{"id":6122,"date":"2023-07-12T11:45:16","date_gmt":"2023-07-12T09:45:16","guid":{"rendered":"https:\/\/www.psw-consulting.de\/blog\/?p=6122"},"modified":"2023-07-12T11:42:59","modified_gmt":"2023-07-12T09:42:59","slug":"trans-atlantic-data-privacy-framework-kommt-das-privacy-shield-2-0","status":"publish","type":"post","link":"https:\/\/www.psw-consulting.de\/blog\/trans-atlantic-data-privacy-framework-kommt-das-privacy-shield-2-0\/","title":{"rendered":"Trans-Atlantic Data Privacy Framework: Kommt das Privacy Shield 2.0?"},"content":{"rendered":"

Ob Cloud oder Analyse-Tools f\u00fcr die Website: US-Unternehmen sind im heutigen Gesch\u00e4ftsalltag nahezu omnipr\u00e4sent. Mit Nutzung dieser US-Dienstleister lassen sich Datentransfers von personenbezogenen Daten nur schwer vermeiden \u2013 doch daf\u00fcr m\u00fcssen strenge Regeln eingehalten werden. Mit dem Trans-Atlantic Data Privacy Framework versuchen die EU und die USA, nun entsprechende Regelungen auf den Weg zu bringen. Im heutigen Beitrag erfahren Sie mehr \u00fcber die Hintergr\u00fcnde des Abkommens, au\u00dferdem erkl\u00e4ren wir die wesentlichen Inhalte. Wir fangen Stimmen ein und orakeln ein wenig, wohin sich der transatlantische Datenverkehr entwickeln k\u00f6nnte.<\/p>\n

Trans-Atlantic Data Privacy Framework: Wie kam es dazu?<\/h2>\n

Die EU-Datenschutz-Grundverordnung (DSGVO) stellt strenge Regeln an die Verarbeitung personenbezogener Daten und hat das Datenschutzniveau innerhalb der EU deutlich angehoben. Sollen personenbezogene Daten au\u00dferhalb der EU verarbeitet werden \u2013 etwa in den USA \u2013 so fordert die DSGVO ein Datenschutzniveau, welches dem europ\u00e4ischen entspricht. Um ein Regelungswerk f\u00fcr das Verarbeiten von personenbezogenen Daten in den USA zu schaffen, einigten sich die EU und die USA im Jahr 2000 auf das Safe Harbor-Abkommen. Unternehmen, die dem Safe Harbor-Abkommen beigetreten waren, verpflichteten sich durch die Einhaltung der Safe Harbor Privacy Principles zum Schutz personenbezogener Daten von EU-B\u00fcrgerinnen und \u2013B\u00fcrgern.<\/p>\n

Nachdem bereits rund 5.500 US-Unternehmen wie General Motors, IBM, Microsoft oder Google dem Abkommen beigetreten sind, versch\u00e4rften die USA ihre \u00dcberwachungsgesetze nach den Anschl\u00e4gen vom 11. September 2001. In Folge dieses massiven Versch\u00e4rfens kippte der Europ\u00e4ische Gerichtshof<\/a> (EuGH) Safe Harbor am 06. Oktober 2015. Wenig sp\u00e4ter startete mit dem EU-U.S. Privacy Shield ein Nachfolger, dessen Schicksal jedoch genauso verlief wie das seines Vorg\u00e4ngers: Der Angemessenheitsbeschluss der EU-Kommission \u00fcber das Privacy Shield-Abkommen wurde am 16. Juli 2020 vom EuGH f\u00fcr ung\u00fcltig erkl\u00e4rt<\/a>. Diese Entscheidung ging als Schrems II-Urteil in die Geschichte ein.<\/p>\n

Nun, rund zwei Jahre sp\u00e4ter, soll mit dem Trans-Atlantic Data Privacy Framework (TADPF) ein Nachfolger geschaffen werden. Am 25.03.2022 gaben<\/a> US-Pr\u00e4sident Joe Biden und EU-Kommissionspr\u00e4sidentin Ursula von der Leyen bekannt, dass die USA und die EU kurz vor einem Durchbruch f\u00fcr ein Nachfolgeabkommen stehen.<\/p>\n

