Nach dem EuGH Urteil “Schrems II” (C-311/18) mit dem der Angemessenheitsbeschluss betreffend des Privacy Shield Abkommen aufgehoben wurde, konnten Datenübermittlungen in die USA nicht mehr auf das Privacy Shield Abkommen gestützt werden. Das Grundproblem beseht in einem fehlenden Rechtsschutz und dem Recht auf einem Richter für EU-Bürger in den USA, wie er durch die EMRK vorgesehen ist. Betreffend der Standardvertragsklauseln, stellte der EuGH fest, dass es zusätzliche Garantien brauche, damit diese ausreichen und dies im Einzelfall zu beurteilen sei. Als Reaktion auf diese Urteil beschloss die EU Kommission neue Standardvertragsklauseln, die unter anderem ein verpflichtendes Data Transfer Impact Assessment (DTIA, Datenübermittlungs-Folgenabschätzung) erfordern.
Wie ein solches DTIA zu einem positiven Ergebnis kommen kann, wird aber in jenen Fällen, in denen der amerikanische Empfänger den einschlägigien Überwachungsgesetzen unterliegt, zweifelhaft sein. Daher gibt es eigentlich nur 4 Lösungsmöglichkeiten:
- Die USA ändern ihre Überwachungsgesetze
- Die EU ändert die EMRK bzw. ERC
- Es wird ein neues Abkommen zwischen den USA und der EU geschlossen, auf dem solche Datenübermittlungen durchgeführt werden
- Der Datenexporteur versucht so viele Maßnahmen wie möglich dem Datenimporteur aufzuerlegen oder soweit möglich selbst zu ergreifen, damit die Übermittlung möglichst rechtskonform ist.
Die ersten beiden ALternativen erscheinen nicht realistisch, die letzte Alternative wird zum Teil technsich schwierig umzusetzen sein.
Bezüglich eines neuen Abkommens, gibt es schon länger Verhandlungen. Zuletzt zeigten sich die EU Kommission und die USA im Frühjahr optimisitisch, dass es zu einer Lösung kommt. Am 10.7 hat der amerikansiche Präsident Biden eine Executive Order erlassen, die einen Ombudsmann und eine zweite Instanz in Form eines “Data Protection Review Court” vorsieht. Es gibt aber bereits Kritik, an der fehlenden Unabhängikeit und dass die Entscheidung der Berufungsinstanz bereits vordefiniert sei. Es liegt nun an der EU-Kommission, ihrerseits diese Anordnug zu prüfen und mit der USA ein entsprechendes Abkommen zu schließen. Diese wird wohl nicht vor nächstem Frühjahr zu erwarten sein.
Sollte es zu einem neuerlichen Abkommen (dem dritten nach Safe Harbour und Privacy Shield) kommen, so schient eine erneute Anfechtung vor dem EuGH bei derzeitigem Kenntnisstand nicht unwahrscheinlich. Bis zur Entscheidung durch den EuGH wird diese aber wieder als Rechtsgrundlage herangezogen werden. Da auch schon in der Vergangenheit, sich die US – Konzerne nicht ausschließlich auf Privacy Shield gestützt haben sondern auch Standardvertragsklauseln zum Vertragsinahlt geamcht haben, damit bei Wegfall einer Rechtsgrundlage, eine weitere bestehen bleibt, werde nauch in Zukunft von den Datenexporteuren (also den europäischen Verantwortlichen gemäß DSGVO) DTIAs durchzuführen sein.