Datenschutz: Datentransfer personenbezogener Daten

Entscheidung des EuGH zum Thema Datentransfer personenbezogener Daten in die USA.
Der EuGH hatte am 16.07.2020 im Verfahren „Schrems 2“ bezüglich des Datentransfers zwischen der EU und der USA entschieden, dass der so genannte Angemessenheitsbeschluss EU - US Pivacy Shield ungültig ist.

Obwohl das Urteil des EuGH unisono heftigst kritisiert wird und überwiegend sogar die Meinung vertreten wird, dass der EuGH mit diesem Urteil eindeutig seine Entscheidungskompetenz überschritten hat, muss man sich mit der Frage auseinandersetzen, welche Rechtsfolgen diese Entscheidung hat.

Verschiedentlich wird die Meinung vertreten, dass damit der Einsatz sämtlicher Analytic Tools auf Homepages von US-Unternehmen nicht mehr zulässig sei.

Ich habe diese Empfehlung absichtlich nicht sofort nach Eingang des Urteils ausgesprochen, da es sich dabei um eine sehr weitreichende Entscheidung handelt, die letztendlich die Nutzung jeglicher US-Software Tools betrifft. Mit dieser Argumentation könnte man nämlich auch die Software „Microsoft Office 365“ untersagen, da auch mit dieser Software Daten auf US-amerikanischen Servern landen. Dies gilt genauso für die Nutzung von Google und sonstigen amerikanischen Plattformen.

Aus diesem Grund habe ich die Entwicklung und viele Meinungen in der datenschutzrechtlichen Literatur abgewartet, um eine Handlungsempfehlung auszusprechen.

Leider ist diese nach wie vor nicht einheitlich.

Aus meiner Sicht muss man jedoch berücksichtigen, dass der EuGH als ausdrücklich zulässig erklärt hat, dass der Datentransfer nach wie vor auf Basis der Standarddatenschutzklausel gemäß Art. 46 Abs. 2d DS-GVO zulässig ist.

Bei dieser Standarddatenschutzklausel handelt es sich um einen von der Europäischen Kommission genehmigten Standardvertrag, in dem sich das empfangende Unternehmen verpflichtet, auf datenschutzkonforme Weise mit den Daten umzugehen.

Dieses Procedere wurde vom EuGH ausdrücklich nach wie vor als zulässig erachtet.

Die US-Firmen haben hierauf auch bereits reagiert.

So hat der Google Konzern seine Google Ads Data Processing Terms bereits geändert und der neuen EuGH-Rechtsprechung angepasst. Details siehe www.heise.de

Diese Vertragsänderung bzw. die Anwendung der EU-Standardvertragsklauseln durch den Hersteller der Analytic Software ist auf der eigenen Homepage unbedingt zu überprüfen.

Sofern die vertraglichen Grundlagen insoweit hergestellt wurden, halte ich es vertretbar, die Analytic Tools nach wie vor einzusetzen. In diesem Zusammenhang muss auch berücksichtigt werden, dass bei Analytic Tools im Regelfall keinerlei Klarnamen übertragen werden, sondern lediglich das Bewegungsprofil und die IP-Adresse.

Vor diesem Hintergrund bin ich nicht der Auffassung, dass Analytic Tools abgeschaltet werden müssen, sofern die Standardvertragsklauseln im Einsatz sind.

Dies gilt auch für andere US-Unternehmen, die diese Standardvertragsklauseln einsetzen.

Der EuGH hat ausdrücklich entschieden, dass die Datennutzung nur für den Fall unzulässig ist, sofern auch die nationale Datenschutzbehörde den Einsatz dieser Standardvertragsklauseln für unzulässig erklärt.

Eine solche Entscheidung der Datenschutzbehörde liegt nicht vor, sodass ich den weiteren Einsatz der Analytic Tools für vertretbar halte.

Bei allen anderen Softwareprodukten sollte ein Standardvertrag ausdrücklich geschlossen werden. Diesbezüglich würde ich Sie aber um Rücksprache bitten, ich würde Ihnen in diesem Fall einen entsprechenden Vertrag zur Verfügung stellen.

Ihnen mit meinem Rat zur Seite stehen zu können ist mein Ansinnen, kommen Sie mit Ihren Fragen gerne auf mich zu.

Dr. Joachim Schmid