Definition: Der Privacy-Shield-Nachfolger Trans-Atlantic Data Privacy Framework Was ist das TADAP-Framework?

Das Trans-Atlantic Data Privacy Framework ist ein neues Abkommen zwischen den USA und der Europäischen Union, das einen rechtssicheren Datentransfer zwischen den beiden Ländern ermöglichen soll. Mit dem offiziellen Inkrafttreten ist im ersten Halbjahr 2023 zu rechnen.

Notwendig geworden ist das TADAP-Framework durch das Schrems-II-Urteil, das das bis dahin gültige EU-US Privacy Shield 2020 zu Fall brachte. TADAP steht für Trans-Atlantic Data Privacy. Beim TADAP-Framework handelt es sich um ein neues Abkommen zwischen den USA und der Europäischen Union. Es soll einen rechtssicheren Datentransfer zwischen den beiden Ländern ermöglichen und die Einhaltung der Datenschutzvorgaben der Europäischen Datenschutzgrundverordnung (EU-DSGVO) sicherstellen.

Die grundlegende Übereinkunft für ein neues Abkommen trafen die EU und die USA im März 2022. Das Trans-Atlantic Data Privacy Framework ist Nachfolger des Privacy-Shield-Abkommens und wird teilweise als Privacy Shield 2.0 bezeichnet. Notwendig geworden ist das neue Framework durch das sogenannte Schrems-II-Urteil, das das bis dahin gültige EU-US Privacy Shield im Jahr 2020 zu Fall brachte.

Seit dem Urteil besteht erhebliche Rechtsunsicherheit beim Datentransfer und der Übermittlung personenbezogener Daten zwischen europäischen und US-amerikanischen Unternehmen. Insbesondere ist die Nutzung von US-Cloud-Diensten von dieser Rechtsunsicherheit betroffen. Mit dem TADAP-Framework sollen der Zugriff auf die Daten durch amerikanische Geheimdienste eingeschränkt und die Rechte der EU-Bürger, gegen Überwachung vorzugehen, gestärkt werden.

Das TADAP-Framework ist derzeit noch nicht in Kraft. Mit dem offiziellen Inkrafttreten ist im ersten Halbjahr 2023 zu rechnen. Im Oktober 2022 erließ der US-amerikanische Präsident Biden eine Executive Order, die das TADAP-Framework im US-Recht verankert. Ob mit dem neuen Framework die europäischen Anforderungen hinsichtlich des Datenschutzes tatsächlich erfüllt sind und es einer Prüfung durch den Europäischen Gerichtshof (EuGH) Stand hält, wird von Kritikern bezweifelt. Mit Klagen gegen das Trans-Atlantic Data Privacy Framework ist zu rechnen.

Hintergründe zur Notwendigkeit des TADAP-Frameworks

In der Vergangenheit gab es bereits mehrere Versuche, verbindliche rechtliche Rahmenbedingungen für den transatlantischen Datentransfer zwischen den USA und der EU zu schaffen und die Einhaltung der EU-Datenschutzgrundsätze sicherzustellen. Von 2000 bis zum Jahr 2015 war das sogenannte Safe-Harbor-Abkommen in Kraft. 2015 erklärte der Europäische Gerichtshof das Abkommen für unwirksam. Dem Safe-Harbor-Abkommen folgte das EU-US-Privacy-Shield-Abkommen, das im Jahr 2020 vom EuGH gekippt wurde. Das Gericht bemängelte vor allem die Zugriffsmöglichkeiten der US-Geheimdienste auf personenbezogene Daten und den mangelnden Rechtsschutz der Betroffenen.

Die beiden Urteile des EuGH werden nach dem österreichischen Kläger und Datenschutzaktivisten Max Schrems auch als Schrems-I- und Schrems-II-Urteil bezeichnet. Seit den Schrems-Urteilen sind die rechtlichen Rahmenbedingungen für den transatlantischen Datenverkehr unklar und es herrscht eine erhebliche Rechtsunsicherheit. Eine rechtssichere Datenübermittlung personenbezogener Daten zwischen der EU und den USA ist kompliziert und muss zum Beispiel mit Standardvertragsklauseln (SCC) oder mit Binding Corporate Rules (BCR) geregelt werden. Um diese Rechtsunsicherheit und Komplexität zu beenden, ist ein neues Abkommen zwischen den USA und der EU notwendig geworden. Dieses Abkommen soll das Trans-Atlantic Data Privacy Framework sein.

Die Inhalte des TADAP-Frameworks

Damit Daten zwischen der EU und den USA frei und rechtssicher fließen können, enthält das Framework neue Regeln zur Einhaltung der Datenschutzgrundprinzipien. Die wichtigsten Inhalte des Frameworks sind:

• ein neues Regelwerk, das den Zugriff der US-amerikanischen Geheimdienste einschränkt,

• ein Rechtsbehelfssystem für Beschwerdemöglichkeiten von EU-Bürgern,

• strengere Verpflichtungen der US-Unternehmen für die Verarbeitung von Daten aus der EU.

