Drittstaatliches Herausgabeverlangen datenschutzrechtlich prüfen

1. Einsatzlage

Ein Anbieter oder eine Konzerngesellschaft erhält von einer Behörde oder einem Gericht außerhalb des Europäischen Wirtschaftsraums ein Herausgabeverlangen. Zu klären sind Verpflichteter, Reichweite, internationale Rechtshilfe, Übermittlungsgrundlage, Widerspruchsmöglichkeiten und technische Datenhoheit.

2. Normenanker

• Artikel 48 DSGVO: Anerkennung oder Vollstreckbarkeit einer drittstaatlichen Entscheidung über Datenherausgabe grundsätzlich nur auf Grundlage eines internationalen Übereinkommens, unbeschadet anderer Übermittlungsgründe des Kapitels V.
• Artikel 5, 6 und 9 DSGVO: Zweckbindung, Datenminimierung, Rechtsgrundlage und besondere Kategorien.
• Artikel 44 bis 49 DSGVO: Drittlandübermittlung, Angemessenheit, Garantien und eng auszulegende Ausnahmen.
• Artikel 28 und 32 DSGVO: Weisungsbindung, Informationspflichten, Sicherheit und technische Kontrollmöglichkeiten.
• Artikel 33 und 34 DSGVO nur prüfen, wenn die Offenlegung eine Verletzung des Schutzes personenbezogener Daten darstellt; ein Behördenverlangen ist nicht automatisch eine meldepflichtige Datenpanne.
• Paragraf 203 StGB und berufs- oder sektorbezogene Geheimnisnormen, soweit die betroffenen Daten hierunter fallen.

3. Rechtsprechungs- und Quellenanker