Neuer Anlauf für ein Datenschutzabkommen zwischen der EU und den USA Was ist das Data Privacy Framework?

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Fujitsu Technology Solutions GmbH

Insider Research

Das Data Privacy Framework ist nach der Safe-Harbor-Regelung und dem Privacy Shield der dritte Anlauf für ein Datenschutzabkommen zwischen der EU und den USA. Es soll den Schutz personenbezogener Daten, die aus der EU in die USA übertragen werden, gemäß der EU-DSGVO sicherstellen.

Das Data Privacy Framework, abgekürzt DPF, wird manchmal auch als Privacy Shield 2.0 bezeichnet. Es ist nach der Safe-Harbor-Regelung und dem Privacy Shield der dritte Anlauf für ein internationales Datenschutzabkommen zwischen der Europäischen Union und den Vereinigten Staaten von Amerika.

Das Abkommen wurde notwendig, da der EuGH die Vorgängerabkommen in den „Schrems-Urteilen“ als ungültig erklärt hatte. Die EU hat das Data Privacy Framework im Juli 2023 per Angemessenheitsbeschluss angenommen. Im Data Privacy Framework verpflichten sich die USA, das Datenschutzniveau von der EU in die USA übertragener personenbezogener Daten zu verbessern. Durch den Angemessenheitsbeschluss der EU vom 10. Juli 2023 erklärt die EU-Kommission das Datenschutzniveau der in die USA übertragenen personenbezogenen Daten für angemessen und den Vorgaben der EU-DSGVO für die Datenübertragung in ein Drittland entsprechend.

Damit soll die seit den Schrems-Urteilen herrschende Rechtsunsicherheit beendet werden. Der Angemessenheitsbeschluss dient ab dem Zeitpunkt der Annahme durch die EU-Kommission als Grundlage für die Datenübermittlung personenbezogener Daten an zertifizierte Unternehmen oder Organisationen der USA. Die Übertragung personenbezogener Daten an ein US-Unternehmen, das am DPF teilnimmt und zertifiziert ist, bedarf keiner weiteren Sicherheitsmaßnahmen oder zusätzlicher Standardvertragsklauseln mehr. Ob das neue Abkommen der erwarteten rechtlichen Prüfung durch den Europäischen Gerichtshof tatsächlich standhalten wird, ist bisher noch nicht abzusehen.

Data Privacy Framework – Geschichte und Hintergründe

Die Ursprünge des jetzt von der Europäischen Kommission per Angemessenheitsbeschluss angenommenen Data Privacy Framework reichen weit in die Vergangenheit zurück. Bereits im Jahr 2000 versuchten die EU und die USA in der sogenannten Safe-Harbor-Regelung den Datenschutz personenbezogener Daten, die von der Europäischen Union in die USA übermittelt werden, gemäß europäischer Datenschutzrichtlinien sicherzustellen. Voraussetzung hierfür war, dass die USA einen angemessenen Schutz der Privatsphäre gewährleisten.

2015 musste der Europäische Gerichtshof darüber entscheiden, ob das tatsächlich der Fall ist. Insbesondere, da es durch den USA-Freedom Act US-Behörden erlaubt ist, ohne richterliche Anordnung, auf Server von US-Unternehmen und deren ausländische Tochterunternehmen zuzugreifen. Damit erhalten die US-Behörden uneingeschränkten Zugriff auf von US-Unternehmen gespeicherten und verarbeiteten personenbezogenen Daten von EU-Bürgern. Im sogenannten Schrems-I-Urteil, benannt nach dem österreichischen Datenschutzaktivisten Maximilian Schrems, stellte der EuGH 2015 fest, dass das Safe-Harbor-Abkommen nicht den europäischen Datenschutzanforderungen entspricht und erklärte es für nichtig.

Als Reaktion auf dieses Urteil bemühten sich die EU und die USA um ein neues Abkommen für einen datenschutzkonformen Datenaustausch. Es entstand das Privacy Shield mit der Zusicherung der US-Regierung, für Beschränkungen des Datenzugriffs durch US-Behörden und für Garantien für ein den EU-Datenschutzanforderungen entsprechendes Datenschutzniveau zu sorgen.

