EU-U.S. Data Privacy Framework: DSK ist sich uneins

„Viele, verschieden gestimmte Saiten geben erst Harmonie“. Diese Redensart aus der Welt der Musik, dürfte sich nicht auf jeden Lebensbereich übertragen lassen.

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz oder DSK) hat sich bspw. in ihrer eigenen Geschäftsordnung selbst die Verfolgung des folgenden Zweck auferlegt:
„Die DSK hat das Ziel, die Datenschutzgrundrechte zu wahren und zu schützen, eine einheitliche Anwendung des europäischen und nationalen Datenschutzrechts zu erreichen und gemeinsam für seine Fortentwicklung einzutreten.“
Bei dem Ziel der Einheitlichkeit scheitern die Mitglieder jedoch bereits bei der Bewertung diverser Themen untereinander.

Am 10. Juli 2023 wurde vom Europäischen Datenschutzausschuss der Angemessenheitsbeschluss für das EU-U.S. Data Privacy Framework angenommen. Dieser Beschluss markiert die Fortsetzung des Privacy-Shield-Abkommens, welches bereits im Juli 2020 vom Europäischen Gerichtshof aufgrund seiner Unwirksamkeit in der Rechtssache „Schrems-II“ für nichtig erklärt wurde.

Auch die Datenschutzkonferenz (DSK) hat zum Thema ein Dokument mit umfangreichen Anwendungshinweisen erarbeitet und zum Download bereit gestellt.

Ein Mitglied des DSK, der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit warnt auf seinem Internetauftritt vor „zu großer Euphorie“ und gibt zu bedenken, dass Unternehmen vor dem Hintergrund diverses, trotz des Angemessenheitsbeschlusses vorhandern Bedenken abwägen sollten, ob sie sensible Daten – auch Kundendaten – in die USA transferieren oder bis zur Entscheidung des EuGH vorsorglich nicht. Denn der TLfDI sieht eine hohe Wahrscheinlichkeit, dass der Europäische Gerichtshof den Adäquanzbeschluss aufheben wird.

Derweil hat ein anderes Mitglied der DSK, der Bayerische Landesbeauftragte für den Datenschutz eine eigene Information veröffentlicht, in der folgendes zu lesen ist:

• Der Angemessenheitsbeschluss für das EU-U.S. Data Privacy Framework bestätigt, dass die USA ein angemessenes Schutzniveau für personenbezogene Daten gewährleisten, die aus der EU an die am EU-U.S. Data Privacy Framework teilnehmenden Unternehmen übermittelt werden.
• Am EU-U.S. Data Privacy Framework nehmen US-Unternehmen teil, die hierfür zertifiziert sind und deshalb auf der „Data Privacy Framework List“ stehen.
• Der Angemessenheitsbeschluss vermittelt nicht allein eine Rechtsgrundlage für eine Drittlandübermittlung; Art. 5 ff. DSGVO sind kumulativ zu beachten.

Das ist weder hilfreich für den Verantwortlichen und Rechtsanwender, noch dürfte diese Vorgehensweise der Aufsichtsbehörden und damit der DSK selbst, dem in der Geschäftsordnung vereinbarten Zweck der DSK entsprechen.