EuGH erklärt Privacy Shield für unwirksam
Der Europäische Gerichtshof (EuGH) hat in seinem Urteil vom 16. Juli 2020 (Rechtssache C-311/18) den Beschluss 2016/1250 der Europäischen Kommission zur Übermittlung personenbezogener Daten in die USA (Privacy Shield) für unwirksam erklärt.
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder, zu der auch der Sächsische Datenschutzbeauftragte gehört, hat in diesem Zusammenhang in ihrer Pressemitteilung vom 28.07.2020 u.a. darauf hingewiesen, dass
1. die Übermittlung personenbezogener Daten in die USA auf der Grundlage des Privacy Shield unzulässig ist und unverzüglich eingestellt werden muss,
2. für eine Übermittlung personenbezogener Daten in die USA und andere Drittländer die bestehenden Standardvertragsklauseln der Europäischen Kommission zwar grundsätzlich weiter genutzt werden können, aber zusätzliche Maßnahmen zur Sicherstellung eines dem Schutzniveau in der EU im Wesentlichen gleichwertigen Schutzniveaus ergriffen werden müssen,
3. eine Übermittlung von personenbezogenen Daten aus der EU in die USA und andere Drittstaaten nach Artikel 49 DSGVO weiterhin zulässig ist, sofern die Bedingungen des Artikels 49 DSGVO im Einzelfall erfüllt sind (zum Beispiel freiwillige Einwilligung nach Aufklärung über mögliche Risiken oder zur Durchsetzung von Rechtsansprüchen).
Der Europäische Gerichtshof hat keine Übergangsfrist eingeräumt, sodass seit dem 16.07.2020 eine Datenübermittlung in die USA für öffentliche Aufgabenträger unzulässig ist.
Sie sollten daher dringend prüfen, ob bei Ihnen Programme und Verfahren eingesetzt werden, bei denen Daten in die USA oder andere Länder außerhalb der EU übermittelt werden (zum Beispiel Cloud-Lösungen, außerhalb der EU sitzende Bescheidempfänger usw.).
Falls entsprechende Datenübermittlungen erfolgen, ist deren Notwendigkeit zu überprüfen. Falls eine Übermittlung in die USA zur Erfüllung einer öffentlichen Aufgabe erfolgen muss, weil z.B. der Grundstückseigentümer oder Firmeninhaber in den USA sitzt, ist das damit verbundene datenschutzrechtliche Problem allerdings noch ungeklärt. Es ist zu hoffen, dass der Sächsische Datenschutzbeauftragte sich hierzu kurzfristig äußert.
