{"id":7215,"date":"2023-07-17T10:08:08","date_gmt":"2023-07-17T09:08:08","guid":{"rendered":"https:\/\/www.cr-online.de\/blog\/?p=7215"},"modified":"2023-07-17T15:59:06","modified_gmt":"2023-07-17T14:59:06","slug":"neue-angemessenheitsentscheidung-der-eu-kommission-zum-datentransfer-mit-usa-gemaess-art-45-abs-1-dsgvo","status":"publish","type":"post","link":"https:\/\/www.cr-online.de\/blog\/2023\/07\/17\/neue-angemessenheitsentscheidung-der-eu-kommission-zum-datentransfer-mit-usa-gemaess-art-45-abs-1-dsgvo\/","title":{"rendered":"Neue Angemessenheitsentscheidung der EU-Kommission zum Datentransfer mit USA gem\u00e4\u00df Art. 45 Abs. 1 DSGVO"},"content":{"rendered":"

Am 10. Juli 2023 hat die EU-Kommission<\/em> ihre Angemessenheitsentscheidung<\/a> f\u00fcr das EU-US Data Privacy Framework<\/em><\/a> verk\u00fcndet.<\/p>\n

Hintergrund:<\/strong><\/p>\n

Nachdem der EuGH im Urteil vom 16.7.2020, C-311\/18 (CR 2020, 529<\/a>)<\/a> die auf dem sog. EU-US Privacy Shield<\/em> beruhende Angemessenheitsentscheidung (\u201eAE\u201c) vom 12.7.2016 f\u00fcr unzureichend und unwirksam erkl\u00e4rt hatte, hatte die EU Kommission<\/em> Gespr\u00e4che mit den US-Beh\u00f6rden gef\u00fchrt, um eine neue AE zu erm\u00f6glichen. Daraufhin wurde von US-Pr\u00e4sident Biden<\/em> am 7.10.2022 die Executive Order (\u201eEO\u201c) 14086<\/a> erlassen, in der die USA der EU weitreichende Zugest\u00e4ndnisse im Hinblick auf die vom EuGH in seinem Urteil ge\u00e4u\u00dferten Kritikpunkte machen.<\/p>\n

Effekt:<\/strong><\/p>\n

Der auf der EO beruhende sog. EU-US Data Privacy Framework<\/em> ist als Nachfolger des EU-US Privacy Shield<\/em> zu verstehen. Amerikanische Unternehmen k\u00f6nnen sich erneut verpflichten, die in der EO bzw. die in dem Framework festgelegten Grunds\u00e4tze und Prinzipien bei ihrer Gesch\u00e4ftst\u00e4tigkeit zu beachten bzw. umzusetzen. Wie schon unter dem Privacy Shield<\/em> muss das Department of Commerce<\/em> (\u201eDoC<\/em>\u201c) entsprechende Unternehmen zertifizieren. Sobald die Zertifizierung abgeschlossen ist und das jeweilige Unternehmen auf der vom DoC<\/em> herausgegebenen Liste im Internet aufgef\u00fchrt wird, ist ein Datenaustausch mit diesem Unternehmen, bei dem personenbezogene Daten von EU-B\u00fcrgern iSv Art. 4 DSGVO<\/a> betroffen sind, wieder ohne weitere Bedingungen zul\u00e4ssig.<\/p>\n

Mit anderen Worten:<\/u><\/em> Ein Datenaustausch mit derart zertifizierten Unternehmen ist dann nicht mehr an die Verwendung der Standardvertragsklauseln nach Art. 46 DSGVO<\/a> oder der Binding Corporate Rules nach Art. 47 DSGVO<\/a> gebunden.<\/p>\n

Vorteil f\u00fcr Standardvertragsklauseln:<\/strong><\/p>\n

F\u00fcr diejenigen Unternehmen aus der EU, die dennoch weiterhin die Standardvertragsklauseln verwenden wollen, wird deren Nutzung deutlich vereinfacht, weil die AE bei der Durchf\u00fchrung des sog. Transfer Impact Assessments<\/em> (TIA) nach Klausel 14 der Standardvertragsklauseln zu ber\u00fccksichtigen ist mit der Folge, dass ein Datenaustausch dann mit amerikanischen Unternehmen \u2013 und zwar nach meiner Auffassung zumindest mit Unternehmen, die zertifiziert sind \u2013 grunds\u00e4tzlich zul\u00e4ssig ist, weil mit der AE festgestellt ist, das das Datenschutzniveau in den USA ein dem in der EU vergleichbares d.h. ein angemessenes Schutzniveau iSv Art. 45 Abs. 1 DSGVO<\/a> aufweist.<\/p>\n

Details der AE v. 10. Juli 2023:<\/strong><\/p>\n

Die AE stellt auf 64 Seiten im Detail die \u00c4nderungen im amerikanischen Datenschutzrecht aufgrund der neuen EO und weiterer damit in Zusammenhang stehender Dokumente dar, die im Anschluss an die EO von amerikanischen Beh\u00f6rden herausgegeben wurden.<\/p>\n

Neben den allgemeinen Datenschutzprinzipien<\/u> (Zweckbindung, Transparenz, Minimierungsgrundsatz, Verantwortlichkeiten des jeweiligen Controllers etc.) erl\u00e4utert die AE insbesondere die durch die neue EO geschaffenen Einschr\u00e4nkungen bei der Datenerhebung bzw. Verarbeitung insbesondere durch die Geheimdienste der USA wie z.B.:<\/p>\n