Schrems II
Kurz gesagtSeit 2020 müssen Sie selbst prüfen, ob Ihre Daten im Zielland wirklich geschützt sind.
Am 16. Juli 2020 erklärte der Europäische Gerichtshof den EU-US Privacy Shield für ungültig. Das war die Schlagzeile. Der wichtigere Teil des Urteils steht weiter unten und gilt bis heute.
Was das Urteil tatsächlich verlangt
Standardvertragsklauseln bleiben gültig — aber sie genügen nicht allein. Wer sie nutzt, muss vor der Übermittlung prüfen, ob das Recht des Ziellandes den zugesicherten Schutz überhaupt zulässt. Diese Prüfung heißt Transfer Impact Assessment und ist Aufgabe des übermittelnden Unternehmens, nicht des Anbieters.
Ergibt die Prüfung eine Lücke, sind ergänzende Maßnahmen nötig. Der Europäische Datenschutzausschuss hat dazu eine unbequeme Feststellung getroffen: Verschlüsselung hilft nur, wenn der Anbieter selbst nicht an den Schlüssel kommt. Verschlüsselung im Ruhezustand, bei der der Anbieter die Schlüssel verwaltet, schützt gegen Diebstahl, nicht gegen eine behördliche Anordnung. Siehe Schlüsselhoheit (BYOK und HYOK).
Warum das Urteil weiterwirkt
2023 hat die Kommission mit dem EU-US Data Privacy Framework einen neuen Angemessenheitsbeschluss erlassen. Für Unternehmen, die an teilnehmende US-Anbieter übermitteln, entfällt damit die Einzelprüfung. Siehe Angemessenheitsbeschluss.
Das Urteil bleibt trotzdem relevant, aus drei Gründen. Erstens gilt der Beschluss nur für zertifizierte Empfänger. Zweitens deckt er keine Übermittlungen in andere Drittländer ab. Drittens ist die zugrunde liegende Rechtslage in den USA dieselbe geblieben — geändert hat sich das Beschwerdeverfahren, nicht die Befugnis.
Der praktische Rest
Für die tägliche Arbeit bleibt eine unspektakuläre Pflicht: wissen, wohin Daten fließen. Ein Verzeichnis der Verarbeitungstätigkeiten, das die Unterauftragsverarbeiter jedes Dienstes tatsächlich abbildet, ist die Voraussetzung für jede Aussage über Souveränität. Ohne dieses Verzeichnis ist auch der beste europäische Anbieter nur ein Gefühl.