Vorherige Regelung von EuGH für ungültig erklärt
Gemäß Artikel 45 Abs. 3 DS-GVO kann die Kommission im Wege eines Durchführungsrechtsakts beschließen, dass ein Drittland ein "angemessenes Schutzniveau" bietet, das heißt einen Schutz personenbezogener Daten, der dem in der EU gebotenen Schutz der Sache nach gleichwertig ist. Angemessenheitsbeschlüsse haben zur Folge, dass personenbezogene Daten aus der EU in ein Drittland übermittelt werden können, ohne dass es weiterer Schutzmaßnahmen bedarf. Der Gerichtshof der Europäischen Union hatte den vorherigen Angemessenheitsbeschluss zum Datenschutzschild EU-USA für ungültig erklärt.
Basis für ungehinderten Datenverkehr
Der Entwurf für den neuen Angemessenheitsbeschluss bilde die Basis, damit personenbezogene Daten auf der Grundlage starker Schutzgarantien ungehindert zwischen der EU und den USA fließen können, heißt es in der aktuellen Mitteilung der Kommission. Der Vorschlag soll nach Angaben der Brüsseler Behörde auch die vom EuGH in seiner Schrems-II-Entscheidung vom Juli 2020 (NJW 2020, 2613) geäußerten Bedenken ausräumen. Konkret sei der US-Rechtsrahmen daraufhin geprüft worden, ob er Garantien bietet, die mit denen der EU vergleichbar sind.
Einigung in US-Recht umgesetzt
Der vorgelegte Beschlussentwurf schließt an die Unterzeichnung eines einschlägigen US-Dekrets durch US-Präsident Biden am 07.10.2022 und an die diesbezüglich von US-Generalstaatsanwalt Merrick Garland erlassenen Verordnungen an. Mit diesen beiden Instrumenten sei die grundsätzliche Einigung, die EU-Kommissionspräsidentin Ursula von der Leyen und Präsident Biden im März 2022 verkündet haben, in US-Recht umgesetzt worden.
Zentrale Aspekte des Vorschlags
US-Unternehmen können sich dem Datenschutzrahmen EU-USA anschließen, indem sie sich zur Einhaltung detaillierter Datenschutzpflichten verpflichten. Dazu gehört etwa die Pflicht, personenbezogene Daten zu löschen, wenn sie für den Zweck, für den sie erhoben wurden, nicht mehr erforderlich sind. Auch geht es darum, den Fortbestand des Schutzes zu gewährleisten, wenn personenbezogene Daten an Dritte weitergegeben werden. Zudem sollen gegebenenfalls allen EU-Bürgerinnen und -Bürgern, deren personenbezogene Daten in einer gegen den Rahmen verstoßenden Art und Weise behandelt werden, verschiedene Rechtsbehelfe offenstehen (unter anderem unentgeltliche Streitbeilegungsverfahren und eine Schiedsstelle).
Kritikpunkte des EuGH aufgegriffen
Darüber hinaus sieht der US-Rechtsrahmen bestimmte Beschränkungen und Garantien in Bezug auf den Zugang von US-Behörden zu Daten vor, insbesondere für Datenzugriffe zum Zweck der Strafverfolgung und der nationalen Sicherheit. Dazu gehören die neuen, mit dem US-Dekret eingeführten Vorschriften, in denen die vom EuGH im "Schrems II"-Urteil (NJW 2020, 2613) angeführten Kritikpunkte aufgegriffen werden.
Nur beschränkter Zugang der US-Nachrichtendienste
Der Zugang der US-Nachrichtendienste zu europäischen Daten soll nach dem Rechtsrahmen auf das zum Schutz der nationalen Sicherheit notwendige und verhältnismäßige Maß beschränkt sein. EU-Bürger sollen im Zusammenhang mit der Erhebung und Verwendung ihrer Daten durch US-Nachrichtendienste auf ein unabhängiges und unparteiisches Rechtsbehelfsverfahren zurückgreifen können, das auch die Befassung eines neu geschaffenen Gerichts zur Datenschutzüberprüfung einschließt. Dieses Gericht soll etwaige Beschwerden von EU-Bürgerinnen und -Bürgern unabhängig untersuchen und beilegen, unter anderem durch die Anordnung verbindlicher Abhilfemaßnahmen.
Auch andere Übermittlungsverfahren einbezogen
Europäische Unternehmen sollen sich auf diese Garantien für transatlantische Datenübermittlungen auch dann verlassen können, wenn sie andere Übermittlungsverfahren wie die Verwendung von Standardvertragsklauseln oder verbindlichen unternehmensinternen Vorschriften nutzen.
Vorschlag wird zunächst Datenschutzausschuss vorgelegt
Der Entwurf des Angemessenheitsbeschlusses wird nun das Annahmeverfahren durchlaufen: In einem ersten Schritt hat die Kommission ihren Beschlussentwurf dem Europäischen Datenschutzausschuss (EDSA) vorgelegt. Anschließend wird sie die Zustimmung eines Ausschusses einholen, der sich aus Vertretern der EU-Mitgliedstaaten zusammensetzt. Darüber hinaus hat das Europäische Parlament ein Recht auf die Kontrolle von Angemessenheitsbeschlüssen. Nach Abschluss dieses Verfahrens kann die Kommission den endgültigen Angemessenheitsbeschluss annehmen.
Regelmäßige Prüfung vorgesehen
Die Funktionsweise des Datenschutzrahmens EU-USA soll nach Mitteilung der Kommission regelmäßig gemeinsam von der EU-Kommission und den europäischen Datenschutzbehörden sowie von den zuständigen US-Behörden überprüft werden. Die erste Überprüfung soll binnen eines Jahres nach dem Inkrafttreten des Angemessenheitsbeschlusses erfolgen, um zu ermitteln, ob alle einschlägigen Elemente des US-Rechtsrahmens vollständig umgesetzt wurden und in der Praxis wirksam funktionieren, heißt es in der Mitteilung der Kommission.
