Urteil zum internationalen Datentransfer Wissenswertes zum Privacy Shield

Anbieter zum Thema

Arvato Systems

SEPPmail - Deutschland GmbH

Cohesity GmbH

Der Europäische Gerichtshof (EuGH) hat am 16. Juli sein lang erwartetes Urteil zum internationalen Datentransfer verkündet und den Nachfolger des Safe-Harbor-Abkommens für unwirksam erklärt – mit weitreichenden Folgen für Datenübermittlungen aus der EU in die USA.

Vorab die gute Nachricht für Unternehmen: Auch wenn der EuGH das transatlantische Datenschutzabkommen gekippt hat, bleiben die angefochtenen EU-Standardvertragsklauseln, die als Rechtsgrundlage für Datenübermittlungen in alle Länder außerhalb der EU gelten, weiterhin gültig. Das ist für alle Unternehmen bedeutsam, die die personenbezogene Daten ins außereuropäische Ausland – und damit auch in die USA – übermitteln. Denn ohne die Standardvertragsklauseln der EU-Kommission wäre der gesamte weltweite Datentransfer zum Erliegen gekommen. Gleichwohl werden die Weichen für den Datentransfer aus der EU in die USA (wieder einmal) neu gestellt, weil der EuGH nach Safe-Harbor im Jahr 2015 dem transatlantischen Datenaustausch auch das Nachfolgeabkommen Privacy Shield für ungültig erklärt hat. Bei Datenübermittlungen in die USA besteht daher für Unternehmen generell, aber gerade auch für IT-Unternehmen, akuter Handlungsbedarf.

Aus für Privacy Shield

Das irische Gericht, das dem EuGH die Frage zu den Standardvertragsklauseln vorgelegt hatte, hatte indirekt auch Zweifel an der Wirksamkeit des Privacy Shields geäußert. Der EuGH hat dieses Abkommen nun gekippt, weil er die Rechte der EU-Bürger durch Maßnahmen der US-Sicherheitsbehörden verletzt sieht. Diese haben weitreichende Befugnisse, auf Daten zuzugreifen – auch auf solche von EU-Bürgern.

Das ist an sich nicht wesentlich anders als in Europa, aber hierzulande kann man als Bürger gerichtlich gegen solche Maßnahmen vorgehen. Diese Möglichkeit haben EU-Bürger in den USA aus Sicht des EuGH nicht, beziehungsweise nicht ausreichend – auch wenn Privacy-Shield-Zusagen der US-Regierung beinhalteten, dass Rechtsschutz für EU-Bürger möglich sein sollte. Am Ende reichten diese Zusagen den Luxemburger Richtern nicht aus.

Auswirkungen für IT-Unternehmen

Viele US-Cloud-Anbieter berufen sich für die Legitimation von Transfers personenbezogener Daten aus der EU und der Schweiz in die USA auf das Privacy Shield. Das ist zukünftig nicht mehr ausreichend. IT-Dienstleister müssen ihre Datenübermittlungen nun auf andere Rechtsgrundlagen stützen, wie beispielsweise die Standardvertragsklauseln. Bei bestehenden Verträgen sollten IT-Unternehmen also ihre Verträge von Privacy Shield auf Standardvertragsklauseln umstellen. Aber auch für diese müssen sich die IT-Unternehmen mindestens die Bestätigung geben lassen, dass die US-Cloud-Anbieter darauf hinweisen, wenn sie die Vorgaben nicht mehr einhalten. Das gilt vor allem, wenn unter dem Cloud Act oder dem Patriot Act Anfragen bei den Cloud-Anbietern erfolgen. Zusätzlich sind weitere Maßnahmen erforderlich wie etwa die Verschlüsselung der Daten.

Beitritt notwendig

Außerdem müssen IT-Unternehmen wissen, dass ihre Kunden den Standardvertragsklauseln „beitreten“ müssen, faktisch also selbst Vertragspartner des Anbieters werden müssen – zumindest für diesen Teil der Verträge. Sofern der Vertragspartner – also zum Beispiel der Cloud-Anbieter in den USA – die Einhaltung der Regelungen der Standardvertragsklauseln aufgrund von anderslautenden nationalen Regelungen oder behördlichen Maßnahmen nicht (mehr) garantieren kann, muss die Übermittlung auf eine andere Rechtsgrundlage gestützt oder eingestellt werden. Sonst besteht die Gefahr, dass nationale Aufsichtsbehörden tätig werden, was zu hohen Bußgeldern führen könnte – für die IT-Unternehmen, aber auch für die Unternehmen, die Daten ohne datenschutzrechtliche Grundlage in Länder außerhalb der EU übermitteln.

IT-Unternehmen sollten daher sehr genau beobachten, welche Verlautbarungen die Aufsichtsbehörden zu dem Thema in den nächsten Tagen und Wochen machen werden. Das kann für die zukünftige Verwaltungspraxis eine große Rolle spielen.

Alternativen in der EU

Nicht zuletzt werden auch Kunden sensibler werden, was den Zugriff und den Schutz ihrer Daten betrifft. IT-Unternehmen sollten daher unbedingt Alternativen zu US-Transfers ins Auge fassen. Das gilt vor allem für Neuverträge mit Cloud-Anbietern. Hier sollte darauf geachtet werden, dass sowohl die Speicherung der Daten in der EU erfolgt als auch der Support aus der EU heraus erbracht wird. Denn auch ein Zugriff aus den USA auf Daten, die in der EU gespeichert sind, stellt einen datenschutzrechtlichen Transfer dar, der durch Standardvertragsklauseln abgesichert sein muss und für den die gleichen Voraussetzungen und Anforderungen wie für einen kompletten Datentransfer gelten.

Grundsätzlich müssen IT-Unternehmen daher nach der EuGH-Entscheidung die Rechtsgrundlagen für Datenübermittlungen stärker prüfen und sich bei der Speicherung von personenbezogenen Daten auf die EU konzentrieren. Denn dort regelt die DSGVO die Rechtssicherheit bei der Datenübermittlung und es sind keine zusätzlichen Vereinbarungen oder Absicherungen notwendig.

Gute Vorbereitung und Prüfung der Verträge

Der Gang in die Cloud ist rechtlich holprig

(ID:46765833)