Konzentrieren Sie sich aufs Wesentliche
Profitieren Sie von kurzen, kompakten und verständlichen Beiträgen.
Was geht trotz „Schrems II“ auch künftig?
DP+
Bild: Stock.com / Stadtratte
Datenübermittlung in Drittländer
Die EuGH-Entscheidung „Schrems II“ hat den Privacy Shield über Nacht gekippt. Das führt zu der Frage, welche Wege noch offenbleiben, um personenbezogene Daten rechtssicher in die USA zu übermitteln. Die Möglichkeiten hierfür sind recht begrenzt.
Die Entscheidung „Schrems II“ zwingt dazu, alle Datenübermittlungen in die USA auf den rechtlichen Prüfstand zu stellen (siehe Ehmann, Datenschutz PRAXIS 09/2020, Seite 1).
Anforderungen der Rechenschaftspflicht
Das gilt auch dann, wenn sie in der Vergangenheit nicht oder nicht ausschließlich auf die rechtliche Basis des Privacy Shield gestützt waren. Denn „Schrems II“ enthält fundamentale Aussagen, die nicht nur für den Privacy Shield von Bedeutung sind.
Deshalb stellt sich für alle Datenübermittlungen in die USA die akute Frage, ob sie rechtmäßig erfolgen (Art. 5 Abs. 1 Buchst. a DSGVO). Der Verantwortliche muss jederzeit nachweisen können, dass dies der Fall ist (Art. 5 Abs. 2 DSGVO).
Die Konsequenz: iteratives rechtliches Monitoring
Das führt zwangsläufig zu einem umfassenden rechtlichen Monitoring aller Datenübermittlungen in die USA. Eine „einmalige Aktion“ der Bestandsaufnahme und Bewertung genügt dafür nicht.
Angesichts der unklaren rechtlichen Situation werden endgültige Aussagen in vielen Fällen nicht möglich sein.
Angezeigt ist eine Art „iteratives Monitoring“. In geeigneten zeitlichen Abständen von beispielsweise wenigen Monaten sollten Verantwortliche alle Übermittlungsvorgänge jeweils erneut rechtlich überprüfen. Und das auch umfassend dokumentieren.
Idealerweise führt dies nach einer gewissen Zeit zu einer dauerhaft belastbaren rechtlichen Lösung.
Andere Angemessenheitsbeschlüsse bleiben wirksam
Der Privacy Shield hatte gemäß einem Beschluss der Europäischen Kommission ein angemessenes Datenschutzniveau bei Datenübermittlungen in die USA…
Weiterlesen mit DP+
Sie haben noch kein Datenschutz-PRAXIS-Abo und möchten weiterlesen?
Verfasst von
Dr. Eugen Ehmann
Dr. Eugen Ehmann ist ausgewiesener Fachmann auf dem Gebiet des Datenschutzes in Unternehmen und Behörden. Er ist Herausgeber eines renommierten DSGVO-Kommentars und Autor zahlreicher Beiträge in der Datenschutz PRAXIS sowie in vielen weiteren Datenschutz-Veröffentlichungen. Außerdem moderiert er seit 2003 den Datenschutz-Kongress
IDACON
