Der Europäische Datenschutzausschuss (EDSA) hat Anfang März 2023 eine Stellungnahme zum Entwurf des Angemessenheitsbeschlusses der Europäischen Kommission zum EU‐US‐Datenschutzrahmen (sog. EU‐U.S. Data Privacy Framework) verabschiedet.
Hintergrund
Im Dezember 2022 veröffentlichte die Europäische Kommission den Entwurf eines Beschlusses über die Angemessenheit des Schutzniveaus personenbezogener Daten nach dem EU‐U.S. Data Privacy Framework. Mit dem Beschlussentwurf wird ein neuer Datenschutzrahmen zwischen der EU und den USA geschaffen, der den früheren Angemessenheitsbeschluss der USA (Privacy Shield) ersetzen soll. Letzterer war im Juli 2020 vom EuGH in seinem Urteil in der Rechtssache Schrems II für ungültig erklärt worden.
Der Beschlussentwurf der Europäischen Kommission folgt auf Maßnahmen, die die US‐Regierung im Oktober 2022 ergriffen hat. Hierzu gehört insbesondere die Exekutivverordnung über die Verbesserung der Garantien für US‐Signalspionagetätigkeiten (Executive Order (EO) 14086). Durch diese Maßnahmen sollten die beiden im Schrems II‐Urteil genannten Hauptprobleme gelöst werden, nämlich die fehlende Verhältnismäßigkeit und das Fehlen wirksamer Rechtsbehelfe in den USA in Bezug auf Überwachungsmaßnahmen. Der EDSA sieht in diesen Punkten erhebliche Verbesserungen durch die Executive Order (EO) 14086. Die EO führt die Konzepte der Notwendigkeit und Verhältnismäßigkeit in Bezug auf die nachrichtendienstliche Sammlung von Daten durch die USA (Signals Intelligence) ein. Außerdem schafft der neue Rechtsbehelfsmechanismus Rechte für EU‐Bürgerinnen und –Bürger und unterliegt der Überprüfung durch das Privacy and Civil Liberties Oversight Board (PCLOB).
Stellungnahme Aufsichtsbehörden
In seiner Stellungnahme von Ende Februar 2023 begrüßt der EDSA zum einen wesentliche Verbesserungen wie (i) die Einführung von Anforderungen an Notwendigkeit und Verhältnismäßigkeit für die nachrichtendienstliche Datenerhebung in den USA sowie (ii) den neuen Rechtsbehelfsmechanismus für betroffene Personen aus der EU.
Gleichwohl findet der EDSA auch kritische Töne. So äußert der EDSA Bedenken und bittet um Klarstellungen zu mehreren Aspekten. Diese betreffen insbesondere bestimmte Rechte betroffener Personen, die Weiterübermittlung personenbezogener Daten, den Umfang der Ausnahmen, die vorübergehende Massenerfassung von Daten und die praktische Funktionsweise des Rechtsbehelfsmechanismus. Der EDSA betont, dass die praktische Anwendung der Grundsätze der Notwendigkeit und Verhältnismäßigkeit genau überwacht werden müssten. Weitere Klarheit sei auch in Bezug auf die vorübergehende Massenerhebung und die weitere Speicherung und Verbreitung der in großen Mengen erhobenen Daten erforderlich. Der EDSA äußert auch Bedenken hinsichtlich des Fehlens einer vorherigen Genehmigung durch eine unabhängige Behörde für die Erhebung von Massendaten im Rahmen der Executive Order 12333 sowie des Fehlens einer systematischen unabhängigen nachträglichen Überprüfung durch ein Gericht oder eine gleichwertige unabhängige Stelle.
Die vollständige Stellungnahme des EDSA ist in englischer Sprache abrufbar unter:
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) unterstützt die Position des EDSA. Für einen umfassenden Grundrechtsschutz sei es wichtig, dass das Schutzniveau auch in diesen Fällen gleichwertig mit dem in der EU garantierten Datenschutzniveau sei. Der EDSA habe unter Beteiligung deutscher Aufsichtsbehörden das in dem EU‐U.S. Data Privacy Framework beschriebene Schutzniveau sorgfältig geprüft. Die DSK äußerte sich positive zu den erzielten Fortschritten und brachte der Hoffnung Ausdruck, dass die verbliebenen offenen Punkte nun ebenfalls geklärt würden.
Quelle: PM DSK vom 01.03.2023 (online abrufbar)
