Sitting, Waiting, Wishing: Ein Update zum Stand des neuen Angemessenheitsbeschlusses für die USA (Transatlantic Data Privacy Framework)

Der Erlass eines neuen Angemessenheitsbeschlusses für die USA (Transatlantic Data Privacy Framework) durch die EU Kommission würde vielen Unternehmen Rechtssicherheit bei der Zusammenarbeit mit Unternehmen in den USA und Cloud-Dienstleistern bescheren. Nachdem es lange Zeit so ausgesehen hat, als stünde ein neuer Angemessenheitsbeschluss unmittelbar bevor, hat sich jetzt das EU-Parlament kritisch geäußert. Durch einen Angemessenheitsbeschluss nach Art. 45 Abs. 3 DS-GVO kann die EU-Kommission feststellen, dass ein Drittland ein „angemessenes Schutzniveau“ für den Schutz personenbezogener Daten bietet.

Um einen bestmöglichen Überblick über den Sachstand zu geben, haben wir hier einmal die wichtigsten Daten und Stufen des Verfahrens für Sie zusammengefasst:

• 7. Oktober 2022: „Executive Order on Enhancing Safeguards for United States Signals Intelligence Activities“ (Exekutivverordnung über die Verbesserung der Garantien für US-Signalspionagetätigkeiten) von US Präsident Biden sowie Verordnungen des US-Generalstaatsanwalts: Hierdurch sollen die im Schrems II Urteil von EuGH aufgeworfenen Hauptprobleme gelöst werden: fehlende Verhältnismäßigkeit und fehlende wirksame Rechtsbehelfe von EU-Bürgerinnen und Bürger in den USA mit Blick auf staatliche Überwachungsnahmen
   
• 13. Dezember: Entwurf der EU Kommission zum neuen Angemessenheitsbeschluss
   
• 14. Februar 2023: Kritische Stellungnahme und Entwurf eines Entschließungsantrags des EU-Ausschusses für bürgerliche Freiheiten, Justiz und Inneres des Europäischen Parlaments die Europäische Kommission an das EU-Parlament (oft abgekürzt als „LIBE-Ausschuss“): Der Ausschuss argumentierte, dass der Entwurf keine tatsächliche Gleichwertigkeit mit der Europäischen Union in Bezug auf das Datenschutzniveau herstelle
   
• 28. Februar 2023: Stellungnahme des Europäischen Datenschutzausschusses zum neuen Entwurf der EU Kommission: Die Stellungnahme fällt überwiegend positiv aus. Der Europäische Datenschutzausschuss begrüßt die wesentlichen Verbesserungen durch den neuen Entwurf: insbesondere die Einführung von Anforderungen an die Notwendigkeit und Verhältnismäßigkeit für die Datenerhebung durch die US-Nachrichtendienste sowie die Schaffung von neuen Rechtsbehelfsmechanismen für betroffene Personen aus den USA. Der EDSA äußert Bedenken mit Blick auf bestimmte Rechte der betroffenen Personen, die Weiterübermittlung personenbezogener Daten und den Umfang der Ausnahmen, die vorübergehende Massenerfassung von Daten und die Funktionsweise des Rechtsbehelfsmechanismus in der Praxis.
   
• 11. Mai 2023: Entschließung des EU Parlaments zur Angemessenheit des vom Datenschutzrahmen zwischen der EU und den USA gebotenen Schutzes: Das Parlament äußert sich extrem kritisch und kommt zu dem Schluss, dass mit dem Datenschutzrahmen zwischen der EU und den USA „keine wesentliche Gleichwertigkeit im Hinblick auf das Schutzniveau geschaffen wird; fordert die Kommission auf, die Verhandlungen mit ihren US-amerikanischen Partnern fortzusetzen, um einen Mechanismus zu schaffen, der eine solche Gleichwertigkeit gewährleistet und das nach dem Datenschutzrecht der Union und der Charta in der Auslegung durch den EuGH erforderliche angemessene Schutzniveau bietet; fordert die Kommission auf, den Angemessenheitsbeschluss erst anzunehmen, wenn alle in dieser Entschließung und in der Stellungnahme des EDSA enthaltenen Empfehlungen vollständig umgesetzt sind;“

Ausblick und Bedeutung für die Praxis:

Es bleibt festzuhalten, dass der Erlass eines Angemessenheitsbeschlusses nur durch die EU Kommission selbst erfolgt und weder die Stellungnahmen und Einwände des Europäischen Datenschutzausschusses noch die des EU Parlaments bindend hierfür sind. Allerdings handelt es sich bei dem negativen Urteil des EU Parlaments um ein klares politisches Statement. Es bleibt abzuwarten, ob und wie die EU Kommission dieser kritischen Stellungnahme Rechnung tragen wird.

Ursprünglich hatte Dr. Ralf Sauer (stellvertretender Referatsleiter des Referats „Internationale Datenströme und Datenschutz“ bei der Europäischen Kommission, Generaldirektion Justiz und Verbraucher) im Rahmen des 7. Deutsch-Amerikanischen Datenschutztags am 19. April 2023 geäußert, dass der Angemessenheitsbeschluss bis Ende Juli 2023 und somit noch vor der Sommerpause erlassen werden würde. Es bleibt somit spannend, ob dieser Zeitplan eingehalten werden kann. Natürlich werden wir Sie auf dem Laufenden halten.