Nach dem Ende von Safe-Harbour – Wie geht es weiter mit den

27.10.2015
Nach dem Ende von Safe-Harbour – Wie geht es weiter
mit den Datentransfers zwischen EU und USA?
EU-Datenschützer gewähren Übergangsregelungen lediglich bis Ende Januar 2016
Zusammenfassung
> Mit dem Urteil des EuGH vom 06.10.2015, C362/14, ist ab sofort eine Datenübermittlung in
die USA auf Basis des Safe-Harbour-Abkommens
nicht mehr zulässig.
> Im Lichte dieses EuGH-Urteils ist auch die
Zulässigkeit der Datentransfers in die USA auf
der Grundlage der anderen Instrumente (EUStandardvertragsklauseln oder Binding Corporate
Rules) in Frage gestellt.
> Immerhin können sich Unternehmen auch in
Deutschland noch bis Ende Januar 2016
grundsätzlich auf etwaig bereits bestehende
Binding Corporate Rules berufen oder EUStandardvertragsklauseln verwenden.
> Sollte es bis Ende Januar 2016 zu keinem neuen
Abkommen zwischen der EU und den USA
kommen, ist ein Transfer personenbezogener
Daten in die USA nur noch aufgrund spezifischer
Einwilligung der Betroffenen möglich.
Nach
dem
Ende
von
Safe-Harbour:
Datenschutzbehörden fordern zum Handeln
auf
In unserem GSK-Update vom 12.10.2015 hatten
wir bereits berichtet, dass der EuGH in seinem
Urteil vom 06.10.2015, C-362/14, das SafeHarbour-Abkommen, das für einen einfachen und
praktikablen Transfer von personenbezogen Daten
in die USA stand, für ungültig erklärt hat.
Mit dem Urteil ist nicht nur ab sofort eine
Datenübermittlung in die USA auf Basis des SafeHarbour-Abkommens nicht mehr zulässig. Die
Folgen des Urteils gehen weit darüber hinaus. Sie
erfassen insgesamt sämtliche bisher bestehenden
Regelungen für den Datentransfer zwischen der EU
und den USA.
Inzwischen haben die Datenschutzinstitutionen auf
Ebene der EU und in Deutschland zu dem EuGHUrteil
Stellung
genommen.
Nach
diesen
Stellungnahmen wird – über das Urteil hinaus auch die Zulässigkeit der Datentransfers in die USA
auf der Grundlage der anderen bisher bestehenden
Instrumente, wie etwa EU Standardvertragsklauseln
oder Binding Corporate Rules (BCR), in Frage
gestellt.
Zudem
werden
die
Unternehmen
aufgefordert, ihre bestehenden Verfahren zum
Datentransfer in die USA im Lichte des EuGH-Urteils
kritisch zu überprüfen.
Artikel-29-Datenschutzgruppe
Die Art-29-Datenschutzgruppe, ein unabhängiges
Beratungsgremium der Europäischen Kommission in
Fragen des Datenschutzes, hat hervorgehoben,
dass ab sofort infolge des Urteils kein Datentransfer
in die USA mehr auf Grundlage des Safe-HarbourAbkommens erfolgen darf. Die Gruppe fordert, dass
die USA und die EU eine rasche Lösung zur
Übermittlung von personenbezogenen Daten in die
USA finden sollen, welche die Grundrechte der
Bürger in Sachen Datenschutz gewährleistet. In der
Zwischenzeit
will
die
Artikel-29-Gruppe
die
Auswirkungen
des
Urteils
auf
andere
Übermittlungsinstrumente, wie BCR oder EUStandardklauseln, kritisch prüfen. Allerdings sollen
sich Unternehmen in der EU zumindest noch bis
Ende Januar 2016 auf EU-Standardklauseln oder
bereits bestehende BCR berufen können. Selbst
diese
Übergangsregelung
soll
aber
nicht
einschränkungslos gelten. Es soll nämlich den
nationalen
Datenschutzbehörden
vorbehalten
bleiben, im Einzelfall schon jetzt tätig zu werden,
falls Beschwerden eingehen.
1
Nach dem Ende von Safe-Harbour: Wie geht es weiter?
Gemeinsames Positionspapier der Datenschutzbeauftragten des Bundes und der
Länder
Laut diesem gemeinsamen Positionspapier vom
26.10.2015 zum EuGH-Urteil werden die deutschen
Datenschutzbehörden, soweit sie Kenntnis über
ausschließlich
auf
Safe-Harbor
gestützte
Datenübermittlungen in die USA erlangen, diese ab
sofort untersagen. Weiterhin wird in dem
Positionspapier aufgrund des Urteils die Zulässigkeit
von Datentransfers insgesamt auch nach den
anderen
Instrumenten,
etwa
EUStandardvertragsklauseln oder BCR, ausdrücklich in
Frage
gestellt.
Jedenfalls
werden
die
Datenschutzbehörden in Deutschland derzeit keine
neuen Genehmigungen für Datenübermittlungen in
die USA auf Grundlage von BCR oder Datenexportverträgen erteilen.
Lediglich
eine
spezifische
Einwilligung
von
Betroffenen zum Transfer personenbezogener
Daten in die USA kann unter engen Bedingungen
eine tragfähige Grundlage sein; wobei selbst dies
für Beschäftigtendaten nur in Ausnahmefällen
gelten soll.
Weiterhin wird in dem Positionspapier zu zeitnahen
Verhandlungen mit den USA über eine neue
vertragliche Grundlage für den Datentransfer
aufgefordert.
