19.04.2022 Datenschutz und die USA
Vielleicht haben Sie es bereits aus den Medien erfahren – es tut sich etwas in Sachen Datenschutz und USA.
Grundsätzlich ist in einem Unternehmen die verantwortliche Person für Daten, welche erhoben und verarbeitet werden, immer der/die Chef:in des Unternehmens.
Er/Sie trägt die Verantwortung wie und wo die Daten seiner Mitarbeiter und Kunden verarbeitet werden. Die Vorgaben dazu innerhalb des Europäischen Wirtschaftsraums (EWR) regelt die Datenschutz-Grundverordnung (DSGVO).
Werden personenbezogene Daten außerhalb des EWR verarbeitet, spricht man von einer Verarbeitung in einem Drittland.
Hier unterscheidet man zwischen sicheren und unsicheren Drittländern. Um die aktuelle Diskussion besser zu verstehen, gehen wir zurück in den Juli 2020 und stellen die Sachverhalte stark vereinfacht dar.
Für sichere Drittstaaten gibt es einen Angemessenheitsbeschluss und eine Verarbeitung von personenbezogenen Daten ist daher ohne Probleme möglich. Das EU-US Privacy Shield (so der Name des Angemessenheitsbeschlusses mit den USA) legitimierte den Datentransfer aus der EU in die USA. Dadurch wurden die USA zu einem sicheren Drittland erklärt. Auf das EU-US Privacy Shield konnte man sich daher berufen, wenn man personenbezogene Daten in die USA übermittelt hat. Im Juli 2020 wurde das sogenannte Privacy Shield durch eine Klage des Datenaktivisten Max Schrems vor dem EuGH gekippt. Der Grund hierfür ist in der datenschutzfeindlichen Gesetzgebung der USA zu finden. Hier gibt es 4 Gesetze, die den Zugriff auf Daten durch US Behörden regeln (Cloud-Act, Patriot Act, Freedom Act, FISA). Dabei gilt besonders zu beachten: Auch Server von US-Unternehmen in Europa sind in dieser Gesetzgebung enthalten.
Seit Juli 2020 ist diese Regelung nun Geschichte und die USA gelten nicht mehr als sicheres Drittland. Daher ist die Verarbeitung in den USA nicht mehr auf durch das Privacy-Shield zu legitimieren.
Kleiner Tipp: Prüfen Sie Ihre Datenschutzerklärung – denn häufig befinden sich dort noch entsprechende Erläuterungen, die nicht mehr gültig sind.
Es gibt natürlich weiterhin die Möglichkeit eine Verarbeitung in den USA zu legitimieren. Hierzu kann man mit sogenannten SCC (Standardvertragsklauseln) mit jedem einzelnen Unternehmen einen Vertrag abschließen. Diese Rechtslage hält bis heute an und macht es Unternehmen allerdings relativ schwer mit Rechtssicherheit personenbezogene Daten in die USA zu übermitteln.
Wir empfehlen und beraten unsere Kunden daher immer in die Richtung der Vermeidung solcher Transaktionen um absolute Rechtssicherheit zu erlangen. Seit einigen Tagen hört und liest man in den Medien, dass die Regierungen aus Deutschland und den USA an einem neuen Privacy Shield (Trans-Atalntic Data Privacy Framework) arbeiten.
Ist damit jetzt das Problem gelöst und der Transfer wieder einfacher? Klare Antwort: NEIN. Denn bislang wird nur darüber geredet und verhandelt, aber noch nichts entschieden. Somit gelten die aktuellen Regelungen weiter. Mit einen Ergebnis ist nicht vor Ende 2022 zu rechnen und ob dies der lang ersehnte große Wurf wird, ist noch völlig unklar.
Unsere Empfehlung ist also weiterhin: Prüfen Sie die Notwendigkeit der Übermittlung in die USA und schließen Sie, wenn notwendig, Verträge auf der Basis von SCCs ab. Informieren Sie Ihre Kunden und Webseitenbesucher transparent über die Verarbeitung in den USA und holen Sie sich ggf. eine Einwilligung ein.
Sie haben noch Fragen zu dieser Thematik? Gerne helfen wir Ihnen weiter.