TADPF: Wesentliche Inhalte<\/h3>\n

Seit dem Schrems II-Urteil existiert keinerlei Rechtsgrundlage mehr f\u00fcr zahlreiche Verarbeitungsvorg\u00e4nge personenbezogener Daten in den USA. Dennoch sind, wie eingangs festgestellt, US-Clouds und \u2013Tools g\u00e4ngige Praxis in europ\u00e4ischen Unternehmen. Die meisten von ihnen d\u00fcrften den hohen Anforderungen, die notwendig sind, um das EU-Datenschutzniveau einzuhalten, nicht gerecht werden.<\/p>\n

Mit dem Trans-Atlantic Data Privacy Framework gibt es nun eine Basis, eine grundlegende Einigung, um den grenz\u00fcberschreitenden Datenverkehr zwischen EU und USA neu regeln zu k\u00f6nnen. In den bislang ver\u00f6ffentlichten Factsheets (Factsheet der Europ\u00e4ischen Kommission<\/a> und Factsheet der US-Regierung<\/a>) wurden folgende Ma\u00dfnahmen bereits festgehalten:<\/p>\n

Das neue Regelwerk soll den Datenzugriff der US-Geheimdienste auf das N\u00f6tigste beschr\u00e4nken \u2013 also auf jene Aktivit\u00e4ten, die dem Schutz der nationalen Sicherheit dienen und verh\u00e4ltnism\u00e4\u00dfig sind. Mit einem neuen und zweistufigen Rechtsbehelfssystem m\u00f6chte man Beschwerden von europ\u00e4ischen Betroffenen untersuchen und beilegen k\u00f6nnen.<\/p>\n

Unternehmen, die aus der EU \u00fcbermittelte personenbezogene Daten verarbeiten, m\u00fcssen sich an strenge Verpflichtungen halten. Mit spezifischen \u00dcberwachungs- sowie \u00dcberpr\u00fcfungsmechanismen m\u00f6chte man die sich aus dem TADPF ergebenden Pflichten kontrollieren. In der Summe soll all dies dazu f\u00fchren, dass der Datenverkehr in die Vereinigten Staaten nicht nur rechtssicher ist, sondern auch vereinfacht werden kann. Daran d\u00fcrfte die Mehrzahl europ\u00e4ischer Unternehmen ein gro\u00dfes Interesse haben, und auch US-Unternehmen k\u00f6nnen profitieren.<\/p>\n

Wie geht es weiter mit dem Trans-Atlantic Data Privacy Framework?<\/h3>\n

Die US-Regierung m\u00f6chte Eckdaten des neuen Abkommens in eine sogenannte Executive Order fassen, nicht in ein Gesetz. Diese Executive Order bildet dann die Basis f\u00fcr einen Angemessenheitsbeschluss der Europ\u00e4ischen Kommission. Die Executive Orders sichern die Exekutive zu, haben jedoch nicht unbedingt eine externe Wirkung und k\u00f6nnen auch nicht eingeklagt werden. EU-Justizkommissar Didier Reynders nannte<\/a> als m\u00f6gliches Zieldatum zum Start des TADPF das Ende dieses Jahres, da noch einige H\u00fcrden zu nehmen seien. Nun sind die USA am Zug: Man warte auf einen Rechtstext, \u00fcber den dann beraten werden kann.<\/p>\n

Danach folgen Prozesse auf EU-Ebene: F\u00fcr den Angemessenheitsbeschluss muss gepr\u00fcft werden, ob die Datenschutzstandards in der EU und der USA gleichwertig sind. Dieses Verfahren k\u00f6nnte sechs Monate in Anspruch nehmen, jedoch gibt es keinen pr\u00e4zisen Zeitrahmen. In dieser Phase werden dann auch der Europ\u00e4ische Datenschutzausschuss, die einzelnen EU-Staaten sowie das Europaparlament miteinbezogen.<\/p>\n

