Suche
Contact
30.07.2020 | KPMG Law Insights

Verbandssanktionen – EuGH erklärt EU-US Privacy Shield für unwirksam: Verträge zum Transfer personenbezogener Daten in die Vereinigten Staaten müssen angepasst werden.

Der EuGH hat mit seiner Entscheidung zum EU-US Privacy Shield wie bereits zum vorherigen Safe-Harbor Abkommen festgestellt, dass dieser kein angemessenes Datenschutzniveau gewährleisten kann. Das Gericht entzieht damit einem Großteil des transatlantischen Datentransfers die rechtliche Grundlage. Europäische Unternehmen sind nun gezwungen, sämtliche ihrer Vereinbarungen zum Datentransfer in die Vereinigten Staaten zu überprüfen und ggf. auf eine andere rechtliche Grundlage zu stellen.


Hintergrund der Entscheidung
Der Transfer personenbezogener Daten an Unternehmen in den Vereinigten Staaten von Amerika ist nicht zuletzt auch aufgrund der omnipräsenten Nutzung von Cloud-Diensten alltäglich geworden. Auch aus den betrieblichen Abläufen vieler europäischer Unternehmen ist die Nutzung der Leistungen großer amerikanischer Cloudanbieter nicht mehr wegzudenken. Doch die Europäische Datenschutzgrundverordnung stellt strenge Anforderungen an solche Datenübertragungen an Unternehmen in Ländern außerhalb der EU bzw. des EWR. So bedarf es der Sicherstellung, dass das Datenschutzniveau in dem Land des Empfängerunternehmens im Wesentlichen dem Datenschutzniveau in Europa entspricht. Diese Angemessenheit des Datenschutzniveaus kann durch verschiedene Mechanismen sichergestellt werden. Einer dieser Mechanismen – wohl einer der am häufigsten verwendeten – ist der Angemessenheitsbeschluss, der 2016 zwischen Europa und den Vereinigten Staaten als sog. EU-US Privacy Shield (“EU-US Privacy Shield“) verhandelt und abgeschlossen wurde. Daneben stehen weitere Mechanismen, wie die sog. EU-Standardvertragsklauseln (“Standardvertragsklauseln”) oder verbindliche unternehmensinterne Datenschutzvorschriften („Binding Corporate Rules“), zur Verfügung.

Gegen das EU-US Privacy Shield hat der österreichische Datenschutzaktivist Max Schrems mit der Begründung geklagt, dass der Privacy Shield insbesondere aufgrund der weitreichenden Befugnisse amerikanischer Geheimdienste keinen ausreichenden Schutz für Europäische betroffene Personen biete und dementsprechend kein angemessenes Datenschutzniveau im Sinne der Anforderungen des europäischen Datenschutzes gewährleisten könne. Zum EU-US Privacy Shield sowie zu den EU-Standardvertragsklauseln hat nun der Europäische Gerichtshof (“EuGH”) entschieden.


Die Entscheidung des EuGH und die sie tragenden Gründe
Der EuGH befand in seiner Entscheidung „Schrems II“ vom 16. Juli 2020, dass die Entscheidung der EU-Kommission 2016/1250 vom 12. Juli 2016, die den „EU-US Privacy Shield“ als Nachfolger des Safe-Harbor Abkommens etabliert hatte, ebenfalls unwirksam ist. Diese Entscheidung des EuGH hat sehr weitrechende Konsequenzen, da ab sofort die Übermittlung personenbezogener Daten von europäischen Unternehmen an US-amerikanische Unternehmen nicht länger auf die häufig verwendete Rechtsgrundlage gestützt werden kann. Darüber hinaus hat der EuGH auch geurteilt, dass die EU-Standardvertragsklauseln jedenfalls aufgrund der in diesem Verfahren vorgetragenen Sachlage und Argumente nicht unwirksam seien und grundsätzlich weiterhin als Rechtsgrundlage verwendet werden können.


Der EuGH stützt seine Entscheidung zur Unwirksamkeit des EU-US Privacy Shields im Wesentlichen auf die folgenden Gründe:

