Grund für die Zweifel an einem angemessenen Datenschutzniveau sind die in den Vereinigten Staaten gültigen Massenüberwachungsgesetze, die es den Geheimdiensten ermöglichen Ausländer ohne Gerichtsbeschluss zu überwachen. Dies wurde 2013 durch Edward Snowdens Enthüllungen aufgedeckt. Die Befugnisse zur Massenüberwachung wurden nach dem 11. September 2001 zur Terrorismusbekämpfung eingeführt.

Zertifizierte Unternehmen

Der Beschluss erstreckt sich aber nicht auf die gesamten Vereinigten Staaten. US-Unternehmen müssen ein Selbstzertifizierungsverfahren durchlaufen, im Rahmen dessen sie sich verpflichten, bestimmte Datenschutzvorgaben zu erfüllen, um somit ein angemessenes Datenschutzniveau zu gewährleisten. Zertifizierte Unternehmen werden auf der Webseite des Data Privacy Frameworks geführt: https://www.dataprivacyframework.gov/list

Kritik trotz Verbesserungen

Jedoch ist fraglich, ob das Ganze auf Dauer Bestand haben wird. Die beiden Vorgänger des Data Privacy Frameworks – „Safe Harbor“ und „Privacy Shield“ – wurden durch zwei Klagen des Datenschutzaktivisten Maximilian Schrems vor dem Europäischen Gerichtshof für unwirksam erklärt (EuGH, 06.10.2015 – C-362/14 “Schrems I” und EuGH, 16.07.2020 – C-311/18 “Schrems II”). Das wesentliche Problem war, dass sich die US-Geheimdienste theoretisch trotzdem über die Vereinbarungen hinwegsetzen konnten.

Um einem „Schrems III“ vorzubeugen, wurden im Rahmen des Frameworks weitreichendere Maßnahmen getroffen:

• Die US-Geheimdienste müssen nun prüfen, ob ein Zugriff auf die Daten von EU-Bürgern verhältnismäßig ist.
• Es gibt einen Rechtsbehelfsmechanismus, im Rahmen dessen Beschwerden eingereicht und überprüft werden können.

Trotzdem wird auch das Data Privacy Framework von Maximilian Schrems scharf kritisiert. Die von ihm gegründete Nichtregierungsorganisation noyb hält die Verbesserungen für nicht stichhaltig und kündigt an, wieder vor den Europäischen Gerichtshof ziehen zu wollen.

Fazit

Eine Übermittlung von personenbezogenen Daten an US-Unternehmen, die unter dem Data Privacy Framework zertifiziert sind, ist vorerst als rechtssicher zu bezeichnen. Wenn das Framework erneut für unwirksam erklärt werden sollte, müssen Unternehmen Ihre Datenübermittlungen wieder hauptsächlich auf die Verwendung der EU-Standardvertragsklauseln stützen. Diese wurden aber ebenso schon in Frage gestellt, da sich US-Unternehmen kaum an die enthaltenen Verpflichtungen halten können. Leider geht mit dem Einsatz von US-Unternehmen immer ein gewisses Restrisiko einher.

Der Beitrag Data Privacy Framework – Neue Sicherheit für Datenübermittlungen in die USA? erschien zuerst auf Datenschutz-Manager-24.

Wenn Sie (oder Ihre Dienstleister) mit solchen Unternehmen zusammenarbeiten, dann müssen Sie die neuen Standardvertragsklauseln vereinbaren. Hierfür haben Sie bei Altverträgen bis zum 27.12.2022 Zeit. Neuverträge dürfen seit dem 29.09.2021 nur nach den neuen Klauseln abgeschlossen werden.

Aufgrund der Fülle der Arbeiten (siehe Handlungsempfehlungen) sollten Sie mit der Umsetzung nicht zu lange warten. Gute Dienstleister sollten sich diesbezüglich auch schon aktiv bei Ihnen gemeldet haben oder derzeit daran arbeiten.

Besonderheit Vereinigtes Königreich (UK)

Nach dem Austritt von UK aus der EU war lange Zeit unklar, wie mit Datenübermittlungen nach UK umzugehen ist. Zwischenzeitlich hat die EU aber für Klarheit gesorgt und einen sogenannten Angemessenheitsbeschluss erlassen. Dieser attestiert UK ein angemessenes Datenschutzniveau und Daten können wie mit einem Land innerhalb der EU ausgetauscht werden.

Aber Vorsicht: Der Beschluss gilt zunächst nur für vier Jahre!

Handlungsempfehlungen

1. Bestandsaufnahme: Prüfen Sie, ob Daten Ihrer Kunden, Mitarbeiter oder anderen Personen in Ländern außerhalb der EU verarbeitet werden. Fragen Sie diesbezüglich auch bei Auftragsverarbeitern nach. Dabei ist zu beachten, dass Auftragsverarbeiter ggf. mit Konzerngesellschaften oder anderen Dienstleistern außerhalb der EU zusammenarbeiten, die Zugriff haben können.
2. Anfrage nach neuen SCCs: Wenn notwendig, führen Sie bezüglich der neuen Standardvertragsklauseln eine Anfrage bei den betroffenen Partnern an. Wenn diese wiederum Dienstleister einsetzen, fragen Sie nach dem Stand der Verträge hierzu und fordern Sie ggf. eine Kopie der Vereinbarungen zum Nachweis an. Prüfen Sie in jedem Fall auch, ob die gelieferten SCCs die richtigen sind, da es vier verschiedene Module gibt.
3. Anfrage nach Sicherheitsmaßnahmen: Der Abschluss von SCCs allein reicht nicht aus. Es müssen eventuell besondere Sicherheitsmaßnahmen (beispielsweise Serverstandort in der EU, Pseudonymisierung oder Verschlüsselung) umgesetzt werden. Fragen Sie diese bei den Dienstleistern an. Prüfen Sie in jedem Fall, ob durch die Sicherheitsmaßnahmen ein angemessenes Datenschutzniveau hergestellt wird.
4. Protokollierung: Zum Nachweis protokollieren Sie bitte alle Vorgänge. Die Aufsichtsbehörden prüfen internationalen Datenverkehr derzeit über verschiedene Wege.

Der Beitrag Neue Standardverträge für internationale Datenübermittlungen erschien zuerst auf Datenschutz-Manager-24.