrument für Drittstaatenübermittlungen.

Wichtig: Die Voraussetzungen für eine Zertifizierung beachten

Wenn also in naher Zukunft kein Angemessenheits­beschluss als Nachfolger von Privacy Shield als Rechtsgrundlage verfügbar wäre, weil die Verabschiedung auf sich warten lässt oder später wegen neuer Klagen und Urteile, dann könnte man hoffen, dass eine Datenschutzzertifizierung die so wichtigen Datentransfers ermöglicht.

Doch ist das so? Würde man sich auf eine Datenschutz­zertifizierung stützen können, wenn zum Beispiel der EuGH erneut feststellen würde, dass auch der Privacy-Shield-Nachfolger nicht gültig wäre, weil das Datenschutz­niveau nach Datenübermittlung in die USA nicht sicher genug gewährleistet ist?

Um das zu beantworten, lohnt sich ein Blick in die Zertifizierungs­grundlagen. Unter anderem soll geprüft werden: „Erfordern die Kriterien eine Garantie gegenüber der Zertifizierungsstelle und dem Exporteur, dass der Importeur keinen Grund zu der Annahme hat, dass die für ihn geltenden Rechtsvorschriften und Praktiken ihn daran hindern könnten, seinen Verpflichtungen aus der Zertifizierung nachzukommen?“

(ID:49297641)