Schrems II: Reaktionen auf das Urteil und Empfehlungen der Aufsichtsbehörden – Update #19

• Bei der Verwendung von SCCs oder BCRs haben Datenexporteur und -importeur das Schutzniveau im betreffenden Drittland zu prüfen, um festzustellen, ob die dadurch gebotenen Garantien in der Praxis eingehalten werden können.
• Andernfalls ist zu prüfen, ob zusätzliche Maßnahmen zu ergreifen sind, um ein im Wesentlichen gleichwertiges Schutzniveau wie in der EU zu gewährleisten, und ob das Recht des Drittlandes diese zusätzlichen Maßnahmen nicht beeinträchtigt, um ihre Wirksamkeit zu verhindern. 
• Zur Beurteilung der geeigneten Garantien bei Überwachungsmaßnahmen hat der EDSA Empfehlungen veröffentlicht; die vier wesentlichen Garantien sind ein Basieren der Verarbeitung auf klaren, präzisen und zugänglichen Regeln, Notwendigkeit und Angemessenheit im Hinblick auf die legitimen Zwecke, das Bestehen eines unabhängigen Aufsichtsmechanismus sowie ein effektiver Rechtsschutz für die Betroffenen.
• EDSA bezieht sich in der 43. Plenarsitzung auf die Herausforderungen, welche mit dem Datentransfer in Dritt-länder im Zusammenhang mit dem Brexit einhergehen und verabschiedet ein Informationsvermerk zum DSGVO-konformen Datentransfer nach der Brexit-Übergangszeit.

• Wenn die Beurteilung im Einzelfall zu dem Ergebnis führt, dass das Land des Datenimporteurs kein im Wesentlichen gleichwertiges Schutzniveau bietet, müsse der Exporteur unter Umständen zusätzliche Schutzmaßnahmen zu den in den Standardvertragsklauseln enthaltenen Maßnahmen in Betracht ziehen.
• Der europäische Datenschutzausschuss untersucht weiter, worin diese zusätzlichen Maßnahmen bestehen könnten. Dafür hat er eine Arbeitsgruppe eingesetzt. Diese soll möglichst bis Ende November 2020 weitere Orientierungshilfen zur Verfügung stellen.
• Der europäische Datenschutzausschuss hat eine Empfehlung dazu entworfen, wie Transferwerkzeuge zu ergänzen sind. Hierzu gehören z.B. Pseudonymisierung, eine auch gegen den Empfänger wirksame Verschlüsselung oder die Wahl eines Empfängers, der durch das Recht des Ziellandes vor Zugriffen geschützt ist. Im Gegensatz hierzu soll bei Anbietern, die auf die Daten im Klartext zugreifen müssen (z.B. bei Cloud Processing) und gegenüber denen öffentliche Stellen, über das für eine demokratische Gesellschaft notwendige Maß hinaus Zugriffsbefugnisse haben, keine datenschutzkonforme Übermittlung möglich sein.
• Die Übermittlungen in das Vereinigte Königreich erfordere angemessene Garantien (z. B. SCCs, verbindliche Unternehmensregeln, Verhaltenskodizes etc.) sowie durchsetzbare Rechte der betroffenen Personen und wirksame Rechtsbehelfe für diese i.S.v. Art. 46 DSGVO. Unter bestimmten Bedingungen sei es immer noch möglich, personenbezogene Daten in das Vereinigte Königreich zu übermitteln (Ausnahmeregelung in Art. 49 DSGVO). Allerdings müsse Art. 49 DSGVO restriktiv ausgelegt werden und beziehe sich hauptsächlich auf Verarbeitungen, die gelegentlich und nicht wiederholend sind.
• Die Verantwortlichen müssen insbesondere der Notwendigkeit, die Aufzeichnungen über die Verarbeitung und die Datenschutzhinweise zu aktualisieren, nachkommen, um Übermittlungen in das Vereinigte Königreich zu erfassen.

• SCCs können für eine Übermittlung personenbezogener Daten in die USA und andere Drittländer grundsätzlich weiterverwendet werden, allerdings nur im Falle der USA nur mit zusätzlichen Schutzmaßnahmen.
• Die Bewertung eines gleichwertigen Datenschutzes in Drittländern obliegt dem Verantwortlichen und dem Empfänger.

