Die Europäische Kommission hat entschieden, dass Personendaten von der EU in die USA wieder ohne zusätzliche Massnahmen übermittelt werden dürfen, wenn das die Daten empfangende US-Unternehmen unter dem EU-US Data Privacy Framework zertifiziert ist.
In der Schweiz müssen wir noch abwarten, d.h. zur Zeit sind bei einer Bekanntgabe von Personendaten in die USA in jedem Fall Massnahmen zu ergreifen.
Zum Hintergrund
Gemäss Schweizerischem Datenschutzgesetz dürfen Personendaten nicht ohne Weiteres ins Ausland bekannt gegeben werden, wenn im Empfängerland kein angemessener Datenschutz von Gesetzes wegen gewährleistet ist. Fehlt eine Gesetzgebung, die einen angemessenen Datenschutz gewährleistet, dürfen Personendaten nur unter bestimmten Voraussetzungen ins Ausland bekannt gegeben werden, u.a. wenn durch einen Vertrag einen hinreichenden Datenschutz sichergestellt wird (z.B. durch die sog. Standardvertragsklauseln und ein sog. Transfer Impact Assessement durchgeführt wurde) oder die betroffenen Personen einer Datenbekanntgabe eingewilligt hat.
Die USA hat aus der Sicht der Schweiz wie auch aus der Sicht der EU grundsätzlich keine Gesetzgebung mit einem angemessenen Datenschutz. Deshalb dürfen Personendaten nicht ohne Weiteres an Unternehmen in den USA bekanntgegeben werden (z.B. im Rahmen von Cloud-Services mit Serverstandorten in den USA).
Das EU-US Data Privacy Framework
Die EU und die USA haben sich bereits letztes Jahr über das sog. Trans-Atlantic Data Privacy Framework geeinigt (hier mehr dazu lesen). Nun hat die Europäische Kommission über den entsprechenden Angemessenheitsbeschluss entschieden. D.h. dass eine Datenbekanntgabe an Unternehmen in den USA, die sich unter dem Data Privacy Framework zertifizieren, ohne weitere Massnahmen erfolgen kann. Hierzu gibt es eine öffentliche Datenbank (Data Privacy Framework List), aus welcher ersichtlich ist, welche US-Unternehmen entsprechend zertifiziert sind.
Gilt das Data Privacy Framework auch für die Schweiz?
Nein, grundsätzlich nicht. Es wird davon ausgegangen, dass die Schweiz ebenfalls ein entsprechendes Abkommen mit den USA schliessen wird. Ebenfalls ist davon auszugehen, dass anschliessend eine Datenbekanntgabe an entsprechend zertifizierte US-Unternehmen ohne Weiteres möglich sein wird.
Bis ein entsprechendes Abkommen zwischen der Schweiz und den USA geschlossen und anschliessend ein entsprechender Entscheid gefällt ist, muss vorerst abgewartet werden. Die Gespräche zwichen der Schweiz und den USA seien allerdings weit fortgeschritten. Das heisst, dass aktuell bei einer Datenbekanntgabe weiterhin geprüft werden muss, basierend auf welcher Massnahme diese erfolgt. Schliesst man die Standardvertragsklauseln (SCC) mit dem US-Unternehmen ab, so gibt es bereits Meinungen, wonach dann nicht mehr zusätzlich noch ein Transfer Impact Assessment (TIA) notwendig ist, wenn das Empfängerunternehmen sich unter dem EU-US Data Privacy Framework zertifiziert hat. Diesfalls sollte aber eine vertragliche Verpflichtung zur Einhaltung des Data Privacy Frameworks durch das US-Unternehmen geschlossen werden.
Was es noch zu wissen gilt
Auch wenn die Zeichen gut stehen, dass die Schweiz eine vergleichbare Basis für die Datenbekanntgabe in die USA schafft, so wird aktuell die Euphorie gedämpft:
Vor dem Data Privacy Framework gab es bereits vergleichbare «Vorgänger», nämlich «Safe Harbor» und «Privacy Shield». Beide Möglichkeiten wurden – forciert durch entsprechende Gerichtsverfahren des österreichischen Juristen und Datenschutzaktivisten Max Schrems – vom Europäischen Gerichtshof (EuGH) als ungültig erklärt. Die Schweiz hatte sich in den Beurteilungen jeweils der EU-Meinung angeschlossen.
Nun hat Herr Max Schrems bereits angekündigt, dass ein weiteres Gerichtsverfahren so gut wie sichere Sache ist. Auf der Seite von noyb wird er wie folgt zitiert: "Wir haben bereits verschiedene juristische Optionen in der Schublade, obwohl wir dieses juristische Ping-Pong satt haben. Wir gehen derzeit davon aus, dass die Sache Anfang nächsten Jahres wieder vor dem Europäischen Gerichtshof landen wird. Der Gerichtshof könnte dann sogar das neue Abkommen während des Verfahrens aussetzen."
Umso mehr müssen wir abwarten.
Mehr erfahren
- Die Übermittlung von Personendaten in ein Land ohne angemessenes Datenschutzniveau gestützt auf anerkannte Standardvertragsklauseln und Musterverträge
______