Die Wirtschaft Köln - Ausgabe 06 / 23

| Geld & Geschäft | Sonderthema: Recht & Steuern
DATENÜBERTRAGUNGEN
IN DIE USA
Das neue EU-U.S. Data Privacy Framework soll Rechtssicherheit
für die Übertragung von Daten in die USA schaffen
Die Europäische Kommission hat am 10. Juli 2023 ihren Angemessenheitsbeschluss
für den Datenschutzrahmen EU-USA (englisch „EU-U.S. Data Privacy Framework“
oder kurz „DPF“) angenommen. Danach gewährleisten die Vereinigten Staaten im
Verhältnis zur EU ein angemessenes Schutzniveau für personenbezogene Daten,
die aus der EU an US-Unternehmen übermittelt werden. Voraussetzung ist, dass die
US-Unternehmen am DPF teilnehmen. Wie es dazu kam und was bei der Datenverarbeitung
in den USA zu beachten ist, stellen wir in diesem Artikel vor.
Hintergrund
Foto: Weissblick – stock.adobe.com
Die Übermittlung von personenbezogenen
Daten in Länder außerhalb der EU (sogenannte
Drittstaaten) ist nach der Datenschutzgrundverordnung
(„DSGVO“) nur
zulässig, wenn die beteiligten Unternehmen
die in ihren Details durchaus komplexen Anforderungen
der DSGVO an internationale
Datentransfers einhalten. Hierfür bietet die
DSGVO mehrere Möglichkeiten. Zum einen
kann die EU-Kommission per Angemessenheitsbeschluss
feststellen, dass in einem
Drittstaat ein angemessenes Datenschutzniveau
herrscht (z. B. Schweiz oder Japan).
Zum anderen kann die EU-Kommission sogenannte
Standarddatenschutzklauseln (englisch
„Standard Contractual Clauses“ oder
kurz „SCC“) erlassen. Wenn die Vertragsparteien
die von der EU-Kommission erlassenen
SCC unverändert vereinbaren und zusätzlich
eine Transferfolgenabschätzung vornehmen
(englisch „Transfer Impact Assessment“
oder kurz „TIA“), ist die Übermittlung personenbezogener
Daten an den Vertragspartner
zulässig. Die DSGVO bietet noch weitere
geeignete Garantien, die in der Praxis aber
weitaus weniger verbreitet sind.
In unserer globalisierten Welt sind elektronische
Kommunikation und Marketing-Tools
ohne Datenverarbeitung in den USA kaum
noch denkbar. Insbesondere der Trend zum
Ausführen von Software in der Cloud (SaaS),
statt auf dem eigenen Rechner führt oft zur
Datenübermittlung in die USA. Einen Angemessenheitsbeschluss
für die gesamten
USA gibt es nicht und wird es aufgrund der
dortigen nachrichtendienstlichen Aktivitäten
auf absehbare Zeit wohl auch nicht geben.
Deshalb verwundert es nicht, dass die
EU und die US-Regierung in der Vergangenheit
immer wieder Wege suchten, den Unternehmen
eine Verarbeitung personenbezogener
Daten in den USA mit möglichst
kleinem Umsetzungsaufwand zu ermöglichen.
Ohne auf die Geschichte im Detail einzugehen,
beruhten diese vereinfachten Datenübertragungsmechanismen
(2000: Safe
Harbor, 2016: EU-U.S. Privacy Shield) im Wesentlichen
darauf, dass die US-Regierung datenschutzrechtliche
Regeln aufstellte. Unternehmen,
die sich zur Einhaltung der Regeln
verpflichteten, nahm die US-Regierung in eine
öffentlich einsehbare Liste auf. Daten aus
der EU durften an diese Unternehmen übermittelt
werden. Der Europäische Gerichtshof
(„EuGH“) hat in zwei folgenschweren Urteilen
(2015: Schrems I; 2020: Schrems II) jeweils
im Wesentlichen entschieden, dass die
Regeln, unter denen sich die US-Unternehmen
selbst zertifizierten, für ein angemessenes
Datenschutzniveau nicht ausreichten.
Seit der Schrems-II-Entscheidung 2020 waren
Unternehmen insbesondere auf die Verwendung
von SCC samt Durchführung einer
TIA angewiesen, wenn sie personenbezogene
Daten in die USA übermitteln wollten. Das
war aufwendig und nicht immer rechtssicher,
weil manche europäische Datenschutzbehörden
SCC im Falle der USA für nicht ausreichend
hielten.
Das neue EU-U.S.
Data Privacy Framework
Das neue, am 10. Juli 2023 in Kraft getretene
EU-U.S. Data Privacy Framework und der
flankierende Angemessenheitsbeschluss der
EU-Kommission sollen Rechtssicherheit für
die Übermittlung personenbezogener Daten
in die USA schaffen. Grundlage ist wieder eine
Selbstzertifizierung von US-Unternehmen
und damit die Zusage, die neuen Regelungen
des DPF einzuhalten. Im Einzelnen sind insbesondere
folgende Regelungen neu:
→ Verhältnismäßigkeit: Die US-Nachrichtendienste
verpflichten sich, den
Zugriff auf Daten von EU-Bürgern auf
das zum Schutz der nationalen Sicherheit
erforderliche und verhältnismäßige
Maß zu beschränken.
→ Beschwerdeverfahren: Auf der ersten
Ebene können betroffene EU-Bürger eine
Beschwerde beim Civil Liberties Protection
Officer („CLPO“) einreichen, dem
Bürgerrechtsbeauftragten der US-Nachrichtendienste.
Die nationalen Datenschutzbehörden
in der EU können eine
30 www.diewirtschaft-koeln.de