EDSA-Stellungnahmen zu Angemessenheitsbeschlüssen
Mit zwei aktuellen Stellungnahmen positioniert sich der Europäische Datenschutzausschuss (EDSA) zur internationalen Datenübertragung. Zum einen befürwortet der Ausschuss erstmals bezüglich der Europäischen Patentorganisation (EPA) eine Angemessenheitsentscheidung für eine internationale Organisation. Zum anderen spricht sich der EDSA für eine befristete Verlängerung der bestehenden Angemessenheitsbeschlüsse für das Vereinigte Königreich aus. Über die beiden EDSA-Stellungnahmen zu den Angemessenheitsbeschlüssen berichtet der Ausschuss in einer Mitteilung vom 06.05.2025.
Bedeutung von Angemessenheitsbeschlüssen
Nach der Datenschutzgrundverordnung (DSGVO) ist die Übermittlung personenbezogener Daten in Drittstaaten nur zulässig, wenn die EU-Kommission eine Angemessenheitsentscheidung getroffen hat, alternative Schutzmechanismen zum Einsatz kommen oder die Bestimmungen von Art. 49 DSGVO greifen. Unternehmen profitieren in der Regel vom Bestehen einer Angemessenheitsentscheidung, da diese den administrativen Aufwand reduziert und Rechtssicherheit schafft. Sie haben zur Folge, dass eine ungehinderte Datenübertragung in das Drittland erfolgen kann. Angemessenheitsbeschlüsse wurden vorrangig gegenüber Drittstaaten erklärt. So bestätigte die EU-Kommission beispielsweise Anfang letzten Jahres die Beschlüsse für elf Länder, darunter die Schweiz, Kanada und Neuseeland.
Erster Angemessenheitsbeschluss für eine internationale Organisation
Nun hat der EDSA verkündet erstmals einen Entwurf für einen Angemessenheitsbeschluss für eine internationale Organisation befürwortet zu haben. Diesen hatte die EU-Kommission in Bezug auf die Europäische Patentorganisation vorgelegt. Der EDSA bewertet diesen Schritt grundsätzlich positiv. In seiner Stellungnahme (abrufbar hier) würdigt er den bestehenden Datenschutzrahmen der EPA als weitgehend mit dem unionsrechtlichen Standard kompatibel.
Befristete Verlängerung für das Vereinigte Königreich
Im Übrigen hat der EDSA auch den Entwurf für einen temporären Angemessenheitsbeschluss für das Vereinigte Königreich bestätigt. Nach Austritt Großbritanniens aus der EU galt der Staat grundsätzlich als Drittland. Infolgedessen hat die EU-Kommission 2021 einen Angemessenheitsbeschluss genehmigt, der noch bis zum 27.06.2025 gelten soll.
Unabhängig von dem ohnehin baldigen Ablauf, bezieht sich der Angemessenheitsbeschluss unteranderem auf die UK-GDPR. Diese überträgt die europäische DSGVO zu großen Teilen in britisches Datenschutzrecht. Allerdings plant das Vereinigte Königreich, durch eine Anpassung der UK-GDPR mehr Flexibilität für die nationale Wirtschaft zu erreichen. Folglich wurde jüngst ein Entwurf über eine Data Use and Access (DUA) Bill vorgestellt, die einige wesentliche Abweichungen zur DSGVO aufzeigt.
Infolgedessen hat die EU-Kommission im März 2025 einen Entwurf veröffentlicht, laut dem der UK-Angemessenheitsbeschluss kurzzeitig verlängert werden soll. Darin weist sie auf den Änderungsvorschlag durch die DUA Bill hin. Damit die EU-Kommission ausreichend Zeit hat, um die Änderungen im britischen Datenschutzrecht zu bewerten, möchte sie den Angemessenheitsbeschluss bis zum 27.12.2025 aufrechterhalten.
Der EDSA bezieht sich in seiner Stellungnahme (abrufbar hier) lediglich auf den Vorschlag der EU-Kommission zur Verlängerung der Geltungsdauer der Beschlüsse um weitere sechs Monate. Der EDSA unterstützt die Idee der Angemessenheitsentscheidung vor dem Hintergrund der geplanten Gesetzesänderung als technische Zwischenlösung. Sie solle der Kommission ausreichend Zeit verschaffen, um eine fundierte Neubewertung vorzunehmen, sobald das Reformpaket in Kraft tritt. Dabei betont der EDSA allerdings, dass es sich um eine außergewöhnliche Maßnahme handelt und er eine Verlängerung nicht befürwortet.
Fazit
Die EDSA-Stellungnahmen zu den Angemessenheitsbeschlüssen zeigen, die Weiterentwicklung des Systems der internationalen Datenübertragung im europäischen Datenschutzrecht. Mit dem geplanten Beschluss zur Europäischen Patentorganisation wird erstmals eine internationale Organisation als sicherer Datenempfänger anerkannt. Zugleich signalisiert die befristete Verlängerung für das Vereinigte Königreich, eine gewisse Rechtsunsicherheit der aktuellen Zeit, die sich auch in anderen Wirtschaftsbereichen widerspiegelt.
