Datenübermittlung in die USA

Kaum ein Unternehmen kommt ohne aus: Cloudspeicher, Newsletterversand, Videokonferenzen, Analysewerkzeuge. Die Datenübermittlung in die USA ist deshalb keine Randfrage, sondern einer der Punkte, die bei jeder Prüfung früh angesprochen werden – und einer der wenigen, bei denen sich die Rechtslage in den vergangenen Jahren mehrfach geändert hat.

Die Systematik in drei Sätzen

Kapitel V der DSGVO verlangt für jede Übermittlung in ein Drittland eine zusätzliche Grundlage – zusätzlich zur ohnehin nötigen Rechtsgrundlage nach Art. 6. Vorrangig ist ein Angemessenheitsbeschluss der Kommission nach Art. 45; besteht keiner, kommen geeignete Garantien nach Art. 46 in Betracht, in der Praxis vor allem die Standardvertragsklauseln. Die Ausnahmen des Art. 49 tragen nur Einzelfälle, nicht den Regelbetrieb.

Das Data Privacy Framework

Seit Juli 2023 besteht ein Angemessenheitsbeschluss für die USA. Er wirkt aber nicht flächendeckend, sondern nur gegenüber Empfängern, die sich unter dem EU-US Data Privacy Framework selbst zertifiziert haben und deren Zertifizierung die betreffende Datenkategorie abdeckt.

Daraus folgt die wichtigste praktische Konsequenz: Prüfen Sie die Zertifizierung Ihres konkreten Dienstleisters – im öffentlichen Verzeichnis, mit Datum und Umfang, und dokumentieren Sie das Ergebnis. Ein Anbieter ist nicht deshalb zertifiziert, weil sein Konzern es ist; und die Zertifizierung kann auslaufen.

Ist der Empfänger zertifiziert, ist die Übermittlung ohne weitere Garantien zulässig. Ist er es nicht, brauchen Sie Art. 46.

Wie belastbar der Beschluss auf Dauer ist, lässt sich nicht seriös vorhersagen. Zwei Vorgängerregelungen wurden vom Europäischen Gerichtshof für ungültig erklärt, und Verfahren gegen den aktuellen Beschluss sind anhängig. Wer heute plant, sollte deshalb wissen, was er täte, wenn der Beschluss entfiele – das ist keine Panikmache, sondern die Lehre aus zwei Präzedenzfällen.

Standardvertragsklauseln und Transferfolgenabschätzung

Für nicht zertifizierte Empfänger sind die Standardvertragsklauseln der Kommission das übliche Mittel. Sie werden unverändert abgeschlossen; anzupassen sind nur die Anlagen mit der Beschreibung der Übermittlung, den Datenkategorien und den technischen Maßnahmen. Zu wählen ist außerdem das zutreffende Modul – je nachdem, ob zwischen zwei Verantwortlichen, zwischen Verantwortlichem und Auftragsverarbeiter oder zwischen Auftragsverarbeitern übermittelt wird.

Die Klauseln allein genügen jedoch nicht. Nach der Rechtsprechung des Gerichtshofs ist zusätzlich zu prüfen, ob das Recht des Empfängerlandes die Einhaltung der Klauseln praktisch vereitelt – die Transferfolgenabschätzung. Sie betrachtet die Zugriffsbefugnisse von Behörden, den Rechtsschutz für Betroffene, die Art der übermittelten Daten und die getroffenen zusätzlichen Maßnahmen.

Als zusätzliche Maßnahme wirkt vor allem eines wirklich: Verschlüsselung, deren Schlüssel im Machtbereich des Empfängers nicht verfügbar ist. Vertragliche und organisatorische Zusagen helfen bei der Dokumentation, ändern aber nichts an behördlichen Zugriffsbefugnissen.

Was zu tun ist

  1. Erfassen, wohin Daten fließen. Das ergibt sich aus dem Verzeichnis von Verarbeitungstätigkeiten – vorausgesetzt, es nennt auch die Unterauftragsverarbeiter. Bei Websites zeigt der kostenlose Website-Check, welche Fremdserver tatsächlich kontaktiert werden.
  2. Je Empfänger die Grundlage bestimmen: zertifiziert, Standardvertragsklauseln oder – der beste Fall – gar keine Übermittlung, weil es eine europäische Alternative gibt.
  3. Verträge schließen und archivieren, einschließlich Auftragsverarbeitungsvertrag.
  4. Transferfolgenabschätzung dort, wo Klauseln genutzt werden.
  5. Transparent machen. Die Übermittlung und ihre Grundlage gehören in die Informationen nach Art. 13 und in die Datenschutzerklärung.
  6. Wiedervorlage setzen. Zertifizierungen laufen aus, Anbieter wechseln Unterauftragnehmer, Beschlüsse können fallen.

Der unterschätzte Punkt

Nicht jede Übermittlung ist offensichtlich. Sie geschieht auch dann, wenn Daten in Europa gespeichert sind, aber Supportzugriffe aus den USA erfolgen, oder wenn ein Anbieter Unterauftragnehmer außerhalb der EU einsetzt. Die Frage lautet deshalb nicht „Wo steht der Server?”, sondern „Wer kann darauf zugreifen?”.

Kontakt

Sie wissen nicht, welche Ihrer Dienstleister in Drittländern verarbeiten? Diese Liste erstellen wir mit Ihnen – sie ist die Grundlage für alles Weitere.