  • Die Entscheidung der EU-Kommission zur Angemessenheit des Schutzniveaus ist nach Auffassung des EuGH aus mehreren Gründen fehlerhaft und daher aufzuheben. Der EuGH schätzt insbesondere nunmehr die Fragen der Verhältnismäßigkeit und Bestimmtheit der Möglichkeiten staatlicher Zugriffe auf Daten europäischer Bürger als auch die Möglichkeiten eines wirksamen Rechtsbehelfs europäischer Bürger gegen Zugriffe US-amerikanischer staatlicher Stellen entgegen der Auffassung der Kommission als unzureichend ein.
  • Der EuGH führt zunächst aus, dass das EU-US Privacy Shield selbst bereits Beschränkungen des Schutzes der Rechte und Freiheiten der betroffenen Personen enthalte, soweit eine Beschränkung erforderlich sei für die nationale Sicherheit, das öffentliche Interesse oder Strafverfolgungsinteressen der Vereinigten Staaten.
  • Weiter führt der EuGH aus, dass es dabei jedoch tatsächlich an einer Eingrenzung auf ein notwendiges Maß fehle, da einerseits weder eindeutige Voraussetzungen für den Zugriff auf die Daten europäischer Betroffener noch Mindeststandards zum Schutz der Rechte und Freiheiten für den Fall eines Zugriffs in den US-amerikanischen Sicherheitsgesetzen verankert seien. Anderseits sei insbesondere für Überwachungsmaßnahmen der Geheimdienste, wie den durch Edward Snowden bekanntgewordenen Programmen PRISM oder UP-STREAM, der Schutz individueller Personen nicht adäquat geregelt, sondern diese Programme würden vielmehr nur pauschal aufgrund einer jährlichen Prüfung des Gesamtprogramms genehmigt. Dies sei, so der EuGH, jedoch keine wirksame Beschränkung von Ein-griffen in die Rechte und Freiheiten auf ein notwendiges und verhältnismäßiges Maß.
  • Als weiteren tragenden Grund seiner Entscheidung führt der EuGH an, dass europäischen Personen, die von solchen Maßnahmen betroffen sind, keine ausreichenden Rechtsbehelfe zur Verfügung stehen. Insbesondere der durch den EU-US Privacy Shield vorgesehene Ombudsmann biete keinen ausreichenden Rechtsschutz im Sinne europäischer Grundrechte.
  • Der EuGH stellt zunächst fest, dass bereits im EU-US Privacy Shield selbst dem Ombudsmann die Überprüfung einiger Maßnahmen entzogen sei, in denen elektronische Überwachung für die nationale Sicherheit durch US-Geheimdienste durchgeführt werden. Bereits diese Unzuständigkeit mache es unmöglich, von einem Rechtsschutzniveau auszugehen, das den Anforderungen der Europäischen Charta genüge.
  • Schließlich stellt der EuGH fest, dass der nach dem EU-US Privacy Shield vorgesehene Ombudsmann weder unabhängig sei noch Entscheidungen treffen könne, die für die zugreifende staatliche Stelle verbindlich wären. So werde der Ombudsmann zwar im EU-US Privacy Shield als unabhängig von den Geheimdiensten beschrieben, er werde jedoch vom US Secretary of State ernannt, gehöre dem US State Department an und könne ohne besonderen Schutz wieder aus seiner Position entlassen werden. Und letztlich, so der EuGH, fehle es an jeglicher erkennbarer rechtlicher Absicherung, dass Entscheidungen des Ombudsmanns gegen andere staatliche Stellen verbindlich und auch vollstreckbar wären. Auch politische Zusagen, auf die sich Europäische betroffene Personen stützen könnten, seien nicht erkennbar.

 

Folgen der Entscheidung und Handlungsempfehlungen
Die aus den vorstehenden wesentlichen Gründen ergangene Entscheidung erklärt den EU-US Privacy Shield ab sofort für unwirksam. Der EuGH stellt abschließend fest, dass diese sofortige Wirkung der Entscheidung kein unzumutbares rechtliches Vakuum erzeuge, da die Datenschutzgrundverordnung weiterhin andere Möglichkeiten („Garantien“) vorsehe, um den Datentransfer in die Vereinigten Staaten zu ermöglichen.

Die Folgen der Entscheidung sind weitreichend und für viele Unternehmen ein bitteres Ergebnis eines Prozesses, das jedoch von viele Experten erwartet wurde: Personenbezogene Daten von EU-Bürgern können nun ab sofort nicht mehr rechtmäßig auf der Grundlage des EU-US Privacy Shields in die USA übermittelt werden. Auch eine offizielle Übergangsfrist gibt es nicht. Es ist daher Eile geboten. Zunächst gilt es, in betroffenen Unternehmen zu überprüfen, welche Garantien zur Datenübermittlung aktuell genutzt werden.

Sofern Datenübermittlungen aktuell auf Basis des EU-US Privacy Shields erfolgen, sollte die Datenverarbeitung zunächst sofort eingestellt werden, um Bußgelder zu vermeiden. Es ist zu erwarten, dass auch die Aufsichtsbehörden in Kürze beginnen werden, die Rechtmäßigkeit der Datentransfers zu überprüfen.

