Im Rahmen einer länderübergreifenden Kontrolle werden Datenübermittlungen durch Unternehmen in Staaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums (Drittstaaten) überprüft. Das Ziel ist die breite Durchsetzung der Anforderungen des Europäischen Gerichtshofs in seiner Schrems-II-Entscheidung vom 16. Juli 2020 (Rs. C-311/18). Darin hat das Gericht festgestellt, dass Übermittlungen in die USA nicht länger auf Basis des sogenannten Privacy Shields erfolgen können. Der Einsatz der Standarddatenschutzklauseln für Datenübermittlungen in Drittstaaten ist ferner nur noch unter Verwendung wirksamer zusätzlicher Maßnahmen ausreichend, wenn die Prüfung des Verantwortlichen ergeben hat, dass im Empfängerstaat kein gleichwertiges Schutzniveau für die personenbezogenen Daten gewährleistet werden kann. Das Urteil des EuGH erfordert in vielen Fällen eine grundlegende Umstellung lange praktizierter Geschäftsmodelle und -abläufe.  

Die an der Kontrolle teilnehmenden Behörden schreiben nun die jeweils ausgewählten Unternehmen auf der Basis eines gemeinsamen Fragekatalogs an. Dabei wird es unter anderem um den Einsatz von Dienstleistern zum E-Mail-Versand, zum Hosting von Internetseiten, zum Webtracking, zur Verwaltung von Bewerberdaten und um den konzerninternen Austausch von Kundendaten und Daten der Beschäftigten gehen. Jede Aufsichtsbehörde entscheidet individuell, in welchen dieser Themenfelder sie tätig wird.  

Der Gerichtshof hat seine Erwartung klar formuliert, dass die Behörden unzulässige Transfers „aussetzen oder verbieten“. Das Aussetzen einer Übermittlung kann voraussichtlich in vielen Fällen im kooperativen Dialog mit den Unternehmen gelingen. Wo dies nicht möglich ist, wird mit  den zur Verfügung stehenden aufsichtsbehördlichen Maßnahmen reagiert. Die Aufsichtsbehörden sind sich der besonderen Herausforderungen, die das EuGH-Urteil zu Schrems II für die  Unternehmen in Deutschland und Europa mit sich bringt, bewusst. Sie stehen für Verständnisfragen auch im weiteren Verlauf des Prüfungsverfahrens zur Verfügung, soweit dies nach Maßgabe der vorhandenen Kapazitäten möglich ist. 

„Die Schrems II-Entscheidung des Europäischen Gerichtshofs bedingt im Hinblick auf die Übermittlung personenbezogener Daten in  Drittstaaten sowohl für Behörden als auch für Wirtschaftsakteure eine kritische Evaluierung und gegebenenfalls eine Neukonzeption der eigenen Datenverarbeitungsprozesse. Gleichermaßen werden die Datenschutzaufsichtsbehörden verpflichtet diesen Transformationsprozess zu begleiten und erforderlichenfalls zu forcieren.“, so Monika Grethel. „Ungeachtet dieser aufsichtsbehördlichen Pflicht zur Berücksichtigung und des Vollzugs der Entscheidung des Gerichtshofs, soll diese zwischen einer Mehrzahl der Landesdatenschutzbehörden koordinierte Prüfung einzelner Unternehmen gerade auch das Ziel verfolgen, auf die Problemstellungen und Handlungspflichten im Zusammenhang mit Drittlandtransfers aufmerksam zu machen.“ 

Der Fragenkatalog zu den jeweiligen Fallgruppen kann unter den zugehörigen Dateien abgerufen werden. 

Weitere Informationen: 
www.datenschutz.saarland.de  

Kontakt: 
Unabhängiges Datenschutzzentrum Saarland 
Fritz-Dobisch-Straße 12 
66111 Saarbrücken 
Telefon 0681 94781 – 0 
Telefax 0681 94781 – 29 
E-Mail medien@datenschutz.saarland.de