ZAP 16/2020, EU-US-Privacy Shield: Unzulässige Verarbeitung personenbezogener Daten durch Dienste von US-Anbietern

(EuGH, Urt. v. 16.7.2020 – C-311/18) • Art. 46 Abs. 1 und Art. 46 Abs. 2 Buchst. c der Verordnung 2016/679 sind dahin auszulegen, dass die nach diesen Vorschriften erforderlichen geeigneten Garantien, durchsetzbaren Rechte und wirksamen Rechtsbehelfe gewährleisten müssen, dass die Rechte der Personen, deren personenbezogene Daten auf der Grundlage von Standarddatenschutzklauseln in ein Drittland übermittelt werden, ein Schutzniveau genießen, das dem in der Europäischen Union durch diese Verordnung im Licht der Charta der Grundrechte der Europäischen Union garantierten Niveau der Sache nach gleichwertig ist. Bei der insoweit im Zusammenhang mit einer solchen Übermittlung vorzunehmenden Beurteilung sind insb. die vertraglichen Regelungen zu berücksichtigen, die zwischen dem in der Europäischen Union ansässigen Verantwortlichen bzw. seinem dort ansässigen Auftragsverarbeiter und dem im betreffenden Drittland ansässigen Empfänger der Übermittlung vereinbart wurden, sowie, was einen etwaigen Zugriff der Behörden dieses Drittlands auf die übermittelten personenbezogenen Daten betrifft, die maßgeblichen Elemente der Rechtsordnung dieses Landes, insb. die in Art. 45 Abs. 2 der Verordnung 2016/679 genannten Elemente.

Art. 58 Abs. 2 Buchst. f und j der Verordnung 2016/679 ist dahin auszulegen, dass die zuständige Aufsichtsbehörde, sofern kein gültiger Angemessenheitsbeschluss der Kommission vorliegt, verpflichtet ist, eine auf Standarddatenschutzklauseln, die von der Kommission erarbeitet wurden, gestützte Übermittlung personenbezogener Daten in ein Drittland auszusetzen oder zu verbieten, wenn diese Behörde im Licht aller Umstände dieser Übermittlung der Auffassung ist, dass die Klauseln in diesem Drittland nicht eingehalten werden oder nicht eingehalten werden können und dass der nach dem Unionsrecht, insb. nach den Art. 45 und 46 dieser Verordnung sowie nach der Charta der Grundrechte, erforderliche Schutz der übermittelten Daten nicht mit anderen Mitteln gewährleistet werden kann, es sei denn, der in der Union ansässige Verantwortliche bzw. sein dort ansässiger Auftragsverarbeiter hat die Übermittlung selbst ausgesetzt oder beendet. Hinweis: Der EuGH hat mit dieser Entscheidung das sog. EU-US-Privacy-Shield gekippt. Daher dürften grds. alle Dienste von US-Anbietern (z.B. Microsoft Teams, Google Meet, Zoom) nicht mehr wie bisher zu nutzen sein. Aus berufsrechtlichen Gründen sollten sich Anwälte spätestens jetzt gut überlegen, welche Tools sie nun im Berufsalltag einsetzen und sich nach in Europa beheimateten Alternativen umsehen. Ein hohes Schutzniveau für personenbezogene Daten ist daher auch mit Blick auf das Anwaltsgeheimnis zu gewährleisten.

ZAP EN-Nr. 398/2020

ZAP F. 1, S. 850–850