Wie lange hält das Data Privacy Framework?

Als Nachfolger des Privacy Shield hat die EU-Kommission das neue Regelwerk zum rechtssicheren Transfer personenbezogener Daten in die USA genehmigt. Unternehmen bietet es zunächst Rechtssicherheit, aber es sind bereits Klagen angekündigt.

Von Tobias Haar

iX-tract

Seit der Aufhebung des EU-US Privacy Shield bestand Rechtsunsicherheit bei Unternehmen, die personenbezogene Daten ins Ausland – vornehmlich die USA – übermitteln wollten. Problematisch war bisher, dass der US-amerikanische Patriot Act die Herausgabe von Daten an die US-Regierung ohne die Mitteilung an Betroffene erzwingen konnte.
Das Data Privacy Framework (DPF) soll Betroffenen in den USA jetzt weiter gehende Rechte einräumen: Zugang zu ihren Daten sowie das Recht auf Berichtigung und Löschung von unrechtmäßig verbreiteten Daten gehören dazu.
Daten empfangende Unternehmen in den USA müssen sich den DPF-Vorgaben verpflichten und im Handelsministerium registrieren, um als DSGVO-konform zu gelten.
Die Organisation NOYB um Max Schrems, die schon die Vorgängerregelungen zu Fall brachte, kündigte bereits an, zu klagen. Der neue Entwurf sei weitgehend eine Kopie des Privacy Shield.

Zweimal hat Max Schrems bereits die Regelwerke für Datentransfers von personenbezogenen Daten vor dem Europäischen Gerichtshof (EuGH) zu Fall gebracht. Schrems I und II werden die Urteile daher auch genannt. Er ist Mitgründer der Non-Profit-Organisation NOYB – European Center for Digital Rights (das NOYB steht dabei für „None Of Your Business“), die dafür kämpft, dass personenbezogene Daten eben nicht unrechtmäßig an Dritte gelangen sollen.

Nun hat die EU-Kommission mit dem neuen EU-US Data Privacy Framework (DPF) die rechtliche Basis eines geplanten Datenschutzrahmens für den Transfer personenbezogener Daten in die USA angenommen – und NOYB kündigte prompt an, dagegen zu klagen. Ein „Schrems-III-Verfahren“ ist damit nur noch eine Frage der Zeit. Dessen Ausgang ist offen und es wird Jahre dauern, bis der EuGH auch zu DPF ein Urteil gesprochen hat. Beteiligte an der Entwicklung und Umsetzung des DPF sind aber skeptisch, ob es NOYB auch dieses Mal gelingt, das DPF und damit den rechtssicheren Transfer personenbezogener Daten in die USA gerichtlich zu Fall zu bringen. Betroffene Unternehmen haben nun erst einmal ein höheres Maß an Rechtssicherheit.