{"id":346,"date":"2020-08-24T12:42:00","date_gmt":"2020-08-24T10:42:00","guid":{"rendered":"http:\/\/blog.eprivacy.eu\/?p=346"},"modified":"2020-12-07T12:44:56","modified_gmt":"2020-12-07T11:44:56","slug":"schrems-ii-urteil-handlungsempfehlungen-zum-umgang-mit-standardvertragsklauseln","status":"publish","type":"post","link":"https:\/\/blog.eprivacy.eu\/?p=346&lang=de","title":{"rendered":"\u201eSchrems II\u201c- Urteil: &#8211; Handlungsempfehlungen zum Umgang mit Standardvertragsklauseln"},"content":{"rendered":"\n<p>Jetzt wo das Privacy Shield als Absicherungsmechanismus ausscheidet, stellt sich die Frage, wie ein Datentransfer in die USA stattdessen abgesichert werden kann.<\/p>\n\n\n\n<p><strong><br>Standardvertragsklauseln haben weiter G\u00fcltigkeit<\/strong><\/p>\n\n\n\n<p>Der erste Blick geht dann auf das wichtigste Werkzeug f\u00fcr den internationalen Datentransfer, die Standarddatenschutzklauseln (SCC, auch \u201emodel clauses\u201c) nach Art. 46 Abs. 2 lit. c DSGVO.<\/p>\n\n\n\n<p>Der EuGH hat sich in seiner Entscheidung auch mit den SCC auseinandergesetzt und (gl\u00fccklicherweise) festgestellt, dass diese zumindest f\u00fcr sich genommen mit der Charta der Grundrechte der EU vereinbar sind und weiterhin g\u00fcltig bleiben. Allerdings hat der EuGH auch deutlich gemacht, dass mit den SCC nicht jeder Transfer in ein beliebiges Drittland abgesichert werden kann. Vielmehr k\u00f6nnen die SCC nur dann eingesetzt werden, wenn der Datenexporteur und der Empf\u00e4nger im Drittland gew\u00e4hrleisten, dass die Regelungen der SCC in diesem Drittland auch eingehalten werden k\u00f6nnen.<\/p>\n\n\n\n<p>K\u00f6nnen die SCC dagegen nicht eingehalten werden, m\u00fcssen die beteiligten Parteien den Datentransfer beenden. Letztlich l\u00e4uft es also auf die Frage hinaus, ob es im Drittland rechtliche M\u00f6glichkeiten f\u00fcr (staatliche) Institutionen gibt, einen umfangreichen Zugriff auf die Daten zu erhalten, der die Datenschutzgrunds\u00e4tze der EU untergr\u00e4bt und ob Datenimporteur und -exporteur etwas dagegen tun k\u00f6nnen.<\/p>\n\n\n\n<p><strong><br>In den USA keine Einhaltung m\u00f6glich<\/strong><\/p>\n\n\n\n<p>F\u00fcr die USA hat der EuGH mit dieser Entscheidung im Grunde schon vorgegeben, dass die rechtlichen Rahmenbedingungen dort das Einhalten der SCC aufgrund der \u00dcberwachungsge-setze eigentlich unm\u00f6glich machen. Damit im Zusammenhang steht der Auftrag an die Auf-sichtsbeh\u00f6rden, dass diese den Datentransfer aufgrund von SCC zu unterbinden haben, wenn sich herausstellt, dass die Klauseln im Empf\u00e4ngerland nicht eingehalten werden k\u00f6nnen.<\/p>\n\n\n\n<p><strong><br>Unsere Handlungsempfehlungen f\u00fcr das weitere Vorgehen<\/strong><\/p>\n\n\n\n<p>Verantwortliche m\u00fcssen nun mit der Entscheidung des EuGH arbeiten und einen Weg finden, wie sie eine rechtssichere Datenverarbeitung sicherstellen. Nachfolgend zeigen wir den Weg auf, der unserer Ansicht nach gegangen werden muss, um internationalen Datentransfer im Unternehmen zu identifizieren, zu bewerten und rechtlich wie tats\u00e4chlich auf eine sichere Ba-sis zu bringen.