The European Commission announced on February 2, 2016 that it had agreed a new framework with the US for data flows between Europe and the US. The new framework, christened \u201cEU-US Privacy Shield\u201d, would replace the former Safe Harbor agreement, which was invalidated by the European Court of Justice in 2015, and allow a mechanism for companies to legally transfer personal data relating to EU citizens. The EU-US Privacy Shield is yet far from a done deal and data protection experts indicated concerns as to whether the new framework will in fact address the key EU data protection law criteria for data handling practices.<\/i><\/p>\n
Die Europ\u00e4ische Kommission hat am 02.02.2016 bekannt gegeben<\/a>, dass sie sich mit den USA auf ein neues Datenschutzabkommen einigen konnte. Das neue Abkommen tr\u00e4gt die Bezeichnung \u201cEU-US Privacy Shield\u201d und soll die vom Europ\u00e4ischen Gerichtshof (EuGH) 2015 f\u00fcr rechtswidrig erkl\u00e4rte<\/a> Safe-Harbor-Regelung ersetzen. Diese Regelung diente bis zur Entscheidung des EuGH als Grundlage daf\u00fcr, dass die pers\u00f6nlichen Daten von B\u00fcrgern der europ\u00e4ischen Union in den USA verarbeitet werden konnten. Der EuGH entzog der Daten\u00fcbermittlung die Grundlage, insbesondere weil die Daten durch die weitgehende US-Sicherheitsgesetzgebung nicht ausreichend gesch\u00fctzt seien. Als Folge des Urteils mussten sowohl die EU als auch die USA eine neue Regelung vereinbaren, um zu verhindern, dass der Informationsaustausch eingeschr\u00e4nkt werden muss. Die EU-Datensch\u00fctzer hatten der Kommission bis Ende Januar eine Frist gesetzt, ein neues Abkommen auszuhandeln.<\/p>\n Der neue Rechtsrahmen soll strengere Pflichten f\u00fcr US-amerikanische Unternehmen und eine st\u00e4rkere Aufsicht durch das US-Handelsministerium und die Federal Trade Commission (FTC) vorsehen<\/a>. Die Kooperation mit den europ\u00e4ischen Datenschutzbeh\u00f6rden soll verbessert und der Zugriff auf Daten durch US-amerikanische Beh\u00f6rden soll durch klare Voraussetzungen, Begrenzungen und Kontrolle geregelt werden. Unionsb\u00fcrger sollen sich bei Datenschutzverletzungen an eine Ombudsperson wenden k\u00f6nnen, um Datenschutz auch unter US-amerikanischen Recht besser durchsetzen zu k\u00f6nnen.<\/p>\n Die Kommission hatte allerdings lediglich eine m\u00fcndliche Einigung \u00fcber das Nachfolgeabkommen zu Safe Harbor verk\u00fcndet. Ein schriftlicher Entwurf wurde bislang noch nicht vorgelegt. Der eigentliche Text muss erst noch ausgearbeitet werden. Ob der Schutzschild wirklich h\u00e4lt, h\u00e4ngt ma\u00dfgeblich von den genauen Formulierungen des EU-US Privacy Shield ab. Letztlich wird sich das Datenschutzniveau nur verbessern, wenn es in den USA tats\u00e4chlich zu Gesetzes\u00e4nderungen kommt. Andernfalls kann eine Einigung \u00fcber ein Nachfolgeabkommen bestenfalls als vertrauensbildende Ma\u00dfnahme gesehen werden, deren Bestand vor dem EuGH jedoch unklar ist.<\/p>\n Der Digitalverband Bitkom begr\u00fc\u00dfte<\/a> die Einigung zwischen der EU-Kommission und der US-Regierung als einen wichtigen Schritt zu mehr Rechtsssicherheit f\u00fcr Unternehmen.Die Datensch\u00fctzer hingegen tendierten von vornherein zu der Auffassung<\/a>, dass auch alternative \u00dcbermittlungsinstrumente die im Urteil des EuGH angedeuteten rechtsstaatlichen Defizite nicht kompensieren k\u00f6nnten. Auch zur Nachfolgeregelung zeigten sie sich skeptisch<\/a>. Es w\u00fcrde sehr genau zu pr\u00fcfen sein, ob die neue Vereinbarung tats\u00e4chlich die Kriterien f\u00fcr eine rechtskonforme Daten\u00fcbermittlung erf\u00fcllen kann. Bislang bestehen in den wesentlichen Punkten, die die Europ\u00e4er als wesentlich f\u00fcr ein angemessenes Datenschutzniveau betrachten, weiterhin Differenzen. Daher wird die politische Einigung lediglich als Signal bewertet<\/a>, das die Unternehmen beruhigen und die Datensch\u00fctzer milde stimmen soll.<\/p>\n Der EU-US Privacy Shield ist bislang nur im Stadium einer politischen Einigung, sodass weiterhin keine rechtliche Sicherheit f\u00fcr B\u00fcrger und Unternehmen besteht. Entscheidend kommt es nun darauf an, die tats\u00e4chlichen Rechtstexte so zu gestalten, dass sie den europ\u00e4ischen Anforderungen gerecht werden. Als problematisch<\/a> f\u00fcr die weiteren Verhandlungen erweist sich hier der k\u00fcrzlich in den USA verabschiedete \u201cCybersecurity Act\u201d. Dieses Gesetz erlaubt es den Unternehmen, den Beh\u00f6rden weitreichend personenbezogene Daten zu \u00fcbermitteln. Ein formelles Gesetzgebungsverfahren mit Zustimmung des Parlaments wird es auf europ\u00e4ischer Seite im \u00dcbrigen nicht geben. Die Kommission wird die rechtlich geforderte Angemessenheit wie bei Safe Harbor im Wege einer Entscheidung bescheinigen. Die Arikel-29-Datenschutzgruppe (WP29) wird der Kommission beratend zur Seite stehen, hat aber bereits angek\u00fcndigt<\/a>, auch die noch bestehenden rechtlichen Mechanismen f\u00fcr einen Datentransfer wie den Standardvertragsklauseln und den Binding Corporate Rules einer Pr\u00fcfung zu unterziehen.<\/p>\nWas ist neu?<\/h3>\n
Kritik<\/h3>\n
N\u00e4chste Schritte<\/h3>\n
This post is part of a weekly series of articles by\u00a0doctoral canditates<\/a>\u00a0of the Alexander von Humboldt Institute for Internet and Society. It does not necessarily represent the view of the Institute itself. For more information about the topics of these articles and asssociated research projects, please contact\u00a0info@hiig.de<\/a>.<\/h4>\n