Der Europäische Gerichtshof (EuGH) hat 2015 das „Safe Harbor“-Abkommen und 2020 das „Privacy Shield„-Abkommen für ungültig erklärt, da die Datenschutzbedingungen in den USA nicht den Standards der Datenschutzgrundverordnung (DSGVO) entsprochen haben.
Trans-Atlantic Data Privacy Framework
Die EU-Kommission und die USA haben daher einen neuen Versuch gestartet, einen sicheren Datentransfer über den Atlantik zu ermöglichen. Im März 2022 haben sie sich auf das Trans-Atlantic Data Privacy Framework (TADPF) geeinigt, und im Oktober 2022 hat US-Präsident Joe Biden eine Executive Order dazu erlassen.
Was bedeutet das für europäische Unternehmen?
Zusammengefasst wird der Zugriff der US-Geheimdienste auf Daten „eingeschränkt“, und die weitere Verarbeitung bis zur Löschung der personenbezogenen Daten wird reguliert. Außerdem gibt es jetzt in den USA ein zweistufiges Rechtschutzverfahren. Betroffene können sich an einen „Civil Liberties Protection Officer“ wenden oder eine Beschwerde vor dem „Data Protection Review Court“ einreichen, wenn sie glauben, dass Daten von US-Geheimdiensten verarbeitet werden.
Am 10.07.2023 hat die EU-Kommission einen Angemessenheitsbeschluss gemäß der DSGVO gefasst. Das bedeutet, dass der Weg für einen Datentransfer in die USA frei ist. Unternehmen dürfen Daten in die USA übertragen, wenn sie sich selbst zertifizieren und in die Data Privacy Framework List (DPF List) aufgenommen werden. Wenn ein US-Dienstleister von einem europäischen Unternehmen genutzt wird, muss daher nur überprüft werden, ob dieser zertifiziert ist. Zusätzliche Garantien sind nicht mehr notwendig.
Fazit
Seit dem Wegfall des Privacy Shield-Abkommens war der Datentransfer nur noch mit viel Aufwand und Kosten unter Anwendung von Standardvertragsklauseln möglich. Klein- und Mittelunternehmen hatten deshalb Schwierigkeiten oder bewegten sich in einer rechtlichen Grauzone, wenn sie Daten in die USA übertragen haben. Der neue Angemessenheitsbeschluss ist meiner Meinung nach zu begrüßen, auch wenn der Verein noyb um Max Schrems Kritik geäußert und angekündigt hat, das neue Abkommen vor dem EuGH anzufechten. Es wird sich zeigen, ob die neue Regelung dieses Mal vor dem EuGH bestand hat.
Wenn ihr Hilfe bei der Anpassung eurer Datenschutzunterlagen an die neue Rechtslage benötigt, stehe ich euch gerne zur Verfügung.
