Die Europäische Kommission und die USA haben am 2. Februar 2016 einen aktualisierten Rahmen für den zulässigen Transfer von personenbezogenen Daten beschlossen: das EU-US Privacy Shield Abkommen. Dieses Abkommen zwischen EU und USA sollte das zuvor vom Europäischen Gerichtshof am 6. Oktober 2015 (Rechtssache C-362/14Schrems) für ungültig erklärte Safe Harbor Abkommen ersetzen. Ein vergebliches Unterfangen: Auch das EU-US Privacy Shield wurde nun am 16. Juli 2020 vom Europäischen Gerichtshof für ungültig, d.h. nicht datenschutzkonform, erklärt (Rechtssache C-311/18Schrems II).

Mit dem lang erwarteten Urteil steht nun fest, dass sich (Tech-)Unternehmen hinsichtlich der Übermittlung von Daten in die USA als Drittstaat, künftig nicht mehr auf das Privacy Shield stützen können.

Das gegenständliche Verfahren wurde von der irischen Datenschutzbehörde ins Rollen gebracht und zwischen Maximilian Schrems und Facebook Ireland Ltd ausgefochten. Der Europäische Gerichtshof begründet seine Entscheidung u.a. damit, dass die im US-amerikanisch Rechtsraum vorgesehenen Überwachungsprogramme unverhältnismäßig seien und es an gerichtlichen Rechtschutzmöglichkeiten für durch den Datentransfer potentiell betroffene EU-Angehörige mangle.

Auch wenn damit das Privacy Shield als (bisher) beliebte Rechtsgrundlage für internationale Datentransfers zwischen der EU und der USA nicht mehr ins Treffen geführt werden kann, besteht für diese Datentransfers weiterhin die Möglichkeit einen angemessenen Datenschutz, wie etwa auf Basis von EU-Standarddatenschutzklauseln und Binding Corporate Rules, zu garantieren.

Unternehmen sollten daher dringend ihre datenschutzrechtlichen Verträge und ihre übrige Datenschutzdokumentation (insb. Datenschutzerklärungen, Verzeichnis von Verarbeitungstätigkeiten etc.) überprüfen und – sofern erforderlich – aktualisieren. Bei einem Verstoß drohen hier bekanntlich nicht nur zivilrechtliche Schritte durch Betroffene, sondern auch die Verhängung massiver Geldbußen iHv bis zu 20 Mio. Euro bzw. 4% des weltweiten Vorjahresumsatzes.

 

Quelle: EuGH am 16.07.2020, C-311/18