Update: DSK veröffentlicht Anwendungshinweis zur Übermittlung personenbezogener Daten in die USA

Nachdem wir in unserem Beitrag vom 11. Juli 2023 bereits ausführlich zum neuen Angemessenheitsbeschluss für Datenübermittlungen in die USA (EU-US Data Privacy Framework) berichtet haben, äußern sich nunmehr auch die Datenschutzaufsichtsbehörden ausdrücklich zu dieser Thematik. Die Datenschutzkonferenz (DSK) erläutert in ihrem nunmehr veröffentlichten und 32 Seiten langen Anwendungshinweis vom 4. September 2023 nicht bloß allgemeine Informationen über den Angemessenheitsbeschluss (etwa zum Zertifizierungsmechanismus), sondern geht auch detailliert auf die neuen Rechtsschutzmöglichkeiten für betroffene Personen ein.

Die aus unserer Sicht erfreulichste Passage findet sich unter Ziffer IV, in welcher es um die Übermittlung personenbezogener Daten an die USA auf Grundlage anderer Übermittlungsinstrumente (etwa Standardvertragsklauseln) geht:

„Nach Mitteilung der EU‐Kommission gelten alle von der US‐Regierung im Bereich der nationalen Sicherheit implementierten Schutzmaßnahmen unabhängig von den verwendeten Übermittlungsinstrumenten für alle Datenübermittlungen im Rahmen der Datenschutz‐Grundverordnung an US‐Unternehmen. Deshalb können Datenexporteure im Rahmen der Datenübermittlung mithilfe geeigneter Garantien (Art. 46 DS‐GVO) die von der EU‐Kommission im Angemessenheitsbeschluss ausgeführten Bewertungen für ihr Transfer Impact Assessment berücksichtigen.“

Zusammengefasst bedeutet dies, dass Datenübermittlungen in die USA nunmehr auch dann deutlich weniger risikobehaftet sind, sofern der Datenimporteur (noch) nicht unter dem neuen Angemessenheitsbeschluss zertifiziert ist.

Dass sich eine Datenschutzaufsichtsbehörde so umfangreich zum Drittlandtransfer äußert, ist nichts Neues. Auch der Bayerische Landesbeauftragte für den Datenschutz im öffentlichen Bereich hatte bereits im Mai 2023 – noch vor Erlass des Angemessenheitsbeschlusses – eine umfassende  Orientierungshilfe für den internationalen Datentransfer herausgebracht.

Praxishinweis

Datenübermittlungen in die USA sind aktuell ohne durchgreifende Risiken möglich. Dies gilt insbesondere dann, sofern der Datenimporteur unter dem neuen Angemessenheitsbeschluss zertifiziert ist. Aber auch der (weitere) Einsatz von Standardvertragsklauseln ist möglich, wobei die aktuelle Rechtslage in den USA im Transfer Impact Assessment berücksichtigt werden darf und sollte.

Der Datenschutzaktivist Schrems hat über seine Organisation noyb bereits mitgeteilt, dass sämtliche Rechtsbehelfe gegen den neuen Angemessenheitsbeschluss eingelegt werden. Es kann daher nicht vorausgesagt werden, ob und wann durch den Europäischen Gerichtshof der neue Angemessenheitsbeschluss „gekippt“ werden wird. Wir sehen daher derzeit eine „Doppellösung“ für eine rechtssichere und langfristige Alternative an. Neben der Prüfung, ob ein Datenimporteur untern den neuen Angemessenheitsbeschluss fällt, sollten weiterhin – insbesondere sofern dies mit keinem großen Mehraufwand verbunden ist – Standardvertragsklauseln eingesetzt werden. Auch die bislang durchgeführten Transfer Impact Assessments sollten entsprechend aktualisiert werden. Durch das Vorhalten einer solchen Doppellösung sind Unternehmen zumindest auf sämtliche weiteren Entwicklungen im Dschungel des Drittlandtransfers gewappnet.

Gerne unterstützen wir Sie bei sämtlichen Fragen zum Datentransfer in unsichere Drittländer und zum Umgang mit dem neuen EU-US Data Privacy Framework.