Der Datenaustausch zwischen der EU und den USA ist seit vielen Jahren ein Thema von hoher Brisanz. Hier fehlte bisher eine rechtssichere Regelung f\u00fcr den transatlantischen Austausch von Daten. Das blieb nicht ohne juristische Folgen. Der Europ\u00e4ische Gerichtshof (kurz: EuGH) strafte gleich in zwei Urteilen die unsichere Rechtslage ab. Diese wurde zwar durch den sogenannten Privacy Shield inoffiziell in Form von Absprachen flankiert, entbehrte als angebliches Datenschutzschild aber eine gesetzlichen Grundlage. Zwei Jahre nach dem letzten Urteil des EuGH zu dem Thema gibt es jetzt eine grunds\u00e4tzliche Einigung f\u00fcr den transatlantischen Datentausch zwischen der EU und den USA.<\/p>\n
Warum ist ein neues Abkommen \u00fcberhaupt notwendig?
\nDie Verarbeitung von personenbezogenen Daten regelt in Europa die Europ\u00e4ische Datenschutzgrundverordnung (kurz: DSGVO). Sie legt fest, unter welchen Bedingungen eine Verarbeitung rechtm\u00e4\u00dfig ist. Ebenfalls regelt die DSGVO die Voraussetzungen, wenn personenbezogene Daten rechtskonform einer Verarbeitung zugef\u00fchrt werden sollen. Das gilt auch f\u00fcr den Austausch von Daten innerhalb der EU. Der Datenaustausch stellt nach dem Willen des europ\u00e4ischen Gesetzgebers eine Verarbeitungst\u00e4tigkeit dar und unterliegt somit den Vorgaben des Art. 6 der DSGVO.<\/p>\n
Geht es um den Datenaustausch zwischen einem EU-Land und einem Land au\u00dferhalb der EU, bedarf es nach Ma\u00dfgabe der DSGVO einer Pr\u00fcfung, ob in dem Drittland ein entsprechendes Datenschutzniveau gew\u00e4hrleistet wird. Die Pr\u00fcfungspflicht ergibt sich aus Art. 44 DSGVO. Nach Art. 45 DSGVO wird in bestimmten L\u00e4nder per Angemessenheitsbeschluss der EU-Kommission ein angemessenes Datenschutzniveau angenommen. Geh\u00f6rt das Drittland nicht zu den L\u00e4ndern mit Angemessenheitsbeschluss, fordert die DSGVO nach Art. 46 \u201egeeignete Garantien\u201c f\u00fcr einen rechtm\u00e4\u00dfigen Datenaustausch. In Betracht kommen dabei insbesondere Vertr\u00e4ge und Abkommen zwischen den beteiligten L\u00e4ndern.<\/p>\n
Privacy Shield als Abkommen f\u00fcr den Datenaustausch zwischen der EU und den USA
\nUm den Erfordernissen aus Art. 46 DSGVO nachzukommen, wurde 2015 der sogenannte EU-US Privacy Shield, auch als EU-US-Datenschutzschild bezeichnet, beschlossen. Er beinhaltet sowohl Zusicherungen durch die US-Regierung als auch den bereits erw\u00e4hnten Angemessenheitsbeschluss der EU-Kommission. Diese beschloss ebenfalls im Juli 2016, dass durch den Privacy Shield die Wahrung des Datenschutzniveaus der EU gew\u00e4hrleistet wird<\/p>\n
Inhalt des Privacy Shields als Datenschutzabkommen war der Schutz von personenbezogenen Daten beim Datentransfer von der EU in die USA. Dieser ist beispielsweise immer dann gefragt, wenn Dienstleister wie Google die \u00fcber Google Analytics in Europa erhobenen Daten zur Verarbeitung in die USA \u00fcbermitteln. Problematisch sind in diesem Zusammenhang aber die Vielzahl an datenschutzfeindlichen Gesetzen in den USA. Sie stehen dem durch die DSGVO geforderten Datenschutz direkt entgegen.<\/p>\n
Warum war der Privacy Shield f\u00fcr den Datenaustausch zwischen der EU und den USA unzureichend?
\nZwar wurde der Privacy Shield von der EU-Kommission als ausreichend f\u00fcr den Datenaustausch angesehen. Dies sah der EuGH aber ganz anders. Er entschied in zwei viel beachteten Entscheidungen, dass der Privacy Shield den Anforderungen der DSGVO an den Schutz von personenbezogenen Daten nicht gen\u00fcgt. Sowohl im sogenannten Schrems I-Urteil vom 06. Oktober 2015 als auch im Schrems II-Urteil vom 16. Juli 2020 verwarfen die Richter aus Luxemburg den Privacy Shield. In der Begr\u00fcndung f\u00fchrte der EuGH vor allem US-Gesetze wie den Foreign Intelligence Surveillance Act (kurz: FISA) und den Cloud Act an.<\/p>\n
![\"\"](\"https:\/\/lawpilots.com\/wp-content\/uploads\/2022\/04\/Design-ohne-Titel-46.png\")
<\/p>\n
Insbesondere durch das Schrems II-Urteil waren viele europ\u00e4ische Unternehmen zum Umdenken beim Datentransfer von Kundendaten in die USA gezwungen.<\/p>\n
Was wird beim neuen Abkommen zum Datenaustausch zwischen der EU und den USA besser?
