Schlagwort: internationaler Datenaustausch

EU-Kommission veröffentlicht neue Standardvertragsklauseln (SCC) für den internationalen Datentransfer

7. Juni 2021

Die EU-Kommission hat am 04.06.2021 neue Standardvertragsklauseln für den internationalen Datentransfer (auch “Standard Contractual Clauses” – kurz ‚SCC’) angenommen und veröffentlicht. Bei den SCC handelt es sich um Musterverträge, die eine geeignete Garantie nach Art. 46 DSGVO für den Transfer von personenbezogenen Daten in Drittstaaten darstellen können. Als Drittstaaten gelten solche, die sich außerhalb der EU/des europäischen Wirtschaftsraumes (EWR) befinden, z.B. die USA.

Hintergrund

Die neuen Klauseln wurden lange erwartet, da die jetzigen Standardvertragsklauseln über 10 Jahre alt sind und somit weder die Voraussetzungen hinsichtlich Drittstaatentransfers der DSGVO noch das bedeutende Schrems II-Urteil vom 16.07.2020 berücksichtigen konnten. So war der Drittstaatentransfer problematisch geworden und nicht erst in letzter Zeit von den Aufsichtsbehörden, auch in Deutschland, ins Visier von Untersuchungen genommen worden (wir berichteten).

Was hat sich geändert?

Neu an den jetzt präsentierten SCC ist vor allem der Aufbau. So sind die verschiedenen Varianten der Datentransfers nicht länger auf zwei verschiedene SCC-Muster verteilt, sondern sie finden sich in einem Dokument wieder. Insofern werden sie in vier verschiedene „Module“ gegliedert. Dies soll eine flexible Vertragsgestaltung ermöglichen. Dafür soll das entsprechende Modul gemäß dem Verhältnis der Parteien ausgewählt werden. Folgende Module sind in den neuen SCC enthalten:

Modul 1: Übermittlung von personenbezogenen Daten zwischen zwei Verantwortlichen

Modul 2: Übermittlung von personenbezogenen Daten vom Verantwortlichen an den Auftragsverarbeiter

Modul 3: Übermittlung von personenbezogenen Daten zwischen zwei Auftragsverarbeitern

Modul 4: Übermittlung von personenbezogenen Daten vom Auftragsverarbeiter an den Verantwortlichen

Inhaltlich neu ist darüber hinaus insbesondere eine Pflicht zur Datentransfer-Folgenabschätzung. Dabei handelt es sich um die Pflicht, sich davon zu überzeugen, dass der entsprechende Vertragspartner aus dem Drittstaat in der Lage ist, seinen Pflichten aus den aktuellen SCC nachzukommen.

Ebenfalls neu enthalten sind die Pflicht zur Abwehr von Regierungsanfragen, die den Anforderungen der Standardschutzklauseln widersprechen und das Informieren der zuständigen Aufsichtsbehörden über die Anfragen. Die Datentransfer-Folgenabschätzung muss dokumentiert und den Aufsichtsbehörden auf Verlangen vorgelegt werden.

Ausblick

Die veröffentlichten Dokumente sind die finalen Arbeitsdokumente. Mit der offiziellen Veröffentlichung der SCC wird in den nächsten Tagen im Amtsblatt der Europäischen Union zu rechnen sein. Ab diesem Zeitpunkt und innerhalb einer Frist von 18 Monaten müssen die bestehenden Verträge mit Partnern aus Drittstaaten, insbesondere bspw. Microsoft oder Amazon, um die neuen SCC ergänzt werden.

Aber auch bei Verwenden der neuen SCC bleibt eine Einzelfallprüfung des Datenschutzniveaus unumgänglich, denn die neuen Klauseln allein werden in der Regel nicht ausreichen, um den Anforderungen des EuGH aus dem oben genannten Urteil gerecht zu werden. Bei einer solchen Einzelfallprüfung müssen vor allem der Vertragstext und das tatsächliche Datenschutzniveau überprüft werden. Letzteres sollte durch einen Fragenkatalog an den Verarbeiter im Drittstaat geschehen.