US-Geheimdienste sollen gemäß dem TADAP-Framework nur noch unter Einhaltung bestimmter Bedingungen Zugriff auf personenbezogene Daten erhalten. So muss der Zugriff notwendig und verhältnismäßig sein, um die nationale Sicherheit zu gewährleisten. Privatsphäre und Freiheitsrechte der Betroffenen sind zu wahren. Die Einhaltung soll durch eine staatliche Rechtsaufsicht und Compliance-Prüfungen sichergestellt werden.

Durch die Einführung eines Rechtsbehelfssystems erhalten Betroffene von Datenschutzverstößen mehr Rechte. Über ein zweistufiges Verfahren ist eine unabhängige Prüfung der Datenverarbeitung auf Rechtmäßigkeit möglich. So soll sichergestellt werden, dass Beschwerden von EU-Bürgern untersucht und rechtlich geklärt werden. Am zweistufigen Verfahren sind der Civil Liberties Protection Officer (CLPO) und der gerichtsähnliche Data Protection Review Court beteiligt.

Für Unternehmen, die aus der EU transferierte Daten verarbeiten, gelten strengere Verpflichtungen. Die Einhaltung der Datenschutzgrundsätze muss durch eine Selbstzertifizierung gegenüber dem US-Handelsministerium bestätigt werden.

Special „Rechtssicheres Cloud Computing“

Sicherheit hat viele Facetten, dies gilt auch und insbesondere beim Cloud Computing. Vielen Unternehmen fehlt es an Vertrauen, wenn es darum geht, Daten, Anwendungen und Teile der eigenen IT-Infrastruktur an einen externen Provider auszulagern. Im Special finden Sie nützliche Informationen rund um die Themen Rechtssicherheit, dazu Lösungsansätze, Standards und Initiativen aus der Industrie.  

Zum Special „Rechtssicheres Cloud Computing“

Die notwendigen Schritte bis zum Inkrafttreten des TADAP-Frameworks

Bis das TADAP-Framework tatsächlich in Kraft tritt, sind verschiedene Schritte notwendig. Die grundsätzliche Einigung, den transatlantischen Datentransfer durch ein neues Abkommen zu regeln, erzielten die EU und die USA im März 2022. Im nächsten Schritt war eine Executive Order (Durchführungsverordnung) notwendig, die das TADAP-Framework im US-Recht verankert. Eine Executive Order mit der Bezeichnung „Enhancing Safeguards for United States Signals Intelligence Activities“ unterzeichnete der amerikanische Präsident am 7.10.2022. Die Durchführungsverordnung ist eine interne Richtlinie der US-amerikanischen Regierung.

Auf Grundlage dieser Durchführungsverordnung kann die EU-Kommission nun das Verfahren zur Verabschiedung eines Angemessenheitsbeschlusses einleiten. Hierfür sind der Europäische Datenschutzausschuss (EDSA) und das Europäische Parlament einzubinden. Die EU-Kommission prüft in diesem Zusammenhang, ob die Executive Order die datenschutzrechtlichen Anforderungen der EU erfüllt. Die EU-Kommission hat den Entwurf für das neue Datenschutzabkommen mit den USA inzwischen veröffentlicht und das Verfahren zur Annahme des Angemessenheitsbeschlusses offiziell gestartet. Der Entwurf wurde dem EDSA vorgelegt. Nach Abschluss des Verfahrens und Zustimmung der EU-Mitgliedsstaaten wird die Kommission den endgültigen Angemessenheitsbeschluss zugunsten der USA erlassen. Damit wird das TADAP-Framework voraussichtlich im Frühjahr 2023 in Kraft treten können.

Ob das Framework einer rechtlichen Prüfung durch den EuGH standhält, bleibt abzuwarten. Mit Klagen gegen das Trans-Atlantic Data Privacy Framework ist zu rechnen. Kritiker bemängeln an dem Abkommen mehrere Punkte und bezweifeln die Vereinbarkeit des Abkommens mit EU-Recht. Kritikpunkte sind zum Beispiel die fehlende Unabhängigkeit des im zweistufigen Beschwerdeverfahren vorgesehenen gerichtsähnlichen Data Protection Review Court und die zwischen den USA und der EU unterschiedlichen Auslegungen der Begriffe „notwendig“ und „verhältnismäßig“ beim Zugriff der US-Geheimdienste. Zudem wird bezweifelt, ob eine Executive Order als direkte Anweisung durch den Präsidenten eine ausreichende rechtliche Grundlage zur Verankerung des TADAP-Frameworks im US-Recht darstellt.

Microservices, Cloud Native, REST API , Kubernetes & Co.: Cloud Computing Wiki

Von AWS bis XaaS: Alle relevanten Schlagworte aus dem Bereich Cloud Computing finden Sie verständlich erklärt in unseren Definitionen. Ganz im Sinne eines kleinen, aber feinen Glossars lesen Sie hier neutral verfasste und leicht verständliche Erklärungen zu den wichtigsten Begriffen. Als Service für Sie haben wir die hier erklärten Begriffe in unseren Beiträgen auch direkt mit den zugehörigen Lexikoneinträgen verlinkt. So können Sie die wichtigsten Erläuterungen direkt dort nachschlagen.  

Zum Special: Definitionen rund um Cloud Computing

(ID:48960679)