Mitarbeiterdatenschutz bei Datenübermittlungen in Drittl ... / 3 Angemessenheitsbeschlüsse gem. Art. 45 DSGVO

Derzeit hat die Europäische Kommission Angemessenheitsbeschlüsse nach Art. 45 DSGVO für folgende Drittländer veröffentlicht: Andorra, Argentinien, Färöer-Inseln, Guernsey, Isle of Man, Israel (eingeschränkt), Japan, Jersey, Kanada (eingeschränkt), Neuseeland, Schweiz, Südkorea, Uruguay, Vereinigtes Königreich (eingeschränkt) und Vereinigte Staaten von Amerika (eingeschränkt). Die Angemessenheitsbeschlüsse in ihrem genauen Wortlaut inklusive etwaiger Einschränkungen sind auf der Website der Europäischen Kommission einsehbar.

3.1 Vereinigtes Königreich

Eine Übermittlung personenbezogener Daten in das Vereinigte Königreich ist trotz des Brexits weiterhin ungehindert möglich, da die Europäische Kommission in Form eines Angemessenheitsbeschlusses im Juni 2021 festgestellt hat, dass das Datenschutzniveau im Vereinigten Königreich dem in der EU entspricht und aus diesem Grund keine Standardvertragsklauseln oder zusätzliche Datenschutzmaßnahmen implementiert werden müssen. Die Prüfung, ob die allgemeinen datenschutzrechtlichen Voraussetzungen für eine Datenübermittlung erfüllt sind, ist davon unabhängig erforderlich und vorzunehmen. Der Angemessenheitsbeschluss ist zunächst beschränkt auf vier Jahre.

3.2 Vereinigte Staaten von Amerika

Auf der Grundlage der Privacy-Shield-Übereinkunft zwischen der EU und den USA hatte die EU-Kommission 2016 in einem Durchführungsbeschluss festgestellt, dass die USA ein angemessenes Schutzniveau für personenbezogene Daten gewährleisten und eine Datenübermittlung demnach nach Art. 45 DSGVO zulässig ist. Der EuGH^[1] hat diesen Durchführungsbeschluss zum Privacy Shield für unwirksam erklärt.

Am 10.7.2023 trat nach Bestätigung durch die EU-Mitgliedstaaten im Rahmen des Komitologierverfahrens der Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framwork ("DPF") in Kraft. Demgemäß können Arbeitgeber in Deutschland personenbezogene Daten in die USA übermitteln, ohne dass zusätzliche Übermittlungsinstrumente erforderlich wären oder zusätzliche Maßnahmen ergriffen werden müssen, wenn der entsprechende Empfänger nach dem DPF zertifiziert und in der DPF-Liste^[2] aufgeführt ist. Es bleibt jedoch abzuwarten, inwieweit dieser Angemessenheitsbeschluss Bestand haben wird. Es ist damit zu rechnen, dass auch das DPF vom EuGH überprüft werden wird. Unternehmen sollten aus diesem Grund die aktuellen Entwicklungen in dieser Sache sorgfältig beobachten und ihre Geschäftspraxis aktuellen Entwicklungen anpassen.

[1] EuGH, Urteil v. 16.7.2020, C-311/18 (Schrems II).

[2] Abrufbar unter https://ww.dataprivacyframework.gov/s/participant-search.