Angemessenheitsbeschluss Wird nun alles gut?

Anbieter zum Thema

netfiles GmbH

Cloudgermany.de GmbH

STACKIT GmbH & Co. KG

Kann der neue Angemessenheitsbeschluss der EU-Kommission die Sicherheitsbedenken rund um den Cloud Act und anderen US-Sicherheitsgesetzen ausräumen? Fachanwalt Sven Schlotzhauer kennt die Details und Fallstricke.

Im Rahmen der Diskussionen um transatlantische Datentransfers taucht immer wieder ein Argument auf: Der US-amerikanische Cloud Act verhindere einen DSGVO-konformen Datenaustausch. Nun schiebt die EU-Kommission den Angemessenheitsbeschluss nach, der die mit dem Cloud Act und anderen US-Sicherheitsgesetze begründeten Sicherheitsbedenken ausräumen soll.

Das Problem

Damit personenbezogene Daten von Unternehmen in Nicht-EU-Länder übermittelt werden können, verlangt die DSGVO bekanntlich zusätzliche Garantien in Form von z.B. vertraglichen Absicherungen, damit im Empfängerland ein angemessenes Datenschutzniveau festgestellt werden kann. Im Fokus des öffentlichen Interesses und von Datenschutz-Aktivisten stand in den vergangenen Jahren der Datenverkehr mit den USA, nicht zuletzt wegen des „NSA-Abhörskandals“ und des 2018 erlassenen Cloud Act. Doch was besagen die Bestimmungen des Cloud Act genau?

Zugriff auf Daten in der EU

Bestimmungen des sogenannten Cloud Act („Clarifying Lawful Overseas Use of Data Act“) können Anbieter von Kommunikations- und Cloud-Dienstleistungen unter bestimmten Umständen zur Preisgabe von personenbezogenen Daten der Kunden an US-Behörden zwingen, unabhängig davon, wo die Daten gespeichert werden.

Der Cloud Act wurde bereits Anfang 2018 verabschiedet. Im hier interessierenden Kontext ist vor allem die mit dem Cloud Act eingeführte Vorschrift 18 U.S.C. § 2713 relevant. Sie besagt, dass ein „Anbieter von elektronischen Kommunikationsdiensten (…) den Verpflichtungen dieses Kapitels nachkommen [muss], den Inhalt einer drahtgebundenen oder elektronischen Kommunikation und alle Aufzeichnungen oder sonstigen Informationen über einen Kunden oder Teilnehmer, die sich im Besitz, Gewahrsam oder unter der Kontrolle dieses Anbieters befinden, aufzubewahren, zu sichern oder offenzulegen, unabhängig davon, ob sich diese Kommunikation, Aufzeichnungen oder sonstigen Informationen innerhalb oder außerhalb der Vereinigten Staaten befinden“. Die Vorschrift richtet sich also an alle Anbieter elektronischer Kommunikationsdienstleistungen mit Sitz in den USA, die Daten (auch über eine andere juristische Person) im Ausland verarbeiten und auf diese Verarbeitung im Ausland Einfluss haben.

Das bedeutet, dass z.B. Tochtergesellschaften von US-Unternehmen ungeachtet ihres Sitzes in der EU Aufforderungen zur Offenlegung ihrer Muttergesellschaft oder auch von US-Behörden direkt nachkommen müssen. Im Ergebnis, so die Aufsichtsbehörden, besteht also die Gefahr, dass die EU-Tochtergesellschaft eine Datenübermittlung in die USA vornehmen muss, die nicht den Anforderungen der Art. 44 ff. DSGVO entspricht.

Allerdings haben betroffene Unternehmen auch die Möglichkeit, gegen einen Beschluss, der eine Offenlegung anordnet, vorzugehen. Als der Cloud Act 2018 verabschiedet wurde, ging gerade Microsoft bis vor den US Supreme Court, um sich gegen eine Anordnung einer Sicherheitsbehörde zur Wehr zu setzen.

