Die Vereinigten Staaten gewährleisten ein angemessenes Schutzniveau für personenbezogene Daten, die aus der EU an US-Unternehmen übermittelt werden. Zu diesem Schluss ist die EU-Kommission bei ihrer Prüfung des US-Rechtsrahmens für einen sicheren transatlantischen Datenverkehr gekommen.

Der Entwurf für die Entscheidung des Angemessenheitsbeschlusses für den transatlantischen Datenschutzrahmen bildet die Basis, damit personenbezogene Daten auf der Grundlage starker Schutzgarantien ungehindert zwischen der EU und den USA fließen können.

Er soll auch die vom Gerichtshof der Europäischen Union in seiner Schrems-II-Entscheidung vom Juli 2020 geäußerten Bedenken ausräumen. Konkret wurde der US-Rechtsrahmen daraufhin geprüft, ob er Garantien bietet, die mit denen der EU vergleichbar sind. Der Entwurf ist nun veröffentlicht und wird dem Europäischen Datenschutzausschuss (EDSA) zur Stellungnahme übermittelt.

Věra Jourová, Vizepräsidentin für Werte und Transparenz, sagte: „Als Demokratien müssen wir für die Grundrechte einschließlich des Datenschutzes eintreten. In der zunehmend digitalisierten und datengesteuerten Wirtschaft ist dies kein Luxus, sondern eine Notwendigkeit.“

Didier Reynders, Kommissar für Justiz ergänzte: „In den vergangenen Monaten haben wir den amerikanischen Rechtsrahmen, der durch das US-Dekret geschaffen wurde, in Bezug auf den Schutz personenbezogener Daten bewertet. Wir gehen nun mit Zuversicht zum nächsten Schritt des Annahmeverfahrens über. Unsere Analyse hat ergeben, dass in den USA jetzt strenge Garantien bestehen, die eine sichere Übermittlung personenbezogener Daten zwischen den beiden Seiten des Atlantiks ermöglichen.“

Der vorgelegte Beschlussentwurf schließt an die am 7. Oktober 2022 erfolgte Unterzeichnung eines einschlägigen US-Dekrets durch Präsident Biden und an die diesbezüglich von US-Generalstaatsanwalt Merrick Garland erlassenen Verordnungen an. Mit diesen beiden Instrumenten ist die grundsätzliche EinigungDiesen Link in einer anderen Sprache aufrufenDE•••, die Präsidentin von der Leyen und Präsident Biden im März 2022 verkündet haben, in US-Recht umgesetzt worden.

Zentrale Aspekte

US-Unternehmen können sich dem Datenschutzrahmen EU-USA anschließen, indem sie sich zur Einhaltung detaillierter Datenschutzpflichten verpflichten. Dazu gehört etwa die Pflicht, personenbezogene Daten zu löschen, wenn sie für den Zweck, für den sie erhoben wurden, nicht mehr erforderlich sind. Auch geht es darum, den Fortbestand des Schutzes zu gewährleisten, wenn personenbezogene Daten an Dritte weitergegeben werden. Zudem sollen gegebenenfalls allen EU-Bürgerinnen und -Bürgern, deren personenbezogene Daten in einer gegen den Rahmen verstoßenden Art und Weise behandelt werden, verschiedene Rechtsbehelfe offenstehen (unter anderem unentgeltliche Streitbeilegungsverfahren und eine Schiedsstelle).

Darüber hinaus sieht der US-Rechtsrahmen bestimmte Beschränkungen und Garantien in Bezug auf den Zugang von US-Behörden zu Daten vor, insbesondere für Datenzugriffe zum Zwecke der Strafverfolgung und der nationalen Sicherheit. Dazu gehören die neuen, mit dem US-Dekret eingeführten Vorschriften, in denen die vom Gerichtshof der Europäischen Union im „Schrems II“-Urteil angeführten Kritikpunkte aufgegriffen werden:

Der Zugang der US-Nachrichtendienste zu europäischen Daten soll auf das zum Schutz der nationalen Sicherheit notwendige und verhältnismäßige Maß beschränkt sein;
EU-Bürger sollen im Zusammenhang mit der Erhebung und Verwendung ihrer Daten durch US-Nachrichtendienste auf ein unabhängiges und unparteiisches Rechtsbehelfsverfahren zurückgreifen können, das auch die Befassung eines neu geschaffenen Gerichts zur Datenschutzüberprüfung einschließt. Dieses Gericht soll etwaige Beschwerden von EU-Bürgerinnen und -Bürgern unabhängig untersuchen und beilegen, unter anderem durch die Anordnung verbindlicher Abhilfemaßnahmen.

Europäische Unternehmen sollen sich auf diese Garantien für transatlantische Datenübermittlungen auch dann verlassen können, wenn sie andere Übermittlungsverfahren wie die Verwendung von Standardvertragsklauseln oder verbindlichen unternehmensinternen Vorschriften nutzen.

Nächste Schritte

Der Entwurf des Angemessenheitsbeschlusses wird nun das Annahmeverfahren durchlaufen: In einem ersten Schritt hat die Kommission ihren Beschlussentwurf dem Europäischen Datenschutzausschuss (EDSA) vorgelegt. Anschließend wird die Kommission die Zustimmung eines Ausschusses einholen, der sich aus Vertretern der EU-Mitgliedstaaten zusammensetzt. Darüber hinaus hat das Europäische Parlament ein Recht auf die Kontrolle von Angemessenheitsbeschlüssen. Nach Abschluss dieses Verfahrens kann die Kommission den endgültigen Angemessenheitsbeschluss annehmen.

Die Funktionsweise des Datenschutzrahmens EU-USA soll regelmäßig gemeinsam von der Europäischen Kommission und den europäischen Datenschutzbehörden sowie von den zuständigen US-Behörden überprüft werden. Die erste Überprüfung soll binnen eines Jahres nach dem Inkrafttreten des Angemessenheitsbeschlusses erfolgen, um zu ermitteln, ob alle einschlägigen Elemente des US-Rechtsrahmens vollständig umgesetzt wurden und in der Praxis wirksam funktionieren.

Weitere Informationen und eine Schilderung zum Hintergrund finden Sie hier.

Quelle: EU Kommission