Entwurf der Angemessenheitsentscheidung wurde veröffentlicht

Die EU-Kommission hat den lang erwarteten Entwurf einer Angemessenheitsentscheidung für Datenübermittlungen aus der EU in die USA veröffentlicht, nachdem sie das US-Recht und die US-Praxis, einschließlich der Executive Order 14086 und der AG-Verordnung, analysiert hatte. Sie kommt zu dem Schluss, dass die Vereinigten Staaten ein angemessenes Schutzniveau für personenbezogene Daten gewährleisten, die gemäß dem EU-US-Datenschutzrahmen übermittelt werden. Der EU-US-Datenschutzrahmen ist ein Zertifizierungssystem, mit dem sich US-Organisationen zur Einhaltung einer Reihe von Datenschutzgrundsätzen verpflichten, die vom US-Handelsministerium herausgegeben werden. Die Grundsätze gelten unmittelbar nach der Zertifizierung. Sie berühren nicht die Anforderungen der Verordnung (EU) 2016/679, die für Einrichtungen in der Union gelten, die Daten übermitteln, wie Zweckbindung, Datenminimierung, Transparenz und Datensicherheit.

Personenbezogene Daten können im Rahmen der EU-US-DSGVO von der EU in die USA übermittelt werden, mit Ausnahme von Daten, die für die Veröffentlichung, Ausstrahlung oder andere Formen der öffentlichen Kommunikation von journalistischem Material erhoben wurden. Die EU-US-Datenverarbeitungsgrundsätze gelten für Organisationen in den USA, die als für die Verarbeitung Verantwortliche oder Auftragsverarbeiter gelten und vertraglich verpflichtet sind, nur auf Anweisung des für die Verarbeitung Verantwortlichen in der EU zu handeln und diesen bei der Beantwortung von Anfragen von Personen, die ihre Rechte gemäß den Grundsätzen wahrnehmen, zu unterstützen. Nach dem EU-US-Datenschutzrahmen müssen personenbezogene Daten rechtmäßig und nach Treu und Glauben verarbeitet werden und dürfen nicht mit dem Zweck, für den sie ursprünglich erhoben wurden, unvereinbar sein.

Unter bestimmten Umständen muss für die Verarbeitung sensibler Daten keine Zustimmung eingeholt werden. Gemäß dem Grundsatz der Datenintegrität und Zweckbindung müssen Organisationen jedoch sicherstellen, dass personenbezogene Daten richtig, vollständig und aktuell sind, und dürfen personenbezogene Daten nur so lange aufbewahren, wie sie dem Zweck bzw. den Zwecken dienen, für den bzw. die sie ursprünglich erhoben wurden oder für den bzw. die die betroffene Person gemäß dem Grundsatz der Wahlfreiheit ihre Zustimmung erteilt hat. Darüber hinaus müssen personenbezogene Daten so verarbeitet werden, dass ihre Sicherheit gewährleistet ist, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung und vor versehentlichem Verlust, Vernichtung oder Beschädigung. Schließlich müssen die für die Verarbeitung Verantwortlichen und die Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen ergreifen.