In einem zweiten Schritt wären die Datenverarbeitungen durch eine andere geeignete Garantie entsprechend abzusichern. Kurzfristig sind hier sicherlich die Standardvertragsklauseln das Mittel der Wahl – wenn auch mit den in der Entscheidung des EuGH ebenfalls beleuchteten Risiken. Denn zwar sind die Standardvertragsklauseln nach dem Urteil des EuGH nach wie vor gültig, jedoch besteht auch hier das Risiko für die Betroffenen, dass öffentliche Stellen in Rechte und Freiheiten der Betroffenen durch einen Zugriff auf die personenbezogenen Daten eingreifen. Im Einzelfall, so führt der EuGH aus, sei das für die Datenverarbeitung verantwortliche EU-Unternehmen, welches die personenbezogenen Daten in einen Staat außerhalb der EU oder des EWR (Drittland) übermittelt, sowie das die Daten empfangende Unternehmen im Drittland in der Pflicht zu prüfen (z.B. anhand Regelungen zur öffentlichen Sicherheit, Verteidigung und Staatssicherheit – insbesondere bezüglich ausreichender Schutzmaßnahmen für EU-Bürgern) und sicherzustellen, dass das erforderliche Schutzniveau eingehalten wird. Ist dies nicht der Fall, darf der Datentransfer nicht erfolgen.

Allerdings, und dies ist der Unterschied zum EU-US Privacy Shield, enthielten die Standardvertragsklauseln nicht sämtliche Garantien für ein angemessenes Schutzniveau in ein Drittland – die Schutzmechanismen der Standardvertragsklauseln seien grundsätzlich erweiterbar. Daher sei im Falle der Anwendung der Standardvertragsklauseln im Einzelfall eine Prüfung erforderlich, ob die so getroffenen Vereinbarungen tatsächlich auch eingehalten werden können, ggf. sind – so-weit dies möglich ist – zusätzliche Garantien über eine Erweiterung der Standardvertragsklauseln zu schaffen.

Wie diese Entscheidung des EuGH zukünftig in der Praxis umgesetzt wird, bleibt derzeit noch weitgehend offen. Denn der Verantwortliche wird regelmäßig nur unter erheblichen Schwierigkeiten dazu in der Lage sein, die Risiken für die Rechte und Freiheiten, die sich in der spezifischen fremden Rechtordnung stellen, selbst zu bewerten – auch und gerade rechtsvergleichend zum europäischen Recht. Fraglich bleibt daher, ob zur Beantwortung dieser Frage der Auftragsverarbeiter (dem seine eigene Rechtsordnung bekannt sein dürfte) verstärkt in die Pflicht genommen wird oder ob die Europäischen Aufsichtsbehörden länderspezifische Empfehlungen zur Ergänzung der Standardvertragsklauseln veröffentlichen werden.
Mittel bis langfristig wären Binding Corporate Rules – neben den sonst in Betracht kommenden Rechtsgrundlagen, wie z.B. einer Einwilligung oder zum Zwecke der Vertragserfüllung – eine geeignete und sichere Möglichkeit, um die Datenverarbeitung wieder auf eine sichere Grundlage zu stellen. Deren Implementierung ist jedoch aufwändig und der Prozess braucht erfahrungsgemäß Zeit. Schließlich werden auch Überlegungen dahingehend anzustellen sein, wo auf die Datenverarbeitung gänzlich verzichtet, auf die Datenverarbeitung in Drittländer verzichtet und ob die Datenverarbeitung ggf. in die EU/den EWR verlagert werden kann.

Im Übrigen soll nicht unerwähnt bleiben, dass die aktuelle Entscheidung des EuGH sicherlich auch Indizwirkung für andere Angemessenheitsbeschlüsse hat. Es bleibt abzuwarten, ob und wie sich die Aufsichtsbehörden kurzfristig zum Thema insgesamt positionieren werden.


Zusammenfassung

  • EuGH:  Angemessenheitsbeschluss der Kommission zum EU-US Privacy Shield ist unwirksam.
  • Allein auf diesen Beschluss gestützte transatlantischen Datentransfers haben keine rechtliche Grundlage mehr.
  • Europäische Unternehmen müssen alle auf den Angemessenheitsbeschluss zum EU-US Privacy Shield beruhende Vereinbarungen zum Datentransfer in die Vereinigten Staaten umstellen.
  • Standardvertragsklauseln als Rettungsanker sind – neben sog. Binding Corporate Rules für konzerninterne Datentransfers – die einzig verbleibende Möglichkeit, die aber nach der EuGH-Entscheidung nicht nur mit Blick auf die USA auch mit Risiken verbunden ist.