Es ist demnach nicht damit getan, die neuen SCC einfach zu unterschreiben, sondern der Verantwortliche muss weitergehend tätig werden, um einen sicheren Datentransfer in Drittländer zu ermöglichen.

Bei der Umsetzung der Einzelfallprüfung oder bei anderen Rückfragen bieten wir Ihnen jederzeit gerne unsere Unterstützung an.

UPDATE vom 09.06.2021: Mittlerweile wurden die neuen SCC im Amtsblatt der Europäischen Union veröffentlicht und sind hier zu finden.

US-Gericht: Google muss ausländische E-Mails an FBI herausgeben

6. Februar 2017

Google hat vor einem Gericht im US-amerikanischen Philadelphia verloren und muss laut Urteil nun E-Mail-Daten, die auf ausländischen Servern gespeichert sind an die US-amerikanische Bundespolizei FBI herausgeben. Damit weicht das Gericht von der bisherigen Rechtsprechung ab. Erst kürzlich wurde in einem anderen Verfahren, Microsoft die Herausgabe von Daten, die auf Servern in der Europäischen Union gespeichert sind, erfolgreich verweigerte und auf den Rechtsweg in der EU verwiesen.

Als Begründung für die Herausgabepflicht von Google führte der Richter aus, dass Google ohnehin ständig Daten zwischen seinen Rechenzentren hin- und herkopiere, sodass es nur nötig sei, die vom FBI angefragten Daten in die USA zu transferieren, damit das FBI darauf zugreifen kann. Zwar kann dies eine Verletzung der Rechte des Nutzers darstellen, aber diese Verletzung würde in den USA stattfinden und damit wieder von dem Gesetz gedeckt sein. Der Datentransfer stelle damit ohnehin keinen Zugriff auf ausländische Daten dar.

Nach der Verkündigung des Urteils hat sich Google bereits zum Verfahren geäußert und angekündigt, gegen das Urteil nun Berufung einzulegen und auch weiterhin gegen zu weitgehende Herausgabebeschlüsse vorzugehen. Google erklärte zudem, dass man Daten aus technischen Gründen weltweit auf den Servern verteilt und es in einigen Fällen gar nicht ganz klar sei, wo die Daten gerade gespeichert sind. Aus dem Urteil geht hervor, dass allein Google jährlich rund 25.000 Auskunftsersuchen von US-amerikanischen Ermittlungsbehörden erhält.

USA und EU unterzeichnen „Umbrella Agreement“

6. Juni 2016

Am 02.06.2016 haben Vertreter der EU und der USA ein lange verhandeltes Rahmenabkommen unterzeichnet, welches datenschutzrechtliche Regelungen bei der transatlantischen Zusammenarbeit in Strafsachen enthält („Umbrella Agreement“).

Gegenstand des Abkommens ist der gesamte Datenaustausch zwischen sämtlichen Justiz- und Strafverfolgungsbehörden der USA und aller EU-Mitgliedsstaaten zum Zwecke der Gefahrenabwehr, Ermittlung und  Strafverfolgung. Gleichzeitig stärkt das Rahmenabkommen die Rechte von EU-Bürgern, indem diese – hinsichtlich der Möglichkeit gegen US-Behörden gerichtlich vorzugehen – US-Bürgern gleichgestellt werden. Weiterhin enthält das Abkommen Regelungen, die Aufbewahrungsfristen für die Datenspeicherung vorsehen. Darüber hinaus soll die Datennutzung lediglich auf die genannten Zwecke limitiert werden.

EU-Vertreter erhoffen sich von dem Rahmenabkommen nicht nur ein besseres Schutzniveau personenbezogener Daten für EU-Bürger. Auch die justizielle Zusammenarbeit, insbesondere die Bekämpfung des internationalen Terrorismus, soll durch das Abkommen verbessert werden.
In einem nächsten Schritt wird nun das Abkommen dem Europäischen Parlament zur Abstimmung vorgelegt.