M\u00f6gliche H\u00fcrden und erste Kritik<\/h3>\n

Eine der wohl gr\u00f6\u00dften H\u00fcrden auf dem Weg in die rechtssichere Daten\u00fcbermittlung ist die \u00fcberwachungswillige USA selbst: Werden die strengen \u00dcberwachungsgesetze in den Vereinigten Staaten nicht ge\u00e4ndert, darf bezweifelt werden, dass ein EU-Datenschutzniveau gewahrt werden kann. Schlie\u00dflich waren eben diese \u00dcberwachungsgesetze Anlass, die vorigen Abkommen zu kippen. Bisherige \u00c4u\u00dferungen, Planungen und Ver\u00f6ffentlichungen lassen nicht vermuten, dass Biden eine Lockerung der bestehenden Gesetze in den USA plant.<\/p>\n

Das ruft Kritiker auf den Plan \u2013 und zwar auch denjenigen, dessen Einsatz als Hauptkl\u00e4ger zu verdanken ist, dass die bisherigen Abkommen am zu geringen Datenschutz gescheitert sind: Max Schrems; Datenschutzaktivist, Jurist und Mitgr\u00fcnder der NGO noyb mit Sitz in Wien. Am 25. M\u00e4rz, also am Tag der Bekanntgabe einer Einigung, k\u00fcndigte Schrems bereits Schritte an<\/a>: \u201eSobald der endg\u00fcltige Text vorliegt, werden wir ihn zusammen mit unseren US-Rechtsexperten eingehend analysieren. Wenn er nicht im Einklang mit dem EU-Recht ist, werden wir oder andere ihn wahrscheinlich anfechten. Am Ende wird der Europ\u00e4ische Gerichtshof ein drittes Mal entscheiden m\u00fcssen. Wir gehen davon aus, dass die Angelegenheit innerhalb weniger Monate nach einer endg\u00fcltigen Entscheidung wieder vor dem Gerichtshof landen wird\u201c, res\u00fcmiert Schrems.<\/p>\n

Der Aktivist und Jurist h\u00e4tte sich anderes gew\u00fcnscht: \u201eEs ist bedauerlich, dass die EU und die USA diese Situation nicht genutzt haben, um zu einem \u201aNo-Spy\u2018-Abkommen mit Basisgarantien unter gleichgesinnten Demokratien zu kommen. Kunden und Unternehmen drohen weitere Jahre der Rechtsunsicherheit\u201c, gibt Schrems zu bedenken.<\/p>\n

Bestenfalls bringt das TADPF endlich Rechtssicherheit<\/h2>\n

Im Wesentlichen kann sich das Trans-Atlantic Data Privacy Framework in zwei Richtungen entwickeln: In die von Schrems angek\u00fcndigte, sodass sich auch dieses Abkommen nach einem Schrems III-Urteil in Luft aufl\u00f6st. Bestenfalls aber k\u00f6nnte das TADPF auch endlich Rechtssicherheit bringen: Eine erfolgreiche Umsetzung w\u00fcrde die aktuellen Probleme mit Drittlandtransfers von personenbezogenen Daten beheben, Transfers k\u00f6nnten deutlich vereinfacht werden. Bisher bleibt f\u00fcr den Drittlandtransfer u. a. der Abschluss von Standarddatenschutzklauseln, sog. Standard Contractual Clauses (SCC) in Verbindung mit zus\u00e4tzlichen Ma\u00dfnahmen, wie z. B. Anonymisierung und Verschl\u00fcsselung.<\/p>\n

Auch wenn eine Einigung eilt, weil US-Tools zahlreich verwendet werden, m\u00fcssen sich europ\u00e4ische Unternehmen noch etwas in Geduld \u00fcben: Eine endg\u00fcltige Fassung des TADPF wird gegen Jahresende erwartet, kurzfristige L\u00f6sungen sind also noch nicht in Sicht. Es bleibt abzuwarten, wie man mit H\u00fcrden wie den US-\u00dcberwachungsgesetzen umgehen und wie das Trans-Atlantic Data Privacy Framework ausgestaltet wird. Bis es also zu einem wirklich rechtssicheren Privacy Shield 2.0 kommen wird, ist es noch ein weiter Weg.<\/p>\n

