Suche
Contact
27.08.2020 | KPMG Law Insights

Ade Privacy Shield – Orientierungshilfe zum internationalen Datentransfer

Der Europäische Gerichtshof hat mit Urteil vom 16. Juli 2020 das EU-US Privacy Shield für unwirksam erklärt und damit vielen Datentransfers in die USA die Rechtsgrundlage genommen. Der Landesbeauftragte für Datenschutz und Informationsfreiheit des Landes Baden-Württemberg gibt in seiner Orientierungshilfe Hinweise zum rechtssicheren Umgang mit internationalen Datentransfers.

Ob aufgrund von Handelsbeziehungen, dem Speichern von Daten bei US-amerikanischen Cloudanbietern oder der Nutzung von Videokonferenzsystemen – für viele Verantwortliche ist die Übermittlung von Daten in die USA alltägliche Notwendigkeit. Das EuGH-Urteil „Schrems II“ stellt daher sowohl Unternehmen als auch öffentliche Stellen vor enorme Herausforderungen. Zur Rechtmäßigkeit von Datentransfers in Länder außerhalb der EU bedarf es einer bestimmten, datenschutzrechtlichen Grundlage. Die in den vergangenen Jahren überwiegend genutzte Rechtsgrundlage, das sogenannten EU-US Privacy Shield, wurde mit dem EuGH Urteil „Schrems II“ für ungültig erklärt. Zudem knüpfte der EuGH hohe Anforderungen an die ebenfalls häufig verwendete, alternative Rechtsgrundlage der Standardvertragsklauseln. Der Landesbeauftragte für Datenschutz und Informationsfreiheit des Landes Baden-Württemberg hat nun eine Orientierungshilfe veröffentlicht, in der er auf Risiken von Verstößen hinweist, Verantwortlichen Handlungsempfehlungen zum rechtskonformen Datentransfer und einen Ausblick auf das weitere Vorgehen in seiner Funktion als Aufsichtsbehörde gibt.

Hintergrund

Der EuGH hatte das sogenannte Privacy Shield in seinem Urteil „Schrems II“ mit sofortiger Wirkung für ungültig erklärt. Das Privacy Shield bezeichnet den Angemessenheitsbeschluss, mit dem die europäische Kommission im Jahr 2016 beschlossen hatte, dass die USA unter bestimmten Umständen ein angemessenes Schutzniveau bieten, sodass Daten ohne weitere Genehmigung an zertifizierte US-amerikanische Unternehmen übermittelt werden konnten. Das oberste europäische Gericht hat in diesem Urteil allerdings entschieden, dass aufgrund der weitreichenden Befugnisse der US-Geheimdienste, die Eingriffe in die Rechte von EU-Bürgern ermöglichen, und des fehlenden Rechtsschutzes, ein angemessenes Datenschutzniveau nicht sichergestellt werden kann.

Eine weitere Feststellung des EuGH betrifft die von der Kommission im Jahr 2010 beschlossenen Standardvertragsklauseln, die bei wirksamer Vereinbarung vor dem Urteil ebenfalls eine Rechtsgrundlage für den Datentransfer in die USA darstellten. Diese seien weiterhin gültig, allerdings nur unter der Voraussetzung, dass ein entsprechendes Schutzniveau für personenbezogenen Daten sichergestellt werden kann. Bei Übermittlungen in die USA können Standardvertragsklauseln laut EuGH allein keinen angemessenen Schutz gewährleisten, da diese lediglich die Vertragsparteien binden – nicht jedoch die US-Behörden. Diese dürfen nach US-amerikanischem Recht in die Rechte betroffener Personen, etwa zur Strafverfolgung, eingreifen. Daher müssen zur rechtmäßigen Übermittlung zusätzliche Maßnahmen wie Verschlüsselung oder Anonymisierung getroffen werden, um die Rechte von betroffenen EU-Bürgern zu schützen.

Die Wertungen des Urteils erstecken sich nicht nur auf die Übermittlung von Daten in die USA aufgrund des Privacy Shields, sondern auch auf alle Transfers auf Grundlage von Standardvertragsklauseln sowohl in die USA als auch in andere Drittländer.

Mögliche Rechtsgrundlagen

Der baden-württembergische Landesbeauftragte für Datenschutz und Informationsfreiheit weist ausdrücklich darauf hin, dass das Privacy Shield keine gültige Rechtslage für die Übermittlung personenbezogener Daten in die USA mehr darstellt und bei Verstößen empfindliche Bußgelder und Schadenersatzforderungen drohen. Solche Datentransfers sollten daher unterbleiben.

