Schrems II: Reaktionen der Aufsichtsbehörden – Update #6

• Bei der Verwendung von SCCs oder Binding Corporate Rules (BCRs) haben Datenexporteur und -importeur das Schutzniveau im betreffenden Drittland zu prüfen, um festzustellen, ob die dadurch gebotenen Garantien in der Praxis eingehalten werden können.
• Andernfalls ist zu prüfen, ob zusätzliche Maßnahmen zu ergreifen sind, um ein im Wesentlichen gleichwertiges Schutzniveau wie in der EU zu gewährleisten, und ob das Recht des Drittlandes diese zusätzlichen Maßnahmen nicht beeinträchtigt, um ihre Wirksamkeit zu verhindern.

• Wenn die Beurteilung im Einzelfall zu dem Ergebnis führt, dass das Land des Datenimporteurs kein im Wesentlichen gleichwertiges Schutzniveau bietet, müsse der Exporteur unter Umständen zusätzliche Maßnahmen zu den in den Standardvertragsklauseln enthaltenen Maßnahmen in Betracht ziehen.
• Der europäische Datenschutzausschuss untersucht weiter, worin diese zusätzlichen Maßnahmen bestehen könnten und wird zukünftig weitere Orientierungshilfen zur Verfügung stellen. Dafür hat er eine Arbeitsgruppe eingesetzt.

• Standardvertragsklauseln können für eine Übermittlung personenbezogener Daten in die USA und andere Drittländer grundsätzlich weiterverwendet werden, allerdings nur im Falle der USA nur mit zusätzlichen Schutzmaßnahmen.
• Die Bewertung eines gleichwertigen Datenschutzes in Drittländern obliegt dem Verantwortlichen und dem Empfänger.

• Falls im Drittland kein entsprechender Schutz gewährleistet werden kann, sollte geprüft werden, welche alternativen Schutzmaßnahmen möglich sind.
• Dies gelte auch für verbindliche interne Datenschutzvorschriften (BCRs). Daher müssen auch für Datenübermittlungen auf der Grundlage von BCRs ergänzende Maßnahmen vereinbart werden, sofern die Rechte der betroffenen Personen im Drittland nicht ein gleichwertiges Schutzniveau wie in der Union genießen.

• Standardvertragsklauseln sind weiterhin mögliche Grundlagen des Datentransfers.
• Schließt sich FAQ des EDSA vollständig an

• Der internationale Datenverkehr ist weiterhin möglich, wobei es für eine Übermittlung in die USA zusätzlicher Schutzmaßnahmen bedürfe.
• Unternehmen sollen Verträge mit Dienstleistern prüfen, ob und wie diese Daten in Drittländern übermitteln

16. Juli 2020: 1. Presseerklärung

24. Juli 2020:2. Presseerklärung

• Standardvertragsklauseln wurden durch den EuGH nicht prinzipiell für unwirksam erklärt.
• Hier müssten die europäischen Unternehmen und im Anschluss die Datenschutzbehörden im Einzelfall prüfen, ob sie ausreichen. Im Fall der Vereinigten Staaten liege das Ergebnis dieser Prüfung aber auf der Hand, denn praktisch kein US-amerikanisches Unternehmen könne glaubhaft garantieren, dass es vom Zugriff der Geheimdienste verschont bleiben wird.
• Entscheidung betreffe auch andere Staaten (z.B. UK).
• Weiterverarbeitung auf Basis des Privacy Shields führe zu Bußgeldern. Standardvertragsklauseln seien nur in seltenen Fällen denkbar.
• Kritisiert EuGH, da dieser anderen Staaten europäische Vorstellungen von Datenschutz aufzwinge und die Entscheidung für Unternehmen nur schwer umzusetzen sei.

• Unternehmen sollen prüfen, welche Daten sie in welche Länder exportieren. Ein Datenexport sei auch die bloße Möglichkeit des Zugriffs (z.B. bei Wartung). Anschließend müssen sie prüfen, ob es einen Angemessenheitsbeschluss für das jeweilige Land gibt und wenn nein, wie die Rechtslage in dem jeweiligen Drittland ist.
• Datenexporte auf Basis des Privacy Shields seien umgehend einzustellen bis ein neuer Transfermechanismus gefunden sei.
• Dieser neue Transfermechanismus sei in den Datenschutzhinweisen und in dem Verzeichnis der Verarbeitungstätigkeiten zu einzutragen.
• Bei Standardvertragsklauseln seien in jedem Fall bestimmte Ergänzungen an den Klauseln vorzunehmen (Formulierungsvorschläge in Orientierungshilfe S. 11–13.)
• Bei Standardvertragsklauseln seien in jedem Fall bestimmte Änderungen an den Klauseln vorzunehmen (Formulierungsvorschläge in Orientierungshilfe S. 8f.) Es bedürfe zudem maßgeschneiderter Lösungen im Einzelfall, die beispielsweise darin bestehen könnten, dass Datenexporteure (insb. Anbieter von Cloud-Diensten) die Daten nachweislich in einer Weise verschlüsseln, bei welcher allein der Datenexporteur den Schlüssel hat und die auch die Geheimdienste nicht überwinden können.
• Zentral sei, ob zumutbare Alternativangebote ohne Transferproblematik bestehen (bspw. Vereinbarung, dass Daten in einem der Mitgliedstaaten der DSGVO gehostet werden oder dass keine Datenübertragung in die USA vorgenommen wird, S. 8 und 10). Wenn solche existieren, werde der LfDI Baden-Württemberg diesen Datentransfer untersagen.

