Das sogenannte "Privacy Shield Abkommen" zwischen der EU und den USA regelt den Austausch von personenbezogenen Daten zwischen den beiden Partnern. Der Europäische Gerichtshof hat am 16. Juli 2020 das Privacy Shield Abkommen für unwirksam erklärt.
Was bedeutet das EuGH-Urteil für die Praxis?
Beim Einsatz von gängigen Software-Produkten (z.B. Windows 10) und beim Einsatz von zahlreichen Online-Diensten (wie z.B. Videokonferenzen mit Zoom, Webex oder MS Teams) werden personenbezogene Daten in die USA übermittelt. Diese Datenübermittlung wurde bisher u.a. durch das sogenannte Privacy Shield Abkommen legitimiert.
Mit Wegfall des Abkommens entfällt auch die Rechtsgrundlage zur Übermittlung der Daten in die USA und damit auch zur Nutzung der genannten Angebote. Der EuGH führt in seinem Urteil zwar aus, dass Unternehmen in der EU, die Daten in die USA übermitteln, durch sogenannte "Standardvertragsklauseln" Vereinbarungen zum Datenschutz mit den US-Unternehmen treffen können. Diese Vereinbarungen müssen aber besondere Maßnahmen zum Datenschutz garantieren (z.B. den Schutz von Daten vor dem Zugriff durch US-Behörden), die in der Praxis nur schwer umsetzbar sein dürften.
Was sollten Unternehmen und Vereine nun machen?
Unternehmen und Vereine sollten in einem ersten Schritt prüfen, ob sie Software-Produkte oder Online-Dienste einsetzen, die personenbezogene Daten in die USA übermitteln. In einem zweiten Schritt sollten sie prüfen, ob es sich bei den übermittelten Daten um sensible personenbezogene Daten handelt (z.B. Daten von Klient*innen) oder lediglich um Nutzungsdaten.
Die Übermittlung von sensiblen personenbezogenen Daten in die USA z.B. durch die Nutzung von us-amerikanischen Cloud-Speicherdiensten oder die Nutzung entsprechender Videokonferenz-Portale für persönliche Beratungsgespräche, sollte umgehend eingestellt werden, z.B. durch den Umstieg auf einen EU-Dienstleister.
Alle weiteren Programme von us-amerikanischen Anbietern (z.B. Windows 10) sollten so konfiguriert werden, dass die Übermittlung von personenbezogenen Daten und Nutzungsdaten in die USA soweit wir möglich unterbunden werden.
Weiter sollte der Datenschutzverantwortliche des Vereins für den Einsatz jeder eingesetzten us-amerikanischen Software bzw. für die Nutzung jedes Online-Angebots eine "Gefährdungsbeurteilung" erstellen und dabei sowohl das Schutzniveau und die mögliche Gefährung der betroffenen Personen erheben, als auch die daraus resultierende Technikgestaltung gemäß Art. 25 Abs. 1 DSGVO bzw. weitere organisatorische Maßnahmen festlegen.
Mitglieder des Paritätischen MV erhalten im Arbeitskreis Datenschutz weitere Informationen und die Möglichkeit zum Erfahrungsaustausch. Darüber hinaus ist eine Abstimmung mit dem Landesbeauftragten für Datenschutz zu der Thematik geplant.