Schrems II: EuGH kippt den Privacy Shield, Standardvertragsklauseln nur mit Prüfung

Der Europäische Gerichtshof hat am 16. Juli 2020 in der Rechtssache Data Protection Commissioner gegen Facebook Ireland und Maximilian Schrems (C-311/18) entschieden. Er hat den Durchführungsbeschluss (EU) 2016/1250 zum EU-US Privacy Shield für ungültig erklärt. Die Standardvertragsklauseln der Kommission für Übermittlungen an Auftragsverarbeiter in Drittländern bleiben dagegen gültig. Das Urteil gilt sofort.

Warum der Privacy Shield gescheitert ist

Der EuGH hält das Schutzniveau in den USA nicht für gleichwertig mit dem der EU. Die Überwachungsprogramme auf Grundlage von Section 702 FISA und der Executive Order 12333 seien nicht auf das zwingend erforderliche Maß beschränkt. Zudem hätten EU-Bürger keinen wirksamen gerichtlichen Rechtsschutz. Die Ombudsperson des Privacy Shield sei nicht hinreichend unabhängig und könne keine verbindlichen Entscheidungen gegenüber den Nachrichtendiensten treffen. Damit scheitert die USA-Übermittlung zum zweiten Mal nach Safe Harbor im Jahr 2015.

Standardvertragsklauseln: gültig, aber kein Selbstläufer

Die Standardvertragsklauseln bleiben ein zulässiges Instrument nach Art. 46 Abs. 2 lit. c DSGVO. Der EuGH betont aber, dass sie die Behörden des Drittlands nicht binden. Der Verantwortliche und der Empfänger müssen deshalb vor der Übermittlung prüfen, ob das Recht des Drittlands ein angemessenes Schutzniveau zulässt. Ist das nicht der Fall, müssen zusätzliche Maßnahmen ergriffen werden. Reichen auch diese nicht, ist die Übermittlung auszusetzen. Die Aufsichtsbehörden sind verpflichtet, unzulässige Übermittlungen zu untersagen.

Für Übermittlungen in die USA an Anbieter, die unter Section 702 FISA fallen, wird diese Prüfung häufig zu einem negativen Ergebnis führen, sofern keine wirksamen technischen Maßnahmen wie eine Verschlüsselung greifen, bei der nur der Datenexporteur den Schlüssel hat.

Keine Übergangsfrist

Anders als 2015 nach Safe Harbor gibt es keine abgestimmte Schonfrist der Aufsichtsbehörden. Der Europäische Datenschutzausschuss hat am 17. Juli 2020 erklärt, dass Übermittlungen auf Grundlage des Privacy Shield rechtswidrig sind. Erste deutsche Aufsichtsbehörden haben Unternehmen bereits aufgefordert, zu Anbietern in der EU zu wechseln.

Was Unternehmen jetzt tun sollten

• Erfassen Sie alle Übermittlungen in Drittländer, auch versteckte, etwa über Support-Zugriffe, Unterauftragnehmer, Analyse- und Marketing-Tools.
• Stellen Sie Übermittlungen, die bisher allein auf dem Privacy Shield beruhten, auf eine andere Grundlage um, in der Regel auf Standardvertragsklauseln.
• Dokumentieren Sie für jede Übermittlung die Prüfung des Rechts im Empfängerland und die ergänzenden Maßnahmen.
• Prüfen Sie, ob eine Verarbeitung in der EU möglich ist, etwa durch die Wahl einer europäischen Region beim Cloud-Anbieter. Das löst nicht alle Probleme, wenn der Anbieter einem US-Konzern angehört, verringert aber die Risiken.
• Ausnahmen nach Art. 49 DSGVO, etwa die Einwilligung, kommen nur für gelegentliche Übermittlungen in Betracht, nicht für den Regelbetrieb.

Ausblick

Die Kommission arbeitet an neuen Standardvertragsklauseln, die die DSGVO und das Urteil berücksichtigen sollen. Gespräche mit den USA über einen Nachfolger des Privacy Shield haben begonnen. Ob ein neues Abkommen ohne Änderung des US-Überwachungsrechts vor dem EuGH Bestand hätte, ist zweifelhaft. Unternehmen sollten nicht auf eine politische Lösung warten.

Fragen dazu? Wir prüfen Ihre Datenübermittlungen und erstellen die erforderlichen Transfer-Folgenabschätzungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datentransfer, Cloud-Verträgen und Microsoft 365.