Im Dezember 2022 wurde der Entwurf für einen Angemessenheitsbeschluss zur Datenübermittlung in die USA vorgelegt. Damit ist der Startschuss für die Verabschiedung gelegt.
Der Angemessenheitsbeschluss soll eine DSGVO-konforme Möglichkeit schaffen, personenbezogene Daten in Drittländer, also Länder, die nicht Mitgliedglied der EU sind, zu übermitteln.
In den Entscheidungsablauf sind involviert:
- die EU-Kommission
- ein Ausschuss bestehen aus Vertretern aller EU-Mitgliedsstaaten
- die EDSA (Europäischer Datenschutzausschuss)
Die EU-Kommission verfasst also den Entwurf und legt ihn vor. Es folgt eine förmliche Beschlussfassung durch die EU-Kommission, gefolgt von einer Veröffentlichung des Entwurfs im EU-Amtsblatt.
Der Ausschuss der Mitgliedsstaatenvertreter entscheidet schlussendlich über die Verabschiedung – dabei muss eine Zustimmung durch mindestens 55 % (also 15 der 27 Mitgliedsstaaten) erreicht werden.
Die EDSA bekommt den Entwurf des Angemessenheitsbeschlusses durch die EU-Kommission vorgelegt und gibt eine Stellungnahme dazu ab. Anschließend leitet die EDSA den Entwurf zur Abstimmung an den Mitgliedstaatenausschuss weiter.
Die Stellungnahme hat keine bindende Funktion, kann aber die Wahlentscheidung der einzelnen Vertreter fachlich beeinflussen.
Während diverse Institutionen der USA in die Erstellung des Entwurfs involviert waren, handelt es sich bei der Abstimmung übrigens um eine rein EU-interne Angelegenheit.
Voraussichtlich ist mit einer Abstimmung und der finalen Veröffentlichung im Mai oder Juni diesen Jahres zu rechnen.
Durch den Angemessenheitsbeschluss wird nun vorgesehen, dass das DoC (US-Department of Commerce) eine öffentlich zugängliche TDPF-List (Data Privacy Framework List) führt. In diese Liste können sich amerikanische Unternehmen eintragen lassen, wenn sie den Datenschutz-Anforderungen gemäß des Angemessenheitsbeschlusses entsprechen. Hierfür müssen sie zuvor in die Privacy Shield Liste eingetragen gewesen sein oder alternativ einen Entwurf ihrer geplanten Datenschutzregelung vorlegen.
Die Aufnahme in die TDPF-List kommt einer Zertifizierung gleich, die jedes Jahr durch einen Antrag erneuert werden muss.
Für europäische Unternehmen ist daher wichtig, mit amerikanischen Geschäftspartnern vertraglich zu regeln, dass diese Erneuerungsanträge regelmäßig (und rechtzeitig) gestellt werden. Geschieht dies nicht, müssten vorhandene Daten zurück übermittelt oder gelöscht und weitere Datenübertragung eingestellt werden.
Sowohl USA- wie auch Europa-seitige Unternehmen sollten sich jetzt schon auf die Angemessenheitsentscheidung einstellen und sich mit den Geschäftspartnern austauschen, Hinweisverpflichtungen nachkommen und den betroffenen Personen anspruchsvolle Wahlmöglichkeiten einräumen.
Ferner soll nach der Etablierung des Angemessenheitsbeschlusses ein „informelles Gremium“, bestehend aus nationalen Aufsichtsbehörden der Mitgliedsstaaten, eingerichtet werden. Dessen Aufgabe wird es sein, „Empfehlungen“ an US-Unternehmen zum Umgang mit Datenschutz-Beschwerden zu geben.
Diese Empfehlungen gehen mit hoher Verbindlichkeit einher, – kommt das Unternehmen ihnen nicht innerhalb von 25 Tagen nach, unterrichtet das Gremium zuständige US-Behörden wie etwa die FTC (Federal Trade Commission), um weitere Maßnahmen einzuleiten.