Sechs Schritte für Unternehmen, um die Anforderungen aus dem Schrems-II-Urteil einzuhalten.

Spätestens das Schrems-II-Urteil des Europäischen Gerichtshofs (EuGH) hat datenverarbeitende Unternehmen in Europa daran erinnert, dass der im Europäischen Wirtschaftsraum (EWR) geltende Schutz für personenbezogene Daten auch überall dort gewährleistet sein muss, wohin die Daten übermittelt werden.

Im Juli 2020 hat der EuGH in der Rechtssache C-311/18 („Schrems II“) u. a. entschieden, dass die Vereinigten Staaten „im Wesentlichen kein der EU vergleichbares Schutzniveau“ für die Übermittlung personenbezogener Daten gewährleisten und daher das „Privacy-Shield“ als Angemessenheitsbeschluss ungültig ist.

Der Fall hat Auswirkungen für die Datenübermittlung in alle Länder außerhalb des Europäischen Wirtschaftsraums (EWR): Die Übermittlung personenbezogener Daten in Drittländer darf nicht dazu führen, den in der EWR gewährten Schutz zu schwächen oder zu verwässern. Um im Einklang mit der europäischen Datenschutz-Grundverordnung (DSGVO) zu handeln, müssen Unternehmen die Anforderungen aus dem Schrems-II-Urteil für Drittlandsübermittlungen von personenbezogenen Daten befolgen – andernfalls drohen ihnen Bußgelder in Höhe von 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Gesamtumsatzes des vorangegangenen Geschäftsjahres.

Was Unternehmen nach dem Schrems-II-Urteil jetzt tun sollten

Datenverarbeitende Unternehmen in Europa, die personenbezogene Daten in ein Drittland übermitteln („Datenexporteure“), müssen beurteilen, ob in dem betreffenden Drittland das von der DSGVO geforderte Schutzniveau sichergestellt wird. Falls nicht, ist zu prüfen, ob durch zusätzliche Maßnahmen ein der DSGVO vergleichbares Schutzniveau gewährleistet werden kann. Der Europäische Datenschutzausschuss (EDSA) hat Empfehlungen mit sechs Schritten für die Umsetzung der Anforderungen aus dem Schrems-II-Urteil herausgegeben.

Schritt 1: Die Datenübermittlungen kennen

Der Datenexporteur muss seine Datenübermittlungen in Drittländer dokumentieren. Dies umfasst auch etwaige Weiterübermittlungen durch seine eingesetzten Auftragsverarbeiter. Laut EDSA ist die Kenntnis aller Datenübermittlungen ein wesentlicher erster Schritt zur Erfüllung der Rechenschaftspflicht als Datenschutzgrundsatz.

Für die Dokumentation der Datenübermittlungen können sogenannte Data-Discovery-Lösungen die Identifizierung relevanter Informationen bei einer Datenübermittlung ins Drittland unterstützen. Das Verzeichnis der Verarbeitungstätigkeiten und die Informationspflicht an Betroffene können dabei ebenfalls von Nutzen sein, um eine Übersicht aller Datenübermittlungen transparent zu dokumentieren. Übermittlungen, die nicht oder nicht mehr angemessen, relevant oder notwendig erscheinen, sind einzustellen (Grundsatz der Zweckgebundenheit).

Maßnahmen

Für die Beschreibung der Datenübermittlung sind Verzeichnisse der Verarbeitungstätigkeit entsprechend zu ergänzen, zu aktualisieren und zu pflegen, um Übermittlungen mit den dazugehörigen personenbezogenen Daten, Zwecken usw. zu dokumentieren. Es sollte auch festgestellt werden, ob überhaupt eine Notwendigkeit zur Übermittlung personenbezogener Daten in ein Drittland besteht. Vertragsmanagement-Tools können die automatisierte Auswertung von Verträgen unterstützen.

Schritt 3: Beurteilung der Wirksamkeit des ausgewählten Übermittlungsinstruments gemäß Art. 46 DSGVO im Hinblick auf die Gesamtumstände der Übermittlung

Laut EuGH muss das datenexportierende europäische Unternehmen das Datenschutzniveau im Drittland prüfen. Ziel der Prüfung ist die Feststellung, ob das Recht oder die Praxis des Drittlandes die Erfüllung der Pflichten aus den EU-Standardvertragsklauseln beeinträchtigt. Für den Fall einer Beeinträchtigung lässt der EuGH dem datenexportierenden europäischen Unternehmen die Möglichkeit offen, zusätzliche (Datenschutz-)Maßnahmen zu ergreifen (ggf. gemeinsam mit dem datenimportierenden Unternehmen im Drittland), um ein vergleichbares Datenschutzniveau wie in der EU zu gewährleisten.

Maßnahmen

Diese Beurteilung des Übermittlungsinstruments kann teilweise automatisiert mit einer Datenbank unterstützt werden, die getroffene zusätzliche Maßnahmen pro Drittland beinhaltet und mit den Anforderungen aus der DSGVO und dem Schrems-II-Urteil in Verbindung bringt. Die Automatisierung kann auch die Entwicklung der lokalen Praxis und des Rechts sowie der zusätzlichen Maßnahmen in dem jeweiligen Drittland überwachen.

Schritt 4: Zusätzliche Maßnahmen ergreifen

Für den Fall der Beeinträchtigung hat das datenexportierende Unternehmen zusätzliche Maßnahmen zu definieren, zu dokumentieren und umzusetzen, um ein vergleichbares Schutzniveau mit dem Einsatz von EU-Standardvertragsklauseln in dem Drittland zu fördern und sicherzustellen. Diese zusätzlichen Maßnahmen können vertraglicher, technischer oder organisatorischer Art sein und sich gegenseitig ergänzen. Ist der Datenexporteur jedoch nicht in der Lage, wirksame ergänzende Maßnahmen zu finden, ist die Übermittlung zu unterlassen oder – wenn sie bereits begonnen hat – zu beenden.

Beabsichtigt der Datenexporteur selbst bei Fehlen eines vergleichbaren Schutzniveaus dennoch, die personenbezogenen Daten zu übermitteln, kann die zuständige Aufsichtsbehörde Sanktionen in Form eines Bußgeldes und/oder von Verarbeitungsuntersagungen aussprechen.

Schritt 5: Verfahrensschritte nach Ermittlung effektiver zusätzlicher Maßnahmen

Nach der Identifikation und Definition zusätzlicher (risikomitigierender) Maßnahmen hat der Datenexporteur formale Verfahrensschritte zu ergreifen und zu dokumentieren, um die Umsetzung und das Nachhalten genau dieser Maßnahmen sicherzustellen. Die formellen Verfahrensschritte hängen von dem verwendeten Übertragungsinstrument ab.