Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Schlagwort: Standardvertragsklauseln

  • EU-US Data Privacy Framework: Was der neue Beschluss bedeutet

    Drei Jahre nach dem Ende des Privacy Shields gibt es wieder einen Angemessenheitsbeschluss für die USA. Am 10. Juli 2023 hat die Europäische Kommission das EU-US Data Privacy Framework (DPF) angenommen. Er ist mit seiner Annahme in Kraft getreten. Für viele Unternehmen, die US-Dienstleister nutzen, bedeutet das eine erhebliche Erleichterung, wenn auch mit Einschränkungen.

    Wie funktioniert das Data Privacy Framework?

    Ähnlich wie beim Privacy Shield gilt der Angemessenheitsbeschluss nicht für die USA insgesamt, sondern nur für Unternehmen, die sich beim US-Handelsministerium nach dem DPF zertifiziert haben. Sie verpflichten sich zur Einhaltung bestimmter Datenschutzgrundsätze. Übermittlungen an zertifizierte Unternehmen sind dann ohne weitere Garantien wie Standardvertragsklauseln zulässig (Art. 45 DSGVO). Ob ein Empfänger zertifiziert ist, lässt sich in einer öffentlichen Liste auf der Website des DPF-Programms prüfen.

    Was ist neu gegenüber dem Privacy Shield?

    Der EuGH hatte das Privacy Shield im Schrems-II-Urteil vor allem wegen der weitreichenden Zugriffsbefugnisse der US-Nachrichtendienste und fehlender Rechtsbehelfe für EU-Bürger gekippt. Mit der Executive Order 14086 vom Oktober 2022 haben die USA darauf reagiert: Zugriffe der Nachrichtendienste sollen auf das Notwendige und Verhältnismäßige beschränkt werden. Zudem wurde ein zweistufiger Rechtsbehelfsmechanismus geschaffen, der in einem neuen „Data Protection Review Court“ mündet, an den sich auch Personen aus der EU wenden können.

    Auswirkungen auch auf Standardvertragsklauseln

    Die Verbesserungen im US-Recht gelten unabhängig davon, auf welche Grundlage eine Übermittlung gestützt wird. Wer weiterhin Standardvertragsklauseln mit nicht zertifizierten Empfängern nutzt, kann diese Entwicklung in seinem Transfer Impact Assessment berücksichtigen. Das erleichtert die Bewertung erheblich.

    Bleibt der Beschluss bestehen?

    Datenschutzaktivisten haben bereits angekündigt, den Beschluss gerichtlich überprüfen zu lassen. Ob der EuGH das Data Privacy Framework diesmal bestätigt, ist offen. Unternehmen sollten deshalb nicht alle Vorkehrungen über Bord werfen. Es kann sinnvoll sein, bestehende Standardvertragsklauseln als „Rückfallebene“ beizubehalten.

    Checkliste für Unternehmen

    1. US-Dienstleister erfassen und prüfen, ob sie nach dem DPF zertifiziert sind und ob die Zertifizierung die betroffenen Daten (z. B. Personaldaten) abdeckt.
    2. Datenschutzerklärung und Verzeichnis von Verarbeitungstätigkeiten aktualisieren: Rechtsgrundlage ist Art. 45 DSGVO statt der bisherigen Garantien.
    3. Standardvertragsklauseln als zusätzliche Absicherung vorerst beibehalten.
    4. Das DPF regelt nur die Übermittlung. Alle anderen Pflichten bleiben bestehen, etwa die Einwilligung für Cookies nach dem TTDSG oder ein Auftragsverarbeitungsvertrag.
    5. Die gerichtliche Entwicklung im Blick behalten.

    Sinnvoll ist, die Dokumentation jetzt anzupassen und zugleich für den Fall vorzusorgen, dass auch dieser Beschluss vor dem EuGH scheitert. Bei der Umstellung Ihrer US-Datentransfers auf das Data Privacy Framework helfen wir gern. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • 1,2 Mrd. Euro Bußgeld gegen Meta: Folgen für US-Datentransfers

    Am 22. Mai 2023 hat die irische Datenschutzbehörde (Data Protection Commission, DPC) gegen Meta Platforms Ireland ein Bußgeld von 1,2 Milliarden Euro verhängt. Es ist das höchste Bußgeld seit Geltung der DSGVO. Gegenstand sind die Übermittlungen personenbezogener Daten europäischer Facebook-Nutzer in die USA. Meta hat angekündigt, gegen die Entscheidung vorzugehen.

