Hoffnung auf (zeitweise) Erleichterungen beim US-Datentransfer

Im vergangenen Jahr haben sich wichtige Veränderungen mit Blick auf die bisher unsichere Rechtslage beim US-Datentransfer ergeben. Die im Oktober 2022 erlassene Executive Order on „Enhancing Safeguards For United States Signals Intelligence Activities“ („EO“) soll den Weg für ein neues Abkommen zur Datenübermittlung zwischen der EU und den USA (Data Privacy Framework („DPF“)) ebnen. Primäres Ziel der EO ist die Adressierung und Behebung der Hauptkritikpunkte der Schrems-II-Entscheidung.

Es bestehen jedoch Zweifel daran, dass die in der EO etablierten Regelungen tatsächlich die Anforderungen des EuGH an das erforderliche Schutzniveau erfüllen können. Insbesondere die Frage nach der Unabhängigkeit der mit der Überprüfung beauftragten „Gerichte“ und deren Einbindung in die Exekutive werden als problematisch erachtet. Die Kommission scheint diese Befürchtungen jedoch nicht zu teilen und betrachtet die Bemühungen seitens der USA als ausreichend.

Bereits im Dezember 2022 veröffentlichte die Kommission ihren Entwurf für einen Angemessenheitsbeschluss. Dieser orientiert sich im Wesentlichen an derselben Systematik, welche für das EU-US Privacy Shield verwendet wurde. Der wesentliche Unterschied zum Privacy Shield findet sich in der Bewertung der Verpflichtungen der US-Nachrichtendienste, welche sich, gemäß der Kommission, durch die EO verbessert haben.

Der Entwurf wurde dem EDSA und dem Europäischen Parlament für eine entsprechende Stellungnahme zugeleitet. In der Sitzung des EDSA vom 16. Januar 2023 hat der zuständige Kommissar, Didier Reynders, den Angemessenheitsbeschluss beim EDSA vorgestellt. Der EDSA hat im Anschluss über die gemeinsame Stellungnahme der Datenschutzbehörden diskutiert. Dort gehen die bisher veröffentlichten Meinungen auseinander: Während die Hamburger Datenschutzbehörde eine EO grundsätzlich als tragfähige Lösung erachtet, ist die baden-württembergische Datenschutzaufsicht nicht davon überzeugt. Eine Konsultation mit dem Europaparlament steht noch aus. Legt man aber die Resolution des Plenums von 2018 zugrunde, wird die Kommission insbesondere überzeugend darlegen müssen, dass die Massenüberwachung künftig ausgeschlossen ist. Die endgültige Verabschiedung des Angemessenheitsbeschlusses wird aktuell für das zweite Quartal 2023 erwartet.

Wer sich in der Zwischenzeit vertieft informieren will, sollte den Überblick über die bis Januar 2023 vertretenen Meinungen und weitere Hintergrundinformationen in einem lesenswerten Briefing des wissenschaftlichen Dienstes des Europaparlaments lesen. Ebenso beachtenswert ist in diesem Zusammenhang das Briefing zum weiteren Verfahren, welches auch Hintergründe zur europäischen Datenschutzpolitik vermittelt.

Sobald der Angemessenheitsbeschluss verabschiedet wird, vereinfachen sich die Datenübermittlungen in die USA, sofern sich der jeweilige Datenimporteur unter dem DPF zertifizieren lässt. Die Vereinbarung von Standardvertragsklauseln („SCC“) und die Durchführung von Transfer Impact Assessments („TIA“) sind dann nicht mehr erforderlich. Falls der Empfänger sich nicht zertifizieren lässt, bleibt es bei der Anwendung der SCC. Allerdings kann wohl dann aller Voraussicht nach im Rahmen des TIAs auf eine intensive Prüfung durch Verweis auf den Angemessenheitsbeschluss verzichtet werden.

Für das Jahr 2023 ergeben sich durch die unmittelbar geltende EO bereits jetzt schon Neuerungen für Datenübermittlungen, welche bei der Bewertung des nationalen Rechts im Rahmen des TIAs bedacht werden sollten. Dabei ist jedoch zu berücksichtigen, dass den US-Nachrichtendiensten eine Übergangsfrist von einem Jahr gewährt wurde, um die Maßnahmen der EO umzusetzen und dass die Klassifizierung der EU als „qualifying state“ noch aussteht. EU-Bürger können sich aus diesem Grund aktuell wohl noch nicht auf den neuen Rechtsbehelfsmechanismus berufen. Ferner ist davon auszugehen, dass der EuGH in absehbarer Zeit das DPF gerichtlich überprüfen wird. Ob das DPF daher den Streit um den US-Transfer dauerhaft lösen wird, bleibt abzuwarten.