EDSA beantwortet häufige Fragen zu Schrems II

Der Europäische Gerichtshof (EuGH) hat mit seinem Urteil vom 16.07.2020 das sogenannte Privacy Shield, das den Datenaustausch zwischen der EU und den USA regelt, für ungültig erklärt. Außerdem hat er entschieden, dass der Datenaustausch mit Nicht-EU-Ländern auf Basis der sogenannten Standardvertragsklauseln zwar rechtens ist, aber im Einzelfall geprüft werden muss.

Die nach diesem Urteil entstandene Unsicherheit versucht der Europäische Datenschutzausschuss (EDSA)  mit einer FAQ mildern. Am 23.07.2020 hat der EDSA auf Antworten zu den wichtigsten Fragen bzgl. der Konsequenzen aus dem Schrems II – Urteil des Europäischen Gerichtshofs zum Datentransfer in Länder außerhalb der EU geeinigt.

Eine der häufigsten Fragen der betroffenen Unternehmen dürfte gewesen sein, ob es eine Gnadenfrist‘ für Datenverarbeitungen auf Grundlage des vom Europäischen Gerichtshof für ungültig erklärten „Privacy Shield“ geben wird. Sofern Unternehmen diese Hoffnung tatsächlich gehabt haben sollten, wird diese in den FAQ zu nichte gemacht: Die Umstellung muss ohne Verzögerung begonnen werden.

Eine andere Frage, die den Unternehmen unter den Nägel brannte und sich aufdrängte war, die Frage zur Zukunft der sog. EU-Standardvertragsklauseln. Auch hierzu geben das FAQ der EDSA zumindest erste Hinweise:
Die Datenübermittlung in die USA und sonstige Drittstaaten außerhalb der Europäischen Union auf der Grundlage von Standardvertragsklauseln bleiben unter bestimmten Voraussetzungen möglich. Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz erläutert dies in einer eigenen Bewertung der FAQ des EDSA wie folgt:
“ Die Standardvertragsklauseln müssen ggf. durch weitere Vereinbarungen oder Elemente ergänzt werden, um sicherzustellen, dass bei der Datenübermittlung in den Drittstaat das angemessene Schutzniveau erhalten ist. Für Datenübermittlungen in die USA bedeutet dies, dass erhebliche Anstrengungen der Verantwortlichen erforderlich sind, die vermutlich nur in seltenen Fällen als ausreichend angesehen werden können. Dies ist aber eine Frage des Einzelfalles. Zugleich müssen die Verantwortlichen ihre Datenübermittlungen in andere Drittstaaten, z.B. Indien, China oder Russland daraufhin prüfen, ob sie dem Datenschutzniveau entsprechen, das die Datenschutz-Grundverordnung verlangt. Dies war vorher schon so und ist nunmehr erst recht dringend erforderlich, hier werden einschlägige Nachprüfungen angeraten.“

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) weist auf folgenden wichtigen Umstand in Bezug auf die FAQ des EDSA hin: Die FAQ seien als ‚lebendes Dokument‘ zu verstehen.  Der EDSA kläre mit der FAQ entscheidende Fragen, die sich nach dem Urteil stellen. Das Dokument sei aber nicht abschließend.