Angemessenheitsbeschluss

Ein Angemessenheitsbeschluss ist eine Entscheidung der Europäischen Kommission. Sie stellt fest, dass ein Land außerhalb der EU personenbezogene Daten in vergleichbarer Weise schützt. Liegt er vor, ist eine Übermittlung dorthin so einfach wie eine Übermittlung nach Portugal: keine Standardvertragsklauseln, keine Einzelfallprüfung.

Solche Beschlüsse bestehen unter anderem für die Schweiz, das Vereinigte Königreich, Japan, Kanada, Südkorea, Neuseeland und Israel. Seit Juli 2023 auch wieder für die USA, in Form des EU-US Data Privacy Framework.

Warum der US-Beschluss anders behandelt wird

Er ist der dritte Versuch. Safe Harbor fiel 2015, der Privacy Shield 2020. Beide Male befand der Europäische Gerichtshof, dass amerikanische Überwachungsbefugnisse zu weit reichen und Betroffene keinen wirksamen Rechtsbehelf haben. Siehe Schrems II.

Der aktuelle Beschluss stützt sich nicht auf ein neues Gesetz, sondern auf eine Executive Order des Präsidenten und ein neu geschaffenes Beschwerdegericht. Beides kann eine folgende Regierung ändern, ohne den Kongress zu befassen.

Was Sie damit tun sollten

Nutzen Sie ihn. Er ist gültiges Recht, und wer heute auf Standardvertragsklauseln besteht, wo ein Beschluss greift, erzeugt Arbeit ohne Nutzen.

Aber bauen Sie nicht darauf, dass er in fünf Jahren noch existiert. Der praktische Umgang damit ist unspektakulär: Wissen, welche Verarbeitungen fallen würden, wenn er wegfällt, und für die wichtigsten davon einen Ersatzweg kennen. Das ist keine Panik, das ist dieselbe Übung wie bei jedem anderen Einzelpunkt in einer Lieferkette. Siehe Exit-Strategie.

Die häufigste Verwechslung

Ein Angemessenheitsbeschluss regelt den Datenschutz. Er regelt nicht die Verfügbarkeit. Ein US-Anbieter darf Ihre Daten rechtmäßig verarbeiten und Ihnen trotzdem morgen den Zugang sperren, weil eine Sanktionsliste, eine Exportkontrolle oder eine Konzernentscheidung dazwischenkommt. Das ist eine andere Risikokategorie, und kein Datenschutzbeschluss der Welt deckt sie ab.