Die Einigung auf das EU-US Privacy Shield wurde im Februar 2016 bekannt gegeben. Der Angemessenheitsbeschluss der EU-Kommission folgte noch im selben Jahr. Nach erneuten Klagen gegen das Abkommen stellte der Europäische Gerichtshof im Juli 2020 im sogenannten Schrems-II-Urteil fest, dass auch durch das Privacy-Shield-Abkommen personenbezogene Daten aus der EU im Drittland USA keinen gleichwertigen Schutz wie in der EU genießen und hob das Privacy Shield mit sofortiger Wirkung auf. Insbesondere wurde bemängelt, dass die Zugriffsmöglichkeiten der US-Behörden auf europäische Daten zu weitreichend sind und EU-Bürger kaum Möglichkeiten haben, ihre Rechte gegenüber den US-Behörden gerichtlich durchzusetzen.

Definition: Der Privacy-Shield-Nachfolger Trans-Atlantic Data Privacy Framework

Was ist das TADAP-Framework?

Das Urteil sorgte für erhebliche Rechtsunsicherheiten für den transatlantischen Datentransfer und machte ein neues Abkommen notwendig. Als erste Reaktion verabschiedete die EU-Kommission 2021 neue Standardvertragsklauseln, die für Verträge mit US-Dienstleistern zwingend anzuwenden waren, um den Schutz personenbezogener Daten zu gewährleisten.

2022 kündigten die USA und die EU mit dem EU-US Data Privacy Framework ein neues Abkommen an. Im Oktober 2022 erließ Joe Biden eine Executive Order, die die Zugriffsrechte der US-Behörden eindämmen und EU-Bürgern angemessene Rechtsmittel geben soll. Nach einigen Abstimmungsrunden erklärte die EU am 10. Juli 2023 die Maßnahmen zur Absicherung personenbezogener Daten durch den Angemessenheitsbeschluss für angemessen und machte den Weg frei für das neue EU-US Data Privacy Framework.

Ziele des Data Privacy Framework

Die Europäische Datenschutzgrundverordnung (EU DSGVO) verbietet grundsätzlich die Übermittlung personenbezogener Daten in sogenannte Drittländer außerhalb der EU wie in die USA. Für den Datentransfer in solche Drittländer muss eine Rechtsgrundlage für die Datenverarbeitung geschaffen werden. Es sind entsprechende Garantien für die Datenschutzkonformität notwendig. Die EU-Kommission hat solche Garantien für einige Drittländer per Angemessenheitsbeschluss geschaffen.

Ziel des Data Privacy Framework ist es, die seit dem Schrems-II-Urteil des Europäischen Gerichtshof aus dem Jahr 2020 geltende Verunsicherung zu beenden und die Rechtssicherheit für den Datentransfer personenbezogener Daten von der EU in die USA wieder herzustellen. Die vertragliche Berücksichtigung der von der EU bereitgestellten Standardvertragsklauseln und die Vereinbarung zusätzlicher technischer, organisatorischer oder vertraglicher Maßnahmen sollen mit dem Data Privacy Framework nicht mehr notwendig sein. Weitere Ziele des Abkommens sind die Stärkung der Wettbewerbsfähigkeit der digitalen Wirtschaft und die Förderung der wirtschaftlichen Zusammenarbeit sowie des grenzüberschreitenden Handels.

Wesentliche Inhalte des Data Privacy Framework

Die Regelungen des neuen Data Privacy Framework sollen die vom EuGH geäußerten Bedenken hinsichtlich des Datentransfers personenbezogener Daten in die USA und der Zugriffsmöglichkeiten von US-Behörden durch neue verbindliche Garantien ausräumen. Unter anderem soll der Zugriff der US-Behörden auf Daten aus der EU auf ein "verhältnismäßiges und notwendiges Maß" beschränkt werden. Im Wesentlichen schafft das Data Privacy Framework diese Rahmenbedingungen:

• neue Regeln und verbindliche Garantien zur Beschränkung des Datenzugriffs der US-Nachrichtendienste,

• Einführung eines zweistufigen Rechtsbehelfssystems, über das sich Beschwerden von Bürgern aus der EU über den Zugang zu Daten durch US-Behörden untersuchen und beilegen lassen,

• Selbstzertifizierung und strenge Verpflichtungen von US-Unternehmen, die EU-Daten verarbeiten,

• Einführung zusätzlicher Überprüfungs- und Überwachungsverfahren.

