Source: https://www.katholisches-datenschutzzentrum.de/eugh-erklaert-eu-us-privacy-shield-fuer-ungueltig/
Timestamp: 2020-08-03 17:08:10
Document Index: 12834051

Matched Legal Cases: ['EuG', 'EuG', 'Art. 45', 'EuG', 'EuG', 'EuG', 'EuG']

EuGH erklärt EU-US-Privacy-Shield für ungültig - Katholisches Datenschutzzentrum
Dortmund, 23.07.2020: In dem am Donnerstag, 16. Juli 2020, verkündeten Urteil des EuGHs („Schrems II“) erklärt der Gerichtshof den „Privacy Shield“ für ungültig. Zur Urteilsbegründung führt der Gerichtshof aus, dass das Datenschutzniveau der EU und damit der durch die DS-GVO festgelegte und geforderte Schutz für personenbezogene Daten bei einer Übermittlung in die USA durch das Datenschutzabkommen („Privacy Shield“) nicht gewährt werden kann.
Bei der Verwendung von Standarddatenschutzklauseln müssen die Einrichtungen jedoch künftig bei der Übermittlung personenbezogener Daten in ein Drittland überprüfen, ob dort -evtl. auch durch zusätzliche vertragliche Vereinbarungen- ein angemessenes Datenschutzniveau hergestellt werden kann und diese Vereinbarungen eingehalten werden können. Nur in diesem Fall können die Standarddatenschutzklauseln eine Rechtsgrundlage für die Übermittlung personenbezogener Daten in ein Drittland darstellen. Daher obliegt den Verantwortlichen in den kirchlichen Einrichtungen eine Rechtsprüfung, inwiefern das Datenschutzniveau im jeweiligen Drittland dem der DS-GVO entspricht bzw. dort von den Vertragspartnern eingehalten werden kann.
Das Urteil betrifft für die Anwendung der Standarddatenschutzklauseln alle Datenübertragungen in Drittländer, die keinem Angemessenheitsbeschluss nach Art. 45 DS-GVO unterfallen. Durch den Wegfall des „Privacy Shield“ fehlt ein solcher Beschluss jetzt auch für die USA. Nach den Ausführungen des EuGH (insbesondere Rn. 185/197) ist für die USA auch der Einsatz von Standarddatenschutzklauseln - jedenfalls ohne die zusätzliche Vereinbarung geeigneter Garantien - nicht mehr möglich.
Die Datenschutzaufsichten arbeiten derzeit noch intensiv an dieser einheitlichen Auslegung und stimmen sich ab. Sofern bisher vorgenommene Übermittlungen personenbezogener Daten in die USA nun nicht mehr auf eine gültige Rechtsgrundlage gestützt werden können, werden die Diözesandatenschutzbeauftragten die Vorgaben des Urteils umsetzen; das erfordert aber intensive Untersuchungen zu der Frage, wie -ohne Gefährdung des laufenden Betriebs- ein Ausstieg möglich ist. Das mag in einigen Bereichen schneller gehen und in anderen länger dauern.
Prüfschema zum Urteil
FAQ zum Urteil des EuGH
Welche direkten Auswirkungen hat es, dass der EuGH den „Privacy Shield“ für ungültig erklärt hat?
>>> Es muss überprüft werden, inwiefern eine andere Rechtsgrundlage vorliegt und ggf. die Datenübermittlung gestoppt werden.
Bezieht sich das Urteil nur auf Datenübermittlungen in die USA (direkt oder durch dazwischengeschaltete Auftragsverarbeiter)?
Ab wann müssen die Konsequenzen des Urteils beachtet werden?
Standarddatenschutzklauseln sind auch nach dem Urteil des EuGH weiterhin einsetzbar. Ändert sich etwas für Verantwortliche, die sich bei einer Datenübermittlung in Drittländer auf die Standarddatenschutzklauseln berufen?
Inwiefern eignen sich Standarddatenschutzklauseln noch für einen Datentransfer in die USA?
>>> Falls das Datenschutzniveau im Drittland nicht dem der DS-GVO bzw. dem KDG entspricht, dürfen auch Standarddatenschutzklauseln nicht verwendet werden. Die Datenübermittlung ist solange auszusetzen bis ein der DS-GVO bzw. dem KDG entsprechendes Datenschutzniveau garantiert werden kann.
Was können Verantwortliche unternehmen, wenn keine rechtmäßige Datenübermittlung in das entsprechende Drittland möglich ist?