Source: https://www.business-keeper.com/wissen/eu-us-privacy-shield-unwirksam
Timestamp: 2020-08-12 15:00:46
Document Index: 231542768

Matched Legal Cases: ['EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'Art. 44', 'Art. 45', 'EuG', 'EuG', 'EuG']

Europäischer Gerichtshof erklärt das EU-US Privacy Shield zum Schutz personenbezogener Daten für unwirksam
Der Europäische Gerichtshof (EuGH) hat am 16. Juli 2020 (C-311/18) den Beschluss der Europäischen Kommission zum Privacy Shield für ungültig erklärt. Weiterhin wurde entschieden, dass der Datentransfer in Drittländer auf Basis der Standardvertragsklauseln zwar rechtens sei, jedoch im Einzelfall geprüft werden müsse. Der Prozess wurde als "Schrems II"-Verfahren bekannt.
Wieso ist der EU-US-Privacy Shield gescheitert?
Der Grund für das Scheitern des Privacy Shields ist das unzureichende Datenschutzniveau in den USA, da dem EuGH diverse behördliche Zugriffsbefugnisse zu weit gehen und nicht ausreichend Rechtschutzmöglichkeiten für betroffene EU-Bürger in den USA bestehen. Beispielsweise stellte der EuGH fest, dass eine Regelung, die es den Behörden und Geheimdiensten erlaubt, auf den Inhalt digitaler Kommunikation zuzugreifen, das Grundrecht von EU-Bürgern auf Achtung des Privatlebens verletzt. Bereits im Jahr 2015 hatte der EuGH das damals gültige Safe-Harbor-Abkommen gestoppt. Somit wird bereits zum zweiten Mal die Rechtsgrundlage für die Übermittlung von personenbezogenen Daten von der EU in die USA hinfällig.
Überprüfen Sie Ihre Verträge mit Cloud-Providern
Wir empfehlen Ihnen, Ihre bestehenden Verträge mit Cloud-Providern, wie beispielsweise Cloud-Dienste, CRM-Systeme und Compliance-Systeme, schnellstmöglich zu überprüfen und sicherzustellen, dass gesammelte Daten weder in die USA noch in andere Drittländer transferiert noch anderweitig in solchen verarbeitet werden.
Bei eventuellen Unsicherheiten sollten Sie sich erkundigen, ob der jeweilige Anbieter eine spezielle Regelung für EU-Kunden treffen wird bzw. welche Lösungen angeboten werden.
Datenspeicherung am besten nur noch in der EU
Bisher nutzten viele europäische Unternehmen, die personenbezogene Daten ihrer Kunden an Tochterunternehmen transferieren oder auch ihre Daten von US-Cloud-Anbietern verarbeiten lassen, den EU-US-Privacy Shield als Rechtsgrundlage. Diese müssten nun auf Standardvertragsklauseln umstellen, um nicht gegen geltendes Recht zu verstoßen, was im schlimmsten Fall empfindliche Strafen nach sich ziehen kann.
Wie das Urteil praktisch angewendet werden wird, bleibt noch abzuwarten. Langfristig sollte jedoch ein verbindliches Datenschutzabkommen zwischen der EU und den USA erarbeitet werden, welches ein ausreichendes Datenschutzniveau garantiert, damit Unternehmen wieder einfach und legal personenbezogene Daten in die USA übermitteln dürfen. Bis dahin müssten US-Unternehmen neue Wege suchen, wie sie die Daten von EU-Bürgern datenschutzkonform verarbeiten können.
Übermittelt die Business Keeper AG Daten in die USA oder in Drittländer?
Wir verstehen, dass diese aufsehenerregende Entscheidung einige Fragen bei unseren Kunden hervorrufen kann. Wir möchten Ihnen daher versichern, dass die Business Keeper AG keinerlei Daten von EU-Bürgern in die USA oder in andere Drittländer übermittelt bzw. verarbeiten lässt. Das BKMS® Compliance System ist die erste Compliance-Lösung weltweit, welche nach den strengen EuroPriSe Kriterien zertifiziert ist. Für uns hat der Schutz von personenbezogenen Daten im BKMS Compliance System oberste Priorität.
Weiterführende Informationen finden Sie auch auf unserer Seite zu Datenschutz und Informationssicherheit.
Wir haben die wichtigsten Fragen kurz für Sie geklärt:
Nachdem im Jahr 2015 die Safe-Harbour-Entscheidung vom EuGH gekippt worden war, wurde 2016 zwischen der EU-Kommission und den USA das sogenannte EU-US Privacy Shield vereinbart. Hierbei handelt es sich um keinen verbindlichen Vertrag, sondern um eine bilaterale Absprache.
Welche US-Unternehmen dürfen Daten von EU-Bürgern verarbeiten?
Mit einer Eintragung in die Liste des U.S.-Handelsministeriums konnten US-amerikanische Unternehmen eine Privacy-Shield-Zertifizierung (eine Art Selbstzertifizierung) erlangen, mit der sie sich zu den folgenden vier Prinzipien verpflichteten:
- Datenverarbeitung nur mit Zweckbindung
- Beantwortung von Beschwerden innerhalb von 45 Tagen
- Kooperation im Falle einer Untersuchung
Welche Rechte hatten EU-Bürger gegenüber diesen US-Unternehmen?
U. a. konnten EU-Bürger, deren Daten zu zertifizierten U.S.-Unternehmen transferiert wurden, folgende Rechte ausüben:
- Recht auf Information
- Ggf. Recht auf Widerspruch gegen eine Datenverarbeitung
- Recht auf Einreichung eines Antrags zur Anrufung der sogenannten Ombudsperson
- Recht auf Berichtigung unrichtiger Daten
- Ggf. Recht auf Löschung
Diese Punkte reichen dem EuGH nicht aus, um ein ausreichendes Datenschutzniveau in den USA sicherzustellen. Der Datentransfer in ein Drittland müsse ein Schutzniveau wahren, das dem der EU-DSGVO entspreche.
Welcher Zusammenhang besteht zur EU-DSGVO?
Laut der EU-Datenschutz-Grundverordnung (DSGVO), die am 25. Mai 2018 in Kraft getreten ist, dürfen personenbezogene Daten nur dann an ein Drittland weitergegeben werden, wenn dort ein angemessenes Schutzniveau besteht (Art. 44 DSGVO).
Jedoch gibt es keine Regel ohne Ausnahmen: Laut Art. 45 DSGVO sind Datenübermittlungen in ein Drittland auch dann erlaubt, wenn von der Europäischen Kommission durch einen Angemessenheitsbeschluss entschieden wurde, dass das Datenschutzniveau ausreichend ist. Diese Ausnahme bot bisher die Grundlage für den EU-U.S. Privacy Shield.
Nun müssen alternative Vereinbarungen getroffen werden, welche die zu prüfenden EU-Standardvertragsklauseln darstellen. Diese könnten nach Ansicht des EuGHs eine gültige Grundlage für die Übermittlung personenbezogener Daten bilden. Eine Voraussetzung bleibt jedoch: Bei der Übermittlung muss das vom EU-Recht verlangte Schutzniveau eingehalten werden. Nun muss geklärt werden, ob dies mit US-Gesetzen möglich ist.
Dürfen verschlüsselte Daten übermittelt werden?
Ja, die Daten könnten anonymisiert oder verschlüsselt werden, um einen Personenbezug aufzuheben. So können die Daten weiterhin in Drittländer übermittelt werden.
Wo finde ich die Entscheidung des EuGHs?
Die Entscheidung des EuGHs kann im Original hier nachgelesen werden: https://noyb.eu/files/CJEU/judgment.pdf