EU-Kommission erlässt Angemessenheitsbeschluss für Datenübermittlungen in die USA

Die EU-Kommission hat am 10. Juli 2023 erneut einen Angemessenheitsbeschluss für Datenübermittlungen in die USA erlassen. Auf den ersten Blick schafft es mehr Rechts­­­sicherheit. Trotzdem raten wir davon ab, nun alle Verträge und Maßnahmen auf den Prüfstand zu stellen. Denn es formiert sich bereits Widerstand und ein drittes „Schrems-Urteil” erscheint nicht unwahrscheinlich.

Angemessenheitsbeschluss als Grundlage für eine Drittstaatenübermittlung DS-GVO

In der Vergangenheit war es zunehmend problematisch, wenn Unternehmen mit Dienstleistern zusammen­gearbeitet haben, die US-Mutterkonzerne hatten oder die Datenverarbeitungen (auch) in den USA vorge­nommen haben. Nachdem der EuGH im sogenannten „Schrems-Urteil” am 6. Oktober 2015 das „Safe Harbor”-Abkommen kippte, hatte die EU-Kommission am 12. Juli 2016 auf Basis des „EU-US-Privacy-Shields” erneut einen Angemessenheitsbeschluss erlassen. Auch dieser Beschluss hatte nur kurzen Bestand und wurde am 16. Juli 2020 im Urteil „Schrems II” erneut vom EuGH kassiert. Es folgte eine Zeit der Rechtsunsicherheit, in der sich die datenschutzrechtlichen Kommentatoren rege darüber stritten, welche Lehren aus dem vorgenannten Urteil zu ziehen sein sollten. Ursprünglich war die Verwendung sogenannter Standardvertragsklauseln als „geeignete Garantie” im Sinne des Art. 46 Abs. 2 lit. c) DS-GVO angesehen worden. Durch „Schrems II” wurde aber klar, dass der EuGH auch das nur dann als rechtssicher ansehen würde, wenn zuvor auf einer einzelfall­bezogenen Basis ermittelt wurde, welche konkreten Gefahren für betroffene Personen durch die geplante Über­mittlung entstehen würden. Es entwickelte sich erneut eine rege Diskussion darüber, welche Anforderungen an ein so­genanntes „Transfer Impact Assessment” (kurz: TIA) zu stellen waren. Etliche Leitfäden fanden ihren Weg ins Netz. Im Ergebnis kam es aber nicht zu einer Rechtsklarheit für Unternehmen. Die meisten blieben dabei, sich nicht auf später aktualisierte Standardvertragsklauseln zu verlassen, sondern jeden Nutzer um seine „infor­mier­te” Einwilligung zu Datenübermittlungen in die USA zu bitten. Diese Praxis führte vor allem zu unüber­sichtlichen Einblendungen auf Webseiten, wie man sie aktuell – und vermutlich auch weiterhin – sieht.

Warum der Beschluss keine Veränderung bringen wird

Wie die Historie zeigt, waren europäische Rechtsakte zur Herstellung einer Basis zur Datenübermittlung in die USA selten von langem Bestand. Für die Wirtschaft hatte das Tauziehen um die Durchsetzung von Bürger­rechten gegenüber einem schier übermächtigen Partner wie den USA massive Auswirkungen. Über vielen Unter­nehmen schwebte stets das Damoklesschwert des Bußgeldrisikos und der damit verbundenen Repu­tationsschäden. Dass die Aufsichtsbehörden die Vorgaben der Rechtsprechung nicht konsequent umsetzen würden, konnte vorher niemand wissen. Damit waren entsprechende Planungen für Unternehmen unmöglich. Zugleich war die Zusammenarbeit mit US-Dienstleistern für viele Marktteilnehmer in etlichen Branchen uner­lässlich, wollte man keine erheblichen Wettbewerbsnachteile erleiden.

Mit der Einwilligung des Betroffenen als „Ersatzmittel” für einen Angemessenheitsbeschluss oder Standard­vertragsklauseln hat sich zwischenzeitlich ein für die Wirtschaft gangbarer Weg herauskristallisiert. Dennoch stellt sie keine optimale Lösung dar, denn die Anforderungen an die Wirksamkeit einer Einwilligung sind gleich­falls hoch. Zudem sind Einwilligungen grundsätzlich (mit wenigen Ausnahmen) widerruflich. Sie bieten folglich keine dauerhafte Rechtssicherheit.

Wer einen für sich geeigneten, gangbaren und erprobten Weg der Zusammenarbeit mit US-Dienstleistern ge­funden hat, sollte von ihm nicht vorschnell abweichen. Denn
Max Schrems hat über seine Organisation noyb bereits angekündigt, gegen den Angemessenheitsbeschluss erneut vorgehen zu wollen.

Fazit

Es bleibt abzuwarten, ob der EuGH den nun veröffentlichen Angemessenheitsbeschluss erneut für ungültig er­klären wird. Nachdem dies absehbar erscheint, ist zunehmend fraglich, ob die Europäische Kommission es sich weiterhin zum Ziel setzen sollte, für die Durchsetzbarkeit europäischer Bürgerrechte in den USA zu sorgen. Denn das erscheint – bei aller Neutralität -­ unrealistisch. Es wäre gegenüber europäischen Bürgern und Unter­nehmen womöglich zielführender und ehrlicher, auf die Stärkung der europäischen Datenindustrie hinzuwirken und der europäischen Wirtschaft die Nutzung lokaler Dienste ohne drohende Wettbewerbsnachteile zu er­möglichen.