A. Vorbemerkung
Rz. 1
Die fortschreitende Globalisierung des Wirtschaftslebens und die damit einhergehende zunehmende Vernetzung von Informationen und technischen Kommunikationssystemen erfordert Regelungen zum Schutz derjenigen, die von grenzüberschreitenden Informations- und Datenflüssen betroffen sind. Häufig kann es vorkommen, dass die Personalabteilung einer Konzernmuttergesellschaft ihren Sitz im Ausland hat und Daten des bei einer Inlandsniederlassung eingestellten oder angestellten Personals an die Unternehmenszentrale weitergeleitet werden.
Rz. 2
Die rechtlichen Anforderungen an eine Zulässigkeit des Datentransfers differieren danach, wohin Daten transferiert werden sollen (geographische Komponente) und um welche Daten es sich handelt (sachliche Komponente). Die entsprechenden Regelungen finden sich in Kapitel V der DSGVO in den Art. 44 bis 50.
Rz. 3
Nach Art. 44 DSGVO ist jedwede Übermittlung personenbezogener Daten, die bereits verarbeitet werden oder nach ihrer Übermittlung an ein Drittland oder eine internationale Organisation verarbeitet werden sollen, nur zulässig, wenn der Verantwortliche und der Auftragsverarbeiter die in Kapitel V niedergelegten Bedingungen einhalten und auch die sonstigen Bestimmungen dieser Verordnung eingehalten werden; dies gilt auch für die etwaige Weiterübermittlung personenbezogener Daten durch das betreffende Drittland oder die betreffende internationale Organisation an ein anderes Drittland oder eine andere internationale Organisation.
B. Angemessenheitsbeschluss, Art. 45 DSGVO
Rz. 4
Art. 45 DSGVO ermächtigt die Kommission, die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation zu erlauben, wenn das betreffende Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in diesem Drittland oder die betreffende internationale Organisation ein angemessenes Schutzniveau bietet (sog. Angemessenheitsbeschluss). In derartigen Fällen dürfen personenbezogene Daten ohne weitere Genehmigung an dieses Land oder diese internationale Organisation übermittelt werden. Die Kommission kann, nach Abgabe einer ausführlichen Erklärung, in der dem Drittland oder der internationalen Organisation eine Begründung gegeben wird, auch entscheiden, eine solche Feststellung zu widerrufen.
Rz. 5
Die Einzelheiten, an denen sich die Kommission im Rahmen der Bestimmung des Schutzniveaus im Drittland zu orientieren hat, sind in Art. 45 Abs. 2 DSGVO beschrieben. Mit Blick auf die Zielrichtung dieses Werkes, vornehmlich Hilfestellung in der rechtsanwaltlichen Beratung zu leisten, soll es an dieser Stelle bei diesem Hinweis bleiben und im Übrigen auf die Erwägungsgründe 104 und 105 der DSGVO verwiesen werden, in denen sich nähere Erläuterungen zu den von der Kommission zu beachtenden Kriterien finden. Für den Rechtsanwender ist insoweit lediglich entscheidend, ob zum Zeitpunkt der Übermittlung ein rechtswirksamer Angemessenheitsbeschluss vorliegt, ob dieser sich im Nachhinein ggf. als rechtswidrig erweist, spielt aus Sicht des Verantwortlichen/Übermittelnden während der Bestandskraft des Beschlusses zunächst keine Rolle.
Rz. 6
Der wohl bekannteste Angemessenheitsbeschluss bezieht sich auf den Datenverkehr zwischen Europa und den USA, aktuell in Form des sog. EU-US Privacy Shield (auch EU-US-Datenschutzschild). Das EU-US Privacy Shield selbst stellt ein "informelles Übereinkommen auf dem Gebiet des Datenschutzrechts" dar, welches in den Jahren 2015 und 2016 zwischen der Europäischen Union und den Vereinigten Staaten von Amerika ausgehandelt wurde. Es beinhaltet eine Reihe von Zusicherungen der US-amerikanischen Bundesregierung über die Einhaltung von Datenschutzstandards in den USA. Auf Grundlage dieser Zusicherungen hat die Kommission am 12.7.2016 festgestellt, dass die USA unter den Rahmenbedingungen des EU-US-Privacy Shield ein angemessenes Datenschutzniveau gewährleisten. Damit kann das Abkommen einstweilen angewendet werden. Ob es jedoch lange Bestand haben wird, bleibt abzuwarten. So hat die irische Datenschutzgruppe Digital Rights Ireland (DRI) bereits am 16.9.2016 beim EuG Nichtigkeitsklage eingereicht eingereicht, da sie offensichtliche Beurteilungsfehler hinsichtlich des angemessenen Schutzniveaus sieht. Auch das Europäische Parlament nimmt eine eher kritische Haltung ein. In einer Entschließung aus April 2017 wird darauf hingewiesen, dass erhebliche Fragen zu bestimmten kommerziellen Aspekten, der nationalen Sicherheit und der Rechtsdurchsetzung, näher zu überprüfen seien und nicht abschließend beurteilt werden könne, ob die im EU-US-Privacy Shield enthaltenen Zusicherungen, Mechanismen und Garantien tatsächlich wirksam und praxistauglich sind.