Schrems II: Reaktionen der Aufsichtsbehörden – Update #11

• Bei der Verwendung von SCCs oder BCRs haben Datenexporteur und -importeur das Schutzniveau im betreffenden Drittland zu prüfen, um festzustellen, ob die dadurch gebotenen Garantien in der Praxis eingehalten werden können.
• Andernfalls ist zu prüfen, ob zusätzliche Maßnahmen zu ergreifen sind, um ein im Wesentlichen gleichwertiges Schutzniveau wie in der EU zu gewährleisten, und ob das Recht des Drittlandes diese zusätzlichen Maßnahmen nicht beeinträchtigt, um ihre Wirksamkeit zu verhindern.

• Wenn die Beurteilung im Einzelfall zu dem Ergebnis führt, dass das Land des Datenimporteurs kein im Wesentlichen gleichwertiges Schutzniveau bietet, müsse der Exporteur unter Umständen zusätzliche Schutzmaßnahmen zu den in den Standardvertragsklauseln enthaltenen Maßnahmen in Betracht ziehen.
• Der europäische Datenschutzausschuss untersucht weiter, worin diese zusätzlichen Maßnahmen bestehen könnten. Dafür hat er eine Arbeitsgruppe eingesetzt. Diese soll möglichst bis Ende November 2020 weitere Orientierungshilfen zur Verfügung stellen.

• SCCs können für eine Übermittlung personenbezogener Daten in die USA und andere Drittländer grundsätzlich weiterverwendet werden, allerdings nur im Falle der USA nur mit zusätzlichen Schutzmaßnahmen.
• Die Bewertung eines gleichwertigen Datenschutzes in Drittländern obliegt dem Verantwortlichen und dem Empfänger.

• Falls im Drittland kein entsprechender Schutz gewährleistet werden kann, sollte geprüft werden, welche zusätzlichen Schutzmaßnahmen möglich sind.
• Dies gelte auch für BCRs. Daher müssen auch für Datenübermittlungen auf der Grundlage von BCRs zusätzliche Schutzmaßnahmen vereinbart werden, sofern die Rechte der betroffenen Personen im Drittland nicht ein gleichwertiges Schutzniveau wie in der Union genießen.

• Der internationale Datenverkehr ist weiterhin möglich, wobei es für eine Übermittlung in die USA zusätzlicher Schutzmaßnahmen bedürfe. Als solche kommen insb. Verschlüsselung und Pseudonymisierung in Betracht.
• Unternehmen sollen Verträge mit Dienstleistern prüfen, ob und wie diese Daten in Drittländern übermitteln.
• Die Orientierungshilfe des EDSA werde detaillierter als eine bloße Checkliste sein. Der EDSA werde sie wahrscheinlich in der ersten Novemberwoche verabschieden.

16. Juli 2020: 1. Presseerklärung
24. Juli 2020: 2. Presseerklärung
1. Oktober 2020: Interview mit Ulrich Kelber (BfDI)
8. Oktober 2020: Informationsschreiben mit Kernaussagen des Urteils und Prüfschema für internationale Datentransfers
24. Oktober 2020: Podcast-Interview mit Ulrich Kelber

• SCCs wurden durch den EuGH nicht prinzipiell für unwirksam erklärt.
• Hier müssten die europäischen Unternehmen und im Anschluss die Datenschutzbehörden im Einzelfall prüfen, ob sie ausreichen. Dies gelte auch für andere Drittländer (z.B. UK). Im Fall der Vereinigten Staaten liege das Ergebnis dieser Prüfung aber auf der Hand, denn praktisch kein US-amerikanisches Unternehmen könne glaubhaft garantieren, dass es vom Zugriff der Geheimdienste verschont bleiben wird. Weiterverarbeitungen auf Basis des Privacy Shields werde zu Bußgeldern führen. SCCs seien nur in seltenen Fällen denkbar.
• Entscheidung betreffe auch andere Staaten (z.B. UK).
• Weiterverarbeitung auf Basis des Privacy Shields führe zu Bußgeldern. Standardvertragsklauseln seien nur in seltenen Fällen denkbar.
• Kritisiert EuGH, da dieser anderen Staaten europäische Vorstellungen von Datenschutz aufzwinge und die Entscheidung für Unternehmen nur schwer umzusetzen sei.