Vordergründiger Konflikt mit der DSGVO

Tatsächlich also befinden sich die einschlägigen US-Vorschriften vordergründig in Konflikt mit der DSGVO, da Art 48 DSGVO eine Herausgabe von personenbezogene Daten an ausländische Sicherheitsbehörden nur gestattet, wenn eine entsprechende internationale Übereinkunft wie etwa ein Rechtshilfeabkommen existiert. Vordergründig deshalb, weil eine tiefergehende Analyse des Cloud Act z.B. zeigen würde, dass sich der Cloud Act auf die Beweiserlangung bei schweren und schwersten Verbrechen bezieht. Deshalb gab es bereits früh Stimmen in der juristischen Literatur, die meinten, es sollte auch bei Einhaltung der DSGVO gelingen, eine Vereinbarkeit der US-amerikanischen und der europäischen Interessenlagen herzustellen.

Kritik des EuGH („Schrems-Urteile“)

Der EuGH hat dessen ungeachtet insbesondere in der „Schrems II“-Entscheidung kritisiert, dass die US-Sicherheitsgesetze weit über das hinausgingen, was zur Wahrung nationaler Sicherheitsinteressen erforderlich ist und dass EU-Betroffene kaum Möglichkeiten hätten, gegen eine Verletzung ihrer Rechte gerichtlich vorzugehen. Er hat dementsprechend die sog. Standard Contractual Clauses als alleinige Grundlage für eine Datenübermittlung in die USA verworfen.

Angemessenheitsbeschluss der EU

Vor dem Hintergrund der Ausbalancierung der Interessenlagen ist nun der Angemessenheitsbeschluss der EU-Kommission zu sehen. Die EU-Kommission ist der Auffassung, dass damit „der Zugang von US-Nachrichtendiensten zu EU-Daten auf ein notwendiges und verhältnismäßiges Maß beschränkt ist“. Daneben wurden verschiedene Rechtsbehelfe geschaffen. Dies sollen kostenlose unabhängige Streitbeilegungsmechanismen und eine Schiedsstelle sein. Ferner sollen Einzelpersonen in der EU auf ein unabhängiges und unparteiisches Rechtsbehelfsverfahren zurückgreifen können, das von einem neu geschaffenen Gericht zur Datenschutzüberprüfung durchgeführt wird. Dieses Gericht soll Beschwerden von EU-Bürgern unabhängig untersuchen und beilegen. Es soll auch verbindliche Abhilfemaßnahmen anordnen können. Damit die neuen Regelungen anwendbar sind, muss das betreffende Unternehmen wie beim vormaligen Privacy Shield Abkommen zertifiziert sein.

Ausblick

Ob mit den oben genannten Maßnahmen die Bedenken des EuGH wirksam ausgeräumt sind, darf bezweifelt werden. Schon laufen sich die Datenschutzaktivisten wieder warm, um auch dieses Regelwerk zu Fall zu bringen. Der EuGH aber wird sich kaum mit seinen vorangegangenen, vollkommen realitätsfernen Urteilen in Widerspruch setzen. Dementsprechend werden in der Beraterbranche schon Stimmen laut, die empfehlen, mehrgleisig zu fahren und sich trotz Angemessenheitsbeschluss auf die Standardvertragsklausen zu stützen. Dies aber macht oft zusätzliche technische und vertragliche Maßnahmen erforderlich sowie in Einzelfällen auch eine sog. Datenschutzfolgenabschätzung, was von KMU oft organisatorisch nicht zu leisten ist oder finanziell das ganze Cloud Projekt unwirtschaftlich macht. Solange der Angemessenheitsbeschluss in Kraft ist, besteht tatsächlich hierfür kein Anlass.

Compliance-Analyse und Handlungsempfehlungen

Wie Unternehmen Microsoft 365 datenschutzkonform nutzen können

Cloud-Regionen innerhalb der EU

Datengrenzen für die Cloud: Was bringt es für den Datenschutz?

(ID:49739470)