EDSA beantwortet häufige Fragen zu Schrems II

FAQ Auftragsverarbeitung

Der Europäische Gerichtshof (EuGH) hat mit seinem Urteil vom 16.07.2020 das sogenannte Privacy Shield, das den Datenaustausch zwischen der EU und den USA regelt, für ungültig erklärt. Außerdem hat er entschieden, dass der Datenaustausch mit Nicht-EU-Ländern auf Basis der sogenannten Standardvertragsklauseln zwar rechtens ist, aber im Einzelfall geprüft werden muss.

Die nach diesem Urteil entstandene Unsicherheit versucht der Europäische Datenschutzausschuss (EDSA)  mit einer FAQ mildern. Am 23.07.2020 hat der EDSA auf Antworten zu den wichtigsten Fragen bzgl. der Konsequenzen aus dem Schrems II – Urteil des Europäischen Gerichtshofs zum Datentransfer in Länder außerhalb der EU geeinigt.

Eine der häufigsten Fragen der betroffenen Unternehmen dürfte gewesen sein, ob es eine Gnadenfrist‘ für Datenverarbeitungen auf Grundlage des vom Europäischen Gerichtshof für ungültig erklärten „Privacy Shield“ geben wird. Sofern Unternehmen diese Hoffnung tatsächlich gehabt haben sollten, wird diese in den FAQ zu nichte gemacht: Die Umstellung muss ohne Verzögerung begonnen werden.

Eine andere Frage, die den Unternehmen unter den Nägel brannte und sich aufdrängte war, die Frage zur Zukunft der sog. EU-Standardvertragsklauseln. Auch hierzu geben das FAQ der EDSA zumindest erste Hinweise:
Die Datenübermittlung in die USA und sonstige Drittstaaten außerhalb der Europäischen Union auf der Grundlage von Standardvertragsklauseln bleiben unter bestimmten Voraussetzungen möglich. Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz erläutert dies in einer eigenen Bewertung der FAQ des EDSA wie folgt:
“ Die Standardvertragsklauseln müssen ggf. durch weitere Vereinbarungen oder Elemente ergänzt werden, um sicherzustellen, dass bei der Datenübermittlung in den Drittstaat das angemessene Schutzniveau erhalten ist. Für Datenübermittlungen in die USA bedeutet dies, dass erhebliche Anstrengungen der Verantwortlichen erforderlich sind, die vermutlich nur in seltenen Fällen als ausreichend angesehen werden können. Dies ist aber eine Frage des Einzelfalles. Zugleich müssen die Verantwortlichen ihre Datenübermittlungen in andere Drittstaaten, z.B. Indien, China oder Russland daraufhin prüfen, ob sie dem Datenschutzniveau entsprechen, das die Datenschutz-Grundverordnung verlangt. Dies war vorher schon so und ist nunmehr erst recht dringend erforderlich, hier werden einschlägige Nachprüfungen angeraten.“

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) weist auf folgenden wichtigen Umstand in Bezug auf die FAQ des EDSA hin: Die FAQ seien als ‚lebendes Dokument‘ zu verstehen.  Der EDSA kläre mit der FAQ entscheidende Fragen, die sich nach dem Urteil stellen. Das Dokument sei aber nicht abschließend.

Letztes Update:24.07.20

  • Online-Kompaktkurs: Ende des EU-US Privacy Shield - was nun?

    Online-Kompaktkurs: Ende des EU-US Privacy Shield - was nun?

    Online-Kompaktkurs

    138.04 € Mehr erfahren
  • Ersetzendes Scannen

    BSI veröffentlicht Handlungshilfe für ersetzendes Scannen

    Das sogenannte Ersetzende Scannen beschreibt einen Prozess, in dessen Verlauf ein Dokument unter Beachtung strenger Vorschriften in eine digitale Form umgewandelt und die Papierform im Anschluss vernichtet werden darf. Der Prozess stellt dabei sicher, dass das Dokument danach in der digitalen Form die gleichen Eigenschaften wie das Original behält und eine entsprechende rechtliche Gültigkeit aufweist.

    Mehr erfahren
  • Berufsgeheimnisträger und unverschlüsselter E-Mail-Versand

    Die Frage, ob Anwältinnen und Anwälte unverschlüsselt per E-Mail mit Mandanten kommunizieren dürfen, ohne gegen die Pflicht zur Verschwiegenheit zu verstoßen, war in jüngster Vergangenheit öfter ein Streitpunkt.  Datenschutz-Aufsichtsbehörden betrachteten die Fragestellung noch genereller und stellten diese Frage für jegliche Berufsgeheimnisträger, so bspw. auch für Ärzte (Tätigkeitsbericht 2017/18 – Bayerisches Landesamt für Datenschutzaufsicht, S. 94, Ziffer

    Mehr erfahren
  • EU-Parlament kritisirt Privacy Shield

    Nach dem Ende des Privacy-Shields: GDD gibt Handlungsempfehlungen

    Der EuGH hat das EU-Privacy Shield mit seinem Urteil vom 16.07.2020 (Az: C‑311/18) für ungültig erklärt und an die Pflichten für Datenexporteure und Datenimporteure bei Anwendung der EU-Standardvertragsklauseln, insbesondere hinsichtlich einer rechtskonformen Datenübermittlung, erinnert. Datenexportierende verantwortliche Stellen mit Sitz in der Europäischen Union oder in Ländern des Europäischen Wirtschaftsraums stehen nun vor der Herausforderung, wie personenbezogene Daten

    Mehr erfahren