• Falls im Drittland kein entsprechender Schutz gewährleistet werden kann, sollte geprüft werden, welche zusätzlichen Schutzmaßnahmen möglich sind.
• Dies gelte auch für BCRs. Daher müssen auch für Datenübermittlungen auf der Grundlage von BCRs zusätzliche Schutzmaßnahmen vereinbart werden, sofern die Rechte der betroffenen Personen im Drittland nicht ein gleichwertiges Schutzniveau wie in der Union genießen.
• Spricht sich für Verschlüsselung als zentrales Mittel zur Sicherung von Datenübertragungen in Drittländer aus.
• Datentransfer in das Vereinigte Königreich weiterhin unter den bisherigen Voraussetzungen möglich (gem. des Entwurfs eines Handels- und Zusammenarbeitsabkommens zwischen dem Vereinigten Königreich und der EU)

• Der internationale Datenverkehr ist weiterhin möglich, wobei es für eine Übermittlung in die USA zusätzlicher Schutzmaßnahmen bedürfe. Als solche kommen insb. Verschlüsselung und Pseudonymisierung in Betracht.
• Unternehmen sollen Verträge mit Dienstleistern prüfen, ob und wie diese Daten in Drittländern übermitteln.
• Die Orientierungshilfe des EDSA werde detaillierter als eine bloße Checkliste sein. Der EDSA werde sie wahrscheinlich in der ersten Novemberwoche verabschieden.

16. Juli 2020: 1. Presseerklärung
24. Juli 2020: 2. Presseerklärung
1. Oktober 2020: Interview mit Ulrich Kelber (BfDI)
8. Oktober 2020: Informationsschreiben mit Kernaussagen des Urteils und Prüfschema für internationale Datentransfers
24. Oktober 2020: Podcast-Interview mit Ulrich Kelber

• SCCs wurden durch den EuGH nicht prinzipiell für unwirksam erklärt.
• Hier müssten die europäischen Unternehmen und im Anschluss die Datenschutzbehörden im Einzelfall prüfen, ob sie ausreichen. Dies gelte auch für andere Drittländer (z.B. Vereinigtes Königreich). Im Fall der Vereinigten Staaten liege das Ergebnis dieser Prüfung aber auf der Hand, denn praktisch kein US-amerikanisches Unternehmen könne glaubhaft garantieren, dass es vom Zugriff der Geheimdienste verschont bleiben wird. Weiterverarbeitungen auf Basis des Privacy Shields werde zu Bußgeldern führen. SCCs seien nur in seltenen Fällen denkbar. Entscheidung betreffe auch andere Staaten (z.B. UK). Weiterverarbeitung auf Basis des Privacy Shields führe zu Bußgeldern. Standardvertragsklauseln seien nur in seltenen Fällen denkbar.
• Kritisiert EuGH, da dieser anderen Staaten europäische Vorstellungen von Datenschutz aufzwinge und die Entscheidung für Unternehmen nur schwer umzusetzen sei.