<\/p>\n\n\n\n<p><strong><br>1.&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<\/strong><strong>Bestandsaufnahme<\/strong><\/p>\n\n\n\n<p>Sie m\u00fcssen f\u00fcr Ihr Unternehmen feststellen, ob eine Daten\u00fcbertragungen in die USA (oder andere unsichere Drittstaaten) stattfindet.<\/p>\n\n\n\n<p><strong><br>2.&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<\/strong><strong>Kl\u00e4rung ob Datentransfer ins Ausland wirklich unumg\u00e4nglich ist<\/strong><\/p>\n\n\n\n<p>Als n\u00e4chstes sollte gekl\u00e4rt werden, ob der Datentransfer ins Ausland wirklich zwingend not-wendig ist, oder sich ggf. organisatorisch umgehen l\u00e4sst. Hier sind mehrere L\u00f6sungen denk-bar:<\/p>\n\n\n\n<ul><li>Besteht die M\u00f6glichkeit, einen rein europ\u00e4ischen Dienstleister zu w\u00e4hlen?<\/li><li>Besteht die M\u00f6glichkeit, die Daten auf europ\u00e4ischen Servern zu belassen?<\/li><\/ul>\n\n\n\n<p>Wichtig ist dabei, dass vertraglich festgehalten sein muss, dass ein Datentransfer ins au\u00dfer-europ\u00e4ische Ausland nicht stattfindet. Weder ein aktiver Transfer von Daten (bspw. das Abspeichern von Daten auf einem Server) noch das Er\u00f6ffnen einer Zugriffsm\u00f6glichkeit (bspw. Programmierer)<\/p>\n\n\n\n<p><strong><br>3.&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<\/strong><strong>Kl\u00e4rung ob die Sicherheitsgesetze der USA auf den Importeur Anwendung finden<\/strong><\/p>\n\n\n\n<p>Beim Datentransfer in die USA ist generell zu kl\u00e4ren, ob die dortigen Sicherheitsgesetze, auf-grund derer der EuGH das Privacy Shield f\u00fcr unwirksam erkl\u00e4rt hat, \u00fcberhaupt auf den Da-tenimporteur Anwendung finden. Hierzu gibt es unter&nbsp;<a href=\"https:\/\/noyb.eu\/en\/next-steps-eu-companies-faqs\" target=\"_blank\" rel=\"noreferrer noopener\">noyb.eu\/en\/next-steps-eu-companies-faqs<\/a>&nbsp;einen Fragebogen, den man an seinen Importeur senden kann [Achtung: Die Vorlage enth\u00e4lt eine K\u00fcndigungsandrohung; diese sollten Sie ggf. entfernen, wenn Sie das Formular verwenden wollen].<\/p>\n\n\n\n<p>Dieser Schritt ist f\u00fcr die meisten der eingesetzten Dienste jedoch im Grunde \u00fcberfl\u00fcssig, denn<\/p>\n\n\n\n<p>Anbieter von elektronischen Kommunikationen, wie z. B. Amazon (AWS), Apple, Cloudflare, Dropbox, Facebook, Google oder Microsoft, fallen immer in den Anwendungsbereich dieser Gesetze und m\u00fcssen Geheimdiensten einen Zugriff auf Daten der Nutzer erlauben.<\/p>\n\n\n\n<p><strong><br>4.&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<\/strong><strong>Sicherheitsmechanismus festlegen<\/strong><\/p>\n\n\n\n<p>Kommen wir also zum entscheidenden Schritt. Wenn festgestellt wurde, dass die Daten in die USA \u00fcbertragen werden m\u00fcssen, um einen essentiellen Dienst nutzen zu k\u00f6nnen, dann ist zu kl\u00e4ren, mit welchen Mechanismen dieser Datentransfer rechtlich abgesichert wird.