• Unternehmen sollen prüfen, welche Daten sie in welche Länder exportieren. Ein Datenexport sei auch die bloße Möglichkeit des Zugriffs (z.B. bei Wartung). Anschließend müssen sie prüfen, ob es einen Angemessenheitsbeschluss für das jeweilige Land gibt und wenn nein, wie die Rechtslage in dem jeweiligen Drittland ist.
• Datenexporte auf Basis des Privacy Shields seien umgehend einzustellen bis ein neuer Transfermechanismus gefunden sei.
• Dieser neue Transfermechanismus sei in den Datenschutzhinweisen und in dem Verzeichnis der Verarbeitungstätigkeiten zu einzutragen.
• Bei Standardvertragsklauseln seien in jedem Fall bestimmte Ergänzungen an den Klauseln vorzunehmen (Formulierungsvorschläge in Orientierungshilfe S. 11–13.)
• Bei SCCs seien in jedem Fall bestimmte Änderungen an den Klauseln vorzunehmen (Formulierungsvorschläge in Orientierungshilfe S. 11-13f.) Es bedürfe zudem maßgeschneiderter zusätzlicher Schutzmaßnahmen, die beispielsweise darin bestehen könnten, dass Datenexporteure (insb. Anbieter von Cloud-Diensten) die Daten nachweislich in einer Weise verschlüsseln, bei welcher allein der Datenexporteur den Schlüssel hat und die auch die Geheimdienste nicht überwinden können.
• Zentral sei, ob zumutbare Alternativangebote ohne Transferproblematik bestehen (z.B. Vereinbarung, dass Daten in einem der Mitgliedstaaten der DSGVO gehostet werden oder dass keine Datenübertragung in die USA vorgenommen wird, S. 8 und 10). Wenn solche existieren, werde der LfDI Baden-Württemberg diesen Datentransfer untersagen.

Bereits ins Drittland übermittelte Daten müssen zurückgeholt werden. Anders als bisher verbreitet vertreten, genügt der reine Abschluss von SCCs nicht, um Datenexporte zu ermöglichen.

Für die USA bestehe kein solch gleichwertiger Schutz. Daher seien zusätzliche Schutzmaßnahmen zwingend erforderlich.

Die Anforderungen an eine Einwilligung nach Art. 49 DSGVO seien sehr hoch.

Unternehmen müssen umfassend analysieren, ob SSCs ausreichend sind und zusätzliche Schutzmaßnahmen erwägen. Diese können rechtlicher, technischer oder organisatorischer Art sein.

Insb. sei offen, ob eine Ergänzung der SCCs in der konkreten Vertragsbeziehung als zusätzliche Schutzmaßnahme geeignet sein könne, insb. z.B. unter Geltung von Sicherheitsgesetzen wie Sec. 702 Foreign Intelligence Surveillance Act (FISA), da die US-Behörden nicht an die SCCs gebunden sind.

• Die SCCs müssen ggf. durch weitere Vereinbarungen oder Elemente ergänzt werden, um sicherzustellen, dass bei der Datenübermittlung in den Drittstaat das angemessene Schutzniveau erhalten ist. Für Datenübermittlungen in die USA bedeute dies, dass erhebliche Anstrengungen der Verantwortlichen erforderlich sind, die vermutlich nur in seltenen Fällen als ausreichend angesehen werden können. Dies sei aber eine Frage des Einzelfalles. Zugleich müssen die Verantwortlichen ihre Datenübermittlungen in andere Drittstaaten, z.B. Indien, China oder Russland daraufhin prüfen, ob sie dem Datenschutzniveau entsprechen, das die Datenschutz-Grundverordnung verlangt.
• Unternehmen müssen Alternativdienste aus dem EEA nutzen, selbst wenn sie teurer sind.
• Der LfDI Rheinland-Pfalz werde im Rahmen von Beschwerden oder ansonsten mittelfristig auf Unternehmen zukommen, um entsprechende Darlegungen zu erhalten.

Für die Umsetzung des Urteils in den EU-Ländern sei jedenfalls eine einheitliche europäische Herangehensweise erforderlich.

• Verantwortliche sollen von Swiss-U.S. Privacy Shield auf SCCs oder BCRs umstellen.
• Unternehmen müssen prüfen, ob der Datenimporteur in der Lage ist die vom Schweizer Recht vorgesehene Mitwirkung zu leisten.
• Ergänzung der SCCs sei erwägenswert (wobei keine Formulierungsbeispiele geliefert werden).
• Zusätzliche Schutzmaßnahme seien erforderlich, wenn andernfalls das angemessene Datenschutzniveau nicht gewahrt werden könne (z.B. Verschlüsselung).
• Andernfalls sei ein Verzicht auf den Datenexport zu empfehlen.
• Es würden noch weitere Hinweise für Verantwortliche folgen.

Zusätzliche Sicherheitsmaßnahmen prüfen (z.B. Verschlüsselung ohne Hintertür, Metadaten nur in der EU).