Eine Übermittlung auf Grundlage von Standardvertragsklauseln sei dagegen grundsätzlich möglich. Allerdings müsse ein angemessenes Schutzniveau sichergestellt werden. Erforderlich ist, dass der Verantwortliche zusätzliche Garantien bietet, die einen Zugriff durch die US-amerikanischen Geheimdienste effektiv verhindern und so die Rechte der betroffenen Personen schützen. Dies könnte beispielsweise entweder durch eine Verschlüsselung, bei der nur der Datenexporteur den Schlüssel hat und die von US-Diensten nicht gebrochen werden kann oder eine Anonymisierung oder Pseudonymisierung, bei der nur der Datenexporteur die Zuordnung vornehmen kann, erreicht werden. Kann ein solches angemessenes Schutzniveau nicht gewährleistet werden, sollten Verantwortliche dringend von einer Übermittlung auf dieser Grundlage absehen.

Denkbar sei darüber hinaus eine ausnahmsweise Übermittlung nach Art. 49 DSGVO. Hier sei allerdings der restriktive Charakter der gesamten Vorschrift zu beachten, sodass dies lediglich bei Datentransfers innerhalb von Konzernen oder bei Einzelvertragsbeziehungen eine wirksame Rechtsgrundlage darstellen könnte.

Empfohlenes Vorgehen

Der Landesbeauftragte empfiehlt sowohl Unternehmen als auch Behörden unverzüglich zu prüfen, in welchen Fällen sie personenbezogene Daten in Drittländer exportieren. Die jeweiligen Vertragspartner in den Drittländern sollten sodann über den Inhalt des EuGH-Urteils informiert werden. Im Anschluss sollten sich die Verantwortlichen über die Rechtslage in dem jeweiligen Land erkundigen und überprüfen, ob es für das jeweilige Drittland einen gültigen Angemessenheitsbeschluss der Kommission gibt, auf die sie ihren Datentransfer rechtlich stützen könnten. Liegt ein solcher nicht vor, sollte überprüft werden, ob die von der Kommission beschlossenen Standardvertragsklauseln für das jeweilige Land genutzt werden können. Sollte dies, wie beispielsweise im Falle der USA, nur aufgrund zusätzlicher Garantien möglich sein, sollte beurteilt werden, ob durch entsprechende Maßnahmen im Einzelfall ein angemessenes Schutzniveau erreicht werden kann. Sollte dies ebenfalls scheitern, bliebe als letzte, eingeschränkte Möglichkeit die Übermittlung von Daten nach der Ausnahmevorschrift des Art. 49 DSGVO.

Ausblick

Der Beauftragte fordert Unternehmen und Behörden dazu auf, zumutbare Alternativangebote ohne Transferproblematik einzuholen und weist darauf hin, dass nicht notwendige, problematische Datentransfers künftig untersagt werden. Er zeigt allerdings auch Verständnis für einzelne Unternehmen, für die mit dem Urteil des EuGH extreme Belastungen einhergehen und kündigt an: „Das EuGH-Urteil gilt, wir müssen es unverzüglich umsetzen – und das werden wir auch tun. Allerdings werden wir dies mit Augenmaß nach dem Grundsatz der Verhältnismäßigkeit tun und immer die Frage stellen, ob die Datentransfers in die USA alternativlos sind oder nicht.“

Explore #more

30.11.2022 | KPMG Law Insights

Vergaberechtliche Besonderheiten bei der Zusammenarbeit von Wissenschaftseinrichtungen mit Ihren Ausgründungen (Teil 2)

Rechtspolitische Aktualität: Wissenschaftseinrichtungen der öffentlichen Hand haben bei der Zusammenarbeit mit ihren Ausgründungen zwei Möglichkeiten, auf welchem Wege sie diese ausgestalten können. Zum einen besteht…

30.11.2022 | KPMG Law Insights

Transparenzregister: EuGH-Urteil – Absage zum öffentlichen Zugriff auf das Transparenzregister?

