Im dritten Versuch: Neues Daten­schutz­ab­kommen zwi­schen EU und USA

Drei Jahre nach dem Aus der Absprache "Privacy Shield" ist ein neues Datenschutzabkommen zwischen der EU und den USA in Kraft getreten. Die USA gewährleisteten nun ein angemessenes Schutzniveau für personenbezogene Daten, die aus der EU an Unternehmen in Amerika übermittelt würden, teilte die EU-Kommission am Montag in Brüssel mit. Die neue Regelung führe verbindliche Garantien ein, um die zuvor vom Europäischen Gerichtshof (EuGH) geäußerten Bedenken auszuräumen. 

Der EuGH hatte den "Privacy Shield" für die Übermittlung von Daten aus Europa über den Atlantik im Juli 2020 mit der Begründung gekippt, dass das Datenschutzniveau in den USA nicht den Standards der EU entspreche. Die Richter bemängelten vor allem die weitreichenden Zugriffsmöglichkeiten von US-Geheimdiensten auf Daten von Europäern. Der "Privacy Shield" war 2016 entstanden, nachdem auch die Vorgänger-Regelung "Safe Harbor" vom EuGH gekippt worden war.

Das neue Abkommen wurde deshalb von amerikanischer Seite an zwei Stellen nachgeschärft: Die amerikanischen Nachrichtendienste sollen nur dann auf europäische Daten zugreifen dürfen, wenn dies zum Schutz der nationalen Sicherheit notwendig und verhältnismäßig ist. Außerdem soll ein Gericht zur Überprüfung des Datenschutzes eingerichtet werden. Zu diesem Data Protection Review Court sollen Einzelpersonen in der EU Zugang haben. Laut Mitteilung der Kommission sollen dort eingehende Beschwerden unabhängig untersucht und beigelegt werden, unter anderem durch die Anordnung verbindlicher Abhilfemaßnahmen. 

Abkommen zur Vermeidung von Rechtsunsicherheit wichtig

Geklagt hatte gegen die beiden Vorgängerregelungen der österreichische Jurist Max Schrems. Dessen Datenschutzorganisation Noyb beklagte am Montag, dass das neue Abkommen weitgehend eine Kopie des gescheiterten "Privacy Shield" sei. "Wir haben bereits verschiedene juristische Optionen in der Schublade, obwohl wir dieses juristische Pingpong satt haben." Schrems kritisierte an dem neuen Übereinkommen, dass die USA dem Wort "verhältnismäßig" eine andere Bedeutung beimessen würden als der EuGH. 

Bei Unternehmen hatte das Regelungsvakuum nach dem EuGH-Urteil zum "Privacy Shield" große Rechtsunsicherheit hinsichtlich des Datentransfers zwischen der EU und den USA hervorgerufen. Mangels Abkommen musste sich nämlich jedes Unternehmen selbst überlegen, wie es die Einhaltung der Datenschutzgrundverordnung (DSGVO) bei dem Versenden von Daten in die USA gewährleisten kann.

Aufgrund des neuen Abkommens hat nun die EU-Kommission nach Art. 45 der Datenschutzgrundverordnung (DSGVO) einen Angemessenheitsbeschluss getroffen. Ein einem solchen Beschluss wird festgestellt, dass ein bestimmtes Nicht-EU-Land personenbezogene Daten auf einem Schutzniveau, das den europäischen Standards gleichwertig ist, schützt. Dann können europäische Daten an dieses Drittland übermittelt werden, ohne dass Unternehmen spezielle Schutzmaßnahmen nach der DSGVO treffen müssen.

Deshalb ist der neue Angemessenheitsbeschluss für viele europäische Unternehmen wichtig, damit sie Daten rechtssicher zum Beispiel an digitale Dienstleistungsunternehmen wie Cloud-Dienste in den USA senden können.

lfo/LTO-Redaktion mit Material der dpa