Source: https://www2.deloitte.com/dl/de/pages/legal/articles/safe-harbor.html
Timestamp: 2018-03-22 23:40:20
Document Index: 301012370

Matched Legal Cases: ['EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'Art. 29']

Safe Harbor 2.0 | Deloitte Legal Deutschland
EuGH kippt „Safe Harbor“-Ab­kommen
Massive Aus­­wir­kungen für Daten­­trans­fers in die USA
Gemäß der innerhalb der EU geltenden Datenschutzrichtlinie (Richtlinie 95/46/EG) dürfen personenbezogene Daten nur dann an andere Stellen (z.B. Unternehmen) im EU-Ausland übermittelt werden, wenn die betreffende Person in die Übermittlung der Daten eingewilligt hat, oder aber eine entsprechende vertragliche Regelung zwischen der die Daten übermittelnden Stelle und der die Daten empfangenden Stelle existiert. Voraussetzung für die Übermittelung personenbezogener Daten auf der Grundlage einer vertraglichen Regelung ist jedoch stets, dass die Daten bei der empfangenden Stelle ausreichend geschützt werden. Entscheidend ist dabei immer, dass in demjenigen Staat, in welchen die personenbezogenen Daten übermittelt werden, ein Datenschutzniveau existiert, das dem Datenschutzniveau der EU entspricht.
Ein solch hinreichend hohes Datenschutzniveau existiert in den USA grundsätzlich nicht. Um allerdings dennoch den Datenaustausch mit den USA zu erleichtern, haben sich die EU-Kommission und die USA im Jahre 2000 auf das sog. „Safe Harbor“-Abkommen (Kommissionsentscheidung 2000/520/EG) geeinigt. Danach können sich US-Unternehmen vertraglich verpflichten, im Rahmen ihrer Datenverarbeitung die „Safe Harbor-Principles“ zu befolgen und sich beim US-Handelsministerium entsprechend zertifizieren lassen.
In seinem Urteil vom 6. Oktober 2015 (Az.: C-362/14) hat der EuGH nunmehr jedoch festgestellt, dass personenbezogene Daten in den USA nicht hinreichend geschützt sind, selbst wenn das jeweilige US-Unternehmen „Safe Harbor“-zertifiziert ist. Ausgangspunkt war die Klage eines österreichischen Staatsangehörigen, der sich dagegen wehrt, dass der europäische Ableger des sozialen Netzwerks „Facebook“ mit Sitz im irischen Dublin personenbezogene Nutzerdaten an Server in die USA übermittelt und dort verarbeitet. Seines Erachtens seien seine personenbezogenen Daten in den USA nur unzureichend vor dem Zugriff durch US-amerikanische Sicherheitsbehörden geschützt.
Auswirkungen des EuGH-Urteils auf Datentransfers mit den USA
Das Urteil des EuGH stellt europäische Unternehmen, die personenbezogene Daten sowohl konzernintern (z.B. Beschäftigtendaten) wie auch an Drittunternehmen (z.B. Cloud-Dienstleister) in die USA transferieren, vor große praktische Herausforderungen. Waren diese Datentransfers vor dem EuGH-Urteil noch allein durch „Safe Harbor“ gedeckt, so können zum gegenwärtigen Zeitpunkt nur noch individuelle Einwilligungen, EU Standardvertragsklauseln oder bestehende verbindliche Konzernregeln („Binding Corporate Rules“ oder „BCR“) den Transfer personenbezogener Daten in die USA rechtfertigen.
Hinsichtlich der EU Standardvertragsklauseln sowie BCR ist gleichwohl zu beachten, dass die unabhängigen Datenschutzbehörden des Bundes und der Länder in einem Positionspapier vom 26. Oktober 2015 mitgeteilt haben, dass zum einen für BCR bis auf weiteres keine Genehmigungen mehr erteilt werden und dass zum anderen beide Instrumente zur möglichen Rechtfertigung eines Datentransfers in die USA im Lichte der EuGH-Entscheidung überprüft werden sollen. Eine verbindliche Stellungnahme der deutschen Datenschützer wie auch der europäischen Datenschützer (Art. 29-Gruppe) ist für Ende Januar 2016 angekündigt. Sollte hier entschieden werden, dass weder EU Standardvertragsklauseln noch BCR einen Transfer personenbezogener Daten in die USA rechtfertigen können, wird eine Rechtfertigung künftig nur noch auf Grundlage individueller Einwilligungserklärungen der Betroffenen erfolgen können.