Die Europäische Kommission verabschiedet neue Angemessenheitsentscheidung

Die Europäische Kommission hat heute ihre Angemessenheitsentscheidung für das EU-US-Datenschutzframework verabschiedet. Die Entscheidung kommt zu dem Schluss, dass die Vereinigten Staaten ein angemessenes Datenschutzniveau gewährleisten – vergleichbar mit dem der Europäischen Union – für personenbezogene Daten, die im Rahmen des neuen Frameworks von der EU an US-Unternehmen übermittelt werden. Aufgrund der neuen Angemessenheitsentscheidung können personenbezogene Daten sicher von der EU an US-Unternehmen übertragen werden, die am Framework teilnehmen, ohne zusätzliche Datenschutzvorkehrungen treffen zu müssen.

Das EU-US-Datenschutzframework führt neue verbindliche Sicherheitsvorkehrungen ein, um alle von dem Europäischen Gerichtshof aufgeworfenen Bedenken anzugehen, darunter die Beschränkung des Zugangs zu EU-Daten durch US-Geheimdienste auf das Notwendige und Angemessene sowie die Einrichtung eines Datenschutzüberprüfungsgerichts (Data Protection Review Court – DPRC), zu dem EU-Bürger Zugang haben werden. Das neue Framework bringt im Vergleich zum Privacy Shield erhebliche Verbesserungen mit sich. Wenn das DPRC feststellt, dass Daten in Verletzung der neuen Sicherheitsvorkehrungen erhoben wurden, kann es die Löschung der Daten anordnen. Die neuen Vorkehrungen im Bereich des Regierungszugangs zu Daten ergänzen die Verpflichtungen, denen US-Unternehmen bei der Einfuhr von Daten aus der EU unterliegen werden.

Präsidentin Ursula von der Leyen erklärte: “Das neue EU-US-Datenschutzframework wird sichere Datenströme für Europäer gewährleisten und Unternehmen auf beiden Seiten des Atlantiks Rechtssicherheit bieten. Nach der im vergangenen Jahr mit Präsident Biden erzielten Grundsatzvereinbarung hat die US-Regierung beispiellose Verpflichtungen zur Einrichtung des neuen Frameworks umgesetzt. Heute gehen wir einen wichtigen Schritt, um den Bürgern das Vertrauen zu geben, dass ihre Daten sicher sind, um unsere wirtschaftlichen Beziehungen zwischen der EU und den USA zu vertiefen und gleichzeitig unsere gemeinsamen Werte zu bekräftigen. Es zeigt, dass wir durch Zusammenarbeit komplexe Probleme lösen können.”

US-Unternehmen können dem EU-US-Datenschutzframework beitreten, indem sie sich verpflichten, eine detaillierte Reihe von Datenschutzverpflichtungen einzuhalten, wie beispielsweise die Verpflichtung, personenbezogene Daten zu löschen, wenn sie für den Zweck, für den sie erhoben wurden, nicht mehr erforderlich sind, und den Schutz fortzusetzen, wenn personenbezogene Daten mit Dritten geteilt werden.

EU-Bürger werden mehrere Möglichkeiten haben, sich zu beschweren, wenn ihre Daten von US-Unternehmen falsch gehandhabt werden. Dazu gehören unabhängige Streitbeilegungsmechanismen und ein Schiedspanel, die kostenlos zur Verfügung stehen.

Darüber hinaus bietet das US-Rechtssystem eine Reihe von Sicherheitsvorkehrungen in Bezug auf den Zugang zu im Rahmen des Frameworks übertragenen Daten durch US-Behörden, insbesondere für strafrechtliche Ermittlungen und nationale Sicherheitszwecke. Der Zugang zu Daten ist auf das Notwendige und Angemessene beschränkt, um die nationale Sicherheit zu schützen.

EU-Bürger werden Zugang zu einem unabhängigen und unparteiischen Rechtsbehelfsmechanismus in Bezug auf die Erhebung und Verwendung ihrer Daten durch US-Geheimdienste haben, einschließlich eines neu geschaffenen Datenschutzüberprüfungsgerichts (DPRC). Das Gericht wird Beschwerden unabhängig prüfen und lösen, indem es verbindliche Abhilfemaßnahmen ergreift.

Die von den USA eingeführten Sicherheitsvorkehrungen erleichtern auch allgemein den transatlantischen Datenverkehr, da sie auch gelten, wenn Daten unter Verwendung anderer Instrumente wie Standardvertragsklauseln und verbindlicher Unternehmensregeln übertragen werden.

Nächste Schritte

Die Funktionsweise des EU-US-Datenschutzframeworks unterliegt regelmäßigen Überprüfungen, die von der Europäischen Kommission zusammen mit Vertretern der europäischen Datenschutzbehörden und zuständigen US-Behörden durchgeführt werden.

Die erste Überprüfung wird innerhalb eines Jahres nach Inkrafttreten der Angemessenheitsentscheidung stattfinden, um zu überprüfen, ob alle relevanten Elemente im US-Rechtssystem vollständig umgesetzt wurden und in der Praxis effektiv funktionieren.

Hintergrund

Artikel 45 Absatz 3 der Datenschutz-Grundverordnung (DSGVO) gibt der Kommission die Befugnis, durch einen Durchführungsakt festzustellen, dass ein Nicht-EU-Land ein “angemessenes Datenschutzniveau” gewährleistet – ein Datenschutzniveau für personenbezogene Daten, das im Wesentlichen dem Schutzniveau innerhalb der EU entspricht. Durch Angemessenheitsentscheidungen können personenbezogene Daten frei von der EU (sowie Norwegen, Liechtenstein und Island) in ein Drittland fließen, ohne weitere Hindernisse.

Nach der Aufhebung der vorherigen Angemessenheitsentscheidung zum EU-US Privacy Shield durch den Gerichtshof der Europäischen Union haben die Europäische Kommission und die US-Regierung Verhandlungen über ein neues Framework aufgenommen, das die vom Gericht aufgeworfenen Fragen angeht.

Im März 2022 gaben Präsidentin von der Leyen und Präsident Biden bekannt, dass sie eine Grundsatzvereinbarung über ein neues transatlantisches Datenflussframework erzielt hätten, nachdem Verhandlungen zwischen Kommissar Reynders und US-Ministerin Raimondo stattgefunden hatten. Im Oktober 2022 unterzeichnete Präsident Biden eine Exekutivanordnung zur “Verbesserung der Sicherheitsvorkehrungen für die Aktivitäten des US-amerikanischen Signalgeheimdienstes”, die durch von Generalstaatsanwalt Garland erlassene Vorschriften ergänzt wurde.