• Unternehmen sollen prüfen, welche Daten sie in welche Länder exportieren. Ein Datenexport sei auch die bloße Möglichkeit des Zugriffs (z.B. bei Wartung). Anschließend müssen sie prüfen, ob es einen Angemessenheitsbeschluss für das jeweilige Land gibt und wenn nein, wie die Rechtslage in dem jeweiligen Drittland ist.
• Datenexporte auf Basis des Privacy Shields seien umgehend einzustellen bis ein neuer Transfermechanismus gefunden sei.
• Dieser neue Transfermechanismus sei in den Datenschutzhinweisen und in dem Verzeichnis der Verarbeitungstätigkeiten zu einzutragen.
• Bei Standardvertragsklauseln seien in jedem Fall bestimmte Ergänzungen an den Klauseln vorzunehmen (Formulierungsvorschläge in Orientierungshilfe S. 11–13.)
• Bei SCCs seien in jedem Fall bestimmte Änderungen an den Klauseln vorzunehmen (Formulierungsvorschläge in Orientierungshilfe S. 11-13f.) Es bedürfe zudem maßgeschneiderter zusätzlicher Schutzmaßnahmen, die beispielsweise darin bestehen könnten, dass Datenexporteure (insb. Anbieter von Cloud-Diensten) die Daten nachweislich in einer Weise verschlüsseln, bei welcher allein der Datenexporteur den Schlüssel hat und die auch die Geheimdienste nicht überwinden können.
• Zentral sei, ob zumutbare Alternativangebote ohne Transferproblematik bestehen (z.B. Vereinbarung, dass Daten in einem der Mitgliedstaaten der DSGVO gehostet werden oder dass keine Datenübertragung in die USA vorgenommen wird, S. 8 und 10). Wenn solche existieren, werde der LfDI Baden-Württemberg diesen Datentransfer untersagen.
• Beispiel Microsoft: Laut dem LfDI seien die ergriffenen Maßnahmen ein gutes Beispiel, an welchem sich andere Unternehmen orientieren können. Microsoft habe seine SCCs wie folgt ergänzt: (i) Anerkennung des Ersatzes von ma-teriellen und immate-riellen Schäden von Betroffenen in Europa, (ii) Verpflichtung, gegen Anordnungen der U.S.-Sicherheitsbehörde gerichtliche vorzugehen, soweit dies möglich ist und (iii) die Informationspflicht der Betroffenen, solle eine staatliche Anordnung rechtlich bindend dazu verpflichten, Daten an US-Sicherheitsbehörden herauszugeben. Es seien weitere Maß-nahmen erforderlich, wie beispielsweise die Verschlüsselung, um den Anforderungen des Urteils gerecht zu werden.
• Brexit: Unternehmen sollen sich für den Fall vorbereiten, dass die EU-Kommission keine Adäquanzentscheidung i.S.v. Art. 45 Abs. 3 DSGVO und Art. 36 Abs. 3 der Richtlinie (EU) 2016/680 für das Vereinigte Königreich trifft.

Bereits ins Drittland übermittelte Daten müssen zurückgeholt werden. Anders als bisher verbreitet vertreten, genügt der reine Abschluss von SCCs nicht, um Datenexporte zu ermöglichen.

Für die USA bestehe kein solch gleichwertiger Schutz. Daher seien zusätzliche Schutzmaßnahmen zwingend erforderlich.

Die Anforderungen an eine Einwilligung nach Art. 49 DSGVO seien sehr hoch.

Datentransfer in das Vereinigte Königreich ist vorerst weiterhin möglich.

Insb. sei offen, ob eine Ergänzung der SCCs in der konkreten Vertragsbeziehung als zusätzliche Schutzmaßnahme geeignet sein könne, insb. z.B. unter Geltung von Sicherheitsgesetzen wie Sec. 702 Foreign Intelligence Surveillance Act (FISA), da die US-Behörden nicht an die SCCs gebunden sind.

Der LfDI Rheinland-Pfalz hat im Rahmen einer „Informationsoffensive″ zum Thema ein Prüfschema veröffentlicht, um die Prüfung durch Verantwortliche zu erleichtern.

• Die SCCs müssen ggf. durch weitere Vereinbarungen oder Elemente ergänzt werden, um sicherzustellen, dass bei der Datenübermittlung in den Drittstaat das angemessene Schutzniveau erhalten ist. Für Datenübermittlungen in die USA bedeute dies, dass erhebliche Anstrengungen der Verantwortlichen erforderlich sind, die vermutlich nur in seltenen Fällen als ausreichend angesehen werden können. Dies sei aber eine Frage des Einzelfalles. Zugleich müssen die Verantwortlichen ihre Datenübermittlungen in andere Drittstaaten, z.B. Indien, China oder Russland daraufhin prüfen, ob sie dem Datenschutzniveau entsprechen, das die Datenschutz-Grundverordnung verlangt.
• Unternehmen müssen Alternativdienste aus dem EEA nutzen, selbst wenn sie teurer sind.
• Der LfDI Rheinland-Pfalz werde im Rahmen von Beschwerden oder ansonsten mittelfristig auf Unternehmen zukommen, um entsprechende Darlegungen zu erhalten.
• Wesentliche Änderungen an SCCs sowie BCRs oder ein Code of Conduct („CoC″) müssen der Aufsichtsbehörde mit Antrag auf Genehmigung vorgelegt werden. Eine konti-nuierliche Prüfung der Voraussetzungen der Übermittlung durch den Verantwortlichen ist nötig.
• Brexit: Laut Prof. Dr. Kugelmann sollen Unternehmen ggf. ihre Geschäftsprozesse anpassen, sollte keine Angemessenheitsentscheidung durch die Kommission zum Ende der Übergangszeit für den Datentransfer in das Vereinigte Königreich vorliegen.

