IT/Datenschutz

Ist (k)ein EU-US Privacy Shield Nachfolger in Sicht?

Unternehmen, die auf eine Übermittlung personenbezogener Daten in die USA angewiesen sind, warten dringend auf eine Nachfolgeregelung zum EU-US Privacy Shield. Diese Grundlage für einen rechtssicheren Datentransfer zwischen der Europäischen Union und den USA hatte der Europäische Gerichtshof (EuGH) im prominenten „Schrems II Urteil“ für unvereinbar mit der DS-GVO erklärt.

Bei der Übermittlung von personenbezogenen Daten in die USA, stützen Unternehmen den Datentransfer weitgehend auf die (neuen) Standardvertragsklauseln der Europäische Kommission und einer Datentransfer-Folgenabschätzung (DTFA) bzw. einem Transfer Impact Assessment (TIA) zur Festlegung ergänzender Schutzmaßnahmen.

Deren Einsatz gestaltet sich jedoch schwierig, denn ein datenschutzkonformer Datentransfer in die USA (z.B. bei der Nutzung von Cloud-Diensten) lässt sich damit kaum und wenn nur unter erheblichen zeitlichen Aufwand realisieren. Dieser Zustand stellt nicht nur die bilateralen Beziehungen zwischen der Europäischen Union und den Vereinigten Staaten, sondern auch viele europäische Unternehmen auf eine Geduldsprobe.

Eine Lösung dieser Problematik wäre somit ein Nachfolgeabkommen zum EU-US Privacy Shield. Dies ist aber wegen den noch bestehenden Zugriffsmöglichkeiten staatlicher Behörden der USA zu Kontroll- und Überwachungszwecken (Section 702 des FISA und die E.O. 12333 in Verbindung mit der PPD-28) schwer umsetzen.

Derzeit werden zwischen der EU und den USA intensive Verhandlungen über ein solches Abkommen geführt.

Laut dem Nachrichtenmagazin Politico sind diese Verhandlungen fortgeschritten.
Der Arbeitstitel des Nachfolgeabkommens lautet US-EU Adequacy Agreement.

Laut Politico könnte es bereits im Mai 2022 zu einer Einigung kommen. Dieses Abkommen wäre ein sog. Angemessenheitsbeschluss mit der Folge, das personenbezogene Daten wiederum datenschutzkonform zwischen der EU/EWR und den USA übermittelt werden können. In diesem Fall wäre es nicht mehr nötig Standardvertragsklauseln abzuschließen.

Fazit

Ob diese Verhandlungen erfolgreich sein werden, bleibt abzuwarten.
Bis zu diesem Zeitpunkt ist es nach wie vor erforderlich, Maßnahmen nach Art. 49 DS-GVO zu treffen, wie etwa den Abschluss von Standardvertragsklauseln und ggf. zusätzlicher Maßnahmen.