Datenschutz EuGH sorgt für dringenden Handlungsbedarf bei der Datenübermittlung in Drittstaaten

Um nachzuweisen, dass ihre Übermittlung personenbezogener Daten aus dem EWR in einen Drittstaat den Anforderungen des EU-Rechts entspricht, müssen Unternehmen fortan erheblich mehr überprüfen und dokumentieren.

Die Datenschutz-Grundverordnung („DSGVO“) verlangt für die Übermittlung von personenbezogenen Daten (nachfolgend schlicht „Daten“) aus dem Europäischen Wirtschaftsraum (EWR) in Staaten, die weder der EU noch dem EWR angehören („Drittstaaten“) eine besondere Absicherung. Je nach Fallgestaltung gibt es dazu verschiedene Möglichkeiten.

Eine solche Möglichkeit, Daten in die USA zu übermitteln, stellte bis vor Kurzem noch das sogenannte EU-U.S. Privacy-Shield-Abkommen dar. Hatte sich ein US-Unternehmen diesem Selbstzertifizierungsmechanismus unterworfen, durften gemäß DSGVO personenbezogene Daten an das US-Unternehmen übermittelt werden. Eine weitere Möglichkeit, Daten in Drittstaaten zu übermitteln, stellen die sogenannten Standardvertragsklauseln der EU-Kommission dar, die dem Transfer unverändert zugrunde gelegt werden müssen. Durch das Urteil des EuGH vom 16. Juli 2020 steht der transatlantische Datentransfer nunmehr auf besonders wackeligen Füßen. Der EuGH hat in besagter Schrems II-Entscheidung nämlich nicht nur den EU-U.S. Privacy Shield für ungültig erklärt, sondern gleichzeitig betont, dass eine Datenübermittlung in ein Zielland mit geringerem Schutzniveau auf Basis der Standardvertragsklauseln nur dann rechtmäßig ist, wenn die Parteien der betreffenden Übermittlung zusätzliche Maßnahmen zur Datensicherung und zur Gewährleistung der Betroffenenrechte ergriffen haben.