Sowohl die Datenschutzkonferenz (DSK) als auch der Europäische Datenschutzausschuss (EDSA) haben inzwischen Empfehlungen zur EuGH-Entscheidung in Sachen US-Privacy-Shield veröffentlicht.
Der EuGH (Urt. v. 16.07.2020 - Az.: C-311/18) hatte bekanntlich vor wenigen Tagen entschieden, dass das US-Privacy-Shield rechtswidrig ist, die EU-Standardvertragsklauseln hingegen (formal) noch rechtmäßig sind. Seitdem ist unklar, unter welchen Voraussetzungen eine rechtmäßige Datenübertragung in die USA überhaupt noch möglich ist.
Die DSK ist die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder. Die Stellungnahmen haben keinen verbindlichen Rechtscharakter, offenbaren aber, in welche Richtung die Behörden die DSGVO auslegen werden. Ob die Interpretation dann richtig oder falsch ist, werden die Gerichte entscheiden. Die DSK hat nun am gestrigen Tag zu dem EuGH-Urteil eine Pressemitteilung herausgegeben:
"1. Die Übermittlung personenbezogener Daten in die USA auf der Grundlage des Privacy Shield ist unzulässig und muss unverzüglich eingestellt werden (...).
2. Für eine Übermittlung personenbezogener Daten in die USA und andere Drittländer können die bestehenden Standardvertragsklauseln der Europäischen Kommission zwar grundsätzlich weiter genutzt werden. Der EuGH betonte jedoch die Verantwortung des Verantwortlichen und des Empfängers, zu bewerten, ob die Rechte der betroffenen Personen im Drittland ein gleichwertiges Schutzniveau wie in der Union genießen. (...) Nach dem Urteil des EuGH reichen bei Datenübermittlungen in die USA Standardvertragsklauseln ohne zusätzliche Maßnahmen grundsätzlich nicht aus.
3. Die Wertungen des Urteils finden auch auf andere Garantien nach Artikel 46 DSGVO Anwendung wie verbindliche interne Datenschutzvorschriften („binding corporate rules“ - BCR), auf deren Grundlage eine Übermittlung personenbezogener Daten in die USA und andere Drittstaaten erfolgt."
Und der EDSA hat inzwischen eine englischsprachige FAQ publiziert,