Die DSGVO & das EU-U.S. Data Privacy Framework
Im Juli 2023 trat das EU-US Data Privacy Framework in Kraft. Die Europäische Kommission attestierte dem Nachfolger des gescheiterten EU-US Privacy Shields ein angemessenes Schutzniveau hinsichtlich Datentransfers von der EU in die USA. Doch sind die Angemessenheitsbeschlüsse tatsächlich eine verlässliche Basis für den Transfer personenbezogener Daten von der EU in die USA? Was hat sich hinsichtlich des Schutzes der Daten von EU-Bürger:innen konkret geändert?
Die Angemessenheitsbeschlüsse für den Datentransfer zwischen der EU und deDie transatlantischen Datenübermittlungen zwischen der EU und den USA sorgen immer wieder für Unsicherheit. Politische Entscheidungen in den USA könnten das erst 2023 in Kraft getretene EU-U.S. Data Privacy Framework ins Wanken bringen – und damit auch die rechtliche Grundlage für zahlreiche Datenflüsse europäischer Unternehmen.
Die zentrale Frage lautet daher: Wie lassen sich personenbezogene Daten künftig rechtssicher verarbeiten, ohne auf ständig wechselnde internationale Abkommen angewiesen zu sein? Eine Antwort darauf sind europäische Alternativen für Software, die Datenschutz „by design“ ermöglichen – ganz ohne rechtliche Grauzonen und geopolitisches Risiko.
Hintergrund: Angemessenheitsbeschlüsse auf wackliger Basis
Schon beim Inkrafttreten im Jahr 2023 war fraglich, ob die Angemessenheitsbeschlüsse für den Datentransfer zwischen der EU und den USA ausreichen, denn sie sind weitestgehend eine Kopie von früheren Regelungen wie dem gescheiterten Privacy Shield. Die entscheidenden Schwächen vergangener Abkommen bestehen fort:
- Die Antiterrorgesetzgebung der USA, die US-Behörden Zugriff auf Daten von EU-Bürger:innen erlaubt, bleibt unangetastet. Substantielle Änderungen am US-Recht gab es nicht.
- FISA 702 erlaubt die Überwachung und Speicherung personenbezogener Daten von Nicht-US-Bürger:innen – darunter auch EU-Bürger:innen. Diese haben in den USA weder rechtliche Mittel noch Auskunftsrechte, um sich gegen diese Speicherung zu wehren.
- Das Risiko eines Wissenstransfers bei der Nutzung US-basierter Software ist real: Mit personenbezogenen Daten können auch Geschäftsgeheimnisse und europäisches Know-how in die USA transferiert und dort von Behörden eingesehen werden.
alfaview verlässt sich bewusst nicht auf die Angemessenheitsbeschlüsse, denn das Trans-Atlantic Data Privacy Framework bietet keine tragfähige rechtliche Grundlage für eine datenschutzkonforme Übermittlung von Daten in die USA.
Aktuelle politische Entwicklungen in den USA: Datenschutz erneut in Gefahr?
Der politische Umbruch in den USA bringt neue Unruhe: US-Präsident Donald Trump entließ mehrere Mitglieder des Privacy and Civil Liberties Oversight Board (PCLOB) – einem zentralen Kontrollgremium für Datenschutz in den USA. Dieses Gremium war maßgeblich an der Ausgestaltung des EU-U.S. Data Privacy Framework beteiligt. Zudem stehen mehrere zentrale Executive Orders, darunter auch die EO 14086, auf dem Prüfstand. Sie bilden die Grundlage des EU-U.S. Data Privacy Frameworks.
Die daraus resultierende Unsicherheit ist ein unkalkulierbares Risiko für europäische Unternehmen: Jede Organisation, die US-basierte Dienste nutzt – sei es für Cloud-Speicherung, Videokonferenzen oder andere Formen der Datenverarbeitung – ist potenziell betroffen. Sollte das Data Privacy Framework scheitern, drohen erneut rechtliche Unsicherheiten, mögliche Bußgelder und ein hoher Aufwand für Nachbesserungen beim Datenschutz.
Die Frage lautet also nicht, ob, sondern wann eine neue Datenschutzkrise eintritt. Unternehmen sollten die Zeit nutzen, um sich unabhängig zu machen – durch die Nutzung europäischer Software-Alternativen, die nicht nur die DSGVO vollständig einhalten, sondern auch langfristige Planungssicherheit bieten.