Artikel 48 DSGVO: Nach dem Unionsrecht nicht zulässige Übermittlung oder Offenlegung
Jegliches Urteil eines Gerichts eines Drittlands und jegliche Entscheidung einer Verwaltungsbehörde eines Drittlands, mit denen von einem Verantwortlichen oder einem Auftragsverarbeiter die Übermittlung oder Offenlegung personenbezogener Daten verlangt wird, dürfen unbeschadet anderer Gründe für die Übermittlung gemäß diesem Kapitel jedenfalls nur dann anerkannt oder vollstreckbar werden, wenn sie auf eine in Kraft befindliche internationale Übereinkunft wie etwa ein Rechtshilfeabkommen zwischen dem ersuchenden Drittland und der Union oder einem Mitgliedstaat gestützt sind.
Die Vorschrift hinter der CLOUD-Act-Debatte
Ein Urteil oder eine Behördenentscheidung aus einem Drittland, die die Herausgabe personenbezogener Daten verlangt, ist nur anzuerkennen, wenn sie auf einem Rechtshilfeabkommen beruht. Der US-amerikanische CLOUD Act verpflichtet dort ansässige Anbieter unabhängig davon zur Herausgabe – auch für Daten, die in Europa gespeichert sind. Anbieter können damit in einen Konflikt geraten, den kein Vertrag auflöst. Für die Praxis heißt das nicht, dass US-Dienste ausscheiden, wohl aber, dass die Frage in der Risikobewertung stehen muss: Wie sensibel sind die Daten, und wäre eine Herausgabe hinnehmbar?
Erwägungsgrund 115 benennt das Problem: Drittstaatsgesetze, die eine unmittelbare Herausgabe verlangen, können gegen das Völkerrecht verstoßen und rechtfertigen für sich genommen keine Übermittlung.