Top Thema | Nachfolger für Privacy Shield?

Gespräche über neue Rahmenbedingungen laufen an

Die Datenübermittlung in ein Land außerhalb der EU (sog. Drittland) bedarf einer besonderen Rechtsgrundlage. Für die USA gab es das Privacy Shield, ein Übereinkommen zwischen der EU-Kommission und der USA. Davor gab es aber auch schon das Safe Harbor-Abkommen.

Safe Harbor

Dem Safe Harbor-Abkommen war ein längeres Überleben beschieden als dem Nachfolger Privacy Shield. Safe Harbor wurde im Jahr 2000 beschlossen und im Oktober 2015 vom EuGH für ungültig erklärt. Die Entscheidung des EuGH wurde als Schrems I-Urteil bekannt.

Privacy Shield

Damals standen Politik und Wirtschaft vor fast identischen Problemen wie heute und schnell wurden Forderungen nach einer neuen praktikablen Lösung laut. Das Ergebnis war das seit August 2016 gültige Privacy Shield, das der EuGH aber bereits im Juli 2020 ebenfalls für unwirksam erklärte. Die Argumente des Gerichts gegen dieses Abkommen waren ähnlich wie beim Vorgängerabkommen: Die US-Gesetze erlauben einen uneingeschränkten und unkontrollierbaren Zugriff auf personenbezogene Daten von EU-Bürgern und das Privacy Shield ist daher kein effektives Schutzschild. Den Stein ins Rollen hat auch in diesem Gerichtsverfahren der österreichische Datenschutzaktivist Maximilian Schrems gebracht und daher wird das aktuelle Urteil Schrems II-Urteil genannt.

Neues Abkommen?

Top Thema: Nach dieser Vorgeschichte stünde ein schnell ausgehandeltes Nachfolgeabkommen auf tönernen Füßen und ein Schrems III-Urteil könnte bald folgen. Im Kern müsste entweder die US-Regierung auf den uneingeschränkten und unkontrollierbaren Zugriff auf die Daten von EU-Bürgen verzichten oder die EU müsste die Datenschutzrechte (bei denen es sich um Grundrechte handelt) in einigen Bereichen preisgeben, um die wirtschaftlich Interessen von EU-Unternehmen am ungehinderten Datentransfer zu schützen.

Standardvertragsklauseln als Zwischenlösung

Bei den Standardvertragsklauseln handelt es sich um einzelvertragliche Regelungen zwischen Unternehmen aus der EU und der USA. Diese Klauseln stellt die EU zur Verfügung. Da sie nicht verändert werden dürfen, sollen sie zu einem Mindeststandard im Datenschutzrecht führen. Es handelt sich dabei aber nicht nur um reine Formalien, sondern die Klauseln sehen für den Fall von Datenschutzverletzungen auch eine gesamtschuldnerische Haftung der Vertragsparteien vor.

Die EU-Standardvertragsklauseln und Erläuterungen dazu finden Sie auf der Website des Hessischen Beauftragten für Datenschutz und Informationsfreiheit: https://datenschutz.hessen.de/datenschutz/internationales/eu-standardvertragsklauseln