Angemessenheitsbeschlüsse nach Art. 45 DSGVO
Die Europäische Kommission kann sogenannte Angemessenheitsbeschlüsse fassen. Aus dem Angemessenheitsbeschluss der Kommission hat sich gemäß Art. 45 Abs. 3 S. 1 DSGVO ergeben, dass ein Drittland, das nicht an die DSGVO gebunden ist, ein angemessenes Schutzniveau aufweist und dies förmlich von der Kommission festgestellt wird. Die diesbezüglichen Erkenntnisse und Begründungen der Kommission, die ihre Feststellung untermauern, finden sich in den Erwägungsgründen des Beschlusses wieder. Wird ein entsprechender Angemessenheitsbeschluss für ein Drittland von der Europäischen Kommission unter der Prämisse gefasst, dass dieses Drittland auch sonstige Bestimmungen der DSGVO einhält, so dürfen personenbezogene Daten ohne weitere Genehmigung an das jeweilige Land übermittelt werden. Datentransfers auf der Grundlage eines Angemessenheitsbeschlusses genießen das Privileg, dass sie Datentransfers innerhalb der EU gleichgestellt werden. Ende letzten Jahres hatte die Europäische Kommission am 17. Dezember 2021 einen Angemessenheitsbeschluss für die Übermittlung personenbezogener Daten aus der EU nach Südkorea im Rahmen der Datenschutzgrundverordnung angenommen.
Zur Zeit existieren für insgesamt 14 Staaten Angemessenheitsbeschlüsse:
- Andorra
- Argentinien
- Kanada
- Färöer-Inseln
- Guernsey
- Israel
- Isle of Man
- Japan
- Jersey
- Neuseeland
- Republik Korea (Südkorea)
- Schweiz
- Uruguay
- Vereinigtes Königreich
Die Angemessenheitsbeschlüsse von Andorra, Argentinien, Kanada, Färöer-Inseln, Guernsey, Israel, Isle of Man, Jersey, Nueseeland, Schweiz und Uruguay hat die Europäische Kommission noch auf Grundlage von Art. 25 Abs. 6 der Richtlinie 95/46/EG („EU-Datenschutzrichtlinie“) erlassen. Sie gelten auch nach Inkrafttreten der DSGVO zum 25.05.2018 fort, solange die Europäische Kommission nicht gemäß Art. 45 Abs. 9 DSGVO ihre Änderung, Ersetzung oder Aufhebung beschließt. Von dieser Möglichkeit hat die Europäische Kommission bislang jedoch keinen Gebrauch gemacht.
Zu beachten ist außerdem, dass sich die jeweiligen Angemessenheitsbeschlüsse in ihrer inhaltlichen Reichweite von Land zu Land unterscheiden können.
Die Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zweck der Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, lässt sich generell nicht auf einen Angemessenheitsbeschluss stützen. Hierfür ist auf folgende Richtlinie (EU) 2016/680 hinzuweisen (Richtlinie Justiz/Inneres, sog. JI-Richtlinie).
Ferner sollte bei dem Transfer von Daten, auf der Grundlage einer Adäquanzentscheidung der Europäischen Kommission, dringend geprüft werden, ob der konkret geplante Transfer auch von der Tragweite des Angemessenheitsbeschlusses umfasst ist. Fällt diese Prüfung positiv aus, können Daten ohne weitere Vorkehrungen zur Absicherung eines angemessenen Datenschutzniveaus im Empfängerland übertragen werden.
Wichtig ist indes zu beachten, dass Verantwortliche und Auftragsverarbeiter trotz eines vorhandenen Angemessenheitsbeschlusses in einem Drittland selbstverständlich nicht von der Verpflichtung entbunden sind, weitere sonstige Voraussetzungen an eine rechtmäßige Datenverarbeitung, die sich aus den geltenden Datenschutzgesetzen ergeben (wie bspw. das Erfordernis, einen Vertrag zur Auftragsdatenverarbeitung abzuschließen), zu erfüllen!
