EU-US Privacy Shield beschlossen: Was Unternehmen beim Datentransfer in die USA jetzt tun sollten

Die Europäische Kommission hat am 12. Juli 2016 den Durchführungsbeschluss (EU) 2016/1250 über den EU-US-Datenschutzschild, den sogenannten Privacy Shield, angenommen. Damit gibt es wieder eine Grundlage, auf der personenbezogene Daten an US-Unternehmen übermittelt werden dürfen, ohne dass für jeden Transfer eigene Garantien vereinbart werden müssen. US-Unternehmen können sich ab dem 1. August 2016 beim US-Handelsministerium zertifizieren lassen.

Hintergrund: das Ende von Safe Harbor

Der Europäische Gerichtshof hatte im Oktober 2015 im ersten Schrems-Verfahren die Safe-Harbor-Entscheidung der Kommission aus dem Jahr 2000 für ungültig erklärt. Der Gerichtshof beanstandete vor allem den weitreichenden Zugriff US-amerikanischer Behörden auf Daten europäischer Bürger und das Fehlen wirksamer Rechtsbehelfe. Seitdem stützten viele Unternehmen ihre USA-Transfers auf die EU-Standardvertragsklauseln oder auf verbindliche Unternehmensregeln. Die deutschen Aufsichtsbehörden hatten eine Übergangsfrist bis Ende Januar 2016 eingeräumt und danach angekündigt, Transfers allein auf Basis von Safe Harbor zu beanstanden.

Was der Privacy Shield regelt

Der Privacy Shield ist kein völkerrechtlicher Vertrag, sondern eine Angemessenheitsentscheidung nach Art. 25 Abs. 6 der Datenschutzrichtlinie 95/46/EG. Sie gilt nur für US-Unternehmen, die sich selbst zertifizieren und auf der Privacy-Shield-Liste des Handelsministeriums stehen. Gegenüber Safe Harbor sind die Pflichten strenger:

• strengere Grundsätze zu Zweckbindung, Datenminimierung und Weitergabe an Dritte (Onward Transfer),
• eine jährliche Überprüfung durch die Kommission gemeinsam mit den US-Behörden,
• schriftliche Zusicherungen der US-Regierung zu Grenzen des behördlichen Datenzugriffs,
• eine Ombudsperson im US-Außenministerium für Beschwerden zu Geheimdienstzugriffen,
• mehrere Beschwerdewege für Betroffene bis hin zu einem Schiedsverfahren.

Was Unternehmen in Deutschland jetzt prüfen sollten

Wer Daten an einen US-Dienstleister übermittelt, sollte nicht einfach unterstellen, dass dieser zertifiziert ist. Die Zertifizierung muss tatsächlich bestehen und den konkreten Datenbereich abdecken. Personaldaten etwa sind nur erfasst, wenn das Unternehmen sich ausdrücklich auch dafür zertifiziert hat. Wir empfehlen, die Eintragung auf der offiziellen Liste zu prüfen und zu dokumentieren.

Der Privacy Shield ersetzt außerdem nicht die übrigen Anforderungen des Bundesdatenschutzgesetzes. Bei Cloud- und Hosting-Diensten bleibt eine Vereinbarung zur Auftragsdatenverarbeitung nach § 11 BDSG erforderlich. Auch die Rechtsgrundlage für die Übermittlung selbst muss weiterhin vorliegen. Die Angemessenheitsentscheidung betrifft nur die zweite Stufe der Prüfung, das Datenschutzniveau im Empfängerland.

Standardvertragsklauseln behalten

Wo bereits Standardvertragsklauseln vereinbart sind, raten wir derzeit dazu, diese nicht vorschnell aufzugeben. Die Kritik an der neuen Regelung ist erheblich. Die Artikel-29-Datenschutzgruppe hatte schon im Entwurfsstadium Bedenken zur Massenüberwachung und zur Unabhängigkeit der Ombudsperson geäußert. Eine erneute Klage vor dem EuGH halten wir für wahrscheinlich. Ein zweites Standbein reduziert das Risiko, bei einer Aufhebung kurzfristig ohne Rechtsgrundlage dazustehen.

Ausblick: Datenschutz-Grundverordnung

Ab dem 25. Mai 2018 gilt die Datenschutz-Grundverordnung. Art. 45 Abs. 9 DSGVO sieht vor, dass bestehende Angemessenheitsentscheidungen der Kommission in Kraft bleiben, bis sie geändert, ersetzt oder aufgehoben werden. Der Privacy Shield würde also auch unter dem neuen Recht zunächst fortgelten. Unternehmen sollten die Gelegenheit nutzen, ihre internationalen Datenflüsse ohnehin vollständig zu erfassen, denn die DSGVO verlangt hierzu ein Verzeichnis der Verarbeitungstätigkeiten.

Unsere Empfehlung

• Erfassen Sie alle Dienstleister mit Sitz oder Rechenzentrum in den USA.
• Prüfen Sie, ob eine Privacy-Shield-Zertifizierung vorliegt und welche Daten sie abdeckt.
• Halten Sie Standardvertragsklauseln als Rückfallebene vor.
• Passen Sie Ihre Datenschutzerklärung an, wenn Sie sich künftig auf den Privacy Shield stützen.

Fragen dazu? Wir prüfen Ihre Verträge mit US-Anbietern und die Grundlagen Ihrer Datenübermittlungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datenschutzrecht, Cloud-Verträgen und Auftragsverarbeitung.