Datenschutz weltweit: Globale Standards und Datentransfer

Weltweit uneinheitliches Datenschutzniveau

In einer zunehmend digitalisierten Welt ist der Schutz personenbezogener Daten ein zentrales Thema. Viele Unternehmen agieren weltweit und personenbezogene Daten werden über Ländergrenzen hinweg verarbeitet. Das Datenschutzniveau weltweit ist jedoch sehr uneinheitlich ausgeprägt: Während einige Länder umfassende Datenschutzgesetze erlassen haben, fehlen in anderen grundlegende Schutzvorschriften für personenbezogene Daten. Die Europäische Union hat sich in diesem Rahmen mit der im Mai 2018 in Kraft getretenen Datenschutz-Grundverordnung (DSGVO) als ein Vorreiter des Datenschutzes positioniert und neue Standards etabliert. Da das Datenschutzniveau weltweit sehr unterschiedlich ist, stellt für europäische Unternehmen der grenzüberschreitende Datentransfer in sogenannte Drittländer oftmals eine große Herausforderung dar. Die DSGVO erlaubt die Übermittlung personenbezogener Daten in Länder außerhalb des Europäischen Wirtschaftsraums (EWR) nur unter bestimmten Bedingungen. Ziel ist es, sicherzustellen, dass das Datenschutzniveau auch im Drittland dem europäischen Standard entspricht.

Datenübermittlung in Drittländer

Die DSGVO enthält in Kapitel 5 (Art. 44 - 50) Regelungen zum Datentransfer in Drittländer beziehungsweise Länder außerhalb des Europäischen Wirtschaftsraums. In Anlehnung an Art. 44 ff. DSGVO dürfen personenbezogene Daten nur dann in Drittländer übermittelt werden, wenn ein angemessenes Datenschutzniveau gewährleistet ist. Grundsätzlich stehen hierfür drei rechtliche Mechanismen zur Verfügung. Der erste ist der Angemessenheitsbeschluss nach Art. 45 DSGVO: Die europäische Kommission kann feststellen, dass ein Drittland ein angemessenes Datenschutzniveau bietet. Liegt ein solcher Beschluss vor, dürfen Daten ohne weitere Genehmigungen übermittelt werden. Zweitens können Unternehmen auf Standarddatenschutzklauseln nach Art. 46 DSGVO zurückgreifen. Diese von der EU-Kommission vorgegebenen Vertragsmuster verpflichten den Empfänger im Drittland zur Einhaltung eines angemessenen Datenschutzniveaus. Drittens erlaubt Art. 49 DSGVO in Ausnahmefällen eine Datenübermittlung, etwa wenn die betroffene Person ausdrücklich eingewilligt hat oder die Übermittlung zur Vertragserfüllung notwendig ist. Diese Ausnahmeregelungen sind jedoch eng auszulegen und nur für gelegentliche Übermittlungen gedacht.

Die USA als Sonderfall

Die USA stehen seit Jahren im Fokus diverser Datenschutzdebatten. Der Europäische Gerichtshof (EuGH) hat zwei Abkommen zur Datenübermittlung – Safe Harbor (2015) und Privacy Shield (2020) – wegen unzureichenden Datenschutzstandards für nichtig erklärt. Hauptkritikpunkt war die weitreichende Zugriffsmöglichkeit der US-Behörden auf personenbezogene Daten.

Nach dem Scheitern der Vorgängerregelungen hat die Europäische Kommission im Juli 2023 das neue EU-U.S. Data Privacy Framework (oftmals auch als Privacy Shield 2.0 bezeichnet) im Rahmen eines Angemessenheitsbeschluss im Sinne des Art. 45 DSGVO angenommen und damit bestätigt, dass personenbezogene Daten aus der EU in die USA übermittelt werden dürfen, wenn sie an Organisationen gehen, die sich diesem Rahmen unterwerfen.

Zentraler Bestandteil des neuen Abkommens ist ein zweistufiger Rechtsschutzmechanismus, der europäische Betroffene vor unrechtmäßigen Datenzugriffen durch US-Behörden schützen soll.

1. Auf der ersten Stufe können EU-Staatsangehörige eine Beschwerde bei der Datenschutzbehörde ihres Heimatstaates einreichen, die diese dann an einen Civil Liberties Protection Officer (CLPO) des US Intelligence Coordination Center (Nationales Koordinationszentrum für Nachrichtendienste) weiterleitet. Der CLPO prüft, ob ein Datenschutzverstoß vorliegt und kann verbindliche Abhilfemaßnahmen treffen.

2. Auf der zweiten Stufe besteht für EU-Bürger:innen die Möglichkeit, die Entscheidung des CLPO von einem Data Protection Review Court (Datenschutzgericht) überprüfen zu lassen. Der Data Protection Review Court ist zwar nicht Teil der Judikative, soll aber innerhalb der Exekutive unabhängig agieren. EU-Bürger können am Verfahren nicht teilnehmen, sondern werden von einem vom Datenschutzgericht bestellten Rechtsanwalt vertreten. Im Rahmen der Überprüfung der Entscheidung des CLPO ist das Gericht befugt, entsprechende Informationen von den US-Geheimdiensten einzuholen. Nach Abschluss des gerichtlichen Überprüfungsverfahren wird die Entscheidung dem Beschwerdeführer mitgeteilt.

Wohin steuert der weltweite Datenschutz?

Der globale Datenschutz entwickelt sich dynamisch weiter. Was lange Zeit als europäisches Spezialthema galt, gewinnt zunehmend weltweit an Bedeutung. Immer mehr Staaten erkennen den Schutz personenbezogener Daten als zentrales Element von Rechtsstaatlichkeit und wirtschaftlicher Wettbewerbsfähigkeit an. Schon jetzt befinden sich in Dutzenden Ländern Gesetzvorhaben in Planung, um den Schutz personenbezogener Daten gesetzlich zu verankern. Der Datenschutz wird mithin global verbindlicher für Unternehmen. Daher müssen Unternehmen, die in Zukunft auf den weltweiten Märkten handeln möchten, auch datenschutzrechtlich gut aufgestellt sein.

Besonders herausfordernd ist der Umgang mit internationalen Datentransfers. Einschränkungen bei der Übermittlung von Daten ins Ausland können gegeben sein, wenn das Zielland kein angemessenes Datenschutzniveau garantiert. Unternehmen müssen daher prüfen, welche rechtlichen Grundlagen für grenzüberschreitende Datenübertragung jeweils gelten.