Um persönliche Daten in Drittländer rechtmäßig übertragen zu dürfen bedarf es nach der Datenschutzgrundverordnung sogenannter Garantien, dass in den Drittländern das Datenschutzniveau dem durch die DSGVO in der europäischen Union (bis auf Dänemark) gleicht. Art. 46 DSGVO bietet hierfür verschiedene Möglichkeiten. Beispielsweise kann die EU-Kommission das Datenschutzniveau eines Drittlands als angemessen feststellen. Dies macht die Übertragung der Daten in diese Länder rechtmäßig. Weitere Möglichkeiten sind aber auch Zertifizierungen im Bereich Datenschutz der Unternehmen in den Drittländern oder die Verwendung von Standarddatenschutzklauseln in den Verträgen mit den europäischen Unternehmen, welche personenbezogene Daten ins jeweilige Drittland übertragen möchten.
Da beispielsweise die USA nicht als Drittland mit einem angemessenen Datenschutzniveau angesehen werden. Greifen viele amerikanische auf die Standardklauseln der EU-Kommission zurück, nachdem der EuGH das Safe-Harbour-Abkommen für ungültig erklärte und auch das Privacy-Shield-Abkommen stark kritisiert wird. So eben auch Facebook.
Die amerikanische Facebook Muttergesellschaft hat mit der irischen Tochtergesellschaft einen Vertrag der die von der EU-Kommission zur Verfügung gestellten Standardklauseln zum Datenschutz enthält. Diese Standardklauseln sollen die Übertragung der personenbezogenen Daten der europäischen Facebook-Nutzer in die USA legitimieren. Der österreichische Datenschützer Schrems, der bereits Facebook bereits schon öfter verklagt hatte, hat in Irland auch Klage erhoben, weil nach seiner Rechtsauffassung die Standardschutzklauseln der EU-Kommission keinen ausreichenden Schutz der persönlichen Daten in den Drittländern bieten. Das irische Gericht legte im Oktober 2017 dem EuGH einige Rechtsfragen bezüglich der Standardklauseln zur Klärung vor.
Das bedeutet, die Standarddatenschutzklauseln sind als ausreichende Garantie für ein angemessenes und vergleichbares Datenschutzniveau in Drittländern in Frage gestellt. Das bedeutet, es ist derzeit nicht sicher, ob die Übertragung personenbezogener Daten aufgrund der Standarddatenschutzklauseln rechtmäßig ist.
Es empfiehlt sich daher derzeit auf die anderen in der DSGVO genannten Garantien zu setzten, insbesondere die genehmigten Verhaltensregeln in den Unternehmen des Drittlands und die Zertifizierung der Unternehmen in den Drittländern im Rahmen genehmigter Mechanismen. Innerhalb eines Konzerns können die personenbezogenen Daten auch aufgrund sogenannter Binding Corporate Rules übertragen werden, laut Art. 46 DSGVO reicht dies ebenfalls als Garantie aus, wenn diese Konzernregeln ein angemessenes Datenschutzniveau sichern.
Ob der EuGH die Standardschutzklauseln der EU-Kommission hält oder dies für nicht ausreichend erachtet bleibt abzuwarten. Sollten die Standardklauseln daran scheitern, weil sie nicht dazu taugen, den Zugriff der Behörden des Drittlands auszuschließen, dass werden wohl auch die anderen Garantien und erst recht das Privacy-Shield-Abkommen ins Wanken geraten. Denn auf vertraglicher Ebene zwischen den Unternehmen, durch Zertifizierungen der Unternehmen oder durch Verhaltensregeln in den Unternehmen kann letztlich der Zugriff durch die Drittstaaten nicht gänzlich ausgeschlossen werden. Man darf also gespannt sein, wie die Entscheidung des EuGH ausfällt.
Bis zur Entscheidung gilt für Unternehmen, die personenbezogene Daten in Drittländer übertragen, den Umgang mit personenbezogenen Daten genau zu prüfen und den Umbruch zu auch hinsichtlich des 25. Mai 2018 im Auge zu behalten. Ab dem 25. Mai 2018 gilt die Datenschutzgrundverordnung nämlich, welche zum Thema Datenschutz immense Neuerungen mit sich bringt.
Übrigens: Sollten Sie zum Thema Datenschutz und DSGVO Beratungsbedarf haben, melden Sie sich bei uns. Mit unserem Compliance-Angebot sind wir auch in Sachen Datenschutz Ihr auf Erfolg spezialisierter Ansprechpartner!