Seit dem 13. Dezember 2022 liegt der Angemessenheitsbeschluss der EU-Kommision zum Transatlantic Data Privacy Framework (TDPF) vor. Endgültig fassen lässt sich der Beschluss, der in vier Säulen gegliedert ist, erst nach einem umfangreichen Verfahren.
Übersicht
1) Was ist ein Angemessenheitsbeschluss?
Die EU betrachtet die USA als Drittland, da es weder Mitglied der EU ist noch spezielle völkerrechtliche Vereinbarungen wie Island, Liechtenstein und Norwegen hat, die dem Europäischen Wirtschaftsraum (EWR) angehören. Für den EWR gelten die gleichen Datenschutzregelungen wie für EU-Mitgliedstaaten.
Nach der Datenschutz-Grundverordnung (DSGVO) dürfen personenbezogene Daten aus der EU in ein Drittland nur übermittelt werden, wenn bestimmte Voraussetzungen gemäß Kapitel V der DSGVO erfüllt sind (Artikel 44 der DSGVO). Ein Angemessenheitsbeschluss der EU-Kommission nach Artikel 45 der DSGVO ist eine Möglichkeit, die Kapitel V der DSGVO vorsieht. Wenn die Anforderungen erfüllt sind, stellt dieser Beschluss eine rechtliche Grundlage für die Übermittlung personenbezogener Daten aus der EU in das Drittland dar, auf das sich der Angemessenheitsbeschluss bezieht.
Für die USA gibt es derzeit keinen gültigen Angemessenheitsbeschluss, da der Europäische Gerichtshof den Angemessenheitsbeschluss für das Privacy Shield für ungültig erklärt hat. Daher ist eine Übermittlung von Daten in die USA nur auf Basis anderer rechtlicher Grundlagen möglich. Eine gängige Alternative sind Standardvertragsklauseln gemäß Artikel 46 Absatz 2 Buchstabe c der DSGVO. Obwohl sie praktikabel sind, erfordert ihre Nutzung mehr Aufwand als die Übermittlung auf der Grundlage eines Angemessenheitsbeschlusses. Aus diesem Grund ist es wichtig, dass bald ein Angemessenheitsbeschluss für die Beziehung zwischen der EU und den USA erreicht wird, was in der Datenschutzpraxis stark befürwortet wird.
2) Die Funktion des TDPFs
Das TDPF (Transatlantic Data Privacy Framework) ist im Wesentlichen eine Sammlung rechtlicher Zusagen der USA, die darauf abzielt, den Weg für einen Angemessenheitsbeschluss der EU-Kommission bezüglich der USA zu ebnen. Es handelt sich nicht um einen Vertrag zwischen der EU und den USA, obwohl der Inhalt des TDPF in gemeinsamen Verhandlungen zwischen beiden Parteien umfassend diskutiert und ausgehandelt wurde.
Durch die Erfüllung der vom TDPF festgelegten Voraussetzungen soll sichergestellt werden, dass die USA ein angemessenes Schutzniveau gemäß Artikel 45 Absatz 1 Satz 1 der Datenschutz-Grundverordnung (DSGVO) für Datenübermittlungen bieten, die auf der Grundlage des TDPF erfolgen. Dadurch soll es der EU-Kommission ermöglicht werden, dies in einem rechtsverbindlichen Angemessenheitsbeschluss festzustellen.
3) Der aktuelle Stand
Es wird allgemein erwartet, dass der Angemessenheitsbeschluss bis Ende Juli 2023 verabschiedet wird, also noch vor der üblichen Sommerpause der EU-Organe. Dies geht zumindest aus der Arbeitsplanung der Europäischen Kommission hervor, wie bei Äußerungen während des 7. Deutsch-Amerikanischen Datenschutztags am 19. April 2023 in München deutlich wurde. Dies ist der aktuelle Stand (April 2023):
Säule 1: Stellungnahme des EDSA / EDPB
Bei der 74. Sitzung des Europäischen Datenschutzausschusses (EDSA) am 17. Januar 2023 präsentierte die EU-Kommission dem EDSA einen Entwurf für einen Angemessenheitsbeschluss. In der 75. Sitzung am 14. und 15. Februar 2023 wurde dieser Entwurf erstmals eingehend diskutiert. Am 28. Februar verabschiedete der Ausschuss in seiner 76. Sitzung seine endgültige Stellungnahme zum Entwurf, die 54 Seiten umfasst und vorerst nur auf Englisch verfügbar ist. Diese Stellungnahme kann hier abgerufen werden.
Zusammenfassend kann man sagen, dass der EDSA viele positive Aspekte sieht, jedoch eine Vielzahl von Verbesserungen und Klarstellungen wünscht. Die Stellungnahme des EDSA ist für die EU-Kommission nicht bindend.
Säule 2: Stellungnahme des Europäischen Parlaments zum TDPF
Die Diskussionen zu diesem Thema haben im zuständigen Ausschuss des Europäischen Parlaments, dem Ausschuss für bürgerliche Freiheiten, Justiz und Inneres (LIBE), am 1. März 2023 begonnen. Die Tagesordnung für diese Sitzung am 1. März 2023, Punkt 4, kann hier eingesehen werden. In dieser Sitzung präsentierte Andrea Jelinek, die Vorsitzende des EDSA, den Entwurf der Stellungnahme des EDSA (siehe Punkt 5 der Tagesordnung).
Gegenstand der Diskussionen ist der Entwurf eines Entschließungsantrags zum Angemessenheitsbeschluss. Dieser Entwurf liegt seit dem 14. Februar 2023 vor und kann auf Deutsch hier abgerufen werden.
Die Abkürzung „LIBE“ leitet sich vom englischen Begriff „Liberties“ ab und steht für den Ausschuss für bürgerliche Freiheiten, Justiz und Inneres. Rechtlich gesehen ist nicht die Stellungnahme dieses Ausschusses nach außen hin bindend, sondern die Stellungnahme des Plenums des Europäischen Parlaments. Diese Stellungnahme ist jedoch auch nicht bindend für die EU-Kommission. Die Plenardiskussionen finden statt, nachdem die Ausschussberatungen abgeschlossen sind.
Säule 3: Ausschuss der Mitgliedstaten
Die Diskussionen in diesem Ausschuss haben noch nicht begonnen. Die Meinung dieses Ausschusses ist für die EU-Kommission verbindlich.
Ohne die Zustimmung dieses Ausschusses kann die EU-Kommission keinen Angemessenheitsbeschluss treffen.
Säule 4: Angemessenheitsbeschluss der EU-Kommission
Die EU-Kommission kann einen solchen Beschluss erst treffen, nachdem der Ausschuss der Mitgliedstaaten dem Entwurf des Angemessenheitsbeschlusses zugestimmt hat.
4) Fazit
Noch ist der Angemessenheitsbeschluss nicht verabschiedet. Über weitere Updates werden wir Sie hier informieren.
Melden Sie sich gerne bei uns, falls Sie weitere Fragen haben.
Quelle: Viele der Gedanken hier haben wir aus der Zeitschrift „Datenschutz-Praxis“, Ausgabe 04/2023