Technische Schutzmaßnahmen auswählen (Teil 2)

Geht der behördliche Zugriff auf übermittelte personenbezogene Daten in einem Drittland über das hinaus, was in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt, müssen Unternehmen als Datenexporteure mit ergänzenden Schutzmaßnahmen vertraglicher, technischer und / oder organisatorischer Natur versuchen, diese Behördenzugriffe auszuschließen.

Ist dies nicht möglich, lässt sich kein angemessenes Datenschutzniveau nach Datenschutz-Grundverordnung (DSGVO) sicherstellen. Die Übermittlung der personenbezogenen Daten muss unterbleiben.

Das gilt auch dann, wenn die Behördenzugriffe im Drittland rechtlich legitimiert sind, wie der Europäische Datenschutzausschuss (EDSA) in seinen „Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data“ betont.

Das Dokument gibt zudem Hinweise und Beispiele zur Wirksamkeit der Maßnahmen, also dazu, wann eine bestimmte Schutzmaßnahme sinnvoll sein kann.

Inzwischen sind die Empfehlungen des EDSA auch in deutscher Sprache sowie in anderen Amtssprachen der EU verfügbar. Die deutsche Version finden Sie unter https://ogy.de/edsa-massnahmen.

Absichern oder unterlassen

Ergibt also die Prüfung des Datenexporteurs, dass die Rechtsvorschriften im Drittland die Effektivität seiner Übermittlungsinstrumente beeinträchtigen, gilt es, geeignete ergänzende Schutzmaßnahmen zu finden oder die Übermittlung zu unterlassen, so weit die Anforderung.

Ob die jeweiligen Schutzmaßnahmen wirklich für d…