EDSA beantwortet häufige Fragen zu Schrems II

FAQ Auftragsverarbeitung

Der Europäische Gerichtshof (EuGH) hat mit seinem Urteil vom 16.07.2020 das sogenannte Privacy Shield, das den Datenaustausch zwischen der EU und den USA regelt, für ungültig erklärt. Außerdem hat er entschieden, dass der Datenaustausch mit Nicht-EU-Ländern auf Basis der sogenannten Standardvertragsklauseln zwar rechtens ist, aber im Einzelfall geprüft werden muss.

Die nach diesem Urteil entstandene Unsicherheit versucht der Europäische Datenschutzausschuss (EDSA)  mit einer FAQ mildern. Am 23.07.2020 hat der EDSA auf Antworten zu den wichtigsten Fragen bzgl. der Konsequenzen aus dem Schrems II – Urteil des Europäischen Gerichtshofs zum Datentransfer in Länder außerhalb der EU geeinigt.

Eine der häufigsten Fragen der betroffenen Unternehmen dürfte gewesen sein, ob es eine Gnadenfrist‘ für Datenverarbeitungen auf Grundlage des vom Europäischen Gerichtshof für ungültig erklärten „Privacy Shield“ geben wird. Sofern Unternehmen diese Hoffnung tatsächlich gehabt haben sollten, wird diese in den FAQ zu nichte gemacht: Die Umstellung muss ohne Verzögerung begonnen werden.

Eine andere Frage, die den Unternehmen unter den Nägel brannte und sich aufdrängte war, die Frage zur Zukunft der sog. EU-Standardvertragsklauseln. Auch hierzu geben das FAQ der EDSA zumindest erste Hinweise:
Die Datenübermittlung in die USA und sonstige Drittstaaten außerhalb der Europäischen Union auf der Grundlage von Standardvertragsklauseln bleiben unter bestimmten Voraussetzungen möglich. Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz erläutert dies in einer eigenen Bewertung der FAQ des EDSA wie folgt:
“ Die Standardvertragsklauseln müssen ggf. durch weitere Vereinbarungen oder Elemente ergänzt werden, um sicherzustellen, dass bei der Datenübermittlung in den Drittstaat das angemessene Schutzniveau erhalten ist. Für Datenübermittlungen in die USA bedeutet dies, dass erhebliche Anstrengungen der Verantwortlichen erforderlich sind, die vermutlich nur in seltenen Fällen als ausreichend angesehen werden können. Dies ist aber eine Frage des Einzelfalles. Zugleich müssen die Verantwortlichen ihre Datenübermittlungen in andere Drittstaaten, z.B. Indien, China oder Russland daraufhin prüfen, ob sie dem Datenschutzniveau entsprechen, das die Datenschutz-Grundverordnung verlangt. Dies war vorher schon so und ist nunmehr erst recht dringend erforderlich, hier werden einschlägige Nachprüfungen angeraten.“

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) weist auf folgenden wichtigen Umstand in Bezug auf die FAQ des EDSA hin: Die FAQ seien als ‚lebendes Dokument‘ zu verstehen.  Der EDSA kläre mit der FAQ entscheidende Fragen, die sich nach dem Urteil stellen. Das Dokument sei aber nicht abschließend.

Letztes Update:24.07.20

  • Online-Kompaktkurs: Ende des EU-US Privacy Shield - was nun?

    Online-Kompaktkurs: Ende des EU-US Privacy Shield - was nun?

    Online-Kompaktkurs

    138.04 € Mehr erfahren
  • Betriebsarzt

    Die betriebsärztliche Datenverarbeitung

    Das Netzwerk Datenschutzexpertise beschäftigt sich in seiner aktuellen Veröffentlichung „Die Datenverarbeitung des Betriebsarztes – Hinweise zum datenschutzgerechten Umgang mit Patientendaten durch Betriebsärzte und betriebsärztliche Dienste“ mit einem Thema, welches nicht sonderlich oft im Rampenlicht des betrieblichen Datenschutzes und insbesondere des Beschäftigtendatenschutzes steht. Um so weniger nachvollziehbar ist die stiefmütterliche Behandlung des Themas in der Praxis

    Mehr erfahren
  • FAQ Auftragsverarbeitung

    FAQs zur Abgrenzung von Verantwortlichem, Auftragsverarbeiter und Joint Controller

    Jüngst hat der Europäische Datenschutzausschuss (EDSA) im Rahmen einer Konsultation zu diesem Thema den Versuch gestartet, eine noch klarere Abgrenzung für die Praxis zu finden, was die Abgrenzung des Verantwortlichen, des Auftragsverarbeiters und des gemeinsam Verantwortlichen angeht. Dazu hat der EDSA einen Entwurf für eine Stellungnahme zur Abgrenzung von Verantwortlichem, Auftragsverarbeiter und gemeinsam Verantwortlichen veröffentlicht

    Mehr erfahren
  • Sensibilisierung für Datenschutz auf einfachstem Wege

    Die Datenschutz-Grundverordnung (DS-GVO) verpflichtet jedes Unternehmen – unabhängig von seiner Größe – zur Implementierung eines Datenschutzmanagementsystems. Jeder Verantwortliche hat deswegen eine Datenschutzorganisation vorzuweisen, die in der Lage ist, die Einhaltung datenschutzrechtlicher Pflichten zu gewährleisten. Dies ergibt sich aus der Verantwortung des für die Verarbeitung Verantwortlichen (Art. 24 DS-GVO). Die allgemein geltende Accountability des Verantwortlichen (Art.

    Mehr erfahren