„privacy shield“ ist unzulässig

Der Europäische Gerichtshof hat soeben (16.07.2020) den „privacy shield“, der den Transfer von Daten in die USA erlaubt hatte, für unzulässig erklärt.(Pressemitteilung)

Der „privacy shield“, hinter dem der „Beschluss 2016/1250 über die Angemessenheit des vom EU-US-Datenschutzschild gebotenen Schutzes“ stand, sei vor allem aus zwei Gründen unzulässig:Die in den USA erlaubten

1. Zugriffe US-amerikanischer Behörden auf personenbezogene Daten, die in die USA importiert würden, sei nach europäischem Recht unzulässig und durch den „privacy shield“ nicht in ausreichendem Maße eingeschränkt.

2. Die Betroffenen, deren Daten aus Europa in die USA tranferiert würden, seien in ihren Rechtsschutzmöglichkeiten gegen Missbrauch ihrer Daten in den USA nicht ausreichend geschützt.

Die Möglichkeit, Daten durch sogenannte Standardverträge legal in die USA zu transferieren, bleibe unberührt und damit weiterhin zulässig.

Kommentar von Kai Stumper, RA bei firstlex.de:

Dieses Urteil wurde von zahlreichen Insidern innerhalb der Datenschutz-Szene vorhergesehen. In meinen Verhandlungen über Betriebsvereinbarungen in international aufgestellten Konzernen wurden mir noch bis in die jüngste Zeit Dokumente vorgelegt, die belegen sollten, dass der Datentransfer in die USA aufgrund des „privacy shield“ erfolge und damit zulässig sei.
Meine Hinweise darauf, dass dies unklug sei und man doch wenigstens Standardverträge nutzen möge, wurden regelmäßig ignoriert.

Ganz gruselig wird es, wenn man im Unternehmen glaubt, man könne internationale Datentransfers durch sogenannte „joint controllership agreements“ gem. Art. 26 DSGVO legitimieren. Wenn man auf diese Meinung trifft, sollte man am besten der anderen Seite eine Pause gönnen. Oder einen kompetenten Rechtsanwalt.