Was versteht man unter EU Privacy Shield?

Das EU-Datenschutzschild regelte den transatlantischen Datentransfer

Beim sog. EU-US Privacy Shield, auch unter der Bezeichnung “Datenschutzschild” bekannt, handelt es sich um eine informelle Datenschutzrecht-Absprache. Diese wurde zwischen 2015 und 2016 zwischen der EU und den USA ausgehandelt. Prinzipiell umfasst Privacy Shield eine Reihe von Zusicherungen der US-amerikanischen Bundesregierung sowie einen von der EU-Kommission verfassten Angemessenheits-Beschluss. Am 12. Juli 2016 trat das Privacy Shield in Kraft.

Im Großen und Ganzen gibt das Datenschutzschild vor, dass der Umgang mit in die USA übertragenen, personenbezogenen Daten dem Datenschutzniveau der Europäischen Union entsprechen soll. Das EU Privacy Shield löste das bis Oktober 2015 geltende Safe Harbor ab. Gültig war die Vereinbarung bis 16. Juli 2020. An diesem Tag erklärte die Europäische Kommission aufgrund des jahrelangen Einwirkens von Max Schrems die Vereinbarung für nichtig.

Die Geschichte hinter Privacy Shield

Geeinigt haben sich die USA und die Europäische Kommission am 2. Februar 2016 auf das EU-US Privacy Shield. Voraussetzung dafür war die Unterzeichnung eines Gesetzes durch Barack Obama, welches EU-Bürgern ermöglicht im Falle einer Datenschutzverletzung in den USA zu klagen.

Daraufhin stimmten die meisten EU-Mitgliedsstaaten dem Privacy Shield zu. Lediglich Österreich, Slowenien, Kroatien und Bulgarien enthielten sich. Insbesondere in Hinsicht auf den kommerziellen Teil hat die Kommission viele Forderungen der Datenschützer berücksichtigt. Während der Übergangszeit hielten sich amerikanische Unternehmen an die Standardvertragsklauseln nach Art. 26 Abs. 2 der EU-Datenschutzlinie aus dem Jahr 1995.

Die Garantien für die Übermittlung von Daten auf der Grundlage des neuen EU-US-Datenschutzschilds [entsprechen] den Datenschutzstandards in der EU.

So hieß es im Angemessenheitsbeschluss der Kommission, welchen sie am 12. Juli 2016 an die EU-Mitgliedstaaten weiterleitete. Als Reaktion darauf reichte die irische Organisation Digital Rights Ireland beim EuGH eine Nichtigkeitsklage gegen den Beschluss zum EU Privacy Shield ein. Entsprechende Verfahren wurden ebenso von La Quadrature du Net-Netzaktivisten, dem French Data Network FDN wie auch FFDN eingeleitet.

Als Donald Trump Präsident wurde, hieß es von Seiten der EU-Justizkommissarin Věra Jourová im März 2017, die Absprachen würden bei signifikanten Änderungen durch die Bundesregierung der USA nichtig werden. Zugleich empfahl sie die EU-Bürger über ihre Rechte aus dem Privacy Shield aufzuklären.

Schließlich nahm das EU-Datenschutzschild am 16. Juli 2020 mit einem Urteil der EuGH ein Ende. Der gebotene Schutz war schlichtweg unzureichend. Somit können sich datenschutzrechtlich Verantwortliche bei Datentransfers in die USA nicht mehr auf Privacy Shield bzw. die Datenschutzniveaus gem. Art. 45 DSGVO berufen.

Was regelt das Privacy Shield?

Das EU-US-Datenschutzschild baut auf folgenden Grundsätzen auf:

• Strenge Auflagen für datenverarbeitende Unternehmen: Regelmäßige Überprüfung teilnehmender Unternehmen und Sicherstellung der Einhaltung von Regelungen durch das US-Handelsministerium. Die Nichteinhaltung ist mit Sanktionen verbunden. Daten dürfen ausschließlich an Dritte weitergegeben werden, die sich ebenfalls am Datenschutzschild beteiligen.
• Transparenzpflichten sowie klare Schutzvorkehrungen beim Datenzugriff durch US-Behörden: Der Zugriff auf EU-Daten erfolgt nur unter Einhaltung klarer Beschränkungen bzw. der Voraussetzung, dass die nationale Sicherheit bedroht ist. Damit sind europäische personenbezogene Daten von einer unterschiedslosen Massenüberwachung durch die US-Behörden ausgeschlossen.
• Rechte des Einzelnen sind wirksam geschützt: Es stehen Möglichkeiten der Streitbeilegung offen für den Fall, das die Daten eines EU-Bürgers im Rahmen des Privacy Shield missbraucht wurden. Sogar ein kostenloses Verfahren steht in diesem Rahmen zur Verfügung.
• Jährliche Überprüfung der Umsetzung des EU-Datenschutzschilds durch die Europäische Kommission sowie das US-Handelsministerium.

Der bereits im Februar 2016 vorliegende Entwurf des Privacy Shield wurde danach entsprechend weiterer Stellungnahmen der Europäischen Datenschutzbehörden abgeändert.

Erhebliche Kritik an Privacy Shield

Vor allem am Anfang war der “Deal” zwischen den USA und der EU ziemlicher Kritik ausgesetzt. Max Schrems, dessen Klage bereits Safe Harbor zu Fall brachte, bemängelte, dass die Zusicherungen der US-Bundesregierung kurz vor der Präsidentschaftswahl keinen Halt hätten. Denn bei Wechsel der Regierung sahen die Regelungen des Datenschutzschilds die Option zu möglichen Änderungen vor.

Zusätzlich wurde Privacy Shield von 27 Bürgerrechtsorganisationen und zahlreichen Datenschützern abgelehnt. Moniert wurde allem voran die Tatsache, dass es sich um keinen rechtlich verbindlichen Vertrag handelt. Vielmehr ist es eine Sammlung von Briefen. Zudem blieben die Massenüberwachsungsmaßnahmen durch die US-Regierung weiterhin zulässig. Auch wissen die Betroffenen gar nicht, dass sie überwacht werden. Damit können sie sich auch nicht auf ihre Rechte berufen.

Darüber hinaus wurde nach der Wahl von Donald Trump die Geltung des Privacy Act am 25. Jänner 2017 auf US-amerikanische Staatsbürger beschränkt. Vom angemessenen Datenschutzniveau für EU-Bürger konnte somit nicht länger die Rede sein.

Max Schrems über das Privacy Shield (Erklär-Video)

Quellen: de.wikipedia.org, ec.europa.eu