Einordnung

Die Europäische Kommission hat zum 13.12.2022 das Verfahren zur Annahme eines Angemessenheitsbeschlusses nach Art. 45 Abs. 3 DSGVO für den Datenschutzrahmen EU-USA eingeleitet, mit dem nun sichere transatlantische Datenströme gefördert und die vom Gerichtshof der Europäischen Union im „Schrems II“-Urteil vom Juli 2020 geäußerten Bedenken ausgeräumt werden sollten.

Der vorgelegte Beschlussentwurf im Rahmen des „EU-U.S. Data Privacy Framework“ (kurz EU-U.S. DPF) schließt an die am 7. Oktober 2022 erfolgte Unterzeichnung des einschlägigen US-Dekrets „Executive Order on Enhancing Safeguards for United States Signals Intelligence Activities“ durch US-Präsident Joe Biden und an die diesbezüglich von US-Generalstaatsanwalt erlassenen Verordnungen an. Mit diesen beiden Instrumenten ist die grundsätzliche Einigung, die EU Kommisionspräsidentin Ursula von der Leyen und US-Präsident Joe Biden am 24.März 2022 verkündet haben, in US-Recht umgesetzt worden. Der Entwurf des Angemessenheitsbeschlusses muss nun jedoch noch das Annahmeverfahren durchlaufen: In einem ersten Schritt hat die Kommission ihren Beschlussentwurf dem Europäischen Datenschutzausschuss (EDSA) vorgelegt. Anschließend wird die Kommission die Zustimmung eines Ausschusses einholen, der sich aus Vertretern der EU-Mitgliedstaaten zusammensetzt. Nach Abschluss dieses Verfahrens kann die Kommission den endgültigen Angemessenheitsbeschluss annehmen. Es läge dabei allein in der Hand der Mitgliedstaaten den Beschluss zu verwerfen oder noch zu ändern, was unwahrscheinlich sein dürfte. Eine Entscheidung über den Beschluss wird für frühestens März 2023 erwartet.

Die Executive Order hat für europäische Unternehmen erstmal aber keinen unmittelbaren Effekt. Zur Übermittlung personenbezogener Daten sind nach wie vor die bisher zur Verfügung stehenden Transfermechanismen und Regelungen zu bemühen. An vorderster Stelle stehen dabei die neuen Standardvertragsklauseln, welche die EU-Kommission am 04. Juni 2021 veröffentlicht hat. Standardvertragsklauseln, die noch auf den alten Mustern beruhen, mussten bereits bis zum 27. Dezember 2022 auf die neuen Muster umgestellt werden.

Sollte die Kommission auf Grundlage der Executive Order den neuen Angemessenheitsbeschlussentwurf annehmen, könnten auf dessen Grundlage personenbezogene Daten auch ohne weitere Voraussetzungen in die USA übermittelt werden. Hierauf sollten man jedoch nicht bauen, da berechtigte Zweifel an der Angemessenheit der neu beschlossenen Maßnahmen der US-Regierung im Hinblick an die Anforderungen der Charta der Grundrechte der Europäischen Union (GRCh) und des Gerichtshofs der Europäischen Union (EuGH) bestehen.

Die wesentlichen Kritikpunkte an der amerikanischen Rechtslage, die der EuGH in seinem Schrems II-Urteil nannte, bestanden insbesondere darin, dass die von den USA durchgeführten Überwachungsmaßnahmen nicht verhältnismäßig im Sinne des Art. 52 GRCh waren und Betroffenen entgegen Art. 47 GRCh kein gerichtlicher Rechtsbehelf zur Verfügung stand. Die Executive Order nimmt sich dieser Kritik zwar an, aber die neuen Änderungen sind höchstwahrscheinlich nicht umfassend genug.

Datenschutzaktivist Max Schrems hat bereits angedeutet, gegen einen neuen Angemessenheitsbeschluss vorzugehen, sollte dieser auf Grundlage der vorliegenden Executive Order beschlossen werden.

Der Europäischen Datenschutzausschusses (EDSA) benennt in seinen Empfehlungen folgende Schritte für einen DSGVO-konformen Datenaustausch:

Schritt 1: Die Datenübermittlungen kennen

Schritt 2: Auswahl der eingesetzten Übermittlungsinstrumente

Schritt 3: Beurteilung der Wirksamkeit des ausgewählten Übermittlungsinstruments gemäß

Artikel 46 DSGVO im Hinblick auf die Gesamtumstände der Übermittlung

Schritt 4: Zusätzliche Maßnahmen ergreifen (Technische, organisatorische und zusätzliche vertragliche Maßnahmen)

Schritt 5: Verfahrensschritte nach Ermittlung effektiver zusätzlicher Maßnahmen

Schritt 6: Neubewertung in angemessenen Abständen.