Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) hat Hinweise zum Angemessenheitsbeschluss zum EU-US Data Privacy Framework veröffentlicht. Sie reagiert damit auf die zahlreichen Anfragen von Unternehmen und Behörden, die die Datenschutzbehörden seit dem Inkrafttreten des neuen Datenschutzrahmens erreichen.
Für die Übermittlung von personenbezogenen Daten in die USA gilt das europäische Datenschutzrecht. Die Datenschutzgrundverordnung (DSGVO) lässt den Datentransfer personenbezogener Informationen nur unter bestimmten Bedingungen zu. Vor drei Jahren hatte der Europäische Gerichtshof (EuGH) das geltende Datenschutzabkommen „Privacy Shield“ zwischen der EU und den USA mit der Begründung gekippt, dass das Datenschutzniveau in den USA nicht den europäischen Standards entspreche. Mit dem Angemessenheitsbeschluss der EU-Kommission, der die Gleichwertigkeit des Datenschutzniveaus in den USA feststellt, ist am 10.07.2023 ein neues Abkommen in Kraft getreten, das für Rechtssicherheit beim transatlantischen Datentransfer sorgen soll.
Anwendungshinweise der DSK erläutern Hintergründe und praktische Folgen
Angesichts der zahlreichen Anfragen, die die Datenschutzbehörden seitdem zum Umgang mit dem neuen Datenschutzrahmen und dessen Folgen für Unternehmen und Behörden erhalten haben, hat die Datenschutzkonferenz nun eine 30-seitige Informationsschrift mit Anwendungshinweisen zum Angemessenheitsbeschluss veröffentlicht. Dort werden die wesentlichen Hintergründe und Inhalte des neuen Datenschutzrahmens so erläutert, dass sie auch für Laien verständlich sind. Die Informationsschrift richtet sich sowohl an Verantwortliche und Auftragsverarbeiter in Deutschland, die personenbezogene Daten an die USA übermitteln, als auch an betroffene Personen.
Die Anwendungshinweise beleuchten insbesondere die Reichweite und den Anwendungsbereich der Neuregelung, den Einsatz alternativer Instrumente für Übermittlungen an die USA sowie Umfang und Durchsetzung von Rechten betroffener Personen gegenüber Stellen in den USA. Das PDF-Dokument der Anwendungshinweise enthält in den Fußnoten außerdem zahlreiche Links zu einzelnen Gesetzestexten, Beschlüssen, Leitlinien und Pressemitteilungen unterschiedlicher EU- und US-Institutionen.
Angemessenheitsbeschluss ist geltendes EU-Recht
Der neue Angemessenheitsbeschluss ist höchst umstritten. Datenschutzorganisationen bereiten bereits Klageschriften vor und es ist damit zu rechnen, dass der Beschluss nur kurz Bestand haben wird. Im abschließenden Ausblick weist die DSK daher ausdrücklich darauf hin, dass es sich beim Angemessenheitsbeschluss um geltendes Recht handelt, dieser aber durch den EuGH überprüft und für ungültig erklärt werden kann. Die DSK rät dazu, dass sich Verantwortliche auf diese Möglichkeit einstellen: „Verliert der Angemessenheitsbeschluss seine Gültigkeit, müssten Verantwortliche die entsprechenden Übermittlungen auf ein anderes, wirksames Übermittlungsinstrument aus Kapitel V DSGVO stützen oder die in Rede stehenden Übermittlungen einstellen.“
Weiterführende Links:
Angemessenheitsbeschluss für den Datenschutzrahmen EU-USA
Pressemitteilung der Europäischen Kommission zum Angemessenheitsbeschluss