{"id":5535,"date":"2020-11-12T11:42:13","date_gmt":"2020-11-12T10:42:13","guid":{"rendered":"https:\/\/www.cr-online.de\/blog\/?p=5535"},"modified":"2020-11-12T18:50:36","modified_gmt":"2020-11-12T17:50:36","slug":"steine-statt-brot-empfehlungen-des-edsa-zu-datentransfers-nach-schrems-ii","status":"publish","type":"post","link":"https:\/\/www.cr-online.de\/blog\/2020\/11\/12\/steine-statt-brot-empfehlungen-des-edsa-zu-datentransfers-nach-schrems-ii\/","title":{"rendered":"Steine statt Brot: Empfehlungen des EDSA zu Datentransfers nach Schrems II"},"content":{"rendered":"

Der Europ\u00e4ische Datenschutzausschuss<\/em> (EDSA) hat seine lang erwarteten Empfehlungen 1\/2020<\/a> zur \u00f6ffentlichen Debatte gestellt, die sich mit der Rechtfertigung von Datentransfers in Drittl\u00e4nder befassen. Das Gremium der europ\u00e4ischen Datenschutzbeh\u00f6rden gibt eine ganze Reihe erw\u00e4genswerter Hinweise. Belastbare L\u00f6sungen liefert der EDSA indes nicht.<\/p>\n

Im Gegenteil:<\/u>\u00a0 Datentransfers an Dienstleister, die inhaltlich mit den Daten arbeiten, und sogar innerhalb eines Konzerns zur Abwicklung des t\u00e4glichen Gesch\u00e4fts seien regelm\u00e4\u00dfig nicht zu rechtfertigen. Das \u00fcberzeugt unter Anerkennung der praktischen Notwendigkeiten und unter Ber\u00fccksichtigung des risikobasierten Ansatzes der DSGVO nicht (siehe konkrete Handlungsoptionen<\/span> unten).<\/p>\n

Hintergrund<\/strong><\/p>\n

In seinem Urteil vom 16. Juli 2020 (EuGH v. 16.7.2020 – C\u2011311\/18, CR 2020, 529<\/a> ff.<\/a>) hat der EuGH nicht nur klargestellt, dass das Privacy Shield unwirksam ist. Bei der Gelegenheit kam er auch zur Einsch\u00e4tzung, dass die Standardvertragsklauseln der EU-Kommission<\/em> (Standard Contractual Clauses, SCC) allein bei Datentransfers in Drittl\u00e4nder ggf. unzureichend seien.<\/p>\n

Aktuell zu SCC:
\nVoigt<\/em>, \u201ePraxisprobleme im Zusammenhang mit den EU-Standardvertragsklauseln zur Auftragsverarbeitung \u2013 mehr als \u201anur\u2018 Schrems II …\u201c, CR 2020, 513<\/a> \u2013 522<\/a><\/p>\n

In den SCC werden dem Datenempf\u00e4nger im Drittland Pflichten auferlegt, um zwischen den Parteien ein Datenschutzniveau zu etablieren, das jenem in der EU angen\u00e4hert ist. F\u00fcr die USA sei das wegen der weitreichenden Zugriffsbefugnisse der dortigen Beh\u00f6rden ohne hinreichenden Rechtsschutz durch Regelungen wie FISA 702 und EO 12333 zweifelhaft, da diese die SCC unterminieren k\u00f6nnten. Eine Rechtfertigung k\u00f6nne daher je nach Einzelfall erst durch \u201eZusatzma\u00dfnahmen\u201c erreicht werden.<\/p>\n

Wie diese \u201eZusatzma\u00dfnahmen\u201c aussehen k\u00f6nnen, sagte der EuGH nicht. Das ist besonders misslich, da in der Praxis die L\u00f6sung \u00fcber SCC sehr etabliert ist. Zudem stellt sich das Problem nicht nur bei Transfers in die USA, sondern in alle Drittl\u00e4nder und damit auch nach China, Russland und bald wohl auch das Vereinigte K\u00f6nigreich.<\/p>\n

Unterschied zum BVerfG:
\nLejeune<\/em>, „Die Angemessenheit drittstaatlichen Datenschutzniveaus nach dem BVerfG und die \u201eunangemessenen\u201c Vorgaben nach EuGH \u201eSchrems\u00a0II\u201c“, CR 2020, 716<\/a> – 726<\/a><\/p>\n