Blog-Update TADPF (Trans-Atlantic Data Privacy Framework)<\/strong><\/h2>\n

Entwurf eines Angemessenheitsbeschlusses<\/strong><\/h3>\n

Die Europ\u00e4ische Kommission<\/strong> hat am 13. Dezember 2022 basierend auf der Executive Order einen Entwurf f\u00fcr einen Angemessenheitsbeschluss<\/strong> nach Art. 45 DSGVO vorgelegt. Dieser muss nun das sog. Annahmeverfahren<\/strong> passieren. Hierzu wird der Entwurf zun\u00e4chst dem Europ\u00e4ischen Datenschutzausschuss (EDSA)<\/strong> vorgelegt. Im Anschluss muss die Kommission die Zustimmung eines Ausschusses der Mitgliedsstaaten einholen. Zuletzt muss der Entwurf noch einer Kontrolle des Europ\u00e4ischen Parlaments<\/strong> standhalten. Erst darauf kann die Kommission den endg\u00fcltigen Angemessenheitsbeschluss annehmen. Wann genau dieses Annahmeverfahren abgeschlossen ist, ist aktuell unklar. Es wird aber davon ausgegangen, dass mit der Annahme des Angemessenheitsbeschlusses im ersten Quartal 2023 gerechnet werden kann.<\/p>\n

In der Grundstruktur gleicht der Angemessenheitsbeschluss seinen Vorg\u00e4ngern<\/strong>: Es ist weiterhin eine Selbstzertifizierung der US-Unternehmen vorgesehen, w\u00e4hrend die Einhaltung der Vorgaben von der Federal Trade Commission (FTC) bzw. dem U.S. Department of Transportation (DoT) \u00fcberpr\u00fcft wird.<\/p>\n

noyb erw\u00e4gt rechtliche Schritte<\/strong><\/h4>\n

Max Schrems: „Wir werden den Entscheidungsentwurf in den n\u00e4chsten Tagen im Detail analysieren. Da sich der Entscheidungsentwurf auf die bereits bekannte Executive Order st\u00fctzt, glaube ich kaum, dass diese einer Anfechtung vor dem Gerichtshof<\/strong> standhalten wird. Die Europ\u00e4ische Kommission scheint immer wieder \u00e4hnliche Entscheidungen zu erlassen, die einen eklatanten Versto\u00df gegen unsere Grundrechte<\/strong> darstellen.“<\/p>\n

UPDATE Februar 2023<\/h2>\n

EU-Parlamentsausschuss empfiehlt Ablehnung des Data Privacy Framework<\/h3>\n

Im vergangenen Herbst k\u00fcndigten die USA ein neues Datenschutzabkommen<\/strong> an. Das \u201eTrans-Atlantic Data Privacy Framework\u201c<\/strong> wird derzeit von mehreren Interessengruppen in der EU \u00fcberpr\u00fcft, um festzustellen, ob dieses Abkommen den EU-B\u00fcrgern einen angemessenen Schutz<\/strong> f\u00fcr ihre Daten in den USA bieten w\u00fcrde.<\/p>\n

Der Ausschuss f\u00fcr b\u00fcrgerliche Freiheiten, Justiz und Inneres des Europ\u00e4ischen Parlaments (LIBE<\/strong>) sagte am 14. Februar 2023 in ihrem Entwurf einer Entschlie\u00dfung „Nein.“<\/strong><\/p>\n

Wird der Entwurf angenommen, wird sich das Europ\u00e4ische Parlament gegen einen Angemessenheitsbeschluss<\/strong> f\u00fcr das Data Privacy Framework entscheiden.<\/p>\n

EU-Parlament: Die Executive Order sei zu „vage“<\/strong><\/p>\n

Die Executive Order (Grundlage des TADPF) sei nicht klar genug<\/strong> und k\u00f6nnte jederzeit vom US-Pr\u00e4sidenten r\u00fcckg\u00e4ngig gemacht oder ge\u00e4ndert werden.
\nDie Ausschussmitglieder kamen zu dem Schluss, dass das vorgeschlagene Abkommen „keine tats\u00e4chliche Gleichwertigkeit des Schutzniveaus schafft“<\/strong> und fordert die Kommission auf, die Verhandlungen mit ihren US-amerikanischen Partnern fortzusetzen.<\/p>\n

