DSGVO – Eine Bilanz

Kommentar von Norbert Amlacher – andréewitch & partner rechtsanwälte GmbH

Im vergangenen Jahr hat sich das Datenschutzrecht in Österreich stark auf die Zulässigkeit von Transfers von personenbezogenen Daten in Drittstaaten außerhalb des EWR (z.B. von der EU in die USA) fokussiert. Hintergrund war eine Entscheidung des EuGH (Schrems II), die von Max Schrems initiiert wurde und dazu geführt hat, dass das bis dahin bestehende Privacy Shield zwischen der EU und USA für ungültig erklärt wurde. Das Privacy Shield wurde bis zu diesem Zeitpunkt von den meisten US-amerikanischen Unternehmen für die rechtskonforme Übermittlung von personenbezogenen Daten herangezogen. Durch den Wegfall dieser Übertragungsgrundlage drohte der Datenfluss zwischen den USA und der EU zum Erliegen zu kommen.

Obwohl es in der DSGVO grundsätzlich auch andere Übertragungsinstrumente gibt, die einen rechtskonformen Drittlanddatentransfer ermöglichen können (z.B. Standardvertragsklauseln), hat der EuGH festgehalten, dass in diesen Fällen grundsätzlich ergänzende Maßnahmen (z.B. vertragliche, technische oder organisatorische Maßnahmen) vom Datenexporteur in der EU zu ergreifen sind, um ein angemessenes Datenschutzniveau zu gewährleisten. Aktuell sind viele US-Anbieter auf die Standardvertragsklauseln „umgeschwenkt“, wobei in vielen Fällen unklar ist, ob ausreichende ergänzende Maßnahmen getroffen worden sind. Vor diesem Hintergrund besteht angesichts potenziell drakonischer Strafen für viele Unternehmen eine große Rechtsunsicherheit und akuter Handlungsbedarf, um Datentransfers in die USA möglichst rechtssicher zu gestalten und dies auch zu dokumentieren.

Unabhängig davon hat die Europäische Kommission neue Muster für Standardvertragsklauseln erlassen, welche grundsätzlich für Datentransfers in Drittländer verwendet werden können. Doch sind die oben angeführten Risiken im Zusammenhang mit Schrems II allein durch die Verwendung der neuen Standardvertragsklauseln keineswegs vollständig ausgeschlossen, vielmehr müssen die in der EU ansässigen Unternehmen bei Datenübertragungen z.B. in die USA auch bei Verwendung der neuen Standardvertragsklauseln ergänzende Maßnahmen treffen.

Die neuen Standardvertragsklauseln sind darüber hinaus für viele Unternehmen relevant, da diese – sofern man sich auf Standardvertragsklauseln als Übertragungsinstrument berufen möchte – für neu abgeschlossene Verträge seit 27.9.2021 verpflichtend verwendet werden müssen. Für bereits bestehende Alt-Verträge, die sich auf die alten – bislang gültigen – Standardvertragsklauseln stützen, wurde eine Übergangsfrist vereinbart: Die Umstellung auf die neuen Standardvertragsklauseln muss bis spätestens 27.12.2022 erfolgen. Auch hier besteht also ein Handlungsbedarf, wobei man vermuten kann, dass einige Unternehmen diese verpflichtende Umstellung dafür nutzen möchten, um auch die zugrundeliegenden Verträge nachzuverhandeln.