Data Privacy Framework: Prüfpflichten des Datenübermittlers

Wer im Amtsblatt der Europäischen Union den Angemessenheitsbeschluss für Datenübermittlungen in die USA sucht, ist zunächst oft etwas irritiert. Dieser Begriff taucht dort so gar nicht auf. Man findet jedoch recht schnell den „Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10.7.2023 … über die Angemessenheit des Schutzniveaus für personenbezogene Daten nach dem Datenschutzrahmen EU-USA“.

An diesem Beschluss fällt auf, dass er einen erheblichen Gesamtumfang hat. Seine deutsche Sprachfassung füllt im EU-Amtsblatt nicht weniger als 111 Druckseiten. Die eigentliche Feststellung der Angemessenheit beansprucht dabei nicht einmal vier Druckzeilen. Sie findet sich in Art. 1 des Durchführungsbeschlusses (siehe Seite 170 des Amtsblatts Nr. L/231).

Wesentlich sind die Voraus­setzungen der Angemessenheit

Die Diskrepanz zwischen der sehr kurzen Feststellung der Angemessenheit und dem Gesamtumfang des Beschlusses, in dem diese Feststellung erfolgt, ist mehr als eine bloße Äußerlichkeit. Sie hat ihren Grund in zwei wichtigen Aspekten:

• Zum einen baut die Feststellung der Angemessenheit durch die EU-Kommission auf bestimmten Grundlagen und Motiven auf. Sie sind in den 223 Erwägungsgründen dargestellt, die am Anfang des Beschlusses stehen (Seiten 118–169 des Amtsblatts Nr. L/231). Eine wesentliche Rolle spielen dabei Erklärungen und Zusagen von US-Stellen. Sie sind in den Anhängen II–VII des Beschlusses enthalten (Seiten 196–227 des Amtsblatts Nr. L/231). Pflichten für Datenübermittler ergeben sich aus diesen Anhängen nicht.
• Zum an…