Neuer Angemessenheitsbeschluss für Datentransfers in die USA

Ein Beitrag von RA Joachim Borger, Fachanwalt für IT-Recht

Die Europäische Kommission hat mit Datum vom 10.07.2023 einen neuen Angemessenheitsbeschluss gemäß Art. 45 Abs. 3 DSGVO zur Rechtfertigung der Übermittlung personenbezogener Daten aus der EU in die USA erlassen. Der Volltext ist zu finden unter: https://commission.europa.eu/document/fa09cbad-dd7d-4684-ae60-be03fcb0fddf_en

Zuletzt hatte der EuGH im Jahr 2020 den damaligen Angemessenheitsbeschluss - den sogenannten "EU-US-Privacy shield" - für unwirksam erklärt. Der Kläger Max Schrems ließ mit Urteil des EuGH namens "Schrems II" bereits zum zweiten Mal einen solchen Angemessenheitsbeschluss kippen. Seitdem besteht Unsicherheit hinsichtlich der Zulässigkeit der Übertragung personenbezogener Daten in die USA, obwohl der Bedarf dafür riesig ist oder jedenfalls war. Zwischenzeitlich haben immer mehr US-amerikanische Unternehmen Serverstandorte in der EU eingerichtet, um der rechtlichen Unsicherheit wegen Schrems II und damit verbundenen Umsatzeinbußen zu begegnen.

Mit dem neuen Angemessenheitsbeschluss vom 10.07.2023 will die Europäische Kommission die Fehler des "EU-US-Privacy shield" ausgemerzt und die Kritik des EuGH berücksichtigt haben. Ein wesentlicher Teil dieser Kritik lautete beispielsweise, dass Daten in den USA nicht sicher sein können, weil Behörden zugunsten der Strafverfolgung und im Interesse der nationalen Sicherheit weitreichende Befugnisse auch zur Einsicht und weiteren Verarbeitung von Daten bei Unternehmen in den USA haben. So soll nun manifestiert sein, dass die Zugriffsbefugnisse von US-Behörden auf ein zum Schutz der nationalen Sicherheit notwendiges und verhältnismäßiges Maß beschränkt ist.

Außerdem sollen diverse kostenlose und unabhängige Streitbeilegungsmechanismen bereitgestellt werden und neben einer neuen Schlichtungsstelle auch ein neues Gericht eingerichtet werden: das "data protection review court" oder kurz DPRC. Dies soll für alle Privatpersonen anrufbar sein und mit umfangreichen Befugnissen einschließlich des Rechts zur Anordnung der Löschung von Daten ausgestattet sein.

Die Funktionalität des neuen Angemessenheitsbeschlusses sowie dessen Einhaltung sollen bereits innerhalb der nächsten 12 Monate durch die zuständigen Behörden der USA und der EU evaluiert werden. Darüber hinaus dürfte auch mit externer Prüfung zu rechnen sein. Max Schrems kündigt bereits an, erneut den EuGH anrufen und dessen Entscheidung "Schrems III" zu veranlassen. Unternehmen sollten auf den Angemessenheitsbeschluss nicht blind vertrauen, sondern sich stattdessen auf das mögliche Szenario einstellen, dass der Angemessenheitsbeschluss vom 10.07.2023 gekippt wird. Der neue Angemessenheitsbeschluss sollte daher keinesfalls unreflektiert als "Freifahrtschein" eingeordnet werden.