Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework

Der EU-US Privacy Shield wurde zuvor vom EuGH im Juli 2020 in allen Belangen für ungültig erklärt. Der EuGH kritisierte dabei die unverhältnismäßige Datenauswertungsmöglichkeit und das Fehlen von Rechtsschutzmöglichkeiten für Betroffene. Insbesondere bemängelte der EuGH den Abschnitt eines Gesetzes in den USA, der es erlaubt, dass das Gesetz keinerlei Einschränkungen für die Durchführung von Überwachungsprogrammen zum Zweck der Auslandsaufklärung erkennen lässt. Dieser Abschnitt wird als "Section 702 der FISA" bezeichnet. Die FISA ist ein Gesetz in den Vereinigten Staaten von Amerika zur Überwachung von Auslandsgeheimdiensten. Ihr Hauptziel besteht darin, eine rechtliche Grundlage für die Überwachung von Kommunikationen und Aktivitäten ausländischer Personen in den USA zu schaffen, insbesondere im Bereich der nationalen Sicherheit. Im Lichte der Ereignisse ergaben sich unter diesen Gesichtspunkt zwei Jahre lange Verhandlungen, welche darauf abzielten, eine Einigung auf eine politische Leitlinie sowie ein neues Trans-Atlantic Data Privacy Framework zu schaffen. Die EU-Kommission folgte damit ihrer generellen Linie, mit handelspolitisch wichtigen Partnern vereinfachte Standards zum Austausch personenbezogener Daten zu ermöglichen. Für Japan und Großbritannien liegen bereits Angemessenheitsbeschlüsse vor, mit denen in der Vergangenheit Handelsabkommen geschlossen wurden.

ENTWURF DES NEUEN ANGEMESSENHEITSBESCHLUSSES ERFÜLLT EUGH-ANFORDERUNGEN

Nach geraumer Zeit verabschiedete am 10.07.2023 die Europäische Kommission den Angemessenheitsbeschluss für das EU-U.S. Data Privacy Framework. Dies betrifft den sogenannten EU-Datenschutzrahmen, dem sich die US-Unternehmen anschließen können. Dadurch sind keine weiteren Kontrollen für die Übermittlung personenbezogener Daten in die USA erforderlich, was automatisch bedeutet, dass ein Transfer Impact Assessment in die USA nicht mehr nötig ist. Dr. Ralf Sauer (stellvertretender Referatsleiter für Internationalen Datenfluss bei der Europäischen Kommission) bestätigte auf Nachfrage außerdem, dass er der Auffassung sei, dass umfangreiche Bewertungen der Auswirkungen von Datenübertragungen an US-Unternehmen auf Grundlage von EU-Standardvertragsklauseln in Zukunft entbehrlich seien. Stattdessen kann inhaltlich auf den Beschluss der EU-Kommission zur Angemessenheit zurückgegriffen werden.US-Unternehmen, welche die Daten von europäischen Partnern verarbeiten, haben daher in Zukunft die Gelegenheit, entweder über das Trans-Atlantic Data Privacy eine Verpflichtung zu den europäischen Datenschutzgrundsätzen einzugehen oder sich über die EU-Standardvertragsklauseln an europäische Datenschutzregeln zu binden.

FAZIT

Der neue Angemessenheitsbeschluss der EU-Kommission erleichtert die Nutzung von US-Unternehmen für die Auslagerung von Datenverarbeitungsprozessen deutlich. Die EU-Kommission ist zudem zuversichtlich, dass der erzielte Kompromiss den Anforderungen des Europäischen Gerichtshof gerecht wird.