Abschließend
begrüßen
die
deutschen
Datenschutzbehörden die von der Art. 29-Gruppe
gesetzte Übergangsfrist. Dieser Kommentar ist so
zu verstehen, dass auch in Deutschland eine
Übermittlung
aufgrund
von
EUStandardvertragsklauseln oder bestehenden BCR
bis zum Ablauf der Übergangsfrist Ende Januar
2016 nicht beanstandet wird.
Position der einzelner Datenschutzbehörden
Zwar
haben
sich
einzelne
deutsche
Datenschutzbehörden zum Teil noch kritischer und
folgenreicher zum EuGH-Urteil zu Wort gemeldet;
und
zwar
allen
voran
das
Unabhängige
Landeszentrum für Datenschutz Schleswig Holstein
GSK Update / 27.10.2015
(ULD) mit seinem Positionspapier vom 14.10.2015.
Gleichwohl halten wir das nunmehr am 26.10.2015
veröffentlichte
gemeinsame Positionspapier der
deutschen Datenschutzbehörden – bis auf weiteres
– für maßgebend in Deutschland.
Auswirkungen nach derzeitigem Stand
Mit
den
Stellungnahmen
der
Datenschutzinstitutionen auf EU-Ebene und in Deutschland
steht fest, dass sich das Safe-Harbour-Urteil des
EuGH auf sämtliche bisherigen Instrumente für den
Datentransfer in die USA auswirkt. Betroffene
Unternehmen sollten unverzüglich ihre bisherigen
Verfahren zum Datentransfer in die USA kritisch
überprüfen. Sie sollten sehr zeitnah Vorsorge dafür
treffen, dass der Transfer auch nach den strengen
Vorgaben des Safe-Harbour-Urteils des EuGH
datenschutzgerecht gestaltet werden kann. Dies
wird in vielen Fällen nicht einfach werden und zu
erheblichen Eingriffen in bestehende Geschäftsmodelle führen. Letztlich werden oft nur spezifische
Einwilligungslösungen möglich sein.
Selbst bei bestehenden BCR oder bei einem
Rückgriff auf EU-Standardklauseln sollte keinesfalls
bis zum Ablauf der der Übergangsfrist am
31.01.2016 abgewartet werden. Es ist derzeit nicht
absehbar, ob es bis dahin zu einer neuen
praktikablen Grundlage für den Datentransfer in die
USA kommen wird.
Dr. Jörg Kahler
Rechtsanwalt
Standort Berlin
Tel +49 30 2039070
[email protected]
Maria Vogt
Rechtsanwältin
Standort Berlin
Tel +49 30 2039070
[email protected]
2
Urheberrecht
GSK Stockmann + Kollegen - Alle Rechte vorbehalten. Die Wiedergabe, Vervielfältigung, Verbreitung und/oder Bearbeitung sämtlicher Inhalte und
Darstellungen des Beitrages sowie jegliche sonstige Nutzung ist nur mit vorheriger schriftlicher Zustimmung von GSK Stockmann + Kollegen gestattet.
Haftungsausschluss
Diese Mandanteninformation enthält ausschließlich allgemeine Informationen,
die nicht geeignet sind, den besonderen Umständen eines Einzelfalles gerecht zu werden. Sie hat nicht den Sinn, Grundlage für wirtschaftliche oder
sonstige Entscheidungen jedweder Art zu sein. Sie stellt keine Beratung,
Auskunft oder ein rechtsverbindliches Angebot auf Beratung oder Auskunft
dar und ist auch nicht geeignet, eine persönliche Beratung zu ersetzen.
Sollte jemand Entscheidungen jedweder Art auf Inhalte dieser Mandanteninformation oder Teile davon stützen, handelt dieser ausschließlich auf
GSK STOCKMANN + KOLLEGEN
Berlin
HEIDELBERG
Mohrenstraße 42
10117 Berlin
Tel +49 30 203907-0
Fax +49 30 203907-44
[email protected]
Mittermaierstraße 31
69115 Heidelberg
Tel +49 6221 4566-0
Fax +49 6221 4566-44
[email protected]
FRANKFURT/M.
MÜNCHEN
Taunusanlage 21
60325 Frankfurt
Tel +49 69 710003-0
Fax +49 69 710003-144
[email protected]
Karl-Scharnagl-Ring 8
80539 München
Tel +49 89 288174-0
Fax +49 89 288174-44
[email protected]
HAMBURG
Neuer Wall 69
20354 Hamburg
Tel +49 40 369703-0
Fax +49 40 369703-44
[email protected]
eigenes Risiko.
GSK Stockmann + Kollegen und auch die in dieser Mandanteninformation
BRÜSSEL
SINGAPUR
namentlich genannten Partner oder Mitarbeiter übernehmen keinerlei
GSK Stockmann + Kollegen
209a Avenue Louise
B-1050 Brüssel
Tel +32 2 6260 740
Fax +32 2 6260 749
[email protected]
GSK Stockmann (Singapore)
Pte. Ltd.
25 International Business Park
German Centre, # 04-113
Singapore 609916
Tel +65 6562 8696
Fax +65 6562 8697
[email protected]
Garantie oder Gewährleistung, noch haftet GSK Stockmann + Kollegen und
einzelne Partner oder Mitarbeiter in irgendeiner anderen Weise für den
Inhalt dieser Mandanteninformation. Aus diesem Grund empfehlen wir, in
jedem Fall eine persönliche Beratung einzuholen.
www.gsk.de
Unsere Partner der Broadlaw Group:
Lefèvre Pelletier & associés in Frankreich, Nabarro in Großbritannien,
Nunziante Magrone in Italien und Roca Junyent in Spanien
www.broadlawgroup.com