BDSG / Privacy Shield

Am 16. Juli 2020 fällte der Europäische Gerichtshof (EuGH) eine Entscheidung, die den internationalen Datenschutz grundlegend veränderte: Das EU-US Privacy Shield, eine Vereinbarung für den sicheren Datentransfer zwischen der Europäischen Union und den Vereinigten Staaten, wurde für ungültig erklärt.

Grund dafür waren die weitreichenden Überwachungsbefugnisse der US-Regierung, die laut EuGH nicht mit den Datenschutzanforderungen der Europäischen Union vereinbar sind. Unternehmen, die sich auf Privacy Shield stützten, mussten rasch auf alternative Methoden umsteigen, um weiterhin Daten über den Atlantik transferieren zu dürfen.

Der EuGH sah in US-Überwachungsgesetzen wie dem FISA (Foreign Intelligence Surveillance Act) ein wesentliches Problem: Europäische Nutzerdaten könnten von US-Behörden eingesehen werden, ohne dass Betroffene effektive rechtliche Möglichkeiten hätten, sich dagegen zu wehren.

Da dies den hohen Anforderungen der DSGVO (Datenschutz-Grundverordnung) widerspricht, konnte das Privacy Shield nicht bestehen bleiben.

Nach dem Schrems II-Urteil müssen Unternehmen, die personenbezogene Daten in die USA übertragen, striktere Anforderungen erfüllen.

Die wichtigste Alternative zum Privacy Shield sind die sogenannten Standardvertragsklauseln (SCCs). Diese werden vom EuGH weiterhin anerkannt, allerdings nur unter zusätzlichen Voraussetzungen.

1. Risikobewertung erforderlich: Unternehmen müssen prüfen, ob die übertragenen Daten in den USA ein angemessenes Schutzniveau genießen.
2. Zusätzliche Sicherheitsmaßnahmen: Verschlüsselung, Pseudonymisierung oder vergleichbare technische Schutzmaßnahmen können erforderlich sein.
3. Klare Regelungen zur Verantwortung: Es muss sichergestellt werden, dass Betroffene ihre Rechte wirksam geltend machen können.

Die Entscheidung des EuGH hat viele Unternehmen dazu gezwungen, ihre Datenschutzpraktiken grundlegend zu überdenken.

Einige Unternehmen setzen inzwischen verstärkt auf europäische Cloud-Anbieter, um personenbezogene Daten innerhalb der Europäischen Union zu speichern und die Anforderungen der DSGVO leichter erfüllen zu können.

Andere hoffen auf langfristig stabile transatlantische Regelungen, die den Datenaustausch zwischen Europa und den USA rechtssicher ermöglichen.

Bis dahin gilt: Unternehmen sollten sorgfältig prüfen, ob ihre Datentransfers DSGVO-konform ausgestaltet sind und welche Maßnahmen, etwa Verschlüsselung, Pseudonymisierung oder lokale Datenspeicherung, geeignet sind, um personenbezogene Daten bestmöglich zu schützen.