Schrems II: EuGH kippt Privacy Shield – was Unternehmen tun müssen

Mit seinem Urteil vom 16. Juli 2020 in der Rechtssache C-311/18 („Schrems II“) hat der Gerichtshof der Europäischen Union das EU-US Privacy Shield mit sofortiger Wirkung für ungültig erklärt. Für tausende europäische Unternehmen, die Daten an US-Dienstleister übermitteln, entfällt damit eine zentrale Rechtsgrundlage. Betroffen sind E-Mail-Provider ebenso wie Cloud-Speicher und Webanalyse-Tools. Wir erläutern die Entscheidung und geben erste Handlungsempfehlungen.

Hintergrund des Verfahrens

Der österreichische Datenschutzaktivist Maximilian Schrems wandte sich gegen die Übermittlung seiner Daten durch Facebook Ireland an die Konzernmutter in den USA. Bereits 2015 hatte der EuGH auf seine Beschwerde hin das Safe-Harbor-Abkommen gekippt. Facebook stützte die Übermittlungen anschließend unter anderem auf Standardvertragsklauseln. Die irische Datenschutzbehörde legte dem EuGH daraufhin Fragen zur Wirksamkeit dieser Klauseln vor, im Laufe des Verfahrens auch zum Privacy Shield.

Die Kernaussagen des EuGH

• Der Angemessenheitsbeschluss der EU-Kommission zum Privacy Shield (2016/1250) ist ungültig. Die Überwachungsprogramme der US-Behörden sind nicht auf das zwingend erforderliche Maß beschränkt, und Betroffene aus der EU haben keinen wirksamen gerichtlichen Rechtsschutz. Eine Übergangsfrist hat der EuGH nicht gewährt.
• Der Beschluss der Kommission über Standardvertragsklauseln (2010/87/EU) bleibt wirksam. Ihre bloße Unterzeichnung genügt allerdings nicht.
• Der Datenexporteur muss, gegebenenfalls gemeinsam mit dem Empfänger, im Einzelfall prüfen, ob im Empfängerland ein der EU im Wesentlichen gleichwertiges Schutzniveau gewährleistet ist. Ist das nicht der Fall, sind zusätzliche Maßnahmen zu ergreifen oder die Übermittlung ist auszusetzen.
• Die Aufsichtsbehörden sind verpflichtet, Übermittlungen auszusetzen oder zu verbieten, wenn die Klauseln im Drittland nicht eingehalten werden können.

Was bedeutet das konkret?

Unternehmen, die sich bisher allein auf die Privacy-Shield-Zertifizierung ihres US-Dienstleisters verlassen haben, brauchen eine neue Grundlage. Wer bereits Standardvertragsklauseln nutzt, muss prüfen, ob diese im konkreten Fall tatsächlich ausreichen. Bei US-Anbietern, die US-Überwachungsgesetzen unterliegen, ist das nach der Begründung des EuGH ohne zusätzliche Maßnahmen schwer darstellbar. Welche zusätzlichen Maßnahmen genügen, ist noch nicht abschließend geklärt; diskutiert wird etwa eine Verschlüsselung, bei der nur der europäische Kunde den Schlüssel hält. Der Europäische Datenschutzausschuss hat angekündigt, hierzu Empfehlungen zu erarbeiten.

Erste Schritte für Ihr Unternehmen

1. Stellen Sie fest, welche Dienstleister Daten in die USA oder andere Drittländer übermitteln. Das Verzeichnis von Verarbeitungstätigkeiten und die Liste Ihrer Auftragsverarbeiter sind ein guter Ausgangspunkt.
2. Prüfen Sie, worauf sich die Übermittlung stützt: auf das Privacy Shield, auf Standardvertragsklauseln oder auf eine Ausnahme nach Art. 49 DSGVO.
3. Fragen Sie den Anbieter, wie er auf das Urteil reagiert und welche zusätzlichen Garantien er anbietet.
4. Prüfen Sie, ob es gleichwertige Anbieter mit Sitz und Datenverarbeitung in der EU gibt.
5. Halten Sie Ihre Prüfung und Entscheidung schriftlich fest.

Typische Anwendungsfälle sind Videokonferenzdienste, Cloud-Office-Lösungen und Analyse-Tools auf der Website. Hinweise zur Auswahl solcher Dienste finden Sie in unserem Beitrag zu datenschutzkonformen Videokonferenz-Tools. Bei Website-Diensten kommt häufig noch die Einwilligungspflicht für Cookies hinzu, die der BGH jüngst in seinem Urteil „Cookie-Einwilligung II“ bestätigt hat.

Wer US-Dienstleister einsetzt, sollte die eigenen Drittlandübermittlungen jetzt erfassen und dokumentiert entscheiden, wie es weitergeht. Wir analysieren Ihre Datenflüsse und erarbeiten mit Ihnen eine tragfähige Lösung. Kontaktieren Sie uns oder vereinbaren Sie einen Termin.