Explore #more

27.09.2023 |

Gastbeitrag von Mario Urso und Simon Meyer im RECYCLING magazin

Die Fülle an Umweltregelungen stellt Unternehmen zunehmend vor immer neue große Herausforderungen. Aber was ist konkret im Umgang mit Verpackungen jetzt zu tun, um compliant…

27.09.2023 | Pressemitteilungen

TALK Magazin bei der PMN Award Gala 2023 nominiert

Bei der PMN Award Gala im Senckenberg Institut in Frankfurt wurden am Donnerstag die innovativsten Projekte mit den PMN Awards prämiert. Wir freuen uns, mit…

25.09.2023 | KPMG Law Insights

Wie eine Datenstrategie im Unternehmen Innovation beschleunigen kann

Ein Praxisbeispiel für eine gelungene Datentransformation. Daten sind Innovationstreiber. Sie werden zunehmend als wertvolles Wirtschaftsgut erkannt und sind für Unternehmen häufig von unschätzbarem Wert. Das…

20.09.2023 |

Beitragsserie zum Modell „Employer of Record“: Fragen im Arbeitnehmerüberlassungsrecht in der EFAR

Das Modell des „Employer of Record“ rückt immer mehr in den Fokus der Unternehmen. In einer Beitragsserie in der Zeitschrift „Expertenforum Arbeitsrecht“ beleuchten…

20.09.2023 | KPMG Law Insights

BGH erweitert Aufklärungspflicht von Immobilienverkäufern

Mit einem für die Transaktionspraxis höchst relevanten Urteil hat der Bundesgerichtshof (BGH) am 15. September 2023 (Az. V ZR 77/22) die Rechte von…

19.09.2023 |

Gastbeitrag von Isabelle Knoché und Jasmin Runge zum Thema Greenwashing in W&V

Greenwashing wird zunehmend zum Image- und Rechts-Problem. Wo sind die Grenzen und wie sollten Marken ihre Kommunikation zu Nachhaltigkeit aufstellen? Isabelle Knoché und Jasmin Runge…

19.09.2023 | Dealmeldungen

KPMG Law und KPMG AG Wirtschaftsprüfungsgesellschaft beraten EURO-Leasing GmbH bei Verkauf der Mehrheitsanteile an Euromobil GmbH

Die KPMG Law Rechtsanwaltsgesellschaft mbH (KPMG Law) und die KPMG AG Wirtschaftsprüfungsgesellschaft (KPMG) haben die EURO-Leasing GmbH bei der Ausgliederung des Pkw-Vermiet-Geschäfts auf die Euromobil…

18.09.2023 | Dealmeldungen

KPMG Law berät Klüh beim Verkauf des luftseitigen Airport-Service- Geschäfts am Flughafen Frankfurt am Main an WISAG

KPMG Law hat die Klüh Cleaning GmbH aus Düsseldorf beim Verkauf ihres luftseitigen Airport-Service-Geschäfts am Flughafen Frankfurt am Main an WISAG Ground Service Rhein-Main GmbH…

18.09.2023 |

Statement von Stefan Kimmel im Handelsblatt zur neuen Rechtsform Flexible Company

Mit einer neuen Rechtsform will der österreichische Gesetzgeber Start-ups den Einstieg erleichtern. Österreich bietet Gründern mit der „Flexible Company“ eine neue Option, die insbesondere Start-ups…

14.09.2023 | KPMG Law Insights

Podcast-Serie „KPMG Law on air“: Generative KI

Generative KI hat erst vor wenigen Monaten Einzug in die Arbeitswelt gehalten und schon steht fest: Sie wird viele Berufsbilder deutlich verändern. Der technische Fortschritt…

© 2023 KPMG Law Rechtsanwaltsgesellschaft mbH, assoziiert mit der KPMG AG Wirtschaftsprüfungsgesellschaft, einer Aktiengesellschaft nach deutschem Recht und ein Mitglied der globalen KPMG-Organisation unabhängiger Mitgliedsfirmen, die KPMG International Limited, einer Private English Company Limited by Guarantee, angeschlossen sind. Alle Rechte vorbehalten. Für weitere Einzelheiten über die Struktur der globalen Organisation von KPMG besuchen Sie bitte https://home.kpmg/governance.

KPMG International erbringt keine Dienstleistungen für Kunden. Keine Mitgliedsfirma ist befugt, KPMG International oder eine andere Mitgliedsfirma gegenüber Dritten zu verpflichten oder vertraglich zu binden, ebenso wie KPMG International nicht autorisiert ist, andere Mitgliedsfirmen zu verpflichten oder vertraglich zu binden.

Scroll