EuGH kippt "Privacy Shield"

Sachverhalt und Problemstellung

Die DSGVO verlangt ein hohes Schutzniveau bei der Verarbeitung von personenbezogenen Daten. Unmittelbare Geltung hat die DSGVO allerdings nur in der EU.

Viele Unternehmen übermitteln jedoch aus unterschiedlichen Gründen personenbezogene Daten in Drittstaaten, beispielsweise in die USA. Insofern stellt sich die Frage, ob und wie auch in diesen Staaten, in denen die DSGVO nicht direkt anwendbar ist, das Schutzniveau der EU für die personenbezogenen Daten aufrecht erhalten bleiben kann.

In Betracht kommen hierfür Angemessenheitsbeschlüsse der EU, Standardvertragsklauseln, mit denen sich die beteiligten Unternehmen in Drittstaaten dem Schutzniveau unterwerfen und, gerade im Falle der Verarbeitung in den USA, das „Privacy Shield“, in dem sich Unternehmen in den USA registrieren lassen können, wenn sie die entsprechenden Vorgaben einhalten.

Der Europäische Gerichtshof hat mit seiner Entscheidung vom 16.07.2020 (Az.: C-311/18) den Beschluss über das EU-US-Datenschutzschild („Privacy Shield“) für ungültig erklärt, da das erforderliche Schutzniveau nicht erreicht werde. (Zusammenfassung in der Pressemitteilung des EuGH: https://curia.europa.eu/jcms/upload/docs/application/pdf/2020-07/cp200091de.pdf)

(Urteil im Volltext, bisher nur in englischer Sprache: http://curia.europa.eu/juris/document/document.jsf?text=&docid=228677&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=9719418)

Nach „Safe Harbour“ ist damit ein weiterer Beschluss, der die Übermittlung personenbezogener Daten in Drittländer erleichtern sollte, für ungültig erklärt worden.

Viele Unternehmen haben die Verarbeitung von personenbezogenen Daten in Drittländern (außerhalb der EU) auf das „Privacy Shield“ gestützt. Dies ist nun nicht mehr zulässig, weshalb akuter Handlungsbedarf für diese Unternehmen besteht.

Ausblick und Handlungsbedarf

Konkret müssen Unternehmen dringend prüfen, inwieweit sie Daten im Rahmen des „Privacy Shield“ verarbeiten bzw. verarbeiten lassen und entsprechende Alternativen umsetzen.

Andernfalls drohen Bußgelder, da das Schutzniveau der EU bei der Verarbeitung personenbezogener Daten sonst nicht gewahrt ist.

Nachdem der EuGH in seiner Entscheidung vom 16.07.2020 klargestellt hat, dass Standardvertragsklauseln gültig sind, könnten diese grundsätzlich eine gangbare Alternative zum „Privacy Shield“ darstellen.

Gerne berate ich Sie zu den Auswirkungen des Urteils auf Ihre konkrete Situation.