Das EU‑U.S. Data Privacy Framework auf der Zielgeraden
Im März 2022 wurde das EU‑U.S. Data Privacy Framework als neues Datenschutzabkommen zwischen den USA und der EU angekündigt. Es folgte ein langwieriger Abstimmungs- und Umsetzungsprozess. Seit dem 3. Juli 2023 sind alle Maßnahmen des Abkommens auf US-Seite umgesetzt. Die Europäische Kommission hat deshalb am 10. Juli 2023 einen neuen Angemessenheitsbeschluss erlassen. Die hohen Hürden für Datenübermittlungen in die USA gehören damit der Vergangenheit an.
Bestehende Hürden bei Datenübermittlungen in die USA
Mit seinem „Schrems II“-Urteil vom 16. Juli 2020 hat der Europäische Gerichtshof (EuGH) nicht nur den alten Angemessenheitsbeschluss für Datenübermittlungen in die USA aufgehoben und das EU-US Privacy Shield für unzureichend erklärt, sondern auch hohe Anforderungen an Drittlandsübermittlungen auf der Basis von Standardvertragsklauseln gestellt. Wer Standardvertragsklauseln einsetzt, muss seither in einem Transfer Impact Assessment (TIA) prüfen, ob die Rechtslage und die Rechtspraxis im Drittland mit den Klauseln übereinstimmen. Ist dies nicht der Fall, müssen zusätzliche Maßnahmen ergriffen werden oder die Übermittlung muss ausgesetzt werden.
Neue Schutzmaßnahmen in den USA
Das EU‑U.S. Data Privacy Framework und die „Executive Order on Enhancing Safeguards for United States Signals Intelligence Activities” (E.O. 14086) vom 7. Oktober 2022 schaffen eine neue Ausgangsbasis für Datenübermittlungen in die USA. Der Zugriff von Nachrichtendiensten auf Daten soll, wie vom EuGH in der „Schrems- II“-Entscheidung gefordert, auf das zum Schutz der nationalen Sicherheit erforderliche und verhältnismäßige Maß beschränkt werden. Daneben ist die Einrichtung eines unabhängigen und unparteiischen Rechtsbehelfsmechanismus für Betroffene in Europa vorgesehen, zu dem auch ein neues Datenschutzprüfungsgericht gehört. Nachdem die Executive Order offiziell in vollem Umfang umgesetzt wurde, hat die EU-Kommission den neuen Angemessenheitsbeschluss angenommen.
Wie geht es jetzt weiter: Droht eine „Schrems-III“-Entscheidung?
Die EU-Kommission hat den neuen Angemessenheitsbeschluss am 10. Juli 2023 verabschiedet. Solange dieser in Kraft ist, besteht in den USA formell ein angemessenes Datenschutzniveau. Datenübermittlungen in die USA sind aus datenschutzrechtlicher Sicht folglich nicht zu beanstanden. Es bleibt jedoch abzuwarten, ob der neue Angemessenheitsbeschluss einer Überprüfung durch den EuGH standhalten wird. Auch wenn sich das Datenschutzniveau in den USA durch das EU‑U.S. Data Privacy Framework verbessert, ist ein zukünftiges Scheitern des Angemessenheitsbeschlusses vor dem EuGH nicht auszuschließen. Bereits jetzt gibt es deutliche Kritik von Datenschutzaktivisten. Aus diesem Grund ist es für Unternehmen sinnvoll, wenn möglich auf europäische Anbieter oder US-Anbieter mit rein europäischen Lösungen zu setzen. Unabhängig von der weiteren Entwicklung der Rechtslage bei Datenübermittlungen in die USA sollte zudem nicht vergessen werden, dass die Anforderungen aus der „Schrems II“-Entscheidung auch für Datenübermittlungen in andere Drittstaaten wie z.B. China oder Indien gelten.
