Einleitung

Im Juli diesen Jahres kippte der Europäische Gerichtshof den transatlantischen „Privacy Shield“. Dieses Urteil hatte und hat weitreichende Auswirkungen auf den Datentransfer zwischen der EU und den Vereinigten Staaten. Um dennoch einen Datentransfer zu gewährleisten, werden nun ergänzende Maßnahmen vorgeschlagen, die in Verbindung mit den Standarddatenschutzsklauseln einen gleichwertigen Datenschutz darstellen sollen. Dazu hat das European Data Protection Board (EDPB) eine schriftliche Empfehlung zur praktischen Vorgehensweise veröffentlicht. 

Diese Empfehlungen beinhalten zunächst einen Sechs-Schritte-Plan, in dem es vorrangig darum geht, wie Daten sicher übermittelt werden können. Im Anschluss daran erfolgt dann eine Erläuterung über die neuen ergänzenden Maßnahmen. Diese sollen in Kombination mit bereits bestehenden Transfer Tools eingesetzt werden, um einen gleichwertig geschützten Datentransfer in Drittländer vornehmen zu können, insbesondere dort wo der Schutz allein aufgrund der Standarddatenschutzklauseln nach dem Urteil nicht mehr gewährleistet ist. 

Was für ergänzende Maßnahmen sind das? 

Es gibt drei Kategorien, in die die Maßnahmen eingeteilt sind: technisch, vertraglich und organisatorisch.  

Die technischen Maßnahmen betreffen überwiegend die Verschlüsselung und Pseudonymisierung von Daten einer Datenübermittlung. Diesbezüglich werden in den Empfehlungen Fallbeispiele angeführt, wie die Datenspeicherung bei einem externen Provider oder die Verschlüsselung bei Durchquerung des Drittlandes aussehen sollte, um nach Ansicht des EDPB als angemessene Maßnahme zu gelten. Insbesondere soll eine Verschlüsselung und Pseudonymisierung vor der Datenübermittlung erfolgen, womit eine Entschlüsselung beim Übermittlungs– und Verarbeitungsprozess durch unberechtigte Parteien unmöglich gemacht oder zumindest erschwert werden soll. Allerdings sind derartige technische Maßnahmen bei Cloud-Anbietern oder bei Fernzugriffen auf Geschäftsdaten regelmäßig nur schwer umsetzbar, da in beiden Bereichen eine Verschlüsselung die Arbeitsprozesse behindern kann. 

Die vertraglichen Maßnahmen umfassen die Einführung verpflichtender Klauseln zur Absicherung der technischen Maßnahmen, Informationspflichten, verstärkte Kontrollrechte, Mitteilungspflichten sowie die Anfechtung von behördlichen Anordnungen. 

Die organisatorischen Maßnahmen dienen der angemessenen Umsetzung und Erhaltung der zuvor benannten Maßnahmen. Sie können aus internen Richtlinien, Organisationsmethoden sowie Standards bestehen, die die verantwortlichen Parteien anwenden und auch den Datenimporteuren in Drittländern auferlegt werden können. Des Weiteren wird die Durchführung entsprechender Schulungen empfohlen, um Mitarbeiter für die Überprüfung dieser Prozesse auszubilden. 

Können diese Maßnahmen den Datentransfer in die Vereinigten Staaten sichern?  

Die schriftlichen Empfehlungen legen sich nicht auf die Vereinigten Staaten fest, sondern umfassen allgemein Drittstaaten, wozu nach Wegfall des Privacy Shields nun eben auch die Vereinigten Staaten zählen. Da die Einstellung des Datentransfers in die Vereinigten Staaten wirtschaftlich betrachtet höchst problematisch und nahezu unmöglich ist, zumindest zum gegenwärtigen Zeitpunkt, kann man nur vermuten, dass das EDPB angesichts der verhältnismäßig schnellen Veröffentlichung seiner Empfehlungen dieses Problem erkannt hat und den betroffenen Unternehmen dennoch Möglichkeiten an die Hand geben will, um einen Datentransfer in die Vereinigten Staaten zu legitimieren. Die Anwendbarkeit und Legitimierungswirkung der empfohlenen Maßnahmen sei erst einmal dahingestellt, da die Maßnahmen zumindest dann nicht ausreichend sein können, wenn die Datenimporteure und das Telekommunikations-Sicherheitsgesetz der Vereinigten Staaten (FISA) fallen.   