    Der Hintergrund

    Das Verfahren ist eine direkte Folge des Schrems-II-Urteils des EuGH aus dem Jahr 2020. Nach dem Wegfall des Privacy Shields stützte Meta die Übermittlungen auf Standardvertragsklauseln in Verbindung mit zusätzlichen Maßnahmen. Die DPC kam zu dem Ergebnis, dass diese Maßnahmen die Risiken für die Grundrechte der Nutzer nicht ausräumten, die sich aus dem Zugriff US-amerikanischer Behörden ergeben.

    Die Rolle des Europäischen Datenschutzausschusses

    Bemerkenswert ist das Zustandekommen der Entscheidung. Der ursprüngliche Entscheidungsentwurf der irischen Behörde sah kein Bußgeld vor. Andere europäische Aufsichtsbehörden erhoben Einwände. Der Europäische Datenschutzausschuss (EDSA) fasste daraufhin im Streitbeilegungsverfahren nach Art. 65 DSGVO einen verbindlichen Beschluss, auf dessen Grundlage die DPC das Bußgeld verhängte.

    Die Anordnungen

    • Meta muss künftige Übermittlungen personenbezogener Daten in die USA innerhalb von fünf Monaten aussetzen.
    • Meta muss innerhalb von sechs Monaten die rechtswidrige Verarbeitung, einschließlich der Speicherung in den USA, von bereits rechtswidrig übermittelten Daten europäischer Nutzer beenden.

    Bedeutung für kleine und mittlere Unternehmen

    Auf den ersten Blick betrifft die Entscheidung nur einen Großkonzern. Die rechtliche Argumentation gilt aber für jedes Unternehmen, das Daten in die USA übermittelt oder US-Dienste nutzt: Standardvertragsklauseln allein genügen nicht, wenn der Empfänger Überwachungsgesetzen unterliegt und die Daten im Klartext verarbeiten kann. Das deckt sich mit der Linie, die etwa die österreichische Datenschutzbehörde zu Google Analytics vertreten hat.

    Hoffnung auf ein neues Abkommen

    Die EU-Kommission arbeitet an einem neuen Angemessenheitsbeschluss für die USA, dem sogenannten EU-US Data Privacy Framework. Grundlage ist eine Executive Order des US-Präsidenten vom Oktober 2022, die die Zugriffe der Nachrichtendienste beschränken und einen neuen Rechtsbehelfsmechanismus schaffen soll. Ob und wann der Beschluss erlassen wird, ist offen. Ebenso offen ist, ob er einer erneuten Überprüfung durch den EuGH standhalten würde.

    Was Unternehmen jetzt tun sollten

    1. Übermittlungen in die USA im Verzeichnis von Verarbeitungstätigkeiten erfassen und aktualisieren.
    2. Sicherstellen, dass die neuen Standardvertragsklauseln verwendet werden und ein Transfer Impact Assessment vorliegt.
    3. Wirksame zusätzliche Maßnahmen prüfen, etwa Verschlüsselung mit Schlüsselhoheit in der EU.
    4. Für kritische Anwendungen Alternativen mit Datenverarbeitung in der EU in Betracht ziehen.
    5. Die Entwicklung rund um das Data Privacy Framework verfolgen.

    Bis eine tragfähige Nachfolgeregelung für das Privacy Shield vorliegt, bleibt der Datentransfer in die USA ein Thema, das dokumentiert geprüft und regelmäßig neu bewertet werden muss. Wir unterstützen Sie dabei, Ihre US-Dienste rechtssicher aufzustellen. Zum Kontaktformular oder Termin buchen.

  • Google Analytics rechtswidrig? Was aus der Entscheidung der DSB folgt

    Google Analytics ist das wohl meistgenutzte Webanalyse-Tool der Welt. Umso größer war die Aufmerksamkeit, als die österreichische Datenschutzbehörde (DSB) in einer Teilentscheidung vom Dezember 2021, veröffentlicht am 13. Januar 2022, feststellte: Der Einsatz von Google Analytics auf einer Website verstieß gegen die Vorgaben der DSGVO zur Datenübermittlung in Drittländer. Die Entscheidung geht auf eine Beschwerde der Organisation noyb zurück, die nach dem Schrems-II-Urteil zahlreiche Beschwerden gegen Website-Betreiber in ganz Europa eingereicht hatte.

