Source: https://www.iitr.de/blog/eugh-kippt-privacy-shield-eu-standardvertragsklauseln-in-naechster-runde/14579/
Timestamp: 2020-08-11 15:12:38
Document Index: 97273660

Matched Legal Cases: ['EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG']

EuGH kippt Privacy Shield, EU-Standardverträge in Frage
Veröffentlicht am Jul16 Juli 20, 2020
EuGH kippt Privacy Shield: EU-Standardvertragsklauseln in nächster Runde
[IITR – 16.7.20] Der Europäische Gerichtshof hat entschieden, dass der Durchführungsbeschluss der EU-Kommission vom 12. Juli 2016 über die Angemessenheit des vom EU-US-Datenschutzschild gebotenen Schutzes ungültig ist. Gleichzeitig hat die Prüfung des Beschlusses der EU-Kommission vom 5. Februar 2010 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern nichts ergeben, was seine Gültigkeit berühren könnte (Az.: C‑311/18, Volltext).
Sollte ein europäisches Unternehmen personenbezogene Daten im Auftrag durch ein US-Unternehmen verarbeiten lassen (bspw. US-Cloud-Dienste eines (Mutter-)Unternehmens mit Sitz in den USA) ist sicherzustellen, dass mit diesem Unternehmen Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter abgeschlossen wurden. Der Datentransfer darf künftig nicht mehr auf eine etwaige Teilnahme des US-Unternehmens an dem „Privacy Shield“ gestützt werden.
Die Datenschutz-Aufsichtsbehörden werden künftig zu prüfen haben, ob EU-Standardvertragsklauseln für Datentransfers in spezifische Länder eingesetzt werden dürfen. Der Gerichtshof hat dazu ausgeführt:
„[Die] zuständige Aufsichtsbehörde, sofern kein gültiger Angemessenheitsbeschluss der Kommission vorliegt, [ist] verpflichtet (…), eine auf Standarddatenschutzklauseln, die von der Kommission erarbeitet wurden, gestützte Übermittlung personenbezogener Daten in ein Drittland auszusetzen oder zu verbieten, wenn diese Behörde im Licht aller Umstände dieser Übermittlung der Auffassung ist, dass die Klauseln in diesem Drittland nicht eingehalten werden oder nicht eingehalten werden können (…).“
Insbesondere angesichts der Ausführungen des EuGH zu den Überwachungsmöglichkeiten der US-Behörden wird durch die Aufsichtsbehörden (und dann letztlich dem Europäischen Datenschutzausschuss) zu prüfen sein, ob mittelfristig speziell für die USA Standarddatenschutzklauseln noch Einsatz finden können.
Konsequenterweise müsste diese Diskussion dann auch über die Five Eyes-Staaten Australien, Kanada, Neuseeland und Großbritannien geführt werden (zumindest soweit kein spezifischer Angemessenheitsbeschluss vorliegt).
Und auch China dürfte über Überwachungsmöglichkeiten verfügen. So sind bereits erste Stimmen zu hören, dass die Aufsichtsbehörden jetzt ein Register mit Dritt-Staaten erstellen müssten, bei denen die Standarddatenschutzklauseln noch eingesetzt werden dürfen (Quelle).
Der EuGH selbst hat keine Entscheidungshoheit über die Geheimdienste der europäischen Mitgliedstaaten.
Prof. Ulrich Kelber, Pressemitteilung des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit:
Der BfDI wird sich bereits morgen mit seinen europäischen Kolleginnen und Kollegen abstimmen: Der EuGH hat die Rolle der Datenschutzaufsichtsbehörden bestätigt und gestärkt. Sie müssen bei jeder einzelnen Datenverarbeitung prüfen und prüfen können, ob die hohen Anforderungen des EuGH erfüllt werden. Das bedeutet auch, dass sie den Datenaustausch untersagen, wenn die Voraussetzungen nicht erfüllt werden. Sowohl Unternehmen und Behörden als auch die Aufsichtsbehörden haben jetzt die komplexe Aufgabe, das Urteil praktisch anzuwenden. Wir werden auf eine schnelle Umsetzung in besonders relevanten Fällen drängen
Peter Schaar, Europäische Akademie für Informationsfreiheit und Datenschutz e.V. (EAID), ehemaliger Bundesbeauftragter für den Datenschutz und die Informationsfreiheit:
Damit liegt der Ball wieder bei der irischen Datenschutzbehörde, denn sie muss die Rechtsgrundlage prüfen, auf der Facebook Ireland die Daten aus der EU an die US-Mutter Facebook Inc. transferieren darf. Diese Behörde nimmt sich für solche Prüfungen bekanntlich viel Zeit. Nach dem Inkrafttreten der DSGVO vor über zwei Jahren hat die irische Datenschutzbehörde nicht eine einzige abschließende Entscheidung zu einer Beschwerde getroffen, die den Umgang der in Irland ansässigen europäischen Niederlassungen von US-Unternehmen mit personenebzogenen Daten europäischer Nutzer betrifft.
