Source: https://www.kanzlei-sieling.de/2020/07/21/eugh-urteil-vom-17-7-2020-kippt-das-eu-us-privacy-shield-was-ist-zu-tun/
Timestamp: 2020-08-10 06:00:53+00:00

Document:
EuGH Urteil kippt das EU-US Privacy Shield – was ist zu tun?
Home Allgemein EuGH Urteil vom 17.7.2020 kippt das EU-US Privacy Shield – was ist zu tun?
Von Carola Sieling Allgemein Allgemeine Rechtsinformationen Datenschutz E-Commerce Telekommunikation Vertragsrecht Wettbewerbs- und Kartellrecht Wettbewerbsrecht 21. Jul. 2020
Carola Sieling im c’t Podcast Auslegungssache: Thema privacy shield
Wie lässt sich der Export von Daten nun überhaupt noch datenschutzrechtlich legitimieren? Dieser Frage gehen Joerg Heidrich und Holger Bleich vom c’t Datenschutz Podcast „Auslegungssache“ zusammen mit Carola Sieling nach. Auf einige Unternehmen dürfte jetzt eine Menge Arbeit zukommen. Im Podcast erläutert sie, was es mit den sogenannten Standardschutzklauseln auf sich hat, die erst einmal (wieder) als Alternative zum Privacy Shield zum Einsatz kommen werden.
Hier hören Sie den Podcast in voller Länge. Der Podcast ist darüber hinaus u.a. auch auf iTunes und Spotify abrufbar.
Viele Unternehmen nutzen die Dienste / Tools von U.S. amerikanischen Unternehmen und ermöglichen diesen so Zugriff auf personenbezogene Daten von Kunden, Mitarbeitern, Lieferanten etc. Diese Dienste sind meist so fest im Unternehmensalltag verankert, dass ein Austausch oder Umsatteln auf europäische Dienste aus unterschiedlichen Gründen nicht so einfach möglich ist, weil dies zum Beispiel mit verhältnismäßig hohen Aufwänden verbunden wäre oder es an adäquaten Alternativen schlicht und einfach mangelt.
Aufgrund datenschutzrechtlicher Anforderungen können personenbezogene Daten ab dem 16.07.2020 jedoch aufgrund des am 16.7.2020 gefällten Urteils des EuGH nicht mehr auf Basis des EU-U.S. Privacy Shields an Empfänger in die Vereinigten Staaten übermittelt werden. Der EuGH hat das häufig in der Praxis verwendete EU-U.S. Privacy Shield als Nachfolgeregelung für das Safe Harbor Abkommen für ungültig erklärt.
Wir haben deswegen einen ersten konkreten Maßnahmenplan für Unternehmen erstellt, der die Auswirkungen des Urteils auf das eigene Unternehmen spezifizieren helfen soll sowie die derzeit vorliegenden Stellungnahmen der dt. Aufsichtsbehörden zu dem Urteil für Sie gesammelt. (wird regelmäßig ergänzt)
Was ist grundsätzlich zu beachten, wenn personenbezogene Daten in ein sog. Drittland übermittelt werden?
Zur diesbezüglich in der DSGVO geregelten Systematik können wir Ihnen zur Einführung das sehr informative und strukturierte Kurzpapier Nr. 4 „Datenübermittlung in Drittländer“ der Datenschutzkonferenz empfehlen.
Mit Urteil vom 16.07.2020 (dt. Fassung Az: C‑311/18 / Pressemitteilung) hat der EuGH über die Zulässigkeit der EU-Standardvertragsklauseln „Controller-to-Processor“ (2010/87/EU) sowie über den Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Privacy Shield (Durchführungsbeschluss (EU) 2016/1250) entschieden.
Der Grund für die Verwerfung des EU-U.S. Privacy Shields sind mögliche Zugriffe auf personenbezogene Daten von EU-Bürgern durch US-amerikanische Sicherheitsbehörden. Dies stünde nicht im Einklang mit den Grundrechten der EU-Bürger. EU-Bürgern stünden zudem keine ausreichenden Rechtsschutzmöglichkeiten vor den US-Gerichten zur Verfügung. Die EU-Standardvertragsklauseln hingegen bleiben allerdings gültig. Ergeben sich jedoch Hinweise für den Datenexporteur, dass die vereinbarten Standardvertragsklauseln aufgrund der Gesetze im Drittland nicht eingehalten werden können, besteht weitergehender Handlungsbedarf.
