Grundlage der Entscheidung – Standard­ver­trags­klauseln als Alternative?

Grundlage für das Urteil des EuGH ist der Umstand, dass die Daten europä­i­scher Verbraucher auf den US-Servern nicht angemessen vor einem Zugriff dortiger Behörden sowie der Geheim­dienste geschützt sind. Relevant ist zudem der Umstand, dass in den USA den Betroffenen kein Rechtsweg zur Durch­setzung der im Unionsrecht verankerten Rechts­ga­rantie offensteht.

Die Verwendung der Standard­ver­trags­klauseln hält der EuGH hingegen nicht für unwirksam. Hierbei handelt es sich um von der EU-Kommission vorgegebene Verträge, unter denen sich die beteiligten Parteien zur Einhaltung von angemes­senen Daten­schutz­stan­dards verpflichten. Diese müssen nach Auffassung des Gerichts jedoch im Einzelfall geprüft werden. Die EU-Standard­ver­trags­klauseln können nur dann als gültige Rechts­grundlage für einen Transfer in Dritt­staaten dienen, wenn bei der Übermittlung der perso­nen­be­zo­genen Daten das vom Unionsrecht geforderte Schutz­niveau eingehalten werden kann. Aufgrund der US-Gesetze bleibt jedoch fraglich, ob die Einhaltung des geforderten Schutz­ni­veaus überhaupt möglich ist. Folglich dürften auch die Standard­ver­trags­klauseln in den meisten Fällen keine adäquate Grundlage für Daten­transfers in die USA sein.

Was bedeutet das Urteil für die Praxis

Für die Praxis bedeutet das Urteil, dass die meisten US-Dienste nicht mehr ohne weiteres eingesetzt werden dürfen. Daher ist jedes Unternehmen angehalten sich Gedanken zu machen, wie sie den Schutz von perso­nen­be­zo­genen Daten gewähr­leisten können, die bei US-Diensten (wie Google, Dropbox, Microsoft, Apple etc.) gespeichert sind.

Ob eine Nutzung der betroffenen Dienste auf Grundlage der Standard­ver­trags­klauseln weiterhin möglich ist, muss im Hinblick auf die Gewähr­leistung des vom Unionsrecht geforderte Schutz­niveau im Einzelfall geprüft werden. Eine weitere Alternative wäre die Einholung einer separaten Einwil­ligung des Nutzers für die Übertragung der Daten in die USA.

Zudem sollten Unternehmen die Stellung­nahmen der Daten­schutz­be­hörden beachten. Einzelne Stellung­nahmen wurden bereits veröf­fentlich, gleichwohl ist zu erwarten, dass zeitnah weitere Stellung­nahmen der Aufsichts­be­hörden auf nationaler Ebene, sowie des Europä­i­schen Daten­schutzaus­schusses folgen werden.

Handlungs­emp­fehlung

Wir empfehlen allem voran: „Don´t Panik“ – also Ruhe bewahren. Gleich­zeitig ist es wichtig, ins Handeln zu kommen. Daher empfehlen wir Ihnen zeitnah die folgenden Schritte umzusetzen:

• Prüfen Sie die von Ihnen verwendeten Dienste/Plugins;
• Identi­fi­zieren Sie diejenigen, bei denen perso­nen­be­zogene Daten in die USA trans­fe­riert werden;
• Filtern Sie die Dienste, bei denen Daten allein auf Grundlage des Privacy Shield Abkommens in die USA trans­fe­riert werden;
• Stellen Sie – soweit möglich – auf alternative Garantien um (Standard­ver­trags­klauseln, ausdrü­ck­liche Einwil­ligung des Betroffenen, Ausschließ­liche Daten­spei­cherung auf EU-Servern);
• Kontak­tieren Sie ggf. Ihre Dienst­leister mit der Bitte um Auskunft darüber, wie diese nach dem Urteil des EuGH für einen rechts­kon­formen Daten­transfer sorgen

Zudem sollten Sie auch daran denken, die Daten­schut­z­er­klärung auf Ihrer Webseite entspre­chend anzupassen, soweit in dieser die Daten­über­tragung auf das Privacy Shield Abkommen gestützt war (z.B. beim Einsatz von Google Analytics).

Zum Autor: Marco Koehler ist Rechts­anwalt und Partner der Kanzlei Koehler & Ittner in Berlin. Der Schwerpunkt seiner Tätigkeit liegt in der Beratung in Angele­gen­heiten des Wirtschafts­rechts, insbe­sondere des Online- und IT-Rechts sowie des Softwa­re­li­zenz­rechts. Darüber hinaus betreibt er die KI Datenschutz und Compliance Gesell­schaft und ist als Daten­schutz­be­auf­tragter für viele mittel­stän­dische Unternehmen tätig.