Helen Dixon, Commissioner Data Protection Commission Ireland:
“We have been and will remain in close contact with the European Commission and European Data Protection Board on this matter and hope to be able to limit the negative consequences to the $7.1 trillion transatlantic economic relationship that is so vital to our respective citizens, companies, and governments. Data flows are essential not just to tech companies—but to businesses of all sizes in every sector. As our economies continue their post-COVID-19 recovery, it is critical that companies—including the 5,300+ current Privacy Shield participants—be able to transfer data without interruption, consistent with the strong protections offered by Privacy Shield.”
Věra Jourová, Vizepräsidentin der EU-Kommission:
The Court of Justice declared the Privacy Shield decision invalid, but also confirmed that the standard contractual clauses remain a valid tool for the transfer of personal data to processors established in third countries. (…) We strongly believe that in the globalised world of today, it is essential to have a broad toolbox for international transfers while ensuring a high level of protection for personal data. We are not starting from scratch. On the contrary, the Commission has already been working intensively to ensure that this toolbox is fit for purpose, including the modernisation of the Standard Contractual Clauses.
Statement European Data Protection Board
Maja Smoltczyk, Berliner Beauftrage für Datenschutz und Informationsfreiheit
Der EuGH hat in erfreulicher Deutlichkeit ausgeführt, dass es bei Datenexporten nicht nur um die Wirtschaft gehen kann, sondern die Grundrechte der Menschen im Vordergrund stehen müssen. Die Zeiten, in denen personenbezogene Daten aus Bequemlichkeit oder wegen Kostenersparnissen in die USA übermittelt werden konnten, sind nach diesem Urteil vorbei. Jetzt ist die Stunde der digitalen Eigenständigkeit Europas gekommen.
Max Schrems, noyb.eu, FAQs zum Fall EuGH
Können EU/EWR-Unternehmen weiterhin die Verarbeitung personenbezogener Daten in die USA „auslagern“? In den meisten Fällen: Wahrscheinlich nicht. Die am häufigsten verwendeten US-Datenverarbeiter fallen auch unter US-Überwachungsgesetze wie FISA 702, die sie dazu verpflichten, personenbezogene Daten ohne angemessenen Schutz an die US-Regierung weiterzugeben. Die Übermittlung von Daten an Datenverarbeiter, die solchen Verpflichtungen unterliegen, verstößt gegen die DSGVO, wie der EuGH festgehalten hat.
Dr. Stefan Brink, Landesbeauftragter für Datenschutz in Baden-Württemberg
Ich halte die DSGVO für den richtigen Weg und fände es großartig, wenn andere Länder ihrem Vorbild folgen würden. Ich bin allerdings skeptisch, ob der EuGH nicht überschätzt, wie lang der europäische Hebel wirklich ist. Andere Länder lassen sich ungern in ihre Gesetzgebung hineinreden, und wenn wir den Datenaustausch konsequent unterbinden, wäre der Schaden auch für uns massiv.
Weiterführende Einordnung
Die unmittelbaren Folgen wurden in einer Reihe von Webinaren der IAPP besprochen. Unter den folgenden Links finden Sie die entsprechenden Aufnahmen:
Schrems II: The Immediate Aftermath (Omer Tene, Vice President & Chief Knowledge Officer, IAPP; Caitlin Fennessy, Research Director, IAPP)
The Schrems II Decision: The Day After (Caitlin Fennessy, IAPP Research Director und vormals Privacy Shield Director U.S. Department of Commerce; Max Schrems und Eduardo Ustaran, Hogan Lovells)
The CJEU Decision Unpacked: DPC v Facebook Ireland, Schrems (Helen Dixon, Commissioner Data Protection Commission Ireland; Andrew Serwin, DLA Piper und Caitlin Fennessy, Research Director, IAPP)
Zurück Vorheriger Beitrag: Die Datenwoche im Datenschutz (KW28 2020)
Weiter Nächster Beitrag: Die Datenwoche im Datenschutz (KW29 2020)