Für Unternehmen löst diese Entscheidung akuten Handlungsbedarf aus:
1. Identifizierung der betroffenen Datentransfers nach U.S.
2. Klärung, aufgrund welcher Rechtsgrundlage dies bisher geschah (dokumentierte Verträge)
3. Auf diesem Ergebnis (Ziffer 1. und 2.) basierend dann Prüfung im Einzelnen, welche Maßnahmen erforderlich/möglich sind, um weiterhin Daten exportieren zu können, z.B.:
gem. Art. 46 DSGVO
gem. Art. 47 DSGVO
gem. Art. 49 DSGVO – Sehen Sie diesbezüglich auch die Leitlinien des EDSA (Europäischer Datenschutzausschuss)
4. Informationen identifizieren, die einen Hinweis auf das EU-U.S. Privacy Shield enthalten und korrigieren bzw. ergänzen, z.B.:
Datenschutzhinweise gem. Art. 13 DSGVO bzw. Art. 14 DSGVO
Verträge, insbesondere Verträge zur Auftragsverarbeitung gem. Art. 28 DSGVO, inkl. Prüfung von eingesetzten Subunternehmern
5. Neubewertung und Ergänzungen zu Datenschutzfolgeabschätzungen gem. Art. 35 DSGVO, auf die das Urteil Auswirkungen haben könnte
6. Verfolgen der weiteren Diskussionen, Stellungnahmen und Reaktionen der Datenschutzaufsichtsbehörden sowie der EU-Kommission.
Die EU-Kommission hat bereits mitgeteilt, an aktualisierten Vertragsklauseln sowie an einer politischen Lösung mit den USA zu arbeiten.
Gern sind wir diesbezüglich behilflich!
Stellungnahmen der dt. Aufsichtsbehörden zum EuGH-Urteil in Sachen Schrems II
Frequently Asked Questions on the judgment of the Court of Justice of the European Union in Case C-311/18 – Data Protection Commissioner v Facebook Ireland Ltd and Maximillian Schrems
Pressemitteilung Datenschutzkonferenz
Datenschutzaufsichtsbehörden der Länder
Baden-Württemberg: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (noch keine Informationen)
Bayern (Öffentlicher Bereich): Der Bayerische Landesbeauftragte für den Datenschutz (noch keine Informationen)
Bayern (Privater Bereich): Bayerisches Landesamt für Datenschutzaufsicht (noch keine Informationen)
Brandenburg: Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg (noch keine Informationen)
Bremen: Die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen
Niedersachsen: Die Landesbeauftragte für den Datenschutz Niedersachsen (noch keine Informationen, bzw. verweist auf die Datenschutzkonferenz)
Saarland: Unabhängiges Datenschutzzentrum Saarland – Landesbeauftragte für Datenschutz und Informationsfreiheit (noch keine Informationen)
Sachsen: Sächsischer Datenschutzbeauftragter (noch keine Informationen, bzw. verweist auf die Datenschutzkonferenz)
Sachsen-Anhalt: Landesbeauftragter für den Datenschutz Sachsen-Anhalt (noch keine Informationen, bzw. verweist auf die Datenschutzkonferenz)
Schleswig-Holstein: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (noch keine Informationen)
DSGVOEU-KommissionEuGHPrivacy ShieldSchremsStandardvertragsklauseln
Allgemeines zur „ADV“ bzw. „AV“ Mit der Geltung der Datenschutzgrundverordnung (EU) 2016/679 (DSGVO) änderten sich auch die Anforderungen an die Auftragsverarbeitung, kurz „AV“ genannt (nach alter Rechtslage kurz auch „ADV“ genannt, Abkürzung für den mittlerweile überholten Begriff der Auftragsdatenverarbeitung). Aber nicht…

References: EuGH 
 EuGH 
 EuGH 
 EuGH 
 Art. 46
 Art. 47
 Art. 49
 Art. 13
 Art. 14
 Art. 28
 Art. 35