News
Aktuelles zu Datentransfers in die USA – Was ändert die Executive Order?
US-Präsident Joe Biden hat am 7. Oktober 2022, nach Abstimmung mit der Europäischen Kommission, eine Executive Order „zur Verbesserung der Sicherheitsvorkehrungen für nachrichtendienstliche Tätigkeiten der Vereinigten Staaten“ (EO) unterzeichnet (Pressemitteilung des Weißen Hauses vom 7. Oktober 2022). Durch die EO sollen in die USA übermittelte personenbezogene Daten von Nicht-US-Bürger:innen besser vor Eingriffen der US-Behörden geschützt werden. Sie soll als faktische Grundlage für einen bereits in Aussicht gestellten Angemessenheitsbeschluss der Europäischen Kommission dienen, der wiederum die Übermittlung von personenbezogenen Daten in die USA in Zukunft erheblich erleichtern soll.
Ob die EO diese Funktion erfüllen kann, ist bislang noch fraglich. Zum jetzigen Zeitpunkt gibt es aber bereits kritische Reaktionen vonseiten einiger Aufsichtsbehörden.
Inhalt der EO
Die Regelungen der EO sollen vor allem den Schutz von Nicht-US-Bürgern bei Eingriffen der Geheimdienste verbessern. Die bisherigen Regelungen hierzu waren vom Europäischen Gerichtshof im Schrems-II-Urteil (EuGH, Urteil v. 16. Juli 2020, C‑311/18) als unzureichend kritisiert worden (siehe auch die Zusammenfassung des BfDI zum Urteil). Der EuGH bemängelte vor allem, dass ein Zugriff auf Daten von Nicht-US-Bürgern auf Grundlage bestimmter Überwachungsvorschriften weitgehend uneingeschränkt möglich sei und dass zudem keine effektiven Möglichkeiten bestünden, um sich gegen Eingriffe von US-Überwachungsbehörden zu wehren.
Die neue EO adressiert entsprechend genau diese vom EuGH angesprochenen Defizite:
- Die Durchführung von Überwachungsmaßnahmen soll nur noch dann erfolgen, wenn sie verhältnismäßig und notwendig ist. Insbesondere sollen vor Durchführung die Privatsphäre und die bürgerlichen Freiheiten aller Personen unabhängig von ihrer Staatsangehörigkeit oder ihrem Wohnsitzland berücksichtigt werden.
- Über einen zweistufigen Rechtsbehelfsmechanismus sollen Nicht-US-Bürger:innen in Zukunft die Möglichkeit erhalten, sich effektiver gegen Maßnahmen der US-Behörden zu wehren. Als Ansprechstelle für Beschwerden können sie sich an einen „Civil Liberties Protection Officer“ wenden, wenn der Verdacht auf Missbrauch ihrer personenbezogenen Daten besteht. Darüber hinaus können sie Entscheidungen des „Civil Liberties Protection Officer“ in einem „Data Protection Review Court“ anfechten.
Wie haben bislang die Aufsichtsbehörden reagiert?
Auf Seiten der deutschen Aufsichtsbehörden haben sich bislang nur die bayerische und baden-württembergische Behörde offiziell zur EO geäußert.
Die Vertreter der bayerischen Datenschutzaufsichtsbehörde für nicht-öffentliche Stellen gehen zwar davon aus, dass die EO in Zukunft bei Transfer Impact Assessments berücksichtigt werden kann, aktuell müsse man aber deren Umsetzung abwarten. Bislang haben sich die Vertreter der bayerischen Behörde nur in Vorträgen geäußert, eine Veröffentlichung auf der Website soll aber noch folgen (siehe Twitter von Dr. Carlo Piltz).
Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg stellt generell infrage, ob eine Durchführungsverordnung den Anforderungen an der DSGVO gerecht werden kann, da es sich formell gesehen lediglich um eine interne Anweisung der US-Regierung handelt und nicht um ein Gesetz (siehe dessen Pressemitteilung vom 26. Oktober 2022). Genau diese Einschätzung teilen aber wiederum andere Aufsichtsbehörden nicht und sehen die EO sehr wohl als Gesetz (wenn auch nicht als Parlamentsgesetz) an. Die Regelungen der EO seien zu schwammig und durch EU-Bürger:innen nicht effektiv durchsetzbar, da in Bezug auf die Einhaltung der Vorgaben kein Klagerecht bestünde. Ferner soll die Unabhängigkeit des „Data Protection Review Court“ nicht gewährleistet sein, da der Court dem US-Justizministerium untergeordnet und damit kein eigenständiges Gericht sei.
