Nachdem der EuGH (Europäischer Gerichtshof) bekanntermaßen den vorherigen Angemessenheitsbeschluss zum Datenschutzschild EU-USA in der Schrems II-Entscheidung für ungültig erklärt hatte, nahmen die Europäische Kommission und die US-Regierung Gespräche über einen neuen Rahmen auf, in dem die vom Gerichtshof erhobenen Bedenken angegangen wurden.
Laut dem Commissions-Newsletter vom 10.07.2023 erklärte Kommissionspräsidentin Ursula von der Leyen: „Der neue Datenschutzrahmen EU-USA wird einen sicheren Datenverkehr fĂĽr die Europäerinnen und Europäer gewährleisten und den Unternehmen auf beiden Seiten des Atlantiks Rechtssicherheit bieten. Nach der grundsätzlichen Einigung, die ich im vergangenen Jahr mit Präsident Biden erzielt habe, haben die USA beispiellose Zusagen zur Schaffung des neuen Rahmens gemacht. Heute kommen wir einen wichtigen Schritt dabei voran, den BĂĽrgerinnen und BĂĽrgern Vertrauen in die Sicherheit ihrer Daten zu geben, unsere wirtschaftlichen Beziehungen zwischen der EU und den USA zu vertiefen und gleichzeitig unsere gemeinsamen Werte zu stärken. Der Rahmen zeigt, dass wir durch Zusammenarbeit die komplexesten Fragen angehen können.“ (vgl. Quellenangabe „Datenverkehr zwischen der EU und den USA“).
Ob damit nun alle Probleme mit dem Datentransfer in die USA und der Nutzung von US-Diensten (inkl. Cookies, Cloud-Diensten usw.) vom Tisch sind, ist leider nach wie vor fraglich.
Zumindest haben wir jetzt endlich einen Rechtsrahmen, der uns eine Richtung vorgibt.
Warum sollten denn nun nicht (endlich) alle Probleme erledigt sein?
Nun, die Probleme, die der EuGH nun schon in zwei Entscheidungen (EuGH in Schrems I und II) bei den Vorgängern des neuen Angemessenheitsbeschlusses ausgemacht hatte, wurden Expertenmeinungen zufolge leider nicht gelöst.Die Wahrscheinlichkeit, dass es eine EuGH Schrems III–Entscheidung in der Zukunft geben wird, die auch diesen Angemessenheitsbeschluss kassiert, dürfte nach den bisherigen Informationen sehr hoch sein. Die ehemalige Datenschutzbeauftragte Niedersachsens hatte Anfang des Jahres den Mittelstand noch davor gewarnt, sich auf einen (damals noch nicht erlassenen) Angemessenheitsbeschluss blind zu verlassen, weil die Probleme ja hinlänglich bekannt seien und die reine Existenz des nun vorliegenden Angemessenheitsbeschlusses nicht von jeglicher Verantwortung freisprechen wird.
Ebenso kann eine verbindliche Aussage, ob die Unternehmen, die derzeit im DPF (Data Privacy Framework) als „selbstzertifiziert“ gelistet sind, die von der EU geforderten Compliance-Richtlinien erfüllen, noch nicht getätigt werden. Hintergrund ist, dass die gelisteten Unternehmen automatisch in das DPF überführt wurden, da sie sich bereits für das Privacy Shield (unter weniger strengen Voraussetzungen) zertifiziert haben. Die Unternehmen haben nun eine dreimonatige Karenzzeit, sich an die neuen Voraussetzungen anzupassen. Dass die Big Player (Google, Meta etc.) dies zumindest „auf dem Papier“ tun werden, ist mehr als wahrscheinlich. Mit absoluter Gewissheit lässt sich dies jedoch erst nach Ablauf der nächsten drei Monate sagen.
Unsere Empfehlung bleibt (leider) nach wie vor, allergrößte Sorgfalt bei dem Einsatz von US-Diensten walten zu lassen und am besten vollkommen auf diese zu verzichten. Wir empfehlen grundsätzlich auf langfristige EU-Alternativen statt auf US-Dienste zu setzen und unabhängig davon zu bleiben, ob und wann die zu erwartende „Schrems III“-Entscheidung den Angemessenheitsbeschluss wieder außer Kraft setzt.
Wenn die Nutzung von US-Diensten zwingend erforderlich sein sollte, sollte dies entsprechend dokumentiert werden und gleichwohl weitere Maßnahmen ergriffen werden, um die Dienste so rechtskonform einzusetzen, wie möglich.
FĂĽr Fragen stehen wir natĂĽrlich jederzeit gerne zur VerfĂĽgung.