§ 12 Datenschutzrecht / 4. Übermittlung von Daten in Drittländer

Rz. 135

Sofern die Daten (beispielsweise durch einen Tracking-Dienstleister) in einem Drittland (außerhalb der EU) verarbeitet oder in ein Drittland übermittelt werden, so gelten nach Art. 44 DSGVO zusätzliche Anforderungen an die Datenverarbeitung. Mit den Vorschriften der Art. 44 ff. DSGVO möchte der Unionsgesetzgeber erreichen, dass das hohe Datenschutzniveau, das durch die DSGVO gewährleistet wird, nicht durch eine Auslagerung der Datenverarbeitung in ein Drittland unterlaufen wird. Dieses Ziel wird in Art. 44 S. 2 DSGVO nochmals schriftlich normiert.

Rz. 136

Aus den Vorgaben der DSGVO ergibt sich ein zweistufiger Prüfungsablauf im Falle einer Datenverarbeitung in einem Drittland. Zunächst ist – wie bei jeder Datenverarbeitung – die Zulässigkeit der Datenverarbeitung nach den allgemeinen Vorschriften der DSGVO zu prüfen. Im Falle einer zulässigen Datenverarbeitung ist in der Folge in einem zweiten Schritt zu prüfen, ob im Empfängerland ein angemessenes Datenschutzniveau sichergestellt ist. Das Schutzniveau im Empfängerland muss dabei der Sache nach gleichwertig mit dem Niveau der DSGVO sein.^[58] Sofern das Datenschutzniveau im Empfängerland nicht per se dem Schutz der DSGVO gleichwertig ist, hat der Verantwortliche durch geeignete Garantien sicherzustellen, dass das Schutzniveau der DSGVO nicht unterlaufen wird.

[58] EuGH v. 6.10.2015 – C-362/14, Rn 73; EuGH v. 16.7.2020 – C 311/18, Rn 96.

a) Angemessenheitsbeschluss der EU-Kommission

Rz. 137

Die EU-Kommission ist nach Art. 45 berechtigt, nach einer Prüfung per Beschluss festzulegen, ob das Datenschutzniveau in einem Drittland ein angemessenes Schutzniveau bietet. Im Falle einer Verarbeitung von Daten außerhalb der EU ist daher zunächst zu prüfen, ob für das konkrete Drittland ein Angemessenheitsbeschluss der EU-Kommission vorliegt.^[59] Der EuGH hat im Verfahren Schrems II^[60] das sog. EU-US Privacy Shield-Abkommen und den damit verbundenen Angemessenheitsbeschluss der EU-Kommission für ungültig erklärt, so dass auf dieser Basis eine Datenübermittlung in die USA nicht mehr zulässig ist.

[59] Die Beschlüsse können unter folgender URL eingesehen werden: https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_de.

[60] EuGH v. 16.7.2020 – C 311/18.

b) Geeignete Garantien – insbesondere Standardvertragsklauseln

Rz. 138

Sofern kein Angemessenheitsbeschluss besteht, darf der Verantwortliche die Daten nach Art. 45 DSGVO nur übermitteln, sofern er geeignete Garantien zur Sicherstellung des angemessenen Datenschutzniveaus gewährleistet. Art. 45 Abs. 2 DSGVO gibt einige Möglichkeiten für derartige geeignete Garantien vor. Die praxisrelevanteste Alternative sind die Standarddatenschutzklauseln, die von der EU-Kommission erlassen wurden, sog. Standardvertragsklauseln. Diese Musterklauseln können im Falle der Datenübermittlung in ein Drittland ohne Angemessenheitsbeschluss mit dem Empfänger als zusätzliche Garantien vereinbart werden. Dabei dürfen die Musterklauseln nicht verändert werden. Sofern ein Fall der Auftragsverarbeitung vorliegt, sind die Standardvertragsklauseln zusätzlich zum Auftragsverarbeitungsvertrag abzuschließen.

Rz. 139

In seinem Urteil in Sachen Schrems II hat der EuGH klargestellt, dass die Standardvertragsklauseln weiterhin ein zulässiges Mittel zur Gewährleistung eines angemessenen Datenschutzniveaus in einem Drittland darstellen.^[61] Allerdings ist je nach Empfängerland gesondert zu prüfen, ob der Vertragspartner aufgrund der Rechtsordnung des Empfängerlandes in der Lage ist, die Vorgaben der Standardvertragsklauseln einzuhalten. Ist dies nicht der Fall, müssen zusätzlich zu den Standardvertragsklauseln geeignete Maßnahmen getroffen werden, um das Schutzniveau der DSGVO zu erreichen.

Rz. 140

Für die Datenübermittlung in die USA hat der EuGH in Sachen Schrems II festgestellt, dass aufgrund der weitreichenden Zugriffsbefugnisse der US-Behörden auf Daten, die von amerikanischen Unternehmen verarbeitet werden, der Abschluss der Standardvertragsklauseln allein nicht ausreicht. Es müssen zusätzliche Maßnahmen zum Schutz vor dem Zugriff der US-Behörden getroffen werden. Denkbar wäre insoweit beispielsweise eine sichere Verschlüsselung von Daten. Der Europäische Datenschutzausschuss (EDSA) hat zu möglichen geeigneten Maßnahmen mit den "Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data" Empfehlungen veröffentlicht.^[62]

[61] EuGH v. 16.7.2020 – C 311/18, Rn 149.

[62] Abrufbar auf der Webseite des EDSA: https://edpb.europa.eu/our-work-tools/public-consultations-art-704/2020/recommendations-012020-measures-supplement-transfer_en.

c) Ausnahmen nach Art. 49 DSGVO

Rz. 141

Sofern kein Angemessenheitsbeschluss besteht bzw. auch keine geeigneten Garantien vorliegen, hält Art. 49 DSGVO einige Ausnahmen bereit, in denen trotz allem Daten in ein Drittland übermittelt werden dürfen. Die relevantesten Fälle sind hierbei die ausdrückliche Einwilligung des Betroffenen in die Datenübermittlung, wobei auf die möglicherweise bestehenden Risiken der Datenübermittlung ohne Angemes...