Drittlandtransfer, ein Risiko, das teuer werden kann!
Aufsichtsbehörden, Gerichte und selbst NGOs beschäftigen sich weiterhin aktiv mit dem Thema Drittlandtransfer. Regelmäßig werden dabei Datenabflüsse in die USA als rechtswidrig bewertet. Prominentestes Beispiel derzeit dürfte die spektakuläre Entscheidung gegen Meta Platforms Ireland Ltd. sein. Der Facebook Mutter wurde im Mai 2023 ein solcher Datentransfer untersagt und ein Rekordbußgeld verhängt. Demnach ist bereits die Übermittlung von IP-Adressen in die USA verboten.
Meta erhielt eine Rekordstrafe in Höhe von 1,2 Milliarden Euro. Der Facebook Mutterkonzern mit seinem europäischen Hauptsitz in Dublin hat zwar angekündigt in Berufung zu gehen, was jedoch kaum Erfolg versprechend sein wird.
Für Facebook dürfte es dramatischer sein, dass jede weitere Übermittlung europäischer personenbezogener Daten in die USA untersagt wurde. Diese Auseinandersetzung wird sich erwartungsgemäß über die nächsten Jahre hinziehen.
Nach Auffassung der Gerichte ist eine Datenübermittlung in die USA rechtswidrig, da in den USA kein angemessenes Datenschutzniveau gewährleistet werden kann. Getragen werden diese Urteile von der aktuellen Rechtssprechung des EuGH zu „Schrems II“. Demnach sind die EU-Standardvertragsklauseln allein nicht ausreichend. Es muss zusätzlich zwingend eine rechtmäßige Einwilligung für die Datenübermittlung eingeholt werden. Standardvertragsklauseln allein sind nicht geeignet, ein der DSGVO entsprechendes Datenschutzniveau zu gewährleisten. Damit festigt sich die aktuelle Rechtssprechung zu Datenübertragungen in die USA.
Wir empfehlen Unternehmen aktuell bei Datenübertragungen in die USA, eine sorgfältige Dokumentation und Risikoabwägung vorzunehmen, die Übertragung abzusichern und das Risiko für personenbezogene Daten zu minimieren.
Aktuell liegt der Fokus unserer Tätigkeiten in der Erstellung von Transfer Impact Assessments (TIA) für unsere Mandanten. Sprechen Sie uns gerne an, sollten Sie Fragen hierzu haben.
Quelle: Siehe EDSA, Binding Decision 1/2023
Autor: Markus Vatter, Head of Privacy & IT-Security, 11.07.2023
