Daten-Export ohne Privacy Shield: Prüfschema aus Rheinland-Pfalz

Der Privacy Shield zwischen Europa und den USA wurde für ungültig erklärt. Wie kann der Export von Personendaten in die USA aus Europa trotzdem abgesichert werden?

Anhaltspunkte liefert der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz mit einem ausführlichen Prüfschema, das heute veröffentlicht wurde.

Das Prüfschema ist Teil einer «Informationsoffensive», denn – so der Datenschutzbeauftragte im deutschen Bundesland Rheinland-Pfalz in seiner heutigen Medienmitteilung – die «Umsetzung des EuGH-Urteils ist Mammutaufgabe».

Gemeint ist das EuGH-Urteil C-311/18 vom 16. Juli 2020 («Schrems II») mit Auswirkungen auch auf die Schweiz.

Im Einzelnen:

«Rund vier Monate nach dem Schrems II-Urteil zeigt sich: Es ist eine Mammutaufgabe, den Datentransfer in Staaten außerhalb der EU rechtskonform auszugestalten. Die Frage ist etwa für die Nutzung von US-amerikanischen Software-Programmen oder der Speicherung von Daten in einer Cloud von immenser Bedeutung. Es kann schlicht sein, dass Unternehmen bewährte Programme nicht mehr ohne Weiteres nutzen dürfen.»

Und:

«Da der sogenannte ‹Privacy Shield› vom EuGH gekippt worden ist, kommt es nun vor allem auf Standardvertragsklauseln an. Jedes Unternehmen, jede staatliche Stelle und jeder andere Verantwortliche sollte daher in diesen Wochen analysieren, welche Datenverarbeitungsprozesse in seiner Verantwortung ablaufen und an welcher Stelle welche personenbezogene Daten in Staaten außerhalb der EU transferiert werden. Anschließend muss genau geprüft werden, auf welcher Grundlage dies noch geschehen kann und ob gegebenenfalls zusätzliche Maßnahmen zu implementieren sind.»

Und weiter:

«Für uns als Aufsichtsbehörde ist klar: Die Verantwortung für einen zulässigen Datentransfer liegt beim Verantwortlichen, etwa beim Unternehmen. Wenn Beschwerden bei uns eingehen, dass Datentransfers nach dem EuGH-Urteil nicht rechtskonform ablaufen, werden wir diese prüfen und gegebenenfalls Sanktionen verhängen müssen. Zugleich unterstützen wir gemeinsam mit den anderen europäischen Datenschutzaufsichtsbehörden die anstehenden Umstellungsprozesse.»

Zur erwähnten «Informationsoffensive» zählen auch ein Kurz-Vortrag, eine Podcast-Folge und die Informationsseite «Datenübermittlungen in Drittländer».

Siehe auch: Wie gewährleiste ich den Datenschutz bei Google, Mailchimp, Zoom & Co.? (Webinar bei Datenschutzpartner mit Mailchimp als Beispiel)

Bild: Pixabay / babawawa, Public Domain-ähnlich.