Die EU-Kommission veröffentlicht einen Angemessenheitsbeschluss zum „EU-US Data Privacy Framework“-Abkommen, welcher US-Datentransfers legitimieren, kann

Die EU-Kommission hat mit der Veröffentlichung des Angemessenheitsbeschlusses zum „EU-US Data Privacy Framework (EU-US-DPF)“ am 10. Juli 2023 die Rechtsgrundlage für Datentransfers in die USA neu geschaffen, welche seit dem Schrems-II-Urteil vom 16. Juli 2020 (Unwirksamkeit des Privacy Shield) gefehlt hat. Damit steht jetzt wieder für EU-Unternehmen eine unbürokratische Möglichkeit zur Verfügung, Datentransfers an US-amerikanische Unternehmen zu legitimieren. Voraussetzung dafür ist, dass Letztgenannte nach dem EU-US-DPF zertifiziert sind. Bei den meisten großen US-IT-Unternehmen wird dies – wenn nicht schon geschehen – sicherlich kurzfristig der Fall sein.
Eine Berufung durch den Datenexporteur auf das Abkommen EU-US-DPF kommt aber grundsätzlich erst dann in Betracht, wenn eine auf das neue Datenschutzabkommen fußende Selbstverpflichtung des Datenimporteurs (z.B. Amazon, Apple, YouTube, Zoom, Skype, Dropbox, Facebook, Google oder Microsoft (MS Office 365)) vorliegt. In dieser Verpflichtung muss sich das entsprechende US-Unternehmen zur Einhaltung diverser Datenschutzgrundsätze verpflichten, welche sich aus dem EU-US-DPF ergeben. Durch das US-Handelsministerium wird hierfür eine Liste aller auf diese Weise zertifizierten Unternehmen veröffentlicht (https://www.dataprivacyframework.gov/s/participant-search). Die aufgeführten US-Unternehmen haben sich dann auch jährlich zu rezertifizieren. Insoweit ist davon auszugehen, dass alle großen US-amerikanischen IT-Unternehmen (wie z.B. Microsoft) bei Kontakten mit europäischen Kunden aktuell schon von diesem Abkommen Gebrauch machen oder kurzfristig machen werden.
Fazit:
Die Verabschiedung des Angemessenheitsbeschlusses der EU-Kommission führt – wie dargelegt – (noch) nicht zu einer endgültigen Entwarnung bei Datenübermittlungen in die USA. Denn es ist nicht absehbar, ob das EU-US-DPF-Abkommen auch dauerhaft vor Gericht Bestand haben wird. Dennoch bedeutet der Beschluss der EU-Kommission aktuell ein Mehr an Rechtssicherheit für EU-Unternehmen, wenn sie US-Dienstleister einsetzen.