Land in Sicht? – Europäische Kommission veröffentlicht Entwurf eines Angemessen­heits­beschlusses für neuen EU-US Daten­schutz­rahmen

Die Europäische Kommission hat am 13. Dezember 2022 den Entwurf eines Angemessenheitsbeschlusses für die Übermittlug personenbezogener Daten in die USA auf Grundlage des neuen „EU-US Datenschutzrahmens“ veröffentlicht.

Die Europäische Kommission kommt in ihrem Angemessenheitsbeschluss zu dem Ergebnis, dass in den USA unter dem neuen „EU-US Datenschutzrahmen“ ein angemessenes Schutzniveau für die Verarbeitung personenbezogener Daten besteht, also nach Verabschiedung des Beschlusses unter dem neuen „EU-US Datenschutzrahmen“ eine Übermittlung personenbezogener Daten in die USA ohne weitere Maßnahmen für Drittlandtransfers oder behördliche Genehmigungen zulässig ist.

Hintergrund: „Schrems II“-Entscheidung des EuGH, neuer „Transatlantischer Datenschutzrahmen“ und U.S. Executive Order “Enhancing Safeguards for United States Signals Intelligence Activities”

In einer aufsehenerregenden Entscheidung hatte der Europäische Gerichtshof (EuGH) am 16. Juli 2020 in der Sache „Schrems II“ den Durchführungsbeschluss der Europäischen Kommission zum „EU-U.S. Privacy Shield“ – ohne Übergangsfrist – für ungültig erklärt und damit dem transatlantischen Datentransfer einen herben Schlag versetzt.

Am 25. März 2022 veröffentlichten die Europäische Kommission und die USA eine gemeinsame Erklärung zu einem neuen „Transatlantischen Datenschutzrahmen“. Darin erklärten sie, der Nachfolger für das vom EuGH für unzureichend befundene „EU-U.S. Privacy Shield“ solle auch die vom EuGH in „Schrems II“ geäußerten Bedenken ausräumen. Am 7. Oktober 2022 unterzeichnete U.S. Präsident Biden eine Executive Order „Enhancing Safeguards for United States Signals Intelligence Activities“, die dazu dienen soll, die Vereinbarungen mit der Europäischen Kommission zum neuen „Transatlantischen Datenschutzrahmen“ im US Recht umzusetzen. Am selben Tag hatte die Europäische Kommission daraufhin angekündigt, auf dieser Grundlage einen Angemessenheitsbeschluss für den neuen „EU-US Datenschutzrahmen“ vorzubereiten und das Verfahren zu dessen Annahme einzuleiten.

Weitere Schritte zur Verabschiedung des Angemessenheitsbeschlusses und Ausblick

Die Europäische Kommission hat den nun veröffentlichten Entwurf des Angemessenheitsbeschlusses zum neuen „EU-US Datenschutzrahmen“ bereits dem Europäischen Datenschutzausschuss (EDSA) zur Stellungnahme vorgelegt. Anschließend muss die Europäische Kommission noch grünes Licht von einem Ausschuss einholen, der sich aus Vertretern der EU-Mitgliedstaaten zusammensetzt. Darüber hinaus hat auch das Europäische Parlament ein Kontrollrecht bei Angemessenheitsentscheidungen. Nach Abschluss dieser Verfahren kann die Europäische Kommission den Angemessenheitsbeschluss verabschieden.

Wann der von der Europäischen Kommission angekündigte Angemessenheitsbeschluss tatsächlich in Kraft treten wird, ist aktuell noch nicht mit Sicherheit absehbar. Die Europäische Kommission selbst hat bislang offiziell kein konkretes Datum verlauten lassen. Mit einer Verabschiedung dürfte im ersten Quartal 2023 zu rechnen sein.

Wenngleich wenig überraschend bereits teils harsche Kritik am neuen „EU-US Datenschutzrahmen“ geäußert wurde, geht die Europäische Kommission fest davon aus, dass ihr neuer Angemessenheitsbeschluss auch einer neuerlichen Überprüfung durch den EuGH standhalten wird. Es ist zwar damit zu rechnen, dass auch der neue Angemessenheitsbeschluss früher oder später vor dem EuGH landen wird. Zumindest bis auf Weiteres werden Unternehmen Datentransfers in die USA jedoch auf den neuen Angemessenheitsbeschluss der Europäischen Kommission stützen können.

Für den durch „Schrems II“ angeschlagenen transatlantischen Datentransfer ist also Land in Sicht – zumindest mittelfristig. Dennoch gilt es – nicht zuletzt vor dem Hintergrund der datenschutzrechtlichen Rechenschaftspflicht – auch weiterhin im Sinne der vom EDSA empfohlenen umfassenden Transfer Impact Assessments (TIA) die Risiken internationaler Datentransfers im Unternehmen insgesamt zu überprüfen und gegebenenfalls Maßnahmen zur Behandlung etwaiger Risiken zu ergreifen.

Im Übrigen sind bis zur finalen Verabschiedung des Angemessenheitsbeschlusses auch weiterhin – zumindest im Sinne einer Übergangslösung – geeignete alternative Maßnahmen für Datentransfers in die USA zu treffen, beispielsweise der Abschluss neuer Standardvertragsklauseln der Europäischen Kommission aus 2021. Da die Übergangsfrist für die alten Standardvertragsklauseln der Europäischen Kommission aus 2001 und 2010 zum 27. Dezember 2022 endet, kommen Unternehmen also trotz aller Euphorie über den nun greifbar nahen Angemessenheitsbeschluss für den neuen „EU-US Datenschutzrahmen“ nicht umhin, gegebenenfalls noch kurzfristig Alt-Verträge anzupassen, in denen noch alte Standardvertragsklauseln vorgesehen sind.