Gemäß dieser Rahmenbedingungen können US-Unternehmen dem Data Privacy Framework beitreten und sich zertifizieren, indem sie sich verpflichten, eine Reihe von Datenschutzvorgaben einzuhalten. Diese Selbstzertifizierung erfolgt durch die Registrierung des jeweiligen Unternehmens auf einer Webseite des United States Department of Commerce (U.S. DoC) und die Einreichung einer Reihe von Unterlagen. Ein nach dem Data Privacy Framework zertifiziertes Unternehmen gilt nach Artikel 44, 45 der DSGVO als sicherer Datenempfänger. Weitere Sicherheitsmaßnahmen oder der Abschluss von EU-Standardvertragsklauseln sind dann nicht mehr notwendig.

Das zweistufige Rechtsbehelfssystem, durch das EU-Bürger gegen Rechtsverstöße bei der Überwachung durch US-Nachrichtendienste vorgehen können, ist über den sogenannten Data Protection Review Court (DPRC) realisiert. Es handelt sich um eine quasi-gerichtliche Institution, die per Executive Order ins Leben gerufen wurde, aber nicht Teil der Judikative in den USA ist.

Special „Rechtssicheres Cloud Computing“

Sicherheit hat viele Facetten, dies gilt auch und insbesondere beim Cloud Computing. Vielen Unternehmen fehlt es an Vertrauen, wenn es darum geht, Daten, Anwendungen und Teile der eigenen IT-Infrastruktur an einen externen Provider auszulagern. Im Special finden Sie nützliche Informationen rund um die Themen Rechtssicherheit, dazu Lösungsansätze, Standards und Initiativen aus der Industrie.  

Zum Special „Rechtssicheres Cloud Computing“

Ausblick

Die Annahme des Data Privacy Framework durch die EU per Angemessenheitsbeschluss ist erst wenige Tage alt, doch schon jetzt ist absehbar, dass auch gegen dieses Abkommen geklagt werden wird und der Europäische Gerichtshof darüber urteilen muss. Erst eine gerichtliche Prüfung wird zeigen, ob das Data Privacy Framework tatsächlich ein rechtlich belastbares Rahmenwerk für den datenschutzkonformen Datentransfer von personenbezogenen EU-Daten in die USA schafft.

Die vom Datenschutzaktivisten Schrems gegründete Datenschutzplattform NOYB hat bereits Stellung zum Data Privacy Framework bezogen und vertritt die Meinung, dass das Framework die Voraussetzungen zur Einhaltung der Datenschutzvorgaben der DSGVO nicht erfüllt. Vor allem scheint nach wie vor unklar, inwieweit die Überwachung und der Zugriff durch US-Nachrichtendienste wirklich beschränkt sind und was in diesem Zusammenhang unter einem „verhältnismäßigen und notwendigen Maß“ zu verstehen ist. Wann ein abschließendes Urteil zum Data Privacy Framework fallen wird und ob es der gerichtlichen Prüfung standhalten wird, ist derzeit noch völlig offen.

Microservices, Cloud Native, REST API , Kubernetes & Co.: Cloud Computing Wiki

Von AWS bis XaaS: Alle relevanten Schlagworte aus dem Bereich Cloud Computing finden Sie verständlich erklärt in unseren Definitionen. Ganz im Sinne eines kleinen, aber feinen Glossars lesen Sie hier neutral verfasste und leicht verständliche Erklärungen zu den wichtigsten Begriffen. Als Service für Sie haben wir die hier erklärten Begriffe in unseren Beiträgen auch direkt mit den zugehörigen Lexikoneinträgen verlinkt. So können Sie die wichtigsten Erläuterungen direkt dort nachschlagen.  

Zum Special: Definitionen rund um Cloud Computing

(ID:49634121)