Bis zum 16. Juli 2020 konnte die Übermittlung von personenbezogenen Daten in die USA auf das „EU-US Privacy Shield“-Abkommen gestützt werden. Im sogenannten Schrems II-Urteil hat der EuGH dieses Abkommen für ungültig erklärt. Nun kommt es also auf die von der EU-Kommission vorformulierten Standardvertragsklauseln (SCC) an, die der EuGH im selben Urteil nicht grundsätzlich ablehnt. Diese können weiterhin genutzt werden, aber der EuGH hat auch betont, dass es in der Verantwortung des Datenexporteurs liegt, zu prüfen, ob die Rechte der betroffenen Personen im Drittland ein gleichwertiges Schutzniveau wie in der EU genießen. Im Einzelfall müssen gegebenenfalls zusätzliche Maßnahmen sicherstellen, dass das garantierte Schutzniveau, dem der EU im Wesentlichen gleichwertig ist. Ist dies nicht möglich, darf die Datenübermittlung nicht vorgenommen werden.

Wann sprechen wir überhaupt von einer Datenübermittlung in ein Drittland?

Neue Standardvertragsklauseln (SCCs) seit dem 4. Juni 2021

Warum kann die Datenübermittlung in die USA trotz Abschluss von Standardvertragsklauseln problematisch sein?

Mit Unterzeichnung der Standardvertragsklauseln verpflichtet sich im Wesentlichen der Datenimporteur (Datenempfänger in den USA) das in Europa geltende Datenschutzniveau zu achten und sich in Bezug auf die erlangten personenbezogenen Daten an die Regelungen der DSGVO zu halten. Aufgrund unterschiedlicher US-amerikanischer Überwachungsgesetze (wie beispielsweise FISA 702, Executive Order 12.333 oder CLOUD Act) sind viele Datenimporteure in den USA (insb. Clouddiensteanbieter) jedoch faktisch nicht dazu in der Lage, dieses vertragliche Versprechen gegenüber dem Datenexporteur (Datenübermittler aus Europa) tatsächlich einzuhalten. Kraft US-amerikanischer Überwachungsgesetze sind sie dazu verpflichtet, auf Anfrage US-amerikanischer Überwachungsbehörden auch die der DSGVO unterliegenden Daten herauszugeben bzw den Behörden uneingeschränkt Einsicht zu ermöglichen. Im Ergebnis befindet sich der Datenimporteur daher in der unglücklichen Lage, entweder gegen europäisches Datenschutzrecht oder US-amerikanische Überwachungsgesetze verstoßen zu müssen, indem er entweder die Einsicht in die betroffenen Daten verweigert oder diese offenlegt. Da US-amerikanisches Überwachungsrecht aber notfalls von den Behörden auch zwangsweiße durchgesetzt werden kann, bzw. sich die Behörden die Daten selbstständig beschaffen können, wird das europäische Datenschutzrecht de facto ausgehebelt. Die vertragliche Zusicherung über Standardvertragsklauseln alleine reicht daher nicht aus, um das europäische Datenschutzniveau bei Datenübermittlungen in die USA hinreichend zu gewährleisten.    

Für europäische Unternehmen ist die Lösung leider nicht, sich schlicht von multinationalen Konzernen die Zusicherung einzuholen, dass Daten ausschließlich auf Servern in Europa verarbeitet werden. Der CLOUD Act unterscheidet nämlich nicht zwischen den US-amerikanischen Mutterunternehmen und deren (europäischen) Töchtern. Wenn ein US-amerikanisches Konzernunternehmen daher faktisch die Möglichkeit hat, auf Daten anderer Konzernunternehmen in Europa zuzugreifen, bzw. ein Weisungsrecht gegenüber diesen Unternehmen besteht, müssen auch die auf europäischen Servern gespeicherten Daten an die US-amerikanischen Behörden herausgegeben werden. Verhindert werden könnte diese Zugriffsproblematik nur, wenn mit rein europäischen Unternehmen gearbeitet wird oder derzeitige Töchter US-amerikanischer Unternehmen strukturell komplett von diesen getrennt werden, sodass ein Zugriff auf Daten faktisch nicht mehr möglich ist. 

Mit dem Schrems II-Urteil bekräftigte der EuGH ausdrücklich, dass die Standardvertragsklauseln als Rechtsgrundlage für Datenübermittlungen in Drittländer weiterhin in Geltung stehen, jedoch im Einzelfall geprüft werden muss, ob sie alleine ausreichen, um das Datenschutzniveau zu gewährleisten oder ob zusätzlich sogenannte „ergänzenden Maßnahmen“ ergriffen werden müssen. 

Folgen des Schrems II-Urteils für Unternehmen

Kontrolle der Umsetzung des Schrems II-Urteils