Der LfDI Thüringen verweist im Übrigen auf die „Informationsoffensive″ des LfDI Rheinland-Pfalz und die dort veröffentlichten Materialien (siehe oben).

Nach dem 1. Januar 2021 müssen Institute und Unternehmen keine Maßnahmen in Bezug auf den Transfer personenbezogener Daten aus Island in das Vereinigte Königreich ergreifen. Künftige Regelungen für die Weitergabe personenbezogener Daten an das Vereinigte Königreich werden in den kommenden Monaten getroffen.

Brexit: 1) Übergangsperiode: Es seien keine zusätzlichen Formalitäten für Verantwortliche und Auftragsverarbeiter in den EU/EWR-Mitgliedstaaten oder im Vereinigten Königreich erforderlich; 2) Mit Ablauf der Übergangsperiode sei das Vereinigte Königreich ein Drittland. Liegt kein Angemessenheitsbeschluss vor, müsse auf alternative Maßnahmen des Kapitel V DS-GVO zurückgegriffen werden.

Vorlage eines Musterformulars für SCCs zur öffentlichen Konsultation. Im Anschluss werden die Vorschläge dem EDSA zur Bewertung vorgelegt.

Brexit: CNPD veröffentlicht Brexit Guidance über die Konsequenzen auf den Datentransfer in das Vereinigte Königreich

Die Datenschutzbehörde stellt allgemeine Informationen über den Datentransfer in das Vereinigte Königreich bereit und bezieht sich dabei auf das Erfordernis eines Angemessenheitsbeschlusses bzw. das Ergreifen von Maßnahmen durch Unternehmen für den Datentransfer in das Vereinigte Königreich als Drittland, sollte ein solcher nicht beschlossen werden.

Brexit: Bevor ein Angemessenheitsbeschluss ergeht muss das britische Datenschutzrecht im Zusammenhang mit der DS-GVO und der Rechtsprechung des EUGHs evaluiert werden.

Für die Umsetzung des Urteils in den EU-Ländern sei jedenfalls eine einheitliche europäische Herangehensweise erforderlich.

• Verantwortliche sollen von Swiss-U.S. Privacy Shield auf SCCs oder BCRs umstellen.
• Unternehmen müssen prüfen, ob der Datenimporteur in der Lage ist die vom Schweizer Recht vorgesehene Mitwirkung zu leisten.
• Ergänzung der SCCs sei erwägenswert (wobei keine Formulierungsbeispiele geliefert werden).
• Zusätzliche Schutzmaßnahme seien erforderlich, wenn andernfalls das angemessene Datenschutzniveau nicht gewahrt werden könne (z.B. Verschlüsselung).
• Andernfalls sei ein Verzicht auf den Datenexport zu empfehlen.
• Es würden noch weitere Hinweise für Verantwortliche folgen.

Zusätzliche Sicherheitsmaßnahmen prüfen (z.B. Verschlüsselung ohne Hintertür, Metadaten nur in der EU).

Der ICO empfiehlt, dass Unternehmen bis zum 1. Juli 2021 mit EU- und EWR-Organisationen, die personenbezogene Daten an sie übermitteln, zusammenarbeiten, um alternative Übermittlungsmechanismen einzurichten, damit der freie Datentransfer personenbezogener Daten aus der EU nach Großbritannien nicht unterbrochen wird. Dazu veröffentlicht die ICO Anleitungen und Maßnahmen. Für die meisten Unternehmen und Organisationen seien SCCs die beste Lösung.