Am 16. Juli 2020 hat der Europäische Gerichtshof (EuGH) ein Urteil gefällt, das wesentliche Konsequenzen auf den Datentransfer aus der EU in die USA hat. Lesen Sie hier, um was es dabei geht.
Zum Hintergrund:
Gemäss Schweizerischem Datenschutzgesetz dürfen Personendaten nicht ins Ausland bekannt gegeben werden, wenn kein angemessener Datenschutz gewährleistet ist. Ein angemessener Datenschutz liegt vor, wenn die Gesetzgebung des Empfängerlandes einen angemessenen Datenschutz vorsieht. Fehlt eine Gesetzgebung, die einen angemessenen Datenschutz gewährleistet, dürfen Personendaten nur unter bestimmten Voraussetzungen ins Ausland bekannt gegeben werden, u.a. wenn durch einen Vertrag einen hinreichenden Datenschutz sichergestellt wird (z.B. durch die sog. Standardvertragsklauseln) oder die betroffenen Personen einer Datenbekanntgabe eingewilligt hat.
Um was geht es beim Privacy Shield: Da die USA grundsätzlich keine Gesetzgebung mit einem angemessenen Datenschutz hat, gilt seit 2017 der sog. Privacy Shield. Es handelt sich um einen Rahmen, der die schweizerischen Exporte von Personendaten in die USA erleichtert. Dabei können sich amerikanische Unternehmen für das Swiss-US Privacy Shield zertifizieren lassen. Werden Personendaten von der Schweiz an ein gemäss Swiss-US Privacy Shield zertifiziertes Unternehmen übermittelt, darf ein angemessener Datenschutz angenommen werden.
Was der EuGH entschieden hat: Die Datenschutz-Grundverordnung der Europäischen Union (DSGVO) sieht ebenfalls vor, dass personenbezogene Daten ohne einen angemessenen Datenschutz nicht ins Ausland bekannt gegeben werden dürfen. Ebenso gibt es resp. gab es einen EU-US Privacy Shield. Der Europäische Gerichtshof (EuGH) hat mit Urteil vom 16. Juli 2020 entschieden, dass der EU-US Privacy Shield ungültig ist. Hingegen erachtet der EuGH die Möglichkeit einer Übermittlung personenbezogener Daten ins Ausland basierend auf den sog. Standardvertragsklauseln als weiterhin gültig.
Was bedeutet das EuGH-Urteil für Schweizer Unternehmen: Das Urteil des EuGH ist für die Schweiz nicht direkt anwendbar. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat kommuniziert, das EuGH- Urteil zur Kenntnis genommen zu haben. Er wird dieses im Detail prüfen und sich zu gegebener Zeit äussern. Es bleibt abzuwarten, ob sich die Schweiz der Europäischen Rechtsprechung anschliesst.
Photo by Mika Baumeister on Unsplash