EU-US Data Privacy Framework: Was der neue Beschluss bedeutet

Drei Jahre nach dem Ende des Privacy Shields gibt es wieder einen Angemessenheitsbeschluss für die USA. Am 10. Juli 2023 hat die Europäische Kommission das EU-US Data Privacy Framework (DPF) angenommen. Er ist mit seiner Annahme in Kraft getreten. Für viele Unternehmen, die US-Dienstleister nutzen, bedeutet das eine erhebliche Erleichterung, wenn auch mit Einschränkungen.

Wie funktioniert das Data Privacy Framework?

Ähnlich wie beim Privacy Shield gilt der Angemessenheitsbeschluss nicht für die USA insgesamt, sondern nur für Unternehmen, die sich beim US-Handelsministerium nach dem DPF zertifiziert haben. Sie verpflichten sich zur Einhaltung bestimmter Datenschutzgrundsätze. Übermittlungen an zertifizierte Unternehmen sind dann ohne weitere Garantien wie Standardvertragsklauseln zulässig (Art. 45 DSGVO). Ob ein Empfänger zertifiziert ist, lässt sich in einer öffentlichen Liste auf der Website des DPF-Programms prüfen.

Was ist neu gegenüber dem Privacy Shield?

Der EuGH hatte das Privacy Shield im Schrems-II-Urteil vor allem wegen der weitreichenden Zugriffsbefugnisse der US-Nachrichtendienste und fehlender Rechtsbehelfe für EU-Bürger gekippt. Mit der Executive Order 14086 vom Oktober 2022 haben die USA darauf reagiert: Zugriffe der Nachrichtendienste sollen auf das Notwendige und Verhältnismäßige beschränkt werden. Zudem wurde ein zweistufiger Rechtsbehelfsmechanismus geschaffen, der in einem neuen „Data Protection Review Court“ mündet, an den sich auch Personen aus der EU wenden können.

Auswirkungen auch auf Standardvertragsklauseln

Die Verbesserungen im US-Recht gelten unabhängig davon, auf welche Grundlage eine Übermittlung gestützt wird. Wer weiterhin Standardvertragsklauseln mit nicht zertifizierten Empfängern nutzt, kann diese Entwicklung in seinem Transfer Impact Assessment berücksichtigen. Das erleichtert die Bewertung erheblich.

Bleibt der Beschluss bestehen?

Datenschutzaktivisten haben bereits angekündigt, den Beschluss gerichtlich überprüfen zu lassen. Ob der EuGH das Data Privacy Framework diesmal bestätigt, ist offen. Unternehmen sollten deshalb nicht alle Vorkehrungen über Bord werfen. Es kann sinnvoll sein, bestehende Standardvertragsklauseln als „Rückfallebene“ beizubehalten.

Checkliste für Unternehmen

1. US-Dienstleister erfassen und prüfen, ob sie nach dem DPF zertifiziert sind und ob die Zertifizierung die betroffenen Daten (z. B. Personaldaten) abdeckt.
2. Datenschutzerklärung und Verzeichnis von Verarbeitungstätigkeiten aktualisieren: Rechtsgrundlage ist Art. 45 DSGVO statt der bisherigen Garantien.
3. Standardvertragsklauseln als zusätzliche Absicherung vorerst beibehalten.
4. Das DPF regelt nur die Übermittlung. Alle anderen Pflichten bleiben bestehen, etwa die Einwilligung für Cookies nach dem TTDSG oder ein Auftragsverarbeitungsvertrag.
5. Die gerichtliche Entwicklung im Blick behalten.

Sinnvoll ist, die Dokumentation jetzt anzupassen und zugleich für den Fall vorzusorgen, dass auch dieser Beschluss vor dem EuGH scheitert. Bei der Umstellung Ihrer US-Datentransfers auf das Data Privacy Framework helfen wir gern. Kontaktieren Sie uns oder buchen Sie einen Termin.