EuGH kippt das Privacy-Shield-Abkommen

Was war das Privacy-Shield?

Das EU-US Privacy-Shield ist ein Abkommen zwischen den USA und der EU. Idee des Abkommens war es, den Datentransfer von der EU in die USA zu vereinfachen. Da das Datenschutz-Niveau in den USA niedriger ist als in der EU dürfen grundsätzlich keine personenbezogenen Daten von der EU ins die USA transferiert werden. Um hier einen praktikable Lösung zu finden, konnten US-Dienstleister wie Facebook, Google, Apple, Microsoft und Yahoo sich nach den Regeln des Privacy-Shield zertifizieren lassen und damit garantieren, ein gleichwertiges Schutzniveau wie in der EU für die Datenverarbeitung einzuhalten. Der EuGH sah dies jedoch nicht als ausreichend an, da die US-Unternehmen nach den gesetzlichen Bestimmungen der USA Daten von Nicht US-Bürgern vorbehaltlos an US-Behörden und Geheimdienste weitergeben müssen - gleich ob sie sich nach dem US Privacy-Shield zertifiziert haben oder nicht. Daher hat der EuGH das Abkommen nun für ungültig erklärt.

Safe-Harbor

Bereits der Vorgänger des Privacy-Shields, das Safe Harbor-Abkommen, wurde im Oktober 2015 durch ein Urteil es EuGH für ungültig erklärt, da es unter anderem keine ausreichenden Rechtsschutzmöglichkeiten für EU-Bürger in den USA gab.

Warum ist das Urteil für Ihr Unternehmen relevant?

Das Urteil ist relevant für alle Unternehmen, die personenbezogene Daten in die USA übermitteln. Das ist bereits dann der Fall, wenn Sie eine Internetseite, eine Präsenz bei einem Social-Media-Anbieter wie Facebook, Instragm oder Twitter haben oder Ihre Daten in einer Cloud verwalten und der Anbieter diese Daten in die USA überträgt. Da das Privacy-Shield-Abkommen nun nicht mehr existiert, stellt sich die sehr gute Frage, auf Basis welcher Rechtsgrundlage Sie diesen Datentransfer noch vornehmen dürfen. Bei einem Verstoß gegen die DSGVO muss mit einem immensen Bußgeld (bis zu 4% des Umsatzes eines Unternehmens) gerechnet werden.

Daneben besteht die Gefahr, dass Nutzer oder Kunden Sie abmahnen und Schadensersatz verlangen. Auch sind Abmahnungen von Mitbewerben oder Verbraucherschutzorganisationen möglich, wobei noch nicht abschließend geklärt ist, ob das Wettbewerbsrecht tatsächlich eine taugliche Rechtsgrundlage für die Abmahnung von Datenschutzverstößen ist.

US-Dienstleister datenschutzrechtlich überprüfen

Sie können Ihrem US-Dienstleister einen vorbereiteten Fragenkatalog auf Englisch schicken, in dem dieser diverse Fragen zu seinem jeweiligen Datenschutzniveau beantworten muss. Zwar werden die meisten US-Unternehmen nicht sofort antworten oder die Auswertung der Fragen zum Datenschutzniveau fällt negativ aus. Insbesondere Anbieter wie Apple, Google oder Microsoft müssen Geheimdiensten einen Zugriff auf Daten Ihrer europäischen Nutzer erlauben, was einen immensen Eingriff in die Privatspähre dieser User bedeutet und vom EuGH misbilligt wird.

Der positive Effekt dieser Lösung ist jedoch, dass Sie gegenüber der jeweiligen Behörde nachweisen können, dass Sie auf die Unwirksamkeit des Privacy-Shields reagiert haben. Wir erstellen ein vorausgefülltes Formular gerne für Sie.

Einholung einer informierten Einwilligung ist problematisch

Die Einholung einer vorherigen, informierten Einwilligung Ihrer Nutzer ist hingegen riskant, da dann weiterhin das fehlenden Datenschutzniveau bemängelt werden kann. Ob ein EU-Bürger überhaupt in eine Verletzung des Kernbereichs seiner Grundrechte einwilligen kann, darf zumindest angezweifelt werden.

Wenn Sie sich trotz Restrisikos für diese Variante entscheiden, können Sie die Einwilligung beispielsweise mit einer sogenannten “Consent Management Platform (CMP)” einholen. Diese Software ermöglicht es, die Privatsphäre-Präferenzen einer Webseite in Bezug auf jeden einzelnen Dienst, der in deiner Webseite implementiert ist, abzufragen und zu dokumentieren.

Verzicht auf das Nutzen von US-Dienstleistern

Einige US-Anbieter (z.B. Microsoft und AWS) bieten die Möglichkeit Daten auf EU-Servern zu speichern. Dokumentieren Sie in jedem Fall Ihre Suche nach Alternativen für die jeweiligen Behörden und achten Sie dabei zusätzlich auch auf den Sitz möglicher Subunternehmer.

Anpassung der Datenschutzerklärung

In jedem Fall müssen Sie etwaige Hinweise auf das Privacy-Shield-Abkommen in Ihrer Datenschutzerklärung löschen. In unserem kostenlosen Datenschutzgenerator haben wir aktuell keine Verweise auf das Privacy-Shield mehr, d. h. alle neu generierten Datenschutzerklärungen haben schon keinen Passus mehr zum Privacy Shield. Wenn Sie unseren Generator für die Erstellung Ihrer Erklärung genutzt haben, können Sie diese auch kostenlos hier updaten.

Nutzen der neuen Google Standarddatenschutzklauseln

Google kündigte an am 12. August 2020 zu Standarddatenschutzklauseln zu wechseln, durch die der Datentransfer entsprechend der DSGVO legitimiert werden kann. Bei Googles Clouddiensten seien diese bereits eingesetzt. Zweifelhaft ist jedoch deren Rechtskonformität, da solche Standardklauseln laut EuGH im Einzelfall auf das jeweilige Datenschutzniveau hin zu überprüfen sind und die bisherigen Schutzklauseln von Google und anderen amerikanischen Kommunikationsdienstleistern unzureichend waren.

Die Datenschutzkonferenz (DSK) äußerte sich in einer Mitteilung zum EuGH-Urteil dahingehend, dass es eben nicht ausreicht eine Standarddatenschutzklausel nur förmlich aufzunehmen, um das Datenschutzniveau sicherzustellen. Kritisiert wurden vom EuGH die weitgehenden Zugriffsbefugnisse US-amerikanischer Behörden bzw. Nachrichtendienste, an denen allein die Nutzung einer Standarddatenschutzklausel nichts ändert.