    Die Kernaussagen der Entscheidung

    • Online-Kennungen wie IP-Adressen und Cookie-IDs sind jedenfalls in Kombination mit weiteren Informationen personenbezogene Daten. Es genügt, dass einzelne Nutzer ausgesondert werden können, insbesondere wenn sie zugleich in einem Google-Konto eingeloggt sind.
    • Der Website-Betreiber übermittelte als Verantwortlicher Daten an Google LLC in den USA.
    • Die abgeschlossenen Standardvertragsklauseln und die von Google angebotenen zusätzlichen Maßnahmen verhinderten nicht, dass US-Nachrichtendienste nach US-Recht auf die Daten zugreifen können.
    • Eine Verschlüsselung der gespeicherten Daten hilft nicht, wenn der Empfänger selbst über den Schlüssel verfügt.
    • Die IP-Anonymisierung war im konkreten Fall nicht korrekt umgesetzt und hätte nach Auffassung der Behörde ohnehin nicht genügt.

    Was die Entscheidung nicht sagt

    Es handelt sich um eine Einzelfallentscheidung einer nationalen Behörde, die sich auf die damals verwendeten Standardvertragsklauseln und die damalige Konfiguration bezieht. Die im Juni 2021 verabschiedeten neuen Standardvertragsklauseln wurden nicht geprüft. Ein generelles „Verbot“ von Google Analytics hat die Behörde nicht ausgesprochen. Gleichwohl haben sich inzwischen weitere europäische Aufsichtsbehörden, etwa in Frankreich, in vergleichbarer Weise geäußert, und die Argumentation lässt sich auf viele andere US-Dienste übertragen.

    Welche Optionen haben Website-Betreiber?

    1. Bewerten Sie das Risiko: Ist Google Analytics für Ihr Geschäft wirklich unverzichtbar, und welche Daten werden erfasst?
    2. Prüfen Sie Alternativen. Es gibt Analyse-Tools europäischer Anbieter mit Datenverarbeitung in der EU sowie Lösungen, die selbst gehostet werden können oder ohne Cookies auskommen.
    3. Eine Einwilligung allein löst das Problem nicht. Für Analyse-Cookies brauchen Sie nach dem TTDSG ohnehin eine Einwilligung; die Frage der Drittlandübermittlung ist davon zu unterscheiden. Ob eine Einwilligung nach Art. 49 DSGVO die Übermittlung dauerhaft tragen kann, ist zweifelhaft.
    4. Wer weiterhin auf Google Analytics setzt, sollte die Datenerhebung so weit wie möglich reduzieren und die Entscheidung dokumentieren.
    5. Beobachten Sie die politische Entwicklung: Die EU-Kommission und die US-Regierung verhandeln über einen Nachfolger des Privacy Shields.

    Die Probleme des Datentransfers in die USA betreffen nicht nur Konzerne, sondern jeden Website-Betreiber. Wir helfen Ihnen, das Risiko von Google Analytics und anderen US-Tools einzuschätzen und die Abwägung zu dokumentieren. Nehmen Sie Kontakt auf oder buchen Sie einen Termin.

  • Neue Standardvertragsklauseln 2021: Fristen und To-dos

    Knapp ein Jahr nach dem Schrems-II-Urteil des EuGH hat die Europäische Kommission am 4. Juni 2021 neue Standardvertragsklauseln (Standard Contractual Clauses, SCC) für die Übermittlung personenbezogener Daten in Drittländer verabschiedet (Durchführungsbeschluss (EU) 2021/914). Die bisherigen Klauseln aus den Jahren 2001, 2004 und 2010 laufen aus. Für Unternehmen, die mit Dienstleistern oder Konzerngesellschaften außerhalb des Europäischen Wirtschaftsraums zusammenarbeiten, besteht damit Handlungsbedarf.