• Datenexporteure und -importeure seien verpflichtet, vor der ersten Datenübermittlung zu prüfen, ob im Drittland staatliche Zugriffsmöglichkeiten auf die Daten bestehen, die über das nach europäischem Recht Zulässige hinausgehen. Bestehen solche Zugriffsrechte, können auch die Standardvertragsklauseln den Datenexport nicht rechtfertigen.
• Bereits ins Drittland übermittelte Daten müssen zurückgeholt werden. Anders als bisher verbreitet vertreten, genügt der reine Abschluss von Standardvertragsklauseln nicht, um Datenexporte zu ermöglichen.

• Unternehmen können sich mit den Standardvertragsklauseln nicht von ihren Prüfpflichten freikaufen. Sie müssen sich mit den nationalen Gesetzen des Drittlandes intensiv auseinandersetzen.
• Insbesondere sei offen, ob eine Ergänzung der Standardvertragsklauseln in der konkreten Vertragsbeziehung zur Schaffung geeigneter Garantien im Einzelfall geeignet sein könne, insbesondere z.B. unter Geltung von Sicherheitsgesetzen wie Sec. 702 Foreign Intelligence Surveillance Act (FISA), da die US-Behörden nicht an die Standardvertragsklauseln gebunden sind.

• Die Standardvertragsklauseln müssen ggf. durch weitere Vereinbarungen oder Elemente ergänzt werden, um sicherzustellen, dass bei der Datenübermittlung in den Drittstaat das angemessene Schutzniveau erhalten ist. Für Datenübermittlungen in die USA bedeute dies, dass erhebliche Anstrengungen der Verantwortlichen erforderlich sind, die vermutlich nur in seltenen Fällen als ausreichend angesehen werden können. Dies sei aber eine Frage des Einzelfalles. Zugleich müssen die Verantwortlichen ihre Datenübermittlungen in andere Drittstaaten, z.B. Indien, China oder Russland daraufhin prüfen, ob sie dem Datenschutzniveau entsprechen, das die Datenschutz-Grundverordnung verlangt.
• Der LfDI Rheinland-Pfalz werde im Rahmen von Beschwerden oder ansonsten mittelfristig auf Unternehmen zukommen, um entsprechende Darlegungen zu erhalten.

• Schutzmaßnahmen müssen im Einzelfall geprüft werden.
• i.d.R. werden Transfers in die U.S.A. illegal sein. Amerikanische Überwachungsgesetze (z.B. FISA Sec. 702 und EO 12333) machen wirksame Schutzmaßnahmen häufig unmöglich
• Keine Übergangsfrist

• Absprache mit Datenempfänger, welche Gesetze und Bedingungen in dessen Drittland gelten
• Prüfung, ob zusätzliche Schutzmaßnahmen ergriffen werden können
• Sonst Zusammenarbeit mit jeweiligem Datenempfänger beenden und Daten bei diesem löschen

Für die Umsetzung des Urteils in den EU-Ländern sei jedenfalls eine einheitliche europäische Herangehensweise erforderlich.

• Verantwortliche sollen von Swiss-U.S. Privacy Shield auf SCCs oder BCRs umstellen.
• Unternehmen müssen prüfen, ob der Datenim-porteur in der Lage ist die vom Schweizer Recht vorgesehene Mitwirkung zu leisten.
• Ergänzung der Standardvertragsklauseln sei erwägenswert (wobei keine Formulierungsbeispiele geliefert werden).
• Zusätzliche Schutzmaßnahme seien erforderlich, wenn andernfalls das angemessene Datenschutzniveau nicht gewahrt werden könne (z.B. Verschlüsselung).
• Andernfalls sei ein Verzicht auf den Datenexport zu empfehlen.
• Es würden noch weitere Hinweise für Verantwortliche folgen.

Zusätzliche Sicherheitsmaßnahmen prüfen (z.B. Verschlüsselung ohne Hintertür, Metadaten nur in der EU).