Drittlandübermittlung nach Schrems II prüfen

1. Einsatzlage

Personenbezogene Daten werden außerhalb des Europäischen Wirtschaftsraums gespeichert, aus der Ferne abgerufen oder einem drittstaatlichen Anbieter zugänglich gemacht. Vertragsklauseln allein genügen nicht, wenn Recht und Praxis des Empfängerstaats ihre Wirksamkeit beeinträchtigen.

2. Normenanker

• Artikel 5, 6, 9, 24, 28 und 32 DSGVO: Grundsätze, Rechtsgrundlage, besondere Kategorien, Verantwortung, Auftragsverarbeitung und Sicherheit.
• Artikel 44 bis 49 DSGVO: System der Drittlandübermittlungen.
• Durchführungsbeschluss (EU) 2021/914: aktuelle Standardvertragsklauseln und richtiges Modul.
• Angemessenheitsbeschluss nach Artikel 45 DSGVO nur für den erfassten Staat, Sektor und zertifizierten Empfänger.

3. Rechtsprechungs- und Quellenanker

• EuGH, Urteil vom 16. Juli 2020 - C-311/18, Schrems II: Der damalige Angemessenheitsbeschluss zum EU-US Privacy Shield war ungültig. Standardvertragsklauseln blieben grundsätzlich gültig, verlangen aber eine fallbezogene Prüfung und wirksame zusätzliche Maßnahmen; andernfalls ist die Übermittlung auszusetzen oder zu beenden.
• Europäischer Datenschutzausschuss, Empfehlungen 01/2020 in der endgültigen Fassung vom 18. Juni 2021: Datenflüsse kennen, Transferinstrument bestimmen, Drittlandsrecht und Praxis bewerten, ergänzende Maßnahmen auswählen und regelmäßig neu prüfen.
• Der Angemessenheitsbeschluss zum EU-US Data Privacy Framework vom 10. Juli 2023 erfasst nur teilnehmende und aktuell zertifizierte US-Organisationen. Vor jeder Freigabe sind Fortbestand des Beschlusses, Zertifizierungsstatus und sachlicher Umfang in der offiziellen Liste zu prüfen.