EU verabschiedet neue Regeln für den Datenverkehr mit den USA

Die Europäische Union hat einen neuen Angemessenheitsbeschluss für den Datenschutzrahmen EU-USA angenommen. Der Beschluss sieht vor, dass die Vereinigten Staaten „ein angemessenes Schutzniveau – vergleichbar mit dem der EU – für personenbezogene Daten gewährleisten, die innerhalb des neuen Rahmens aus der EU an US-Unternehmen übermittelt werden“.

Der neue Datenschutzrahmen EU-USA soll vor allem den zuletzt vom Europäischen Gerichtshof geäußerten Bedenken Rechnung tragen. Unter anderem soll der Zugriff von US-Geheimdiensten auf EU-Daten auf ein „notwendiges und verhältnismäßiges Maß“ beschränkt werden.

Neues Beschwerdegericht für EU-Bürger

Die Vereinbarung sieht aber auch die Schaffung eines Gerichts zur Datenschutzüberprüfung vor, an dass sich EU-Bürger wenden können. Unter anderem können Nutzer bei Verstößen nun eine Löschung ihrer in den USA gespeicherten Daten verlangen.

„Der neue Datenschutzrahmen EU-USA wird einen sicheren Datenverkehr für die Europäerinnen und Europäer gewährleisten und den Unternehmen auf beiden Seiten des Atlantiks Rechtssicherheit bieten“, kommentiert Ursula von Leyen, Präsidentin der EU-Kommission. „Nach der grundsätzlichen Einigung, die ich im vergangenen Jahr mit Präsident Biden erzielt habe, haben die USA beispiellose Zusagen zur Schaffung des neuen Rahmens gemacht. Heute kommen wir einen wichtigen Schritt dabei voran, den Bürgerinnen und Bürgern Vertrauen in die Sicherheit ihrer Daten zu geben, unsere wirtschaftlichen Beziehungen zwischen der EU und den USA zu vertiefen und gleichzeitig unsere gemeinsamen Werte zu stärken. Der Rahmen zeigt, dass wir durch Zusammenarbeit die komplexesten Fragen angehen können.“

Neue Verpflichtungen für US-Unternehmen

US-Unternehmen, die sich dem Datenschutzrahmen EU-USA anschließen, gehen damit laut EU automatisch weitreichende Datenschutzverpflichtungen ein. Unter anderem sollen sie sich verpflichten, personenbezogene Daten zu löschen, sobald sie für den gedachten Zweck nicht mehr benötigt werden. Außerdem müssen Unternehmen den Datenschutz auch dann gewährleisten, wenn sie Daten an Dritte weitergeben.

Darüber hinaus wollen die zuständigen US-Behörden sowie die EU-Kommission in Zusammenarbeit mit den europäischen Datenschutzbehörden künftig regelmäßig die Funktionsweise des neuen Abkommens prüfen. Die erste Überprüfung soll bereits in einem Jahr erfolgen.

Der neue Datenschutzrahmen EU-USA wurde nötig, weil der EuGH nach einer Klage der Datenschutzorganisation noyb das alte Privacy-Shield-Abkommen einkassiert hatte. Auch dessen Vorgänger war nach einer Beschwerde von noyb beziehungsweise des österreichischen Aktivisten Max Schrems gekippt worden.

Scharfe Kritik von Datenschützern

Den inzwischen dritten „Versuch“ der EU-Kommission, ein Abkommen zu Datentransfers zwischen der EU und den USA zu erreichen, bezeichnete noyb in einer Pressemitteilung als „weitgehende Kopie von Privacy Shield“. Die Datenschützer kündigten zudem an, erneut den EuGH anzurufen.

Vor allem das Hauptproblem, die ungleiche Behandlung von US-Bürgern und nicht US-Bürgen, sei nicht behoben worden. „Anders als von der Europäischen Kommission behauptet, ändert sich am US-Recht wenig: das grundsätzliche Problem mit FISA 702 wurde von den USA nicht angegangen, wodurch nach wie vor nur US-Personen verfassungsmäßige Rechte haben und nicht anlasslos überwacht werden dürfen.“