Internationaler Datenaustausch

Innerhalb der Europäischen Union (EU) dürfen Daten frei ausgetauscht werden, denn innerhalb der EU gilt das gleiche Datenschutzniveau. Für den Datentransfer über die Grenzen der EU hinaus, gilt dies jedoch nicht. Es gibt privilegierte Staaten, bei denen angenommen wird, dass ihre Datenschutzbestimmungen ähnlichen Ansprüchen genügen wie in Europa, dazu gehören beispielsweise Israel, Kanada, Argentinien, die Schweiz, Neuseeland und Japan. Nach dem Brexit galt das Vereinigte Königreich für eine Übergangszeit von vier Monaten nicht als unsicherer Drittstaat. Diese Übergangsfrist konnte für weitere zwei Monate verlängert werden [7] . Am 28. Juni 2021 nahm die EU-Kommission den Angemessenheitsbeschluss ( siehe Artikel 45 DS-GVO - Datenübermittlung auf der Grundlage eines Angemessenheitsbeschlusses) zur Datenschutzgrundverordnung (DSGVO) an. Somit können personenbezogene Daten ungehindert zwischen dem Vereinigten Königreich und der EU ausgetauscht werden. Der Angemessenheitsbeschluss gilt zunächst für vier Jahre nach Inkrafttreten. Nach dieser Zeit wird erneut geprüft, ob das Vereinigten Königreich weiterhin ein angemessenes Datenschutzniveau sicherstellt. Fällt die Prüfung positiv aus, kann der Angemessenheitsbeschluss erneuert werden [8].

Für den Datentransfer zwischen den USA und Europa einigten sich die Europäische Kommission und die Vereinigten Staaten im März 2022 auf einen Transatlantischen Datenschutzrahmen (engl. Trans-Atlantic Data Privacy Framework). Darin vereinbarten die Partner u. a. verbindliche Sicherheitsvorkehrungen, um den Zugriff der US-Geheimdienste auf Daten zu beschränken. Im nächsten Schritt müssen die getroffenen Vereinbarungen in Rechtstexte umgesetzt werden [5, 9]. Das neue Übereinkommen war notwendig, weil die beiden Vorgängerabkommen aufgehoben wurden. Das bis zum Jahr 2015 gültige Safe-Harbor-Abkommen (sicherer Hafen) erklärte der Europäische Gerichtshof (EuGH) am 6. Oktober 2015 ( C-362/14 - Schrems) für ungültig [2]. Das nachfolgende „Privacy Shield“ wurde am 16. Juli 2020 vom EuGH ( C-311/18 - Facebook Ireland und Schrems) ebenfalls für ungültig erklärt.

Photo by NASA on Unsplash

Seit diesem Urteil liegt kein „Angemessenheitsbeschluss“ nach Art. 45 DS-GVO mehr vor und es ist generell nicht mehr gestattet Daten von europäischen Bürger*innen in die USA zu übertragen. Es ist jedoch weiter zulässig sogenannte Standarddatenschutzklauseln (SDK) einzusetzen (siehe Artikel 46 DS-GVO - Datenübermittlung vorbehaltlich geeigneter Garantien). Diese ermöglichen beispielsweise auch den Datentransfer in andere außereuropäische Länder wie Indien [1]. Facebook benutzt Standardvertragsklauseln um Daten von der EU in die USA zu übermitteln [4]. Sollen personenbezogene Daten auf Grundlage von Standarddatenschutzklauseln in ein Drittland übertragen werden, liegt es in der Verantwortung des Datenexporteurs (z. B. einer Einrichtung, eines Unternehmens) zu überprüfen, ob das Datenschutzniveau in dem jeweiligen Drittland (z. B. USA) dem der DS-GVO entspricht und nicht von US-Recht beeinträchtigt wird [3, 6]. Kommt die Prüfung der Standarddatenschutzklauseln und der möglichen zusätzlichen Maßnahmen zu dem Ergebnis, dass das Schutzniveau nicht gewährleistet ist, muss Datentransfer beendet werden [6]. Die Übermittlung von Daten wäre auch möglich, wenn nach einer detaillierten Information von einzelnen Kunden die Einwilligung eingeholt wird [1].

Was bedeutet das für Hauswirtschafter*innen?

Wenn personenbezogenen Daten wie beispielsweise E-Mail-Adressen für den Newsletter-Versand auf einem Server eines nicht privilegierten Drittlandes gespeichert werden sollen, müssten sie sich davon überzeugen, dass das Schutzniveau in diesem Land ebenso hoch ist, wie es von der DS-GVO gefordert wird. Nach Ansicht der Diözesandatenschutzbeauftragten des Erzbistums Hamburg, der Bistümer Hildesheim, Osnabrück und des Bischöflich Münsterschen Offizialats in Vechta i.O. dürfte es schwer sein, sich davon zu überzeugen und auch vertraglich zu vereinbaren, dass das Datenschutzniveau in den USA auf einer Höhe mit der DS-GVO ist. Um die Rechtsunsicherheit zu umgehen, können Einrichtungen oder Unternehmen versuchen, Daten ausschließlich auf europäischen Servern, bzw. auf Servern von privilegierten Staaten zu speichern oder speichern zu lassen.

Interessante Links

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit: Internationaler Datentransfer. Zugriff am 15.05.2023
netzpolitik.org e. V.: EU-Gericht zerschlägt Privacy Shield. Zugriff am 15.05.2023
Datenschutz in der katholischen Kirche: EuGH-Urteil vom 16. Juli 2020 (C-311/18). Zugriff am 15.05.2023

Quellen

Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung). Zugriff am 6.8.2020
[1] Joerg Heidrich: Nach der Bombe. c’t magazin für computertechnik, S. 16-17, Ausgabe 17 vom 1.8.2020
[2] Deloitte Legal Rechtsanwaltsgesellschaft mbH: Safe-Harbor“-Urteil des EuGH. Zugriff am 7.8.2020
[3] Datenschutz in der katholischen Kirche: EuGH-Urteil vom 16. Juli 2020 (C-311/18). Zugriff am 7.8.2020
[4] ZEIT ONLINE (Hrsg.): "Facebook vs. Schrems": Was die EuGH-Entscheidung bedeutet. dpa Meldung vom 16. Juli 2020. Zugriff am 7.8.2020
[5] Europäische Kommission (2022): Gemeinsame Erklärung der Europäischen Kommission und der Vereinigten Staaten zum Transatlantischen Datenschutzrahmen. Zugriff am 30.6.2022
[6] European Data Protection Board (2020): Häufig gestellte Fragen zum Urteil des Gerichtshofs der Europäischen Union in der Rechtssache C-311/18 — Data Protection Commissioner gegen Facebook Ireland Ltd und MaximillianSchrems (deutsch). Zugriff am 17.8.2020
[7] Joerg Heidrich: In letzter Minute. c’t magazin für computertechnik, S. 26-27, Ausgabe 3 vom 16.1.2021
[8] Europäische Kommission (2021): Datenschutz: Kommission nimmt Angemessenheitsbeschlüsse zum Vereinigten Königreich an. Pressemitteilung vom 28. Juni 2021. Zugriff am 05.07.2021
[9] Wilde Beuger Solmecke (2022): EU und USA einigen sich auf Datenschutzabkommen. Zugriff am 30.6.2022

Ausführliche Quellenangaben