Die EU-Datenschutzgrundverordnung bringt auch einige Neuerungen in Sachen Transfer von personenbezogenen Daten in sogenannte „Drittländer“, also Länder außerhalb der EU. Der Arbeitskreis „Datenschutz International“ der Gesellschaft für Datenschutz und Datensicherheit e. V. (GDD) hat hierzu nun ein Whitepaper veröffentlicht, das einen Überblick darüber schaffen möchte, was sich für Datenverarbeitung nach Anwendung der DS-GVO ab dem 25.05.2018 ändert bzw. wo die neuen Herausforderungen liegen.
RAHMENBEDINGUNGEN
Wie das Whitepaper bestätigt, werden bereits „in der EU-Datenschutzrichtlinie vorhandene oder durch die aufsichtsbehördliche Praxis entwickelte Instrumente [bestätigt werden] und in ihren Vorgaben teilweise erweitert (vgl. Angemessenheitsbeschlüsse) bzw. gesetzlich konkretisiert (vgl. verbindliche interne Datenschutzvorschriften).“ Die Empfehlung der GDD lautet deshalb hier das Hauptaugenmerk für datenverarbeitende Stellen zunächst auf die Gültigkeit bestehender Beschlüsse bzw. Garantien zu legen. Hierzu muss man sich ändernde Beschlüsse der Kommission, Beschwerden von Betroffenen, Stellungnahmen bzw. Handlungen von Aufsichtsbehörden oder Entscheidungen des EuGH im Auge behalten.
INTERNATIONALE ORGANISATION
Neben dem Drittland gibt es in der EU-DSGVO nun auch den Begriff der „internationalen Organisation“ ein, wobei diese durch mindestens zwei Staaten oder andere Völkerrechtssubjekte auf Dauer hinsichtlich der Erfüllung überstaatlicher Aufgaben gebildet wird und damit nicht mit internationalen Unternehmensgruppen beispielsweise des Privatrechts gleichzusetzen ist.
HÖHERE STRAFEN
Bei unerlaubtem Datenübermittlung in ein Drittland oder an eine Internationale Organisation ohne entsprechendes Schutzniveau, fallen die Strafen zukünftig noch höher aus: Das Bußgeld kann bis zu 20.000.000 EUR oder im Fall eines Unternehmens mit bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorausgegangenen Geschäftsjahres geahndet werden, je nachdem, welcher der Beträge höher ist.
ANGEMESSENHEITSBESCHLUSS
Laut Art. 45 Abs. 1 der EU-DSGVO wird festgelegt: Besteht für die internationale Organisation oder das Drittland ein Angemessenheitsbeschluss der EU-Kommission, soll das durch die DS-GVO etablierte Schutzniveau auch beim Empfänger gewahrt sein. Datenexporte an Empfänger im Geltungsbereich eines Angemessenheitsbeschlusses bedürfen dann auch keiner Genehmigung der zuständigen Aufsicht. Um die Angemessenheit des Schutzniveaus zu prüfen, gibt die EU-DSGVO Parameter voran die sich die EU-Komission halten muss. Wobei die Kommission alle 4 Jahre die getroffenen Beschlüsse wieder überprüfen muss. Darüber hinaus hat die Kommission die Pflicht das Datenschutzniveau des Drittlandes bzw. der Internationalen Organisation zu überwachen.
DIE BCR IM LICHT DER EU-DSGVO
Die BCR werden in der EU-DSGVO zwar konkret nicht angesprochen, aber es lassen sich in Art. 47 konkrete Anforderungen an diese finden: „Demnach soll es Mitgliedern einer Unternehmensgruppe aber auch einer Gruppe von Unternehmen möglich sein, mittels durch die zuständige Aufsicht im Kohärenzverfahren genehmigter interner Datenschutzvorschriften personenbezogene Daten an Empfänger in Drittländer zu übermitteln. Die nunmehr gesetzliche Berücksichtigung von BCRs verhilft nunmehr zu deren Gültigkeit auch in den Mitgliedstaaten, in denen die BCRs derzeit keine anerkannte Garantie für den Drittlandtransfer darstellen.“
EU STANDARDVERTRAGSKLAUSELN
Die EU-Standarddatenschutzklauseln werden weiterhin als geeignete Garantien für die Datenübermittlung in ein Drittland oder an eine internationale Organisation anerkannt. Wie das GDD-Whitepaper bestätigt, besteht keine „besondere
Genehmigungspflicht für den Einsatz der Standarddatenschutzklauseln, (…) wodurch die bisherige uneinheitliche Rechtslage auf nationaler Ebene mit bestehenden Genehmigungs- bzw. Vorlagepflichten10 harmonisiert wird.“
ZERTIFIZIERUNGEN UND VERHALTENSREGELN
Mit der EU-DSGVO wird es auch möglich sein, sich ein angemessenes Schutzniveau durch gemäß Art. 40 genehmigte Verhaltensregeln oder gemäß Art. 42 genehmigte Zertifizierungen bescheinigen zu lassen.
AUSNAHMEN
Die DS-GVO enthält aber auch einige wenige Ausnahmen vom grundsätzlich geforderten angemessenen Schutzniveau beim Datenempfänger außerhalb des Europäischen Wirtschaftsraums. Eine davon ist die Einwilligung des Betroffenen, die aber nun ausdrücklich zu sein hat und und über bestehende mögliche Risiken für Datenübermittlungen aufklären muss.
Weitere Ausnahmen, sowie ausführlichere Details können Sie im kostenlosen GDD Whitepaper zu den Drittlandtransfers in der EU-Datenschutz-Grundverordnung nachlesen.