Unsichere Praxis ohne SCC als Standardl\u00f6sung<\/strong><\/p>\n

Das Urteil des EuGH zieht eine sehr gro\u00dfe Zahl von Datentransfers in Zweifel, die notwendig sind, um wirtschaftliche Prozesse aufrecht zu erhalten.<\/p>\n

Unternehmenspraxis:<\/u>\u00a0 Die Reaktion im Markt orientierte sich an ge\u00fcbten datenschutzrechtlichen Vorgehensweisen: Die Datentransfers werden identifiziert, es wird in Anlehnung an das Konzept der Datenschutz-Folgenabsch\u00e4tzung eine Risikoanalyse vorgenommen (Transfer Impact Assessment, TIA) und es werden ggf. technische und vertragliche Zusatzma\u00dfnahmen implementiert, z.B. durch die Verschl\u00fcsselung der Daten oder die Vereinbarung erg\u00e4nzender Verpflichtungen \u00fcber die SCC hinaus (z.B. weitergehende Transparenzpflichten). Allerdings stehen diese selbst entwickelten L\u00f6sungen immer vor dem Problem, dass sie (noch) nicht von Beh\u00f6rden oder Gerichten best\u00e4tigt wurden. Da sie gleichzeitig hohe Aufw\u00e4nde ausl\u00f6sen, wurde gerade auf die Empfehlungen des EDSA gewartet, um sich daran orientieren zu k\u00f6nnen.<\/p>\n

Aufsichtsbeh\u00f6rdliche Hilfestellungen:<\/u>\u00a0 Bereits vor dessen Empfehlungen hatten der EDSA FAQs<\/a> und die deutschen Datenschutzbeh\u00f6rden gewisse Hilfestellungen ver\u00f6ffentlicht. Dies waren allerdings in der Regel Pr\u00fcfungsschemata<\/u> (vgl. zuletzt jene des BfDI<\/a> und des LfDI RLP<\/a>), die im Wesentlichen die Rechtslage und das Urteil des EuGH nur wiedergaben. Oder Handreichungen<\/u>, die zwar konkrete Empfehlungen enthielten, gleichzeitig aber klarmachten, dass hierauf eher keine im gro\u00dfen Ma\u00dfstab ausgerollte L\u00f6sung basieren sollte (vgl. die Orientierungshilfe<\/a> des LfDI BW).<\/p>\n

Praktikabilit\u00e4t:<\/u>\u00a0 Dementgegen sind verbindliche und im Unternehmensalltag umsetzbare Vorgaben in der Praxis unabdingbar \u2013 die SCC waren und sind gerade deshalb wichtig, weil sie Standardl\u00f6sungen sind.<\/p>\n

Empfehlungen des EDSA<\/strong><\/p>\n

Die Hoffnungen, dass der EDSA mit seinen Empfehlungen verl\u00e4ssliche L\u00f6sungen bringen w\u00fcrde, wurden im Ergebnis entt\u00e4uscht. Dabei ist das Dokument beeindruckend, zeigt es doch eine sehr tiefgehende Befassung mit den Herausforderungen durch die Rechtslage. Zudem enth\u00e4lt sein Annex 2 mit den dort behandelten Use Cases Beispiele mit konkreten L\u00f6sungsans\u00e4tzen f\u00fcr bestimmte Szenarien. Obwohl diese nicht neu sind, sondern l\u00e4ngst Teil der datenschutzrechtlichen Debatte und Umsetzung waren, erfolgt immerhin eine R\u00fcckkopplung zwischen Praxis und Aufsichtsbeh\u00f6rden.<\/p>\n

Praxisferne Versch\u00e4rfung:<\/u>\u00a0 Allerdings versch\u00e4rft der EDSA mit seinen Empfehlungen die Lage in einigen Konstellationen, zu denen er Stellung bezieht. So habe er keine geeigneten technischen Zusatzma\u00dfnahmen zur Rechtfertigung von Datentransfers identifiziert, wenn Dienstleister mit Klardaten arbeiten und wenn im Konzern internationale Zugriffsberechtigungen bestehen (Rz. 88 ff.). Auch wenn nach hier vertretener Ansicht damit die Rechtfertigung auf Basis der SCC im Einzelfall noch nicht ausgeschlossen ist (siehe Handlungsoptionen unten), sind diese Einsch\u00e4tzungen f\u00fcr die Praxis eine Zumutung.<\/p>\n

Hier eine Auswahl der Aspekte, die f\u00fcr den EDSA bei der Bewertung und Rechtfertigung von Datentransfers auf Grundlage der SCC ma\u00dfgeblich sind:<\/p>\n