Der Ausschuss erkl\u00e4rte: \u201cim Gegensatz zu allen anderen Drittl\u00e4ndern, die einen Angemessenheitsbeschluss im Rahmen der DSGVO erhalten haben, hat die USA immer noch kein Bundesdatenschutzgesetz<\/strong>.“ Kurz gesagt, der Ausschuss sagte, dass das US-Inlandsrecht einfach nicht mit der EU-DSGVO vereinbar<\/strong> ist und dass keine Einigung erzielt werden sollte, bis diese Gesetze besser aufeinander abgestimmt sind.<\/p>\n

Die Ansicht des Parlaments ist unverbindlich, hat aber wahrscheinlich zumindest ein gewisses Gewicht<\/strong>. Es bleibt weiter abzuwarten, wie die Europ\u00e4ische Kommission sich entscheidet.<\/p>\n

UPDATE M\u00e4rz 2023<\/h2>\n

EDSA nimmt Stellung zum Entwurf des Angemessenheitsbeschlusses zum EU-U.S. Data Privacy Framework<\/h3>\n

Nachdem es zuletzt vom Ausschuss f\u00fcr b\u00fcrgerliche Freiheiten, Justiz und Inneres des EU-Parlaments (LIBE) eine eher ablehnende Stellungnahme zum Framework<\/strong> (letztes Update) gab, hat sich nun auch der EDSA ge\u00e4u\u00dfert. Die Analyse des EDSA ist weitaus detaillierter<\/strong> als die Kritik des LIBE-Ausschusses des Europ\u00e4ischen Parlaments.<\/p>\n

Der Europ\u00e4ische Datenschutzausschuss (EDSA)<\/strong> hat am 28.02.2023 seine Stellungnahme zum Entwurf eines Angemessenheitsbeschlusses f\u00fcr die USA (EU-US Data Privacy Framework<\/strong>) ver\u00f6ffentlicht. In seiner Bewertung hat das gemeinsame Gremium der europ\u00e4ischen Datenschutzbeh\u00f6rden zahlreiche kritische Punkte<\/strong> identifiziert, sich aber nicht gegen eine Annahme<\/strong> des Beschlusses durch die EU-Kommission ausgesprochen. Die zentralen Defizite sind einerseits das Festhalten am Instrument der Massen\u00fcberwachung (sogenannte bulk collection<\/strong>) und andererseits die fehlende Transparenz im Rechtschutzverfahren.<\/p>\n

Der EDSB begr\u00fc\u00dft die Verbesserungen im US-Recht<\/h3>\n

Der EDSA begr\u00fc\u00dft die im Vergleich zu den Vorg\u00e4ngerregelungen wesentlichen Verbesserungen<\/strong> und hebt hierbei insbesondere hervor, dass nachrichtendienstliche Ermittlungen in den USA auf bestimmte Bereiche eingeschr\u00e4nkt werden und bestimmten Voraussetzungen unterliegen und lobt den neuen Rechtsbehelfsmechanismus f\u00fcr betroffene Personen in der EU<\/strong>.<\/p>\n

Einige Bedenken bleiben bestehen<\/h3>\n

Der EDSA bittet um Klarstellungen<\/strong> zu mehreren Punkten. Diese betreffen insbesondere:
\n\u2022 bestimmte Rechte betroffener Personen
\n\u2022 die Weiter\u00fcbermittlung
\n\u2022 den Umfang der Ausnahmen
\n\u2022 die vor\u00fcbergehende Massenerfassung von Daten
\n\u2022 und die praktische Funktionsweise des Rechtsbehelfsverfahrens.<\/p>\n

Diese Punkte sollten nach dem Willen des EDSA nicht erst vor dem Inkrafttreten<\/strong>, sondern bereits vor der Annahme des Frameworks gekl\u00e4rt werden.<\/p>\n

