Am 10. Juli 2023 hat die Europäische Kommission ihren Angemessenheitsbeschluss entsprechend Art. 45 DSGVO für den Datenschutzrahmen EU-USA – the Trans Atlantic Data Privacy Framework (TADPF) – angenommen. Damit soll die USA ein angemessenes Schutzniveau für personenbezogene Daten, die aus der EU an US amerikanische Unternehmen übermittelt werden, durch verbindliche Garantien gewährleistet werden.
Die Figur des Angemessenheitsbeschlusses ist dafür da, das festgestellt wird, dass ein Land außerhalb der EU – und damit außerhalb des Anwendungsbereiches der DSGVO – ein dem europäischen Datenschutz entsprechendes Niveau zusichert. Liegt ein solcher vor, müssen Unternehmen keine weiteren Schutzmaßnahmen nach der DSGVO, wie beispielsweise Auftragsverarbeitungsverträge mit Standardvertragsklauseln, mehr abschließen oder vorweisen.
So die Theorie.
Denn ein solches Abkommen gab es in der Vergangenheit bereits zweimal: den Privacy Shield und das Safe Harbor Abkommen.
Beide Abkommen wurden nach kurzer Zeit durch den EuGH gekippt. Dieser stellte fest, dass das Datenschutzniveau in den USA gerade nicht ausreichend ist und den EU Standards nicht entspricht. Die dortigen Behörden seien mit viel zu weitreichenden Befugnissen ausgestattet, die den Zugriff auf die personenbezogenen Daten von europäischen Bürgern ermöglichen.
Der TADPF soll genau diese Zugriffe ausbremsen. Er gibt vor, dass Zugriffe nur dann erfolgen dürfen, wenn dies „verhältnismäßig“ ist. Um dies zu überprüfen soll ein Gericht zur Datenschutzüberprüfung geschaffen werden, der Data Protection Review Court (DPRC). Zu diesem sollen Einzelpersonen aus der EU entsprechenden Zugang bekommen und ihnen ein unabhängiges und unparteiisches Rechtsbehelfsverfahren möglich sein.
US Unternehmen können sich dem TADPF nun anschließen, indem sie sich zur Einhaltung detaillierter Datenschutzpflichten verpflichten, beispielsweise Daten zu löschen wenn sie für den Zweck für den sie erhoben wurden nicht mehr erforderlich sind – was der Datenminimierung nach Art. 5 DSGVO gleichkommen könnte. Auch sollen EU-Bürger noch mehr Rechtsbehelfe offen stehen. Dazu gehören wohl unabhängige Streitbeilegungsstellen und eine Schiedsstelle.
Genau das Stichwort der Verhältnismäßigkeit ist es jedoch, was den bekannten Datenschützern bereits missfällt. Sie haben bereits angekündigt, erneut Klage einreichen zu wollen. Konkret handelt es sich dabei um Maximilian Schrems.
Der Privacy Shield und Safe Harbor sind beide auch durch seine Klagen gekippt worden und brachte die Urteile Schrems I und II hervor.
Ob der EuGH nun davon ausgeht, dass das Schutzniveau gut genug ist oder ob Schrems III quasi bevorsteht ist noch offen.
Einer gerichtlichen Überprüfung wird der TADPF sich aber auf jeden Fall stellen müssen.