Der Europäische Gerichtshof hat mit Urteil vom 6.10.2015 - C-362/14 – Schrems / Data Protection Commissioner festgestellt, dass eine nationale Datenschutzbehörde eigenständig prüfen darf, ob das jeweilige Drittland, in das Daten aus EU-Staaten übermittelt werden sollen, ein angemessenes Schutzniveau gewährleistet. Die Kommission habe zudem unzutreffenderweise festgestellt, dass ein solches angemessenes Schutzniveau in den USA bestehe. Da die USA generell und ausnahmslose alle personenbezogenen Daten, die aus der Union in die USA übertragen werden, speichere und auch keine Rechtsschutzmöglichkeiten vorgesehen sind, entspräche das Schutzniveau nicht den europäischen Maßstäben.  

Dies bedeutet, dass die Datenübertragungen aus der EU in die USA, die auf Grundlage des Safe-Harbor-Abkommens durchgeführt werden, gegen das Datenschutzrecht verstoßen.

Werden die Daten auf Grundlage eines EU-Standard-Vertrags übermittelt, ist nach derzeitigem Rechtsstand die Übermittlung in die USA zulässig. Ob der Vertrag ebenfalls für ungültig erklärt wird, wird die Zukunft zeigen. Das Abschließen dieses Vertrags erscheint für Unternehmen momentan der einfachste und schnellste Weg, um Datenschutzkonformität herzustellen, da dieser vorformuliert vorliegt. Der Nachteil an der Verwendung des Vertrags ist, dass nicht alle Regelungen für die jeweiligen Unternehmen genau passen, allerdings sind individuelle verbindliche Unternehmensrichtlinien, die mit den Datenschutzbehörden vereinbart werden können, so genannten Binding Corporate Rules (BCR) sehr zeitaufwändig und daher allenfalls ein Schritt der parallel angegangen werden kann.

Die betroffenen Unternehmen sollten nicht in Panik verfallen, sondern nunmehr schnell und zügig die datenschutzrechtliche Grundlage ändern und die Stellungnahmen der nationalen Datenschutzbehörden im Auge behalten. Der Verfasser berät Unternehmen im Datenschutzrecht und ist zudem vom TÜV-SÜD als Datenschutzbeauftragter zertifiziert und kann Ihnen hierbei mit Rat und Tat zur Seite stehen.

Autor: Florian Steiner