<\/p>\n\n\n\n<p>Das Privacy Shield ist hier nun keine Option mehr. Bleiben in der Praxis noch die Standard-vertragsklauseln (bzw. Binding Corporate Rules im Konzern) oder Ausnahmeregelungen nach Art. 49 DSGVO.&nbsp;<\/p>\n\n\n\n<p>Die SCC k\u00f6nnen recht unkompliziert als Teil eines Vertrages abgeschlossen werden und sind daher schnell und flexibel einsetzbar. Allerdings hat der EuGH mit seiner Entscheidung bereits deutlich gemacht, dass die SCC f\u00fcr einen Datentransfer in die USA alleine nicht ausreichen k\u00f6nnen, da es sich bei ihnen letztlich nur um Vertr\u00e4ge handelt. Da der EuGH aber zu dem Ergebnis gekommen ist, dass die Rechtslage in den USA eine Einhaltung des europ\u00e4ischen Datenschutzniveaus ohne Weiteres nicht m\u00f6glich macht, helfen Vertr\u00e4ge allein nicht weiter. Schlie\u00dflich werden die amerikanischen Geheimdienste durch solche Vertr\u00e4ge nicht an einem Datenzugriff gehindert, der gesetzlich in den USA zul\u00e4ssig ist. Die amerikanischen Gesetze \u201eschlagen\u201c insofern die Vertr\u00e4ge.&nbsp;<\/p>\n\n\n\n<p>Die SCC d\u00fcrfen nur dann f\u00fcr den Datentransfer eingesetzt werden, wenn sich der Verantwortliche und der Empf\u00e4nger vergewissern, dass das europ\u00e4ische Datenschutzniveau im Drittland auch eingehalten werden kann. Aufgrund der Ausf\u00fchrungen des EuGH ist davon auszugehen, dass das Datenschutzniveau in den USA grunds\u00e4tzlich nicht eingehalten werden kann. Der EuGH sowie die Aufsichtsbeh\u00f6rden weisen darauf hin, dass neben den blo\u00dfen Vertr\u00e4gen ggf. zus\u00e4tzliche organisatorische oder technische Ma\u00dfnahmen das Datenschutzniveau sicherstellen k\u00f6nnen. Welche Ma\u00dfnahmen das sein sollen, wurde von den Beh\u00f6rden bislang nicht konkretisiert.<\/p>\n\n\n\n<p>Unserer Ansicht nach kann es sich hierbei in erster Linie nur um technische Ma\u00dfnahmen wie bspw. umfangreiche Verschl\u00fcsselungen handeln, denn diese gew\u00e4hrleisten zumindest bis zu einem gewissen Grad, dass amerikanische Beh\u00f6rden selbst bei Serverzugriff mit den dort befindlichen Daten nichts anfangen k\u00f6nnten.<\/p>\n\n\n\n<p>Die Pflicht zur wirksamen Verschl\u00fcsselung ist vertraglich zu fixieren und die erfolgte Verschl\u00fcsselung ist zu dokumentieren.<\/p>\n\n\n\n<p>Ob diese Ma\u00dfnahmen allein ausreichen, ist allerdings bislang noch unklar. Rechtssicherheit ist zum jetzigen Zeitpunkt bei dieser Frage noch nicht zu gewinnen.<\/p>\n\n\n\n<p><br><strong>5.&nbsp;&nbsp;&nbsp;&nbsp; Einwilligungstexte und Datenschutzerkl\u00e4rungen anpassen<\/strong><\/p>\n\n\n\n<p>Sofern Sie vom Privacy Shield auf die SCC hin\u00fcberwechseln, muss sich dieser Wechsel zuvorderst in Ihrer Datenschutzerkl\u00e4rung niederschlagen. Dort sind die entsprechenden Hin-weise auf das Privacy Shield zu entfernen und entsprechend im Hinblick auf die SCC zu \u00e4n-dern. Dar\u00fcber hinaus sollten Sie, sofern Sie die \u00fcbertragenen Daten auf Basis einer Einwilli-gung \u00fcbertragen, auch in den Informationen zur Einwilligung auf die SCC hinweisen. Generell sollten Sie dabei erw\u00e4hnen, dass sie die SCC sowie \u201ezus\u00e4tzliche Sicherheitsma\u00dfnahmen\u201c implementiert haben.