So wurde im Schrems-II-Urteil zwar die weitere Nutzung von Standardvertragsklauseln als zulässig erachtet, aber zusätzlich vor deren Nutzung muss nunmehr von den Datenexporteuren und –importeuren geprüft werden, ob die Standardvertragsklauseln einen ausreichenden Schutz bieten oder ggf. noch weitere Maßnahmen zur Gewährleistung des Datenschutzes erfolgen müssen. Für die Vereinigten Staaten dürfte dies meist der Fall sein. Darüber hinaus ist aber auch jedes andere Drittland betroffen, sofern es nicht den europäischen Datenschutzstandards gerecht wird.  

Wie sieht die praktische Umsetzbarkeit aus? 

Die Einsetzung der ergänzenden Maßnahmen ist hilfreich, allerdings ist die praktische Umsetzung schwierig. Zu einer umfassenden Dokumentationspflicht kommt hinzu, dass die ergänzenden Maßnahmen viele individuelle Absprachen zwischen den datenverarbeitenden Parteien erfordern. Zudem garantiert die Einsetzung einer einzelnen Maßnahme nicht automatisch den erforderlichen Datenschutz. Ganz im Gegenteil muss eine konkrete Abwägung der verschiedenen Maßnahmen vorgenommen werden, die im jeweiligen Drittland zum Einsatz kommen sollen. Denn jedes Drittland hat verschiedene Gesetze und Regelungen, die Auswirkungen auf das EU-Datenschutzniveau haben und daher andere Maßnahmen erforderlich machen. Daher ist es unabdingbar, dass diverse Informationsquellen über das Zielland herangezogen werden. Dazu zählen Rechtsprechung der Europäischen Union, Berichte von zwischenstaatlichen Organisationen, nationale Rechtsprechung und Einschätzungen und Berichte von nationalen oder europäischen Datenschutzbehörden (wie bspw. des EDPB) Letztlich muss immer eine Einzelfallentscheidung getroffen werden, die auch eine Kombination aus mehreren Maßnahmen voraussetzen kann.  

Fazit 

Folglich gibt es nicht den einen Lösungsweg. Doch bieten die Empfehlungen eine Orientierungshilfe, um den Datentransfer in Drittländer dennoch anhand von Standardvertragsklauseln zu ermöglichen. Bei alldem gilt es die eigene Verantwortlichkeit für den Datentransfer zu beachten. Daher sollten Datenexporteure und –importeure die Empfehlungen des EDPB vor der Datenübermittlung oder Datenverarbeitung berücksichtigen und sich detailliert über die Regelungen im Drittland informieren, in welches die Daten transferiert oder verarbeitet werden.  

In diesem Zusammenhang ist es auch empfehlenswert den neuen Entwurf der SCCs zu lesen, welcher vermutlich zu Beginn des nächsten Jahres in Kraft treten wird und die Verordnung von 2010 ablösen soll. Bis zum 10.12.2020 hatten Betroffene die Möglichkeit sich zu diesem Entwurf zu äußeren. Besonders besorgt sind einige Betroffene über den Umsetzungszeitraum von einem Jahr ab Inkrafttreten, da viele Forderungen in der Praxis nicht entsprechend schnell umgesetzt werden können.  

Zwar greift der neue Entwurf die oben benannten Maßnahmen auf und wird auf diese Weise den Anforderungen des Schrems-II-Urteils gerecht, aber für die Unternehmen bedeutet das, dass sie mit erheblichem Aufwand eine umfassende Übersicht über ihre Datentransfers vornehmen müssen.