    Die wichtigsten Neuerungen

    • Statt getrennter Vertragswerke gibt es ein einheitliches Dokument mit vier Modulen: Verantwortlicher an Verantwortlichen, Verantwortlicher an Auftragsverarbeiter, Auftragsverarbeiter an Auftragsverarbeiter sowie Auftragsverarbeiter an Verantwortlichen. Gerade die Konstellation „Auftragsverarbeiter an Unterauftragsverarbeiter“ war bislang nicht abgedeckt.
    • Über eine „Kopplungsklausel“ können weitere Parteien später beitreten.
    • Die Parteien müssen zusichern, dass sie geprüft haben, ob Recht und Praxis im Bestimmungsland die Einhaltung der Klauseln verhindern. Diese Prüfung ist zu dokumentieren und der Aufsichtsbehörde auf Anfrage vorzulegen. Damit greift die Kommission die Vorgaben des EuGH aus Schrems II auf.
    • Der Datenimporteur muss den Exporteur grundsätzlich über Zugriffsersuchen von Behörden informieren und deren Rechtmäßigkeit prüfen.
    • Die Module für Auftragsverarbeiter enthalten die Anforderungen des Art. 28 DSGVO, sodass für diese Punkte kein separater Vertrag erforderlich ist.

    Die Übergangsfristen

    Der Beschluss tritt am 27. Juni 2021 in Kraft. Die alten Standardvertragsklauseln dürfen für neue Verträge nur noch bis zum 27. September 2021 verwendet werden. Bereits bestehende Verträge auf Basis der alten Klauseln bleiben bis zum 27. Dezember 2022 wirksam, sofern die Verarbeitung unverändert bleibt und geeignete Garantien gewährleistet sind. Bis dahin müssen alle Altverträge umgestellt sein.

    Separate Klauseln für die Auftragsverarbeitung in der EU

    Am selben Tag hat die Kommission zusätzlich Standardvertragsklauseln für die Auftragsverarbeitung innerhalb der EU nach Art. 28 Abs. 7 DSGVO veröffentlicht (Durchführungsbeschluss (EU) 2021/915). Ihre Nutzung ist freiwillig. Sie bieten aber eine solide Grundlage, wenn Sie einen Auftragsverarbeitungsvertrag neu aufsetzen möchten.

    To-do-Liste für Unternehmen

    1. Alle Drittlandübermittlungen erfassen, einschließlich der Unterauftragsverarbeiter Ihrer Dienstleister.
    2. Klären, welches Modul für die jeweilige Konstellation passt.
    3. Für jede Übermittlung eine Bewertung der Rechtslage im Drittland (Transfer Impact Assessment) erstellen und dokumentieren.
    4. Gegebenenfalls zusätzliche Maßnahmen festlegen, etwa Verschlüsselung oder Pseudonymisierung. Der Europäische Datenschutzausschuss hat hierzu Empfehlungen veröffentlicht.
    5. Neue Verträge ab sofort auf Basis der neuen Klauseln abschließen; Altverträge bis spätestens 27. Dezember 2022 umstellen.
    6. Das Verzeichnis von Verarbeitungstätigkeiten aktualisieren.

    Lösen die neuen Klauseln das US-Problem?

    Nicht automatisch. Die Klauseln bieten einen verbesserten vertraglichen Rahmen, ändern aber nichts an der Rechtslage in den USA, die der EuGH beanstandet hat. Ob eine Übermittlung zulässig ist, hängt weiterhin von der Einzelfallprüfung und gegebenenfalls ergänzenden Maßnahmen ab. Das betrifft besonders Website-Dienste wie Analyse- oder Marketing-Tools, für die ohnehin eine Einwilligung über einen rechtssicheren Cookie-Banner einzuholen ist.

    Bis Ende 2022 ist Zeit, aber die Bestandsaufnahme sollte jetzt beginnen. Bei der Umstellung der Verträge und beim Transfer Impact Assessment unterstützen wir Sie gern. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • Schrems II: EuGH kippt Privacy Shield – was Unternehmen tun müssen

    Mit seinem Urteil vom 16. Juli 2020 in der Rechtssache C-311/18 („Schrems II“) hat der Gerichtshof der Europäischen Union das EU-US Privacy Shield mit sofortiger Wirkung für ungültig erklärt. Für tausende europäische Unternehmen, die Daten an US-Dienstleister übermitteln, entfällt damit eine zentrale Rechtsgrundlage. Betroffen sind E-Mail-Provider ebenso wie Cloud-Speicher und Webanalyse-Tools. Wir erläutern die Entscheidung und geben erste Handlungsempfehlungen.

