Erleichterung durch neuen EU-US Angemessenheitsbeschluss
Unternehmen, die der DSGVO unterliegen, dürften künftig wohl angesichts des neuen Angemessenheitsbeschlusses zwischen der EU und den USA – zumindest vorerst – aufatmen können:
Am 10. Juli 2023 hat die Europäische Kommission einen neuen Angemessenheitsbeschluss für den Datenschutzrahmen zwischen der EU und den USA angenommen. Nachdem der letzte Angemessenheitsbeschluss durch den EuGH für rechtswidrig erklärt worden war, ist damit nunmehr festgelegt worden, dass die Vereinigten Staaten ein angemessenes Schutzniveau – vergleichbar mit dem der Europäischen Union – für personenbezogene Daten gewährleisten, die innerhalb des neuen EU-U.S. Data Privacy Frameworks an US-Unternehmen übermittelt werden.
Rechtlicher Hintergrund:
Möchte ein Unternehmen personenbezogene Daten an ein US-Unternehmen, also an ein Drittland übermitteln, müssen gem. Art. 44 ff. DSGVO die Bestimmungen der darauffolgenden Vorschriften eingehalten werden, wonach geeignete Garantien ein angemessenes Datenschutz-Niveau sicherstellen müssen. Gem. Art. 45 DSGVO kann eine solche Übermittlung von personenbezogenen Daten auf einen Angemessenheitsbeschluss gestützt werden. Nach Wegfall des vorherigen Angemessenheitsbeschlusses, dem sog. Privacy Shield, hatten Unternehmen diese Möglichkeit jedoch nicht mehr, sodass vermehrt Standardvertragsklauseln gem. Art. 46 DSGVO vereinbart worden sind, die grundsätzlich ebenfalls eine geeignete Garantie sein können. Mit Annahme des Datenschutzrahmen EU-US liegt erneut ein Beschluss nach Art. 45 Abs. 3 DSGVO vor. Die Möglichkeit der Berufung auf Standardvertragsklauseln, TIA und Co. bleibt dennoch erhalten, auch wenn diese nun bei neuen Verträgen nicht mehr zwingend abgeschlossen werden müssen.
Bedeutung für die Praxis:
Für die Praxis bedeutet das, dass EU/EWS-Unternehmen fortan keine zusätzlichen Datenschutzmaßnahmen iSd. Art. 46 DGSVO ergreifen müssen, um personenbezogene Daten in Konformität mit der DSGVO in die USA zu übermitteln. Der neue Angemessenheitsbeschluss führt nämlich neue Garantien ein, die die Angriffspunkte des letzten Angemessenheitsbeschlusses aus dem Schrems II-Urteil beseitigen. Insbesondere wurde der Zugang von US-Nachrichtendiensten auf die personenbezogenen Daten bemängelt. Mit dem neuen Entschluss wurde dieser nunmehr auf ein verhältnismäßiges und notwendiges Maß beschränkt.
US-Unternehmen müssen unter dem neuen Abkommen zertifiziert sein. Das US Department of Commerce stellt hierfür eine Webseite bereit.
So sehr ein neuer Angemessenheitsbeschluss zu begrüßen ist, wird er leider zunächst keine abschließende Rechtssicherheit bieten. Kritiker bemängeln das weiterhin schlechtere Datenschutz-Niveau in den USA und haben bereits Klagen gegen das neue Abkommen angekündigt.