Das EU-US-Privacy-Shield

Hintergrund und Entwicklung des EU-US-Privacy-Shield

Der EU-US-Privacy-Shield war eine informelle Absprache auf dem Gebiet des Datenschutzrechts, die von 2015 bis 2016 zwischen der Europäischen Union und den Vereinigten Staaten von Amerika ausgehandelt wurde und bis 2020 galt. Die europäische Union stuft den Transfer personenbezogener Daten in die USA aufgrund des USA PATRIOT ACTS und den daraus entstehenden weitreichenden Zugriffsrechten der U.S.-Behörden auf Unternehmensdaten als kritisch ein.

In der Vergangenheit wurde der Transfer personenbezogener Daten durch das sogenannte Safe-Harbor-Abkommen zwischen der EU und den USA derart geregelt, dass personenbezogene Daten rechtskonform in die USA transferiert werden können. Das Safe-Habor-Abkommen ist im Oktober 2015 vom Europäischen Gerichtshof für ungültig erklärt worden.

Aus diesem Grund wurde ein Nachfolgeabkommen beschlossen, das EU-US-Privacy-Shield. Das Privacy-Shield wurde im Juli 2016 durch die Europäische Kommission beschlossen und wurde am 16.07.2020 vom Europäischen Gerichtshof für unwirksam erklär. Damit ist es ab sofort nicht mehr möglich, dass US-Unternehmen personenbezogene Daten von EU-Bürgerinnen und -Bürgern auf dieser Basis verarbeiten.

Warum wurde das EU-US-Privacy-Shield für unwirksam erklärt?

Mit der Beschwerde des Österreichers Max Schrems bei der irischen Aufsichtsbehörde DPC hat alles angefangen. Schrems klagte zunächst gegen die Verarbeitung der Daten von Facebook-Nutzern, die nicht in der europäischen Zentrale von Facebook in Irland erfolgte, sondern auf Servern in den USA. Dieser Fall bezog sich damals noch auf die Safe-Harbour-Vereinbarung. Der Europäische Gerichtshof gab Schrems 2015 Recht und erklärte die Safe-Harbour-Vereinbarung für unwirksam.

Trotz des Urteils verarbeitete Facebook weiterhin Daten in der USA, diesmal auf Basis der Standardvertrags-Klauseln und dem Privacy Shield. Max Schrems klagte erneut gegen das Vorgehen, woraufhin das „Datenschutzschild“ Privacy Shield ebenfalls für ungültig erklärt wurde.

Die Richter begründeten das Urteil damit, dass die Übertragung von Daten europäischer Betroffener in ein Drittland nur dann DSGVO-konform erfolgen könne, wenn ein entsprechendes Schutzniveau gewährleistet wird. Da in den USA Überwachungsprogramme aber nicht in einem erforderlichem Maße beschränkt würden und Europäer kein Recht gegen diesen Umstand zu klagen, könne man nicht von einem angemessenem Schutzniveau ausgehen.

Ziel und Nutzen des EU-US-Privacy-Shields

Auf der offiziellen Internetseitseite des Privacy Shields der U.S.-Regierung werden die Ziele und Nutzen des Privacy Shields wie folgt beschrieben:

“Die EU-U.S. und Swiss-U.S. Privacy-Shield Rahmenbedingungen wurden vom US-Handelsministerium und der Europäischen Kommission sowie der Schweizer Regierung entwickelt, um Unternehmen auf beiden Seiten des Atlantiks einen Mechanismus zur Verfügung zu stellen, der es ermöglicht, die Datenschutzanforderungen bei der Übermittlung personenbezogener Daten aus der Europäischen Union und der Schweiz in die Vereinigten Staaten zur Unterstützung des transatlantischen Handels zu erfüllen.”

Im Allgemeinen gilt das Privacy-Shield für Handlungen oder Praktiken von “Personen, Personengesellschaften oder Unternehmen”. Depotbanken (Banken, föderale Kreditgenossenschaften und Sparkassen), Telekommunikations- und zwischenstaatliche Transportunternehmen, Arbeitsverbände, sowie gemeinnützige Organisationen sowie die meisten Logistikunternehmen fallen nicht darunter.