Update zum transatlantischen Datentransfer – USA erledigt Hausaufgaben und EU steht kurz vor Verabschiedung des Angemessenheitsbeschlusses

US-Handelsministerin Gina Raimondo hat vorgestern per Pressemitteilung bekannt gegeben, dass die USA ihre Verpflichtungen aus dem EU-US Data Privacy Framework umgesetzt haben. Parallel steht die Verabschiedung des Angemessenheitsbeschlusses durch die EU-Kommission kurz bevor. Dies soll nach unseren Informationen bereits in den nächsten Tagen vollzogen werden. Es handelt sich um zwei Meilensteine auf dem Weg zu einem künftig rechtssichereren Datentransfer in die USA.

Zur Erinnerung

EU und USA hatten im Frühjahr 2022 das EU-US Data Privacy Framework geschlossen. Dieses soll die nach der Schrems II-Entscheidung entstandenen Rechtsunsicherheiten beim Datentransfer in die USA beseitigen. Die EU-Kommission hatte hierauf Ende 2022 den Entwurf eines Angemessenheitsbeschlusses veröffentlicht. Dieser attestiert der USA ein angemessenes Datenschutzniveau, dient künftig – nach seiner Verabschiedung – als potentielle Rechtsgrundlage für den transatlantischen Datentransfer und ist geeignet, die aktuell noch bestehenden Rechtsunsicherheiten erheblich zu minimieren.

Ausblick

Ein Freibrief wäre die Verabschiedung des Angemessenheitsbeschlusses durch die EU-Kommission allerdings nicht. Wie bereits beim Vorgängermodell des EU-US Data Privacy Frameworks, dem EU-US Privacy Shield, gibt es einen Zertifizierungsmechanismus für US-Unternehmen. Letztere müssen sich zertifizieren lassen und den Regelungen des EU-US Privacy Frameworks unterwerfen. Solange dies nicht erfolgt, kann nicht auf den Angemessenheitsbeschluss als Rechtsgrundlage abgestellt werden. Unternehmen müssen sich in diesem Fall weiterhin der gängigen Rechtsgrundlagen bedienen (insbesondere Standardvertragsklauseln, Einwilligung, Binding Corporate Rules) und die damit einhergehenden Anforderungen erfüllen, etwa im Fall der Standardvertragsklauseln die Durchführung eines sogenannten Transfer Impact Assessment unter Berücksichtigung des 6-Stufen-Plans des Europäischen Datenschutzausschusses. Die Bayerische Datenschutzaufsichtsbehörde (BayLDA) hat bestätigt, dass es nicht ausreicht, sich hinsichtlich aktueller Datenverarbeitungen schon jetzt auf den Angemessenheitsbeschluss als künftige Rechtsgrundlage zu berufen. Wir halten Sie auf dem Laufenden.