Kein großer Wurf

Die EU-Kommission und die USA haben sich auf ein neues Datenschutzabkommen geeinigt. Wirklich konkret ist das sogenannte EU-US-Privacy-Shield bislang allerdings nicht. Tausende Unternehmen in Europa haben damit immer noch keine Planungssicherheit.

Seit dem 31. Januar riskieren Firmen, die Daten auf Grundlage des Safe-Harbor-Abkommens mit US-amerikanischen Firmen austauschen, Geldstrafen von bis zu 300.000 Euro. Die jetzt verkündete Einigung über ein neues Abkommen zum transatlantischen Datenaustausch soll da helfen und die Rechtsunsicherheit reduzieren, die herrscht, seit der Europäische Gerichtshof das „Safe Harbor“-Abkommen gekippt hat.

Laut dem neuen EU-US-Privacy-Shield soll das US-Handelsministerium die amerikanischen Unternehmen überwachen, die Daten aus Europa verarbeiten. Eine Ombudsperson soll Beschwerden von EU-Bürgern entgegennehmen, wenn ihre persönlichen Daten für Geheimdienstzwecke genutzt werden. Einmal im Jahr sollen die EU und die USA gegenseitig prüfen, ob die getroffenen Vereinbarungen eingehalten werden.

Das neue Abkommen ist ohne Frage ein Schritt in Richtung mehr Rechtssicherheit für Unternehmen. Doch es ist noch zu unkonkret und unausgegoren: Der genaue Text des Abkommens steht noch aus – er soll in den kommenden Wochen austariert werden. Mit Blick auf die Ombudsperson ist es wenig realistisch, dass sie – wenn sie denn Beschwerden erhält – effektiven Rechtsschutz gewährleisten kann. Unternehmen müssen außerdem fürchten, dass das neue Abkommen im Fall einer Klage wieder vom Europäischen Gerichtshof (EuGH) gekippt wird. Denn schon jetzt monieren Datenschützer, dass das neue Abkommen den Anforderungen aus dem EuGH-Urteil nicht gerecht wird.

Vor diesem Hintergrund ist es entscheidend, dass die aktuell bestehenden rechtlichen Alternativen zu Safe Harbor weiterhin gültig sind: Unternehmen müssen wie bislang die Möglichkeit haben, Standardvertragsklauseln in die Verträge mit den US-Partnerunternehmen einzuarbeiten oder sich einem konzerneigenen Datenschutz-Kodex – sogenannten Binding Corporate Rules – zu unterwerfen, um einen ausreichenden Datenschutz zu gewährleisten.