Die Europäische Kommission hat heute (13.12.2022) den Prozess zur Annahme eines Angemessenheitsbeschlusses für den EU-US-Datenschutzrahmen (EU-U.S. Data Privacy Framework) eingeleitet, der den sicheren transatlantischen Datenverkehr fördern und die Bedenken des Gerichtshofs der Europäischen Union in seiner Schrems-II-Entscheidung vom Juli 2020 ausräumen wird.
Der heutige Beschlussentwurf folgt auf die Unterzeichnung einer US-Exekutivverordnung durch Präsident Biden am 7. Oktober 2022 sowie auf die vom US-Justizminister Merrick Garland erlassenen Vorschriften. Mit diesen beiden Instrumenten wird die von Präsidentin von der Leyen und Präsident Biden im März 2022 angekündigte Grundsatzvereinbarung in US-Recht umgesetzt.
Der Entwurf des Angemessenheitsbeschlusses, der die Bewertung des US-Rechtsrahmens durch die Kommission widerspiegelt und zu dem Schluss kommt, dass er vergleichbare Garantien wie die EU bietet, wurde nun veröffentlicht und dem Europäischen Datenschutzausschuss (EDSB) zur Stellungnahme übermittelt. Der Entscheidungsentwurf kommt zu dem Schluss, dass die Vereinigten Staaten ein angemessenes Schutzniveau für personenbezogene Daten gewährleisten, die aus der EU an US-Unternehmen übermittelt werden.
US-Unternehmen können dem EU-US-Datenschutzrahmen beitreten, indem sie sich verpflichten, eine Reihe detaillierter Datenschutzverpflichtungen einzuhalten, z. B. die Verpflichtung, personenbezogene Daten zu löschen, wenn sie für den Zweck, für den sie erhoben wurden, nicht mehr erforderlich sind und die Kontinuität des Schutzes zu gewährleisten, wenn personenbezogene Daten an Dritte weitergegeben werden. Den EU-Bürgern stehen mehrere Rechtsbehelfe zur Verfügung, wenn ihre personenbezogenen Daten unter Verstoß gegen den Rechtsrahmen verarbeitet werden, darunter auch kostenlose Verfahren vor unabhängigen Streitbeilegungsmechanismen und einem Schiedsgericht.
Nächste Schritte für Angemessenheitsbeschluss
Der Entwurf des Angemessenheitsbeschlusses wird jetzt das Annahmeverfahren durchlaufen. In einem ersten Schritt hat die Kommission ihren Entscheidungsentwurf dem Europäischen Datenschutzausschuss (EDPB) vorgelegt. Anschließend wird die Kommission die Zustimmung eines Ausschusses einholen, der sich aus Vertretern der EU-Mitgliedstaaten zusammensetzt. Darüber hinaus hat das Europäische Parlament ein Kontrollrecht bei Angemessenheitsentscheidungen. Sobald dieses Verfahren abgeschlossen ist, kann die EU-Kommission die endgültige Angemessenheitsentscheidung erlassen.
Das Funktionieren des EU-US-Datenschutzrahmens wird in regelmäßigen Abständen von der Europäischen Kommission zusammen mit den europäischen Datenschutzbehörden und den zuständigen US-Behörden überprüft. Die erste Überprüfung wird innerhalb eines Jahres nach Inkrafttreten des Angemessenheitsbeschlusses stattfinden, um festzustellen, ob alle relevanten Elemente des US-Rechtsrahmens vollständig umgesetzt wurden und in der Praxis wirksam funktionieren.
Unternehmen können darauf hoffen, dass im Frühjahr 2023 der Angemessenheitsbeschluss für die USA final verabschiedet wird.
Herr Nils Möllers ist Gründer und Geschäftsführer der Keyed GmbH. Als Experte für Datenschutz in Konzernen, Unternehmensgruppen und Franchise-Systemen, ist Herr Möllers ebenfalls als zertifizierter Datenschutzbeauftragter tätig. Ergänzend zur datenschutzrechtlichen Expertise ist Herr Möllers im Bereich der IT-Sicherheit, begleitend zur ISO27001 und TISAX-Assessments, beratend tätig.
