Transfer personenbezogener Daten in die USA – Nachfolgeabkommen zum Privacy Shield?

Seitdem der EuGH im Juli 2020 das Privacy Shield für unwirksam erklärte, besteht bei Unternehmen auf beiden Seiten des Atlantiks erhebliche Rechtsunsicherheit beim Transfer personenbezogener Daten in die USA. Ende März 2022 hatten sich deshalb die EU-Kommissionspräsidentin und der US-Präsident auf die Schaffung eine Nachfolgeregelung verständigt. Die USA haben sich dabei verpflichtet, neue Datenschutzstandards und Beschwerdemöglichkeiten für Betroffene bei nachrichtendienstlichen Zugriffen zu schaffen.

USA verpflichten sich zu neuen Datenschutzstandards

Anfang Oktober 2022 haben die USA eine Executive Order – eine gesetzesähnliche Präsidialanordnung gegenüber Behörden – erlassen. Sie sieht vor, dass US-Nachrichtendienste beim Zugriff auf Daten von Personen deren Privatsphäre und bürgerliche Freiheiten in angemessener Weise zu berücksichtigen haben. Dies gilt unabhängig davon, welche Nationalität oder welchen Wohnsitz die Person hat. Der behördliche Datenzugriff soll zudem nur noch möglich sein, wenn er der Erreichung bestimmter, zuvor festgelegter Ziele der nationalen Sicherheit dient. Weiterhin sollen besondere Bestimmungen für den Umgang mit personenbezogenen Daten festgelegt werden.

Um eine Balance zwischen der Verfolgung von Zielen der nationalen Sicherheit und Beeinträchtigungen der Privatsphäre sowie bürgerlichen Rechten von Betroffenen sicherzustellen, erhalten die Rechtsaufsicht und Compliance-Beauftragten eine erweiterte Zuständigkeit, die es ihnen ermöglicht, bei Nichteinhaltung der Datenschutzvorgaben angemessene Abhilfemaßnahmen zu ergreifen.

Neues Beschwerdesystem und Überwachungsorgan

Betroffenen aus qualifizierten Staaten, die durch den „Attorney General“ anerkannt werden, wird bei Verstößen gegen den Datenschutz ein zweistufiges Beschwerdesystem offenstehen: Zunächst können sie sich an einen unabhängigen Beauftragten für bürgerliche Freiheiten bei den US-Nachrichtendiensten wenden. Der Beauftragte kann Untersuchungen durchführen und Abhilfemaßnahmen ergreifen.

Civil Liberties Oversight Board

Auf der zweiten Stufe können Entscheidungen des Beauftragten von einem speziellen Datenschutzgericht überprüft werden. Hier entscheiden drei Richter, die Expertise im Datenschutzrecht und Recht der nationalen Sicherheit haben. Betroffene erhalten zur Vertretung ihrer Interessen auch einen besonderen Beistand beigeordnet. 

Neben den Rechtsbehelfsmöglichkeiten soll des Weiteren ein „Civil Liberties Oversight Board“ die Strategien und Verfahren der US-Nachrichtendienste auf ihre Datenschutzkonformität überprüfen. Im Hinblick auf Rechtsbehelfsverfahren soll das Gremium außerdem jährlich die Umsetzung von Verpflichtungen zur Ergreifung von Abhilfemaßnahmen überprüfen.

Rechtslage trotz neuer US-Regeln zunächst unverändert

Ob die neuen Datenschutzregelungen aus der Executive Order in den USA ein der DSGVO angemessenes Schutzniveau für EU-Bürger gewährleisten und dementsprechend die Kritikpunkte aus dem Schrems II-Urteil des EuGH ausräumen, wird derzeit von der EU-Kommission geprüft. Dies wird voraussichtlich sechs Monate in Anspruch nehmen. Solange die EU-Kommission keinen neuen Angemessenheitsbeschluss hinsichtlich des US-Datenschutzniveaus verabschiedet hat, bleibt es für Unternehmen rechtlich erstmal beim „status quo“.

EU-Justizkommissar Reynders zeigte sich allerdings bereits zuversichtlich, dass die Kritikpunkte aus dem Schrems II-Urteil des EuGH durch die neuen US-Regelungen ausgeräumt würden. Max Schrems, Namensgeber des Schrems II-Urteils, hatte hingegen Zweifel daran geäußert und die Prüfung einer erneuten Klage vor dem EuGH angekündigt.