§ 10 Datenexport in Drittländer / B. Angemessenheitsbeschluss, Art. 45 DSGVO

Rz. 4

Art. 45 DSGVO ermächtigt die Kommission, die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation zu erlauben, wenn das betreffende Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in diesem Drittland oder die betreffende internationale Organisation ein angemessenes Schutzniveau bietet (sog. Angemessenheitsbeschluss). In derartigen Fällen dürfen personenbezogene Daten ohne weitere Genehmigung an dieses Land oder diese internationale Organisation übermittelt werden. Die Kommission kann, nach Abgabe einer ausführlichen Erklärung, in der dem Drittland oder der internationalen Organisation eine Begründung gegeben wird, auch entscheiden, eine solche Feststellung zu widerrufen.^[1]

Rz. 5

Die Einzelheiten, an denen sich die Kommission im Rahmen der Bestimmung des Schutzniveaus im Drittland zu orientieren hat, sind in Art. 45 Abs. 2 DSGVO beschrieben. Mit Blick auf die Zielrichtung dieses Werkes, vornehmlich Hilfestellung in der rechtsanwaltlichen Beratung zu leisten, soll es an dieser Stelle bei diesem Hinweis bleiben und im Übrigen auf die Erwägungsgründe 104 und 105 der DSGVO verwiesen werden, in denen sich nähere Erläuterungen zu den von der Kommission zu beachtenden Kriterien finden.^[2] Für den Rechtsanwender ist insoweit lediglich entscheidend, ob zum Zeitpunkt der Übermittlung ein rechtswirksamer Angemessenheitsbeschluss vorliegt,^[3] ob dieser sich im Nachhinein ggf. als rechtswidrig erweist, spielt aus Sicht des Verantwortlichen/Übermittelnden während der Bestandskraft des Beschlusses zunächst keine Rolle.

Rz. 6

Der wohl bekannteste Angemessenheitsbeschluss bezieht sich auf den Datenverkehr zwischen Europa und den USA, aktuell in Form des sog. EU-US Privacy Shield (auch EU-US-Datenschutzschild). Das EU-US Privacy Shield selbst stellt ein "informelles Übereinkommen auf dem Gebiet des Datenschutzrechts" dar, welches in den Jahren 2015 und 2016 zwischen der Europäischen Union und den Vereinigten Staaten von Amerika ausgehandelt wurde. Es beinhaltet eine Reihe von Zusicherungen der US-amerikanischen Bundesregierung über die Einhaltung von Datenschutzstandards in den USA. Auf Grundlage dieser Zusicherungen hat die Kommission am 12.7.2016 festgestellt, dass die USA unter den Rahmenbedingungen des EU-US-Privacy Shield ein angemessenes Datenschutzniveau gewährleisten.^[4] Damit kann das Abkommen einstweilen angewendet werden. Ob es jedoch lange Bestand haben wird, bleibt abzuwarten. So hat die irische Datenschutzgruppe Digital Rights Ireland (DRI) bereits am 16.9.2016 beim EuG Nichtigkeitsklage eingereicht eingereicht,^[5] da sie offensichtliche Beurteilungsfehler hinsichtlich des angemessenen Schutzniveaus sieht. Auch das Europäische Parlament nimmt eine eher kritische Haltung ein. In einer Entschließung aus April 2017^[6] wird darauf hingewiesen, dass erhebliche Fragen zu bestimmten kommerziellen Aspekten, der nationalen Sicherheit und der Rechtsdurchsetzung, näher zu überprüfen seien und nicht abschließend beurteilt werden könne, ob die im EU-US-Privacy Shield enthaltenen Zusicherungen, Mechanismen und Garantien tatsächlich wirksam und praxistauglich sind.^[7]

[1] Erwägungsgrund 103 DSGVO.

[2] Vertiefend hierzu bspw. auch Schröder in Kühling/Buchner (Hrsg.), DS-GVO, 2017, Art. 45 Rn 14 – 24; einen guten und schnellen Überblick liefert auch Zerdick in Ehmann/Selmayr (Hrsg.), Datenschutz-Grundverordnung, 2017. Art. 45 Rn 4–9.

[3] Zerdick, in: Ehmann/Selmayr (Hrsg.), Datenschutz-Grundverordnung, 2017, Art. 45 Rn 17.

[4] Http://eur-lex.europa.eu/legal-content/DE/ALL/?uri=CELEX%3A32016D1250 (externer Link) und einem Beschluss der EU-Kommission.

[5] EuG – T-670/16 http://curia.europa.eu/juris/document/document.jsf?text=&docid=185146&pageIndex=0&doclang=DE&mode=lst&dir=&occ=first&part=1&cid=114465.

[6] http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+MOTION+B8–2017–0235+0+DOC+XML+V0//DE&language=de

[7] Zur Position des LIBE-Ausschusses, https://iapp.org/news/a/libe-committee-declares-privacy-shield-inadequate-by-narrow-margin/.