Viele US-Unternehmen berufen sich nach dem Scheitern des Privacy Shield nun auf die Standardvertragsklauseln (SCC).
Aber auch die BCR (Binding Corporate Rules) sowie die SCC (Standard Contractual Clauses) wurden in Bezug auf die USA zwar nicht wie das Privacy Shield gekippt, aber es wurde festgestellt, dass auch hier kein Schutz gegen Geheimdienstzugriffe besteht (siehe Pressemitteilung der DSK), weshalb in beiden Fällen zusätzliche Maßnahmen ergriffen werden müssen um tatsächlich hier rechtssicher zu sein, sofern es sich bei dem Unternehmen um einen Telekommunikationsanbieter (gem. Foreign Intelligence Surveillance Act (FISA)) handelt.
Dass Daten laut Anbieter gar nicht in die USA transferiert werden (Server alle in der EU) ist dabei unerheblich, sofern die Mutter in den USA Zugriff hat, haben diese auch die Geheimdienste in den USA.

EINZELFALLPRÜFUNG

Die Einzelfallprüfung, die man hier vornehmen sollte ist folgende (siehe hierzu auch Orientierungshilfe der Aufsichtsbehörde BW):

Eine Übermittlung von Daten mithilfe der Standardvertragsklauseln ist in die USA (dies betrifft auch andere Staaten wie Russland, China, Indien,…) nur mithilfe zusätzlicher Garantien (z.B. Verschlüsselung und Anonymisierung,…) möglich. Dies hilft aus Sicht des LfDI BW derzeit jedoch nur in einer eng begrenzten Zahl von Fallkonstellationen und stellt daher keine Lösung für die Mehrzahl der Datentransfers in die USA dar.

Fehlt es an wirksamen zusätzlichen Garantien sollten Sie, um wenigstens Ihren Willen zu rechtskonformem Handeln zu demonstrieren und zu dokumentieren, Kontakt mit dem jeweiligen Empfänger der Daten aufnehmen (Versand dieser Checkliste) und sich insbesondere über folgende Ergänzungen der Bestimmungen der Standardvertragsklauseln verständigen, die Sie am besten in einer gesonderten Vereinbarung oder im Hauptvertrag festhalten sollten

• Ergänzung Anhang Klausel 4f: Information der betroffenen Person nicht nur bei der Übermittlung besonderer Datenkategorien, sondern bei jeglicher Datenübermittlung (vor oder so bald wie möglich nach der Übermittlung), dass ihre Daten in ein Drittland übermittelt werden, das kein angemessenes Schutzniveau im Sinne der Verordnung (EU) 2016/679 bietet.
• Ergänzung Anhang Klausel 5d i: Pflicht des Datenimporteurs, nicht nur den Datenexporteur, sondern soweit bekannt auch die betroffene Person unverzüglich zu informieren über alle rechtlich bindenden Aufforderungen einer Vollstreckungsbehörde zur Weitergabe der personenbezogenen Daten; Aufnahme dieser Ergänzung in die Drittbegünstigung, ergänzend zu Klausel 3 Abs. 2 Ist diese Informationsweitergabe anderweitig untersagt, beispielsweise durch ein strafrechtliches Verbot zur Wahrung des Untersuchungsgeheimnisses bei strafrechtlichen Ermittlungen, müssen Sie sich mit der Aufsichtsbehörde LfDI in Verbindung setzen und das weitere Vorgehen abklären; in diesen Fällen ist der Datenimporteur zu verpflichten, regelmäßig dem Datenexporteur allgemeine Informationen über erhaltene Anfragen von Behörden zu unter diesem Vertrag verarbeitete personenbezogene Daten zur Verfügung zu stellen (zumindest Anzahl der Anträge, Art der angefragten Daten, ersuchende Stelle).
• Ergänzung von Anhang Klausel 5 d um die Verpflichtung des Datenimporteurs, den Rechtsweg gegen eine Weitergabe von personenbezogenen Daten zu beschreiten und die Offenlegung der personenbezogenen Daten gegenüber den jeweiligen Behörden zu unterlassen, bis er von einem zuständigen Gericht letztinstanzlich zur Offenlegung rechtskräftig verurteilt wurde; Aufnahme dieser Ergänzung in die Drittbegünstigung, ergänzend zu Klausel 3 Abs. 2
• Ergänzung von Anhang Klausel 5 h um die Verpflichtung des Datenimporteurs, soweit dieser ihm bekannt ist auch den Betroffenen von der Vergabe eines Verarbeitungsauftrags an einen Unterauftragsverarbeiter zu benachrichtigen; Aufnahme dieser Ergänzung in die Drittbegünstigung, ergänzend zu Klausel 3 Abs. 2
• Ergänzung von Klausel 6 um den Zusatz, dass die betroffene Person, die durch eine Verletzung der in Klausel 3 oder 11 genannten Pflichten durch eine Partei oder den Unterauftragsverarbeiter Schaden erlitten hat, nicht nur berechtigt ist, vom Datenexporteur Schadenersatz für den erlittenen Schaden zu erlangen, sondern auch vom Datenimporteur.
• Aufnahme einer Verpflichtung des Datenimporteurs, den Betroffenen verschuldensunabhängig von allen Schäden freizustellen, die durch den Zugriff von Stellen seines Staates auf die Daten der Betroffenen entstehen.
  Aufnahme des in Anhang 2 genannten Beispiels für eine Entschädigungsklausel: Haftung: Die Parteien erklären sich damit einverstanden, dass, wenn eine Partei für einen Verstoß gegen die Klauseln haftbar gemacht wird, den die andere Partei begangen hat, die zweite Partei der ersten Partei alle Kosten, Schäden, Ausgaben und Verluste, die der ersten Partei entstanden sind, in dem Umfang ersetzt, in dem die zweite Partei haftbar ist. Die Entschädigung ist abhängig davon, dass a) der Datenexporteur den Datenimporteur unverzüglich von einem Schadensersatzanspruch in Kenntnis setzt und b) der Datenimporteur die Möglichkeit hat, mit dem Datenexporteur bei der Verteidigung in der Schadensersatzsache bzw. der Einigung über die Höhe des Schadensersatzes zusammenzuarbeiten.
• überprüfen, ob Sie sich auf verbindliche interne Datenschutzvorschriften gemäß Artikel 47 (Binding Corporate Rules BCRs) berufen können; auch hier können – wie im Falle der Standardvertragsklauseln – zusätzliche Garantien erforderlich sein. Wesentliche Änderungen der BCR müssen der zuständigen Aufsichtsbehörde zur erneuten Genehmigung vorgelegt werden.

BETRIFFT DIES AUCH WEBSEITEN- UND KONFERENZTOOLS?

Betrifft diese Entscheidung jetzt auch den Einsatz von Google Analytics, Facebook Custom Audience oder auch Zoom und Microsoft Teams?Hierzu äußert sich die Aufsichtsbehörde leider nicht, es gibt aber hier durchaus die dogmatische Ansicht etlicher Experten (dazu zählt auch Kristin Benedikt, ehemals Referatsleiterin am BayLDA, jetzt Richterin am Verwaltungsgericht Regensburg), die hierin keine Datenübertragung sehen da der Anbieter in diesem Fall die Daten selbst (unmittelbar) erhebt und keine Übermittlung vorliegt, was somit garnicht von Art. 49 DSGVO erfasst wird. Die Aufsichtsbehörden prüfen diese Ansicht aktuell auch. Hierzu halten wir Sie auf dem Laufenden.