Ein für Unternehmen immer noch leidiger Dauerbrenner: Um das Datenschutzrisiko beim Datentransfer in Länder außerhalb des EWR zu minimieren, muss bei der Verwendung der Standardvertragsklauseln (SCC) im Einzelfall die Rechtslage im Zielland geprüft werden: Erlaubt das nationale Recht dem Datenimporteur, die Vertragsregeln einzuhalten? Oder bestehen nationale Rechtsvorschriften, die dies ausschließen? Diese notwendige Prüfung und Risikobewertung ist in der Praxis komplex. Die Aufsichtsbehörden haben nun Gutachten veröffentlicht, um die Praxis zu entlasten – sie geben Hinweise zu den USA, China, Indien und Russland.
Seit der EuGH-Entscheidung in Sachen Schrems-II im Juli 2020 besteht in der EU und dem EWR Rechtsunsicherheit, ob und inwiefern personenbezogene Daten datenschutzkonform in Drittstaaten übermittelt werden können. Gerade auf US-Dienstleister können viele Unternehmen nicht verzichten, da alternative EU-Lösungen nicht in der gleichen Praktikabilität flächendeckend verfügbar sind.
Wer Daten in Drittstaaten übermitteln will, muss die nationale Rechtslage im Rahmen eines sog. Data Transfer Impact Assessment prüfen: Wie kann ein angemessenes Datenschutzniveau im Zielland gewährleistet werden? Dies umfasst auch die Prüfung, ob nationales Recht mit dem EU-Recht unvereinbare Behördenzugriffe zulässt.
Diese Prüfung stellt die Praxis dort vor erhebliche Herausforderungen, wo die Kommission keinen Angemessenheitsbeschluss erlassen hat.
Die von den Datenschutzaufsichtsbehörden in Auftrag gegebenen Rechtsgutachten, die nun veröffentlicht wurden, können hier den Unternehmen als Hilfe dienen:
- USA: Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) veröffentlichte am 25.01.2022 ein externes Rechtsgutachten vom 15.11.2021, das den aktuellen Stand des US-Überwachungsrechts und der Überwachungsbefugnisse aufbereitet (Originalversion in Englisch, übersetzter Volltext als unverbindliche Arbeitshilfe in Deutsch sowie eine Zusammenfassung der wesentlichen Befunde). Der beauftragte Gutachter, Prof. Stephen I. Vladeck, war bereits einer der Sachverständigen für Facebook im Rahmen des irischen Gerichtsverfahrens, das im Schrems-II-Urteil mündete. Vor diesem Hintergrund nimmt das veröffentlichte Gutachten an verschiedenen Stellen auf die Ausführungen seines Expertenberichts in diesem Fall Bezug.
- China, Indien und Russland: Das vom Europäischen Datenschutzausschuss (EDSA) in Auftrag gegeben Expertengutachten, das am 08.11.2021 auf der Website des EDSA veröffentlicht wurde, befasst sich ebenfalls mit der Rechtslage und der Behördenpraxis in Bezug auf den Schutz personenbezogener Daten in Drittstaaten, namentlich China, Indien und Russland.