    Hintergrund des Verfahrens

    Der österreichische Datenschutzaktivist Maximilian Schrems wandte sich gegen die Übermittlung seiner Daten durch Facebook Ireland an die Konzernmutter in den USA. Bereits 2015 hatte der EuGH auf seine Beschwerde hin das Safe-Harbor-Abkommen gekippt. Facebook stützte die Übermittlungen anschließend unter anderem auf Standardvertragsklauseln. Die irische Datenschutzbehörde legte dem EuGH daraufhin Fragen zur Wirksamkeit dieser Klauseln vor, im Laufe des Verfahrens auch zum Privacy Shield.

    Die Kernaussagen des EuGH

    • Der Angemessenheitsbeschluss der EU-Kommission zum Privacy Shield (2016/1250) ist ungültig. Die Überwachungsprogramme der US-Behörden sind nicht auf das zwingend erforderliche Maß beschränkt, und Betroffene aus der EU haben keinen wirksamen gerichtlichen Rechtsschutz. Eine Übergangsfrist hat der EuGH nicht gewährt.
    • Der Beschluss der Kommission über Standardvertragsklauseln (2010/87/EU) bleibt wirksam. Ihre bloße Unterzeichnung genügt allerdings nicht.
    • Der Datenexporteur muss, gegebenenfalls gemeinsam mit dem Empfänger, im Einzelfall prüfen, ob im Empfängerland ein der EU im Wesentlichen gleichwertiges Schutzniveau gewährleistet ist. Ist das nicht der Fall, sind zusätzliche Maßnahmen zu ergreifen oder die Übermittlung ist auszusetzen.
    • Die Aufsichtsbehörden sind verpflichtet, Übermittlungen auszusetzen oder zu verbieten, wenn die Klauseln im Drittland nicht eingehalten werden können.

    Was bedeutet das konkret?

    Unternehmen, die sich bisher allein auf die Privacy-Shield-Zertifizierung ihres US-Dienstleisters verlassen haben, brauchen eine neue Grundlage. Wer bereits Standardvertragsklauseln nutzt, muss prüfen, ob diese im konkreten Fall tatsächlich ausreichen. Bei US-Anbietern, die US-Überwachungsgesetzen unterliegen, ist das nach der Begründung des EuGH ohne zusätzliche Maßnahmen schwer darstellbar. Welche zusätzlichen Maßnahmen genügen, ist noch nicht abschließend geklärt; diskutiert wird etwa eine Verschlüsselung, bei der nur der europäische Kunde den Schlüssel hält. Der Europäische Datenschutzausschuss hat angekündigt, hierzu Empfehlungen zu erarbeiten.

    Erste Schritte für Ihr Unternehmen

    1. Stellen Sie fest, welche Dienstleister Daten in die USA oder andere Drittländer übermitteln. Das Verzeichnis von Verarbeitungstätigkeiten und die Liste Ihrer Auftragsverarbeiter sind ein guter Ausgangspunkt.
    2. Prüfen Sie, worauf sich die Übermittlung stützt: auf das Privacy Shield, auf Standardvertragsklauseln oder auf eine Ausnahme nach Art. 49 DSGVO.
    3. Fragen Sie den Anbieter, wie er auf das Urteil reagiert und welche zusätzlichen Garantien er anbietet.
    4. Prüfen Sie, ob es gleichwertige Anbieter mit Sitz und Datenverarbeitung in der EU gibt.
    5. Halten Sie Ihre Prüfung und Entscheidung schriftlich fest.

    Typische Anwendungsfälle sind Videokonferenzdienste, Cloud-Office-Lösungen und Analyse-Tools auf der Website. Hinweise zur Auswahl solcher Dienste finden Sie in unserem Beitrag zu datenschutzkonformen Videokonferenz-Tools. Bei Website-Diensten kommt häufig noch die Einwilligungspflicht für Cookies hinzu, die der BGH jüngst in seinem Urteil „Cookie-Einwilligung II“ bestätigt hat.

    Wer US-Dienstleister einsetzt, sollte die eigenen Drittlandübermittlungen jetzt erfassen und dokumentiert entscheiden, wie es weitergeht. Wir analysieren Ihre Datenflüsse und erarbeiten mit Ihnen eine tragfähige Lösung. Kontaktieren Sie uns oder vereinbaren Sie einen Termin.