DSGVO – Drittstaaten

Angesichts des internationalen Handels und der Zusammenarbeit ist es heutzutage unerlässlich, auch Daten in Drittländer übermitteln zu können. Die Überprüfung der Rechtmäßigkeit einer solchen Übertragung erfolgt in zwei Schritten.

Zunächst muss die Datenübermittlung selbst legal sein. Jede Verarbeitung personenbezogener Daten ist verboten, jedoch der Möglichkeit einer Genehmigung unterworfen. Neben der Einwilligung legt Art. 6 der Datenschutz-Grundverordnung (DSGVO) weitere Genehmigungsgründe fest, wie die Erfüllung eines Vertrags oder den Schutz lebenswichtiger Interessen. Für besondere personenbezogene Daten, die ein höheres Schutzniveau erfordern, sieht Art. 9 der DSGVO separate gesetzliche Anforderungen vor.

Wenn die beabsichtigte Datenübermittlung die allgemeinen Anforderungen erfüllt, muss in einem zweiten Schritt geprüft werden, ob die Übermittlung in das Drittland zulässig ist. Dabei muss zwischen sicheren und unsicheren Drittländern unterschieden werden. Sichere Drittländer sind solche, für die die Europäische Kommission auf der Grundlage eines Angemessenheitsbeschlusses ein angemessenes Datenschutzniveau bestätigt hat. In diesen Ländern bieten nationale Gesetze ein Schutzniveau für personenbezogene Daten, das mit dem des EU-Rechts vergleichbar ist. Die Drittländer, die ein angemessenes Schutzniveau gewährleisten, sind: Andorra, Argentinien, Kanada (nur kommerzielle Organisationen), Färöer-Inseln, Guernsey, Israel, Isle of Man, Jersey, Neuseeland, Schweiz, Uruguay, Japan, das Vereinigte Königreich und Südkorea. Die Datenübermittlung in diese Länder ist ausdrücklich erlaubt.

Seit dem 10. Juli 2023 gibt es einen Angemessenheitsbeschluss für den sogenannten EU-US Data Privacy Framework. Dieser erlaubt die Übermittlung personenbezogener Daten aus der EU an US-Unternehmen und US-Organisationen, die sich durch eine Zertifizierung dem Data Privacy Framework angeschlossen haben. Die bereits zertifizierten Unternehmen und Organisationen finden sich in dieser Liste. Datenübermittlungen an nicht zertifizierte US-Unternehmen und Organisationen können nicht mehr auf den Durchführungsbeschluss der Kommission (EU) 2016/1250 vom 12. Juli 2016 gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des Datenschutzschilds zwischen der EU und den USA (Privacy Shield) gestützt werden. Denn mit dem Urteil „Schrems II“ vom 16. Juli 2020 (in der Rechtssache C-311/18) hat der EuGH diesen Durchführungsbeschluss mit sofortiger Wirkung für ungültig erklärt. Für Datenübermittlungen an nicht zertifizierte US-Unternehmen und Organisationen sind gemäß Art. 44 ff. DSGVO andere Garantien erforderlich, um ein angemessenes Datenschutzniveau zu schaffen.

Wenn es für ein Land keinen Angemessenheitsbeschluss gibt, schließt dies nicht notwendigerweise jeglichen Datentransfer in dieses Land aus. Vielmehr muss der Verantwortliche auf andere Weise sicherstellen, dass die personenbezogenen Daten vom Empfänger ausreichend geschützt werden. Dies kann durch Standardvertragsklauseln gewährleistet werden, für Datentransfers innerhalb einer Gruppe durch sogenannte „verbindliche interne Datenschutzvorschriften“, durch die Verpflichtung zur Einhaltung von Verhaltenskodizes, die von der Europäischen Kommission für allgemein anwendbar erklärt wurden, oder durch die Zertifizierung des Datenverarbeitungsverfahrens.

Darüber hinaus gibt es mehrere Ausnahmen, die die Datenübermittlung in ein Drittland legitimieren, auch wenn der Schutz personenbezogener Daten nicht ausreichend gewährleistet werden kann. Am häufigsten ist hier die Einwilligung der betroffenen Person von Bedeutung. Dabei muss man besonders die Anforderungen beachten, damit eine solche Einwilligung freiwillig gegeben wird. Weitere Ausnahmen, wie die Übermittlung zur Erfüllung von Verträgen, wichtige Gründe des öffentlichen Interesses und die Geltendmachung rechtlicher Ansprüche, sind in der Praxis meist weniger relevant.