BDSG / Privacy Shield

Am 16. Juli 2020 fällte der Europäische Gerichtshof (EuGH) eine Entscheidung, die den internationalen Datenschutz grundlegend veränderte: Das EU-US Privacy Shield, eine Vereinbarung für den sicheren Datentransfer zwischen der EU und den USA, wurde für ungültig erklärt.

Grund dafür waren die weitreichenden Überwachungsbefugnisse der US-Regierung, die laut EuGH nicht mit den Datenschutzanforderungen der Europäischen Union vereinbar sind. Unternehmen, die sich auf Privacy Shield stützten, mussten rasch auf alternative Methoden umsteigen, um weiterhin Daten über den Atlantik transferieren zu dürfen.

Warum wurde Privacy Shield gekippt?

Der EuGH sah in US-Überwachungsgesetzen wie dem FISA (Foreign Intelligence Surveillance Act) ein wesentliches Problem: Europäische Nutzerdaten könnten von US-Behörden eingesehen werden, ohne dass Betroffene effektive rechtliche Möglichkeiten hätten, sich dagegen zu wehren. Da dies den hohen Anforderungen der DSGVO (Datenschutz-Grundverordnung) widerspricht, konnte das Privacy Shield nicht bestehen bleiben.

Was bedeutet das für Unternehmen?

Nach dem Schrems II-Urteil müssen Unternehmen, die personenbezogene Daten in die USA übertragen, striktere Anforderungen erfüllen. Die wichtigste Alternative zum Privacy Shield sind die sogenannten Standardvertragsklauseln (SCCs), die der EuGH zwar weiterhin erlaubt, aber unter strengeren Bedingungen:

1. Risikobewertung erforderlich: Unternehmen müssen prüfen, ob die Daten in den USA ausreichend geschützt sind.

2. Zusätzliche Sicherheitsmaßnahmen: Verschlüsselung, Pseudonymisierung oder andere Schutzmechanismen müssen eingeführt werden.

3. Klare Regelungen zur Verantwortung: Es muss sichergestellt werden, dass Betroffene ihre Rechte durchsetzen können.

Die aktuelle Lage und Alternativen

Die Entscheidung hat viele Unternehmen dazu gezwungen, ihre Datenschutzpraktiken zu überdenken. Einige setzen nun verstärkt auf europäische Cloud-Anbieter, um rechtskonform zu bleiben und Daten innerhalb der EU zu speichern. Andere hoffen auf eine neue transatlantische Vereinbarung, die die Datenschutzprobleme endlich löst.

Bis dahin gilt: Unternehmen müssen genau prüfen, ob ihre Datentransfers DSGVO-konform sind und ob Maßnahmen wie Verschlüsselung oder lokale Speicherung die beste Lösung darstellen.