Angemessenheitsbeschlüsse für Drittstaaten
Datenübermittlungen in Staaten außerhalb der EU, also in „Drittstaaten“ sind rechtlich heikel. Für 15 Staaten, darunter Japan und die Schweiz, bieten Angemessenheitsbeschlüsse der EU-Kommission eine tragfähige Rechtsgrundlage.
 |
| Bild: Entscheidung |
Sie zu kennen, kann sehr nützlich sein.
Die Ausgangslage ist schwierig
vom Grundsatz her verbietet die DSGVO Übermittlungen an
Datenempfänger außerhalb der EU in „Drittstaaten“. Ausnahmen von diesem
grundsätzlichen Verbot enthält die DSGVO in ihrem Kapitel V. Es besteht aus
sechs größtenteils sehr umfangreichen Artikeln. Am einfachsten wird es, wenn
für ein Land ein Angemessenheitsbeschluss der EU-Kommission vorliegt.
Angemessenheitsbeschlüsse
vereinfachen das Leben
Art. 45 Abs.1 DSGVO hält dazu folgendes fest „Eine
Übermittlung personenbezogener Daten an ein Drittland … darf vorgenommen
werden, wenn die (EU-) Kommission beschlossen hat, dass das betreffende
Drittland … ein angemessenes Schutzniveau bietet.“ Dies eröffnet gerade kleinen
und mittleren Unternehmen einen gut gangbaren Weg, um personenbezogene Daten in
ein Drittland zu übermitteln.
Insgesamt bestehen Beschlüsse
für 18 Länder
Die Liste der Länder, für die Angemessenheitsbeschlüsse
bestehen, ist inzwischen relativ lang: Andorra, Argentinien, Färöer-Inseln,
Guernsey, Isle of Man, Israel, Japan, Jersey, Kanada, Neuseeland, Schweiz,
Südkorea, Uruguay, Großbritannien, USA. Vielen ist nur der
Angemessenheitsbeschluss für die USA bekannt, der unter dem Stichwort „Privacy
Shield“ große Beachtung gefunden hat. Darüber wird manchmal vergessen, dass
Länder wie etwa Israel, Japan und vor allem die Schweiz zumindest für viele
Branchen genauso wichtig sind wie die USA.
Großbritannien verdient
einen genaueren Blick
Großbritannien gehört seit dem Brexit nicht mehr zur EU. Es
ist ein Drittstaat. Ohne Angemessenheitsbeschluss hätte der Datenaustausch mit
Großbritannien nicht im bisherigen Umfang fortgeführt werden können. Die drei
Kanalinseln Guernsey, Jersey und Isle of Man, wichtige Standorte für den
Finanzbereich, haben innerhalb des Vereinigten Königreichs einen rechtlichen
Sonderstatus. Deshalb wurden für sie schon weit vor dem Brexit
Angemessenheitsbeschlüsse herbeigeführt.
Angemessenheitsbeschlüsse
haben große Vorteile
Wenn für ein Land ein Angemessenheitsbeschluss besteht,
braucht eine Datenübermittlung dorthin keine besondere Genehmigung (siehe Art.
45 Abs. 1 Satz 2 DSGVO). Es sind auch keine Zusicherungen des Datenempfängers
erforderlich, dass er irgendwelche zusätzlichen Vorgaben einhält. Sofern sich
eine Datenübermittlung im Rahmen des jeweiligen Angemessenheitsbeschlusses
bewegt, ist sie ohne Wenn und Aber rechtlich zulässig. Daher spricht die
EU-Kommission von einer „unkomplizierten und umfassenden Lösung für die
Übermittlung von Daten.“
Jede
Angemessenheitsbeschluss erfordert genaue Lektüre
Wer Daten in ein bestimmtes Land übermitteln will, muss zuvor
den Angemessenheitsbeschluss für dieses Land genau lesen. Manchmal finden sich
dort nämlich gewisse Einschränkungen. Klassisches Beispiel hierfür ist Kanada.
Der Beschluss für dieses Land gilt nur für Datenempfänger in Kanada, die als
kommerziell einzustufen sind. Solche Einschränkungen enthalten aber nur wenige
Angemessenheitsbeschlüsse.
Manche
Angemessenheitsbeschlüsse sind älter als die DSGVO
Viele Angemessenheitsbeschlüsse wurden schon weit vor der
DSGVO erlassen. Rechtsgrundlage hierfür war eine Bestimmung in der
EG-Datenschutzrichtlinie von 1995. Die DSGVO hält ausdrücklich fest, dass
solche „Alt-Beschlüsse“ weiterhin gelten (siehe Art. 45 Abs. 9 DSGVO). Sie
bleiben so lange in Kraft, bis die EU-Kommission sie ändert, durch einen
anderen Beschluss ersetzt, oder sie aufhebt. Die Aufhebung eines solchen
Beschlusses ist bisher noch nicht vorgekommen.
Die EU-Kommission sorgt
für die Fortentwicklung der Beschlüsse
Zu den „Alt-Beschlüssen“ gehören etwa die
Angemessenheitsbeschluss für Japan und die Schweiz. Die EU-Kommission bemüht
sich intensiv darum, sie dauerhaft „DSGVO-tauglich“ zu machen. Dies belegt ein
Bericht der EU-Kommission vom 15. Januar 2024, der sich auf 17 Seiten den
„Alt-Beschlüssen“ widmet. Er ist abrufbar https://commission.europa.eu/document/f62d70a4-39e3-4372-9d49-e59dc0fda3df_en.
Ein kurzer Blick
erspart viel Arbeit
Es mag sein, dass Sie nie Daten etwa nach Uruguay übermitteln
müssen. Falls es aber vorkommt, sollten Sie wissen, dass es für dieses Land
einen Angemessenheitsbeschluss gibt. Eine Liste aller Angemessenheitsbeschlüsse
finden Sie hier: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en.
Benötigen Sie dennoch Hilfe? Kein Problem!
Das könnte Sie auch interessieren:
- 12.10.2021: Kostenlose Muster der EU für Datenschutzverträge
