Transfer personenbezogener Daten in die USA: Anwendungshinweise der Datenschutzkonferenz

Zum EU-US Data Privacy Framework (EU-US DPF) hatten wir zuletzt mit Nummern-Rundschreiben Re 05/2023 vom 18. Juli 2023 informiert. Die dazu von der Datenschutzkonferenz (DSK) erlassenen Anwendungshinweise finden Sie zum Download sowie auf der Internetseite der DSK https://datenschutzkonferenz-online.de/media/ah/230904_DSK_Ah_EU_US.pdf . Darin werden u.a. die folgenden Aspekte vertieft:

1. Zertifizierung als Voraussetzung für den Datentransfer Seit dem Inkrafttreten des EU-US DPF am 10. Juli 2023 ist der Transfer personenbezogener Daten von der EU in die USA wieder an solche US-Unternehmen möglich, die nach dem EU-US DPF zertifiziert sind. Durch die Selbstzertifizierung verpflichten sich die US-Unternehmen zur Einhaltung detaillierter Datenschutzpflichten, z. B. zur Pflicht personenbezogene Daten zu löschen, wenn sie für den Zweck, zu dem sie erhoben wurden, nicht mehr erforderlich sind.

Eine Selbstzertifizierung unter dem EU-US DPF steht US-Organisationen offen, die der Aufsicht der Federal Trade Commission (FTC, Wettbewerbskontrolle- und Verbraucherschutzbehörde) oder des US Departments of Transportation (DOT, US-Verkehrsministerium) unterliegen. Alle zertifizierten Unternehmen sind auf der Webseite https://www.dataprivacyframework.gov/s/participant-search gelistet. Hier muss seitens der EU-Unternehmen vor Datenübermittlung in die USA geprüft werden, ob der jeweilige US-Vertragspartner zertifiziert ist.

Besonderheiten bei Beschäftigtendaten

Will ein europäisches Unternehmen Beschäftigtendaten in die USA übermitteln, so muss es prüfen, ob die Zertifizierung des US-Unternehmens sich tatsächlich auch auf solche HR-Daten bezieht, dies ist in der o.g. Liste ersichtlich in der Rubrik „Covered Data“ mit dem Eintrag „HR Data“.

Journalistische Ausnahme

Für Daten im Zusammenhang mit journalistischer Aktivität und Medienarchiven gilt eine journalistische Ausnahme, diese Daten können nicht auf Grundlage des EU-US Data Privacy Frameworks übermittelt werden.

2. Datenübermittlung an nicht zertifizierte US-Unternehmen US-Unternehmen, die nicht unter die Aufsicht der beiden o.g. Behörden FTC oder DOT fallen, können sich nicht nach dem EU-US DPF zertifizieren. Übermittlungen an solche Unternehmen erfordern weiterhin geeignete Garantien nach Art. 46 DS-GVO (z.B. Standardvertragsklauseln), den Rückgriff auf verbindliche interne Datenschutzvorschriften nach Art. 47 DS-GVO (Binding Corporate Rules) oder das Vorliegen eines Ausnahmetatbestands nach Art. 49 DS-GVO im Einzelfall.

3. Verhältnismäßigkeit und Rechtsschutz Durch das EU-US DPF soll insbesondere der Zugang der US-Nachrichtendienste zu Daten auf das notwendige und verhältnismäßige Maß beschränkt werden. Daneben sieht das EU-US DPF verschiedene Rechtsschutzmöglichkeiten für betroffene Personen vor. So wurde z.B. ein zweistufiges Beschwerdeverfahren gegen US-Überwachungsmaßnahmen eingeführt, was eine Überprüfung durch ein neu eingerichtetes Gericht zur Datenschutzüberprüfung (Data Protection Review Court) ermöglicht. Damit deckt das EU-US DPF nunmehr zwei wesentliche Kritikpunkte des Europäischen Gerichtshofs (EuGH) ab, die im sog. Schrems II-Urteil vom 16.07.2020 zur Unwirksamkeit des Vorgängerabkommens „EU-US Privacy Shield“ geführt hatten.

4. Ausblick Durch den neuen Angemessenheitsbeschluss wird zumindest vorläufig wieder Rechtssicherheit für den Transfer personenbezogener Daten in die USA geschaffen.

Die EU-Kommission wird die Funktionsweise des Datenschutzrahmens EU-USA fortlaufend überprüfen. Die erste Überprüfung wird in einem Jahr erfolgen. Aufgrund der Kritik am neuen Data Privacy Framework ist damit zu rechnen, dass dieser ebenso wie zuvor die Vorgängerabkommen „Safe Harbor“ und „Privacy Shield“ gerichtlich überprüft wird. (bvdm)

Mitgliederinformation

Transfer personenbezogener Daten in die USA: Anwendungshinweise der Datenschutzkonferenz

Passwort vergessen?

Das könnte Sie auch interessieren

Transfer personenbezogener Daten in die USA: Neuer Angemessenheitsbeschluss der EU in Kraft getreten