\nDas nun beschlossene Abkommen, auch als \u201ePrivacy Shield 2.0\u201c bekannt, soll ohne die M\u00e4ngel des urspr\u00fcnglichen Privacy Shields auskommen. Es soll f\u00fcr den transatlantischen Datentransfer endlich eine rechtskonforme Basis bieten. Die fehlende Rechtssicherheit war besonders f\u00fcr Unternehmen problematisch. Sie waren bei der Nutzung von Analysetools wie Google Analytics oder auch MaildienstleisterInnen und HostinganbieterInnen der Gefahr ausgesetzt, entgegen der DSGVO-Vorgaben zu handeln.<\/p>\n
Die DSGVO schreibt f\u00fcr Unternehmen den Datenschutz personenbezogener Daten zwingend vor. Dies betrifft s\u00e4mtliche Unternehmensbereiche, bei denen Mitarbeitende in Kontakt mit pers\u00f6nlichen Daten kommen. Hier drohen Unternehmen nicht nur Bu\u00dfgelder im Falle einer Nichtbeachtung, sondern auch Imagesch\u00e4den, wenn sie die DSGVO au\u00dfer Acht lassen. Mitarbeitende sollten daher stets auf dem aktuellsten rechtlichen Stand zum Thema Datenschutz sein.<\/p>\n
Mit rechtlich-regulatorischen E-Learnings k\u00f6nnen Unternehmen Mitarbeitende datenschutzrechtlich schulen. Abh\u00e4ngig vom jeweiligen Unternehmensbereich ist der Ber\u00fchrungspunkt mit personenbezogenen Daten unterschiedlich stark ausgepr\u00e4gt. Hier ergeben sich beim Thema Datenschutz f\u00fcr F\u00fchrungskr\u00e4fte andere Schwerpunkte als beispielsweise f\u00fcr den Umgang mit personenbezogenen Daten im Bereich Marketing.<\/p>\n
Was kommt auf Unternehmen durch die neue Einigung zu?
\nDas neue Abkommen verspricht f\u00fcr Unternehmen die schon lange notwendige Rechtsgrundlage, an der es bisher fehlte und die im wirtschaftlichen Miteinander zu einer regelrechten Datenblockade f\u00fchrte. Wie und in welcher Form die Einigung verabschiedet wird, ist allerdings noch offen. Ebenfalls ist noch offen, ob der Privacy Shield 2.0 einer Pr\u00fcfung durch die Gerichte standhalten wird.<\/p>\n
Bereits jetzt wird aber auf Seiten von Unternehmen und Verb\u00e4nden die schnelle Umsetzung der Einigung gefordert. Dies gerade auch unter dem Gesichtspunkt der Rechtssicherheit, die f\u00fcr Unternehmen und f\u00fcr einen vorhersehbaren und vertrauensw\u00fcrdigen Datenverkehr zwischen der EU und den USA unerl\u00e4sslich ist.<\/p>\n
\u00dcbrigens betrifft die fehlende Rechtsgrundlage auch die Arbeit von sozialen Netzwerken wie den Facebook-Konzern Meta. Hier wurde schon im Herbst 2021 kommuniziert, dass Dienste wie Facebook oder Instagram aufgrund der fehlenden Rechtsgrundlage unter Umst\u00e4nden in Europa eingestellt werden m\u00fcssten.<\/p>\n
Fazit
\nEurop\u00e4ische Unternehmen und auch Verbraucherverb\u00e4nde sehen der zwischen EU-Kommissionschefin Ursula von der Leyen und US-Pr\u00e4sident Joe Biden in Br\u00fcssel beschlossenen Einigung mit hohen Erwartungen, aber auch mit Sorge entgegen. Der durch die Schrems-Urteile bekannt gewordene \u00f6sterreichische Jurist Max Schrems k\u00fcndigte schon jetzt neue Klagen durch seine Datenschutzorganisation Noyb f\u00fcr den Fall an, dass das neue Abkommen nicht in Einklang mit den EU-Datenschutzvorschriften verfasst w\u00fcrde.<\/p>\n
lawpilots ist Marktf\u00fchrer in E-Learnings zu rechtlich-regulatorischen Themen und schult Ihre Mitarbeitenden nicht nur zum Thema Datenschutz, sondern auch in anderen Bereichen. Durch unsere Online-Schulungen stellen Sie sicher, dass Ihre Mitarbeitenden Ihr Unternehmen aktiv vor Datenschutzverletzungen und Non-Compliance sch\u00fctzen und Risiken beim Umgang mit personenbezogenen Daten fr\u00fchzeitig identifizieren und umgehen. Neben unseren Online-Schulungen zur DSGVO und zum Datenschutz bieten wir zus\u00e4tzliches Wissen in unseren aktuellen Blogbeitr\u00e4gen.“<\/p>\n