Was bedeutet das für die Praxis?
Eine unmittelbare Erleichterung ergibt sich aus der EO erst einmal nicht. Dies wohl einfach schlicht aufgrund des Umstandes, dass die Inhalte und Vorgaben der EO faktisch umgesetzt werden müssen. Bis zu einem Beschluss der Europäischen Kommission, der die Angemessenheit des Datenschutzniveaus in den USA anerkennt, ändert sich rechtlich daher erst mal nichts. Mit einem entsprechenden Beschluss wird aktuell im Frühjahr 2023 gerechnet. Auch die Rechtslage in den USA bleibt bis zur Umsetzung der EO unverändert.
Bis dahin müssen europäische Unternehmen also weiterhin dafür Sorge tragen, dass vor der Übermittlung von personenbezogenen Daten in die USA Standarddatenschutzklauseln (SCC) mit US-Dienstleistern vereinbart werden, ein Transfer Impact Assessment durchgeführt wird und bei Bedarf zusätzliche Maßnahmen getroffen werden.
In diesem Kontext möchten wir daher auch noch einmal darauf hinweisen, dass die alten SCC zum 27. Dezember dieses Jahres auslaufen und ggf. neue SCC abgeschlossen werden müssen (ausführliche Informationen hierzu finden Sie in unserem Blog).
News
Cybersecurity-Beratung von Piltz Legal - Nun auch mit zertifiziertem IT-Sicherheitsbeauftragten
Aufgrund unserer digitalisierungsaffinen Beratungsstrategie haben wir bei Piltz Legal immer wieder viele Berührungspunkte mit technischen Fragestellungen und arbeiten mit Personen aus IT- und IT-Security-Abteilungen zusammen. Gerade im Kontext des IT- und IT-Sicherheitsrechts setzt die Beratung deshalb voraus, dass man im Zweifel „die Sprache“ auch der IT-Mitarbeiter nicht nur versteht, sondern auch spricht. Die ist unser Anspruch und Teil unserer Beratung.
Prof. Dr. Burghard Piltz & Dr. Carlo Piltz erneut ausgezeichnet
Wir freuen uns, dass Prof. Dr. Burghard Piltz & Dr. Carlo Piltz erneut vom Handelsblatt ausgezeichnet wurden.
Betriebsvereinbarungen müssen auf DSGVO-Konformität geprüft werden
Die Auswirkungen der EuGH-Urteils in der Rechtssache C-34/21 vom 30.3.2023 wurden mit Blick auf § 26 BDSG und das eventuell kommende neuen Beschäftigtendatenschutzgesetzes schon mehrfach thematisiert (hierzu eine aktuelle Handreichung der Hessischen Datenschutzbehörde). Jedoch wird bislang nur selten darauf eingegangen, dass das Urteil auch weitreichende Konsequenzen für Betriebsvereinbarungen haben kann.
Weiterer Fachaufsatz zum geplanten Cyber Resilience Act - Verhältnis des Cyber Resilience Act zur DSGVO
In der aktuellen Ausgabe der Zeitschrift Computer und Recht (CR 05/2023) wurde ein weiterer Aufsatz mit dem Titel „Der Vorschlag für einen Cyber Resilience Act aus Sicht der DSGVO“ von Dr. Carlo Piltz, Alexander Weiß und Johannes Zwerschke veröffentlicht.
Europäisches Gericht entscheidet zur Personenbeziehbarkeit pseudonymisierter Daten
Das Gericht der Europäischen Union (EuG) hat am 26. April 2023 zur Personenbeziehbarkeit pseudonymisierter Daten entschieden. Es urteilte, dass es sich bei übermittelten pseudonymisierten Daten nicht um personenbezogene Daten i. S. v. Art. 3 Nr. 1 Verordnung (EU) 2018/1725 handelt, wenn der Schlüssel zur Depseudonymisierung nicht beim Empfänger vorhanden ist.
Generalanwalt am EuGH: Fahrzeugidentifikationsnummer als personenbezogenes Datum? Es kommt darauf an
In seinen Schlussanträgen vom 4. Mai 2023 beschäftigt sich Generalanwalt Sánchez-Bordona u.a. mit der Frage, ob eine Fahrzeugidentifikationsnummern (FIN) ein personenbezogenes Datum ist. Diese Schlussanträge wurden (soweit ersichtlich) bislang noch nicht in der Datenschutz-Szene diskutiert.