Privacy Harbour oder Safe Shield?

Einen "großen Durchbruch" für den internationalen Datenverkehr
hatten US-Präsident Joe Biden und EU-Kommissionspräsidentin Ursula
von der Leyen Ende März versprochen. In einer gemeinsamen
Pressekonferenz vermeldeten sie eine "grundsätzliche Einigung" für
ein neues Datenschutzabkommen, nachdem das Privacy Shield 2020 vom
Europäischen Gerichtshof für rechtswidrig und damit unwirksam
erklärt worden war. Mit ihrer Erklärung weckten die beiden
Spitzenpolitiker große Hoffnungen bei Unternehmen dies- und
jenseits des Atlantiks. Zu recht? Dieser Frage gehen Holger und
Joerg in Episode 59 nach. Als Gast in dieser Folge schätzt Prof.
Alexander Golland die Lage kompetent ein. Alexander lehrt, forscht
und publiziert schwerpunktmäßig zum deutschen und europäischen
Datenschutzrecht. Er hält eine Professur für Wirtschaftsrecht an
der Fachhochschule Aachen. Zunächst klären die drei, welche
Voraussetzungen für einen sicheren Datentransfer in Staaten
außerhalb der EU gegen sein müssen: Nach Art. 45 DSGVO muss die
EU-Kommission einen sogenannten Angemessenheitsbeschluss
verabschieden, in dem dem Zielland ein dem der EU ähnliches
Datenschutzniveau attestiert wird. Dies sst beispielsweise für die
Schweiz, Kanada, Neuseeland oder Japan der Fall. Warum die
Kommission nach dem Brexit sehr eilig einen befristeten
Angemessenheitsbeschluss mit dem Vereinigten Königreich (UK)
herbeigeführt hat, erklärt Alexander ausführlich. Außerdem
schildert er detailliert, wie steinig und zeitraubend der formale
Weg zu einem neuen Angemessenheitsbeschluss zur Datensicherheit in
den USA sein wird. Deshalb dämpft er die Erwartungen für eine
baldige neue Rechtsgrundlage: "Vor 2023 wird das eher nicht
klappen", lautet seine Prognose, die sich mit der vieler anderen
Experten deckt. Viele Unternehmen bringt das nun in eine schwierige
Situation: Bis Ende 2022 müssen sie ihren Datentransfer mit den
Juni 2021 aktualisierten Standard-Vertragsklauseln (SCC) rechtlich
absichern. Dann sind sie auch verpflichtet, eine Risikoabschätzung
im Rahmen eines Transfer Impact Assessments (TIA) vorzuhalten - was
erhebliche zusätzliche Kosten verursacht. Die SCC-Vertragsparteien
müssen darin darstellen, dass der Empfänger der Daten im Drittland
in der Lage ist, den rechtlichen Anforderungen nachzukommen. Was
also tun? Sollten die Unternehmen darauf vertrauen, dass die
EU-Kommission bis dahin einen Beschluss zustande bekommt - oder
sollten sie doch vorbeugend in den sauren, teuren Apfel beißen?
Alexander gibt im Podcast Hinweise.