<\/p>\n\n\n\n<p><br><strong>6.&nbsp;&nbsp;&nbsp;&nbsp; Restrisikobewertung<\/strong><\/p>\n\n\n\n<p>Als letzten Schritt sollten Sie sich vergegenw\u00e4rtigen, wie hoch Ihr Restrisiko ist, dass die Daten\u00fcbertragung ggf. untersagt wird bzw. weitere Ma\u00dfnahmen von Betroffenen oder Aufsichtsbeh\u00f6rden zu bef\u00fcrchten sind.<\/p>\n\n\n\n<p>Verwenden Sie allein die SCC ohne weitere Ma\u00dfnahmen, ist Ihre \u00dcbertragung mit einem deutlich h\u00f6heren Risiko behaftet, als wenn Sie weitere Ma\u00dfnahmen wie zumindest eine effektive Inhaltsverschl\u00fcsselung der Daten vorweisen k\u00f6nnen. Aber auch dann haben Sie keine absolute Sicherheit, dass dies die Beh\u00f6rden zufrieden stellt. Wichtig ist, dass Sie sicherstellen, auf zuk\u00fcnftige Entwicklungen (bspw. Ver\u00f6ffentlichungen der Aufsichtsbeh\u00f6rden zum Thema \u201ezus\u00e4tzliche Ma\u00dfnahmen\u201c (wie vom EDSA angek\u00fcndigt) vorbereitet zu sein und schnell reagieren zu k\u00f6nnen.&nbsp;<\/p>\n\n\n\n<p><strong><br>Fazit:<\/strong><\/p>\n\n\n\n<p>Sofern eine Verlagerung der Datenverarbeitung zu europ\u00e4ischen Dienstleistern nicht m\u00f6glich ist, empfehlen wir zun\u00e4chst den Abschluss von Standardvertragsklauseln. Dies ist so schnell wie m\u00f6glich umzusetzen. Zus\u00e4tzlich sollten weitere Ma\u00dfnahmen ergriffen werden, die die \u00dcbertragenen Daten vor dem Zugriff amerikanischer Beh\u00f6rden sichern. In unseren Augen kommt hier in erster Linie eine wirksame Verschl\u00fcsselung der Daten in Betracht. Diese kann \u2013 je nach genutztem Dienst, vom Datenimporteur oder Datenexporteur vorgenommen wer-den. Weiter sind die Datenschutzerkl\u00e4rung und eventuell vorhandene Einwilligungstexte an-zupassen. Letztlich ist eine Restrisikobewertung vorzunehmen.<\/p>\n\n\n\n<p>Haben Sie weitere Fragen zu diesem Thema? Dann melden Sie sich bei unseren Datesnchutzexperten! Wir helfen Ihnen gerne.<\/p>\n\n\n\n<p><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Jetzt wo das Privacy Shield als Absicherungsmechanismus ausscheidet, stellt sich die Frage, wie ein Datentransfer in die USA stattdessen abgesichert werden kann.<\/p>\n<p class=\"link-more\"><a class=\"myButt \" href=\"https:\/\/blog.eprivacy.eu\/?p=346&#038;lang=de\">Read More<\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":[],"categories":[10],"tags":[],"_links":{"self":[{"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=\/wp\/v2\/posts\/346"}],"collection":[{"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=346"}],"version-history":[{"count":1,"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=\/wp\/v2\/posts\/346\/revisions"}],"predecessor-version":[{"id":347,"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=\/wp\/v2\/posts\/346\/revisions\/347"}],"wp:attachment":[{"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=346"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=346"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=346"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}