EU-US-Datenübertragungen navigieren: Praktische Orientierung nach Schrems II

Die Rechtslage für EU-US-Datenübertragungen ist seit dem Schrems-II-Urteil im Fluss. Organisationen müssen die aktuellen Optionen und Risiken für die Übertragung personenbezogener Daten über den Atlantik verstehen.

Aktuelle Übertragungsmechanismen

Angemessenheitsbeschlüsse: Der EU-US-Datenschutzrahmen bietet eine Angemessenheitsgrundlage für Übertragungen an zertifizierte US-Organisationen. Dieser Rahmen steht jedoch vor einer rechtlichen Anfechtung und ist möglicherweise nicht dauerhaft.

Standardvertragsklauseln (SVKs): Der am weitesten verbreitete Übertragungsmechanismus, aber Schrems II verpflichtet Organisationen zu prüfen, ob SVKs die Daten in der Praxis tatsächlich schützen -- unter Berücksichtigung der Überwachungsgesetze des Ziellandes.

Verbindliche unternehmensinterne Vorschriften (Binding Corporate Rules): Geeignet für konzerninterne Übertragungen innerhalb multinationaler Organisationen, erfordern aber die Genehmigung der Aufsichtsbehörde.

Die Herausforderung bei US-Übertragungen

US-Überwachungsrecht, insbesondere Section 702 des FISA und Executive Order 12333, erlaubt eine weitreichende nachrichtendienstliche Erfassung ausländischer Daten. Dies erschwert es, das "im Wesentlichen gleichwertige" Schutzniveau zu bieten, das EU-Recht verlangt. Technische Maßnahmen wie Verschlüsselung können helfen, sind aber unzureichend, wenn der Datenverarbeiter die Entschlüsselungsschlüssel besitzt.

Praktische Empfehlungen

Organisationen sollten ihre Datenübertragungskarte überprüfen, das Risiko jeder Übertragung bewerten, ergänzende Maßnahmen implementieren, wo möglich, und EU-basierte Alternativen für Dienste in Betracht ziehen, die von europäischen Anbietern verfügbar sind. Speziell für Web-Analytics eliminiert der Wechsel zu einem EU-gehosteten, datenschutzrespektierenden Tool das Datenübertragungsproblem vollständig.