Die EDSA-Vorsitzende Andrea Jelinek<\/strong> sagte: „Obwohl wir anerkennen, dass die Verbesserungen des US-Rechtsrahmens erheblich sind, empfehlen wir, die ge\u00e4u\u00dferten Bedenken auszur\u00e4umen und Klarstellungen vorzunehmen, um sicherzustellen, dass die Angemessenheitsentscheidung Bestand<\/strong> hat.“ Sie sagte auch, dass \u00dcberpr\u00fcfungen der Entscheidung mindestens alle drei Jahre<\/strong> stattfinden sollten und der EDSA „verpflichtet ist, zu ihnen beizutragen.<\/p>\n

Zusammenfassend sind die Aussichten f\u00fcr den TADPF gut, auch wenn viel davon abh\u00e4ngt, ob die USA ihre „Hausaufgaben<\/strong>“ machen werden.<\/p>\n

 <\/p>\n

UPDATE Juli 2023<\/h2>\n

Trans-Atlantic Data Privacy Framework in den Startl\u00f6chern<\/h3>\n

Es gibt erfreuliche Neuigkeiten \u00fcber den EU-U.S. Data Privacy Framework.<\/p>\n

Am 3. Juli 2023 gab die US-Handelsministerin Gina Raimondo eine Erkl\u00e4rung ab, in der best\u00e4tigt wurde, dass die USA ihre Verpflichtungen zur Umsetzung des EU-US-Datenschutzrahmens erf\u00fcllt haben.<\/p>\n

Die USA haben versichert, dass sie alle erforderlichen Ma\u00dfnahmen ergriffen haben, um diesen Beschluss umzusetzen:<\/p>\n

    \n
  • Es wurden strengere Schutzma\u00dfnahmen f\u00fcr die in der Executive Order 14086 festgelegten Signalaufkl\u00e4rungst\u00e4tigkeiten eingef\u00fchrt.<\/li>\n
  • Jeder EU-Mitgliedstaat wurde als „qualifizierter Staat“ benannt, was bedeutet, dass EU-Betroffene ihre Beschwerden beim ODNI Civil Liberties Protection Officer (CLPO) und dem U.S. Data Protection Review Court einreichen k\u00f6nnen.<\/li>\n
  • Die Durchf\u00fchrungsverfahren der Nachrichtendienste wurden verabschiedet.<\/li>\n
  • Die EU-US-Datenschutzgrunds\u00e4tze wurden aktualisiert.<\/li>\n<\/ul>\n

    Laut Medienberichten k\u00f6nnte die EU-Kommission m\u00f6glicherweise noch in diesem Monat einen Angemessenheitsbeschluss verabschieden.<\/p>\n

     <\/p>\n

    UPDATE Juli 2023 2.0<\/h2>\n

    EU-Kommission unternimmt einen dritten Anlauf<\/h3>\n

    Nach Safe Harbor<\/strong> und Privacy Shield<\/strong> hat die Europ\u00e4ische Kommission nun auch das Trans-Atlantic Data Privacy Framework<\/strong> genehmigt. Am 10. Juli 2023 verabschiedete die EU-Kommission ihren Angemessenheitsbeschluss<\/strong> f\u00fcr den EU-US-Datenschutzrahmen und damit wieder die rechtliche Basis f\u00fcr den Transfer personenbezogener Daten in die USA<\/strong> geschaffen.<\/p>\n

    Die Entscheidung der Kommission kommt zu dem Schluss, dass die von den USA vorgenommenen \u00c4nderungen an ihren nationalen Rechtsvorschriften nun ein angemessenes Schutzniveau<\/strong> f\u00fcr personenbezogene Daten gew\u00e4hrleisten, die aus der EU an Organisationen mit Sitz in den USA \u00fcbermittelt werden. Dies setzt jedoch voraus, dass diese Organisationen Ma\u00dfnahmen ergreifen, um den Anforderungen des neuen „Datenschutzrahmens“<\/strong> gerecht zu werden.<\/p>\n

    Was bedeutet die neue Angemessenheitsentscheidung?<\/h3>\n

    Mit dem EU-US-Datenschutzrahmen werden neue verbindliche Schutzma\u00dfnahmen<\/strong> eingef\u00fchrt, um vor\u00fcbergehend alle Bedenken auszur\u00e4umen, die zuvor vom Europ\u00e4ischen Gerichtshof ge\u00e4u\u00dfert wurden.<\/p>\n