Ausgangslage: Mit der Einführung des Transparenzregisters zum Oktober 2017 mussten grundsätzlich sämtliche Unternehmen mit Sitz in Deutschland ihre:n wirtschaftlich Berechtigte:n an das neu geschaffene Register…

18.11.2022 | KPMG Law Insights

KPMG Law Wochenupdate zu den Entwicklungen auf dem Energiemarkt infolge des Ukraine-Kriegs (KW 45)

Neue Gesetze und Verordnungen Gesetze Updates zur Gas- und Strompreisbremse Am Montag ließ die Vize-Regierungssprecherin Christiane Hoffman verlauten, dass wegen der Komplexität der zweiten Stufe…

08.11.2022 | Dealmeldungen

KPMG Law und KPMG Abogados beraten die Toppan-Gruppe bei der Übernahme von Decotec Printing

Die KPMG Law Rechtsanwaltsgesellschaft mbH in Deutschland (KPMG Law) und KPMG Abogados in Spanien haben die Toppan-Gruppe beim Erwerb von 40 Prozent der Anteile an…

28.10.2022 | KPMG Law Insights

KPMG Law Wochenupdate zu den Entwicklungen auf dem Energiemarkt infolge des Ukraine-Kriegs (KW 43)

Behördliche oder sonstige hoheitliche Tätigkeiten Lagebericht Gasversorgung (Stand 24.10.2022) Der Lagebericht der BNetzA zur Lage der Gasversorgung in Deutschland auf dem Stand vom 24.10.2022; 13…

26.10.2022 | Dealmeldungen

KPMG Law und KPMG beraten Deutsche Messe AG und Italian Exhibition Group beim anteiligen Verkauf der Italian German Exhibition Company und bei Joint Venture

Die KPMG Law Rechtsanwaltsgesellschaft mbH (KPMG Law), die KPMG AG Wirtschaftsprüfungsgesellschaft (KPMG) und KPMG in Italien haben die Deutsche Messe AG, Hannover, und die Italian…

24.10.2022 | KPMG Law Insights

Client Alert zur betrieblichen Altersversorgung II

Anpassungsprüfung für laufende Betriebsrenten in Zeiten der Inflation Die aktuelle wirtschaftliche Entwicklung der Stagflation in Deutschland fordert seinen Tribut von den Bürgern wie den Unternehmen.

20.10.2022 | KPMG Law Insights

Client Alert zur betrieblichen Altersversorgung

bAV-Schriftformerfordernis nach Novellierung des Nachweisgesetzes Die am 1. August 2022 in Kraft getretene Neufassung des Nachweisgesetzes (NachwG) sorgte mit der Ausweitung und nunmehr Bußgeld bewährten…

19.10.2022 | KPMG Law Insights

KPMG Law Wochenupdate zu den Entwicklungen auf dem Energiemarkt infolge des Ukraine-Kriegs (KW 42)

Behördliche oder sonstige hoheitliche Tätigkeiten Lagebericht Gasversorgung Der Lagebericht der BNetzA zur Lage der Gasversorgung in Deutschland auf dem Stand vom 14.10.2022 (13 Uhr) ergibt…

19.10.2022 | Dealmeldungen

KPMG Law berät weclapp-Gründer bei Verkauf an Exact Group

Die KPMG Law Rechtsanwaltsgesellschaft mbH (KPMG Law) hat den Gründer und CEO Ertan Özdil beim Verkauf der weclapp SE mit Sitz in Frankfurt am Main…

Kontakt

Sebastian Hoegl, LL.M. (Wellington)

Senior Manager
Rechtsanwalt
Fachanwalt für IT-Recht
LL.M. (Wellington)

Heinrich-von-Stephan-Straße 23
79100 Freiburg im Breisgau

tel: +49 761 769999-20
shoegl@kpmg-law.com

Maik Ringel

Senior Manager

Münzgasse 2
04107 Leipzig

tel: +49 341 22572563
mringel@kpmg-law.com

© 2022 KPMG Law Rechtsanwaltsgesellschaft mbH, assoziiert mit der KPMG AG Wirtschaftsprüfungsgesellschaft, einer Aktiengesellschaft nach deutschem Recht und ein Mitglied der globalen KPMG-Organisation unabhängiger Mitgliedsfirmen, die KPMG International Limited, einer Private English Company Limited by Guarantee, angeschlossen sind. Alle Rechte vorbehalten. Für weitere Einzelheiten über die Struktur der globalen Organisation von KPMG besuchen Sie bitte https://home.kpmg/governance.

KPMG International erbringt keine Dienstleistungen für Kunden. Keine Mitgliedsfirma ist befugt, KPMG International oder eine andere Mitgliedsfirma gegenüber Dritten zu verpflichten oder vertraglich zu binden, ebenso wie KPMG International nicht autorisiert ist, andere Mitgliedsfirmen zu verpflichten oder vertraglich zu binden.

Scroll