Der frühere Angemessenheitsbeschluss zum EU-US-Datenschutzschild war am 12.07.16 durch die EU-Kommission angenommen worden und erlaubte die freie Datenübermittlung an Unternehmen, die in den USA unter dem Privacy Shield zertifiziert waren. In seiner Schrems II-Entscheidung vom 16.07.20 (Az. C-311/18) erklärte der EuGH den Angemessenheitsbeschluss für ungültig. Seither ist das Privacy Shield kein gültiger Mechanismus mehr für die Übermittlung personenbezogener Daten aus der EU in die USA.
Nach dem Paukenschlag durch die Schrems II-Entscheidung, wollen die EU und die USA wieder mehr Verlässlichkeit im transatlantischen Datenverkehr. Die EU-Kommission und die US-Regierung haben deshalb Verhandlungen über eine Nachfolgeregelung für das EU-US-Datenschutzschild aufgenommen, um dem Urteil des EuGH nachzukommen. Am 25.03.22 gaben die EU-Kommission und die Vereinigten Staaten bekannt, dass sie sich im Grundsatz auf ein neues transatlantisches Rahmenabkommen geeinigt haben. Am 07.10.22 unterzeichnete Präsident Biden eine diesbezügliche Durchführungsverordnung (Executive Order).
Im nächsten Schritt ist nun die EU-Kommission am Zuge. Sie muss die Executive Order akzeptieren und einen Entwurf für einen Angemessenheitsbeschluss ausarbeiten und anschließend das Annahmeverfahren einleiten. Dieser Angemessenheitsbeschluss wird aber frühestens für März 2023 erwartet.
Mit dem neuen EU-US Data Privacy Framework soll eine tragfähige Rechtsgrundlage geschaffen werden, die den Datenaustausch zwischen der EU und den USA dauerhaft sicherstellt. Ziel ist die vollständige Umsetzung der vom EuGH in der Schrems II-Entscheidung aufgestellten Anforderungen.
Für Europäer, deren personenbezogene Daten in die USA übermittelt werden, sieht die neue Executive Order vor:
- Verbindliche Garantien, die den Zugriff auf Daten durch US-Geheimdienste auf das beschränken, was zum Schutz der nationalen Sicherheit notwendig und verhältnismäßig ist;
- die Einrichtung eines unabhängigen und unparteiischen Rechtsbehelfsmechanismus, zu dem auch ein neues Prüfungsgericht (Data Protection Review Court – DPRC) gehört, das Beschwerden über den Zugriff der nationalen Sicherheitsbehörden der USA untersuchen soll
Ob das den EuGH überzeugen wird oder das neue Data Privacy Framework einer künftigen „Schrems III-Entscheidung“ des EuGH zum Opfer fällt, steht in den Sternen. Nun gilt es erst einmal abzuwarten, wann und ob der Angemessenheitsbeschluss der EU-Kommission ergeht.