Welchen Einfluss hat das EU-US Data Privacy Framework auf die Schweiz?

Mit der Globalisierung gewinnt das Thema des grenzüberschreitenden Datenaustauschs immer mehr an Bedeutung für Unternehmen. Insbesondere zwischen den Vereinigten Staaten, der Europäischen Union und der Schweiz gibt es komplexe Regelungen und laufende Diskussionen über den Datenschutz. In diesem Blog wird ein genauerer Blick darauf geworfen, wie der Datenaustausch derzeit gestaltet ist und welche Entwicklungen es in dieser Hinsicht geben wird.

Wie wurde der Datenaustausch zwischen der EU und den USA bisher geregelt?

Der Datenaustausch zwischen der EU und den USA wurde lange Zeit durch die Abkommen Safe Harbor und das EU-US Privacy Shield geregelt. Beide Abkommen wurden jedoch vom Europäischen Gerichtshof (EuGH) als ungültig erklärt, was zu erheblichen Unsicherheiten im Bereich Datenschutz führte.

Ab diesem Zeitpunkt lag für den Datenexport in die USA kein EU-Angemessenheitsbeschluss mehr vor. Folglich musste für den Datenexport von der EU in die USA ein anderer Rechtfertigungsgrund vorliegen, wie bspw. die Einwilligung oder der Abschluss von Standardvertragsklauseln.

Als Reaktion darauf wurde das EU-US Data Privacy Framework als neues Abkommen eingeführt, um die Rechtssicherheit im transatlantischen Datenaustausch wiederherzustellen. Am 10. Juli 2023 nahm die EU-Kommission den Angemessenheitsbeschluss für das EU-US Data Privacy Framework an.

Was ist das EU-US Data Privacy Framework?

Das EU-US Data Privacy Framework ermöglicht es Unternehmen in den USA, sich freiwillig zu zertifizieren und sich damit zu verpflichten, bestimmte Datenschutzpflichten einzuhalten, die den Standards der DSGVO entsprechen. Für die Bearbeitung der Zertifizierungsanträge der US-Unternehmen und die Überwachung zur Einhaltung der datenschutzrechtlichen Pflichten ist das U.S. Department of Commerce zuständig. Die Liste mit den zertifizierten Unternehmen findest Du hier.

Das neue Datenschutz-Abkommen bringt einige Verbesserungen mit sich, die den bisherigen Bedenken des EuGH Rechnung tragen. Bspw. wird mit dem Data Protection Review Court (DPRC) eine Gerichtsinstanz für die Überprüfung des Datenschutzes eingeführt, die den betroffenen Personen aus der EU zugänglich ist. Des Weiteren beinhaltet das Abkommen die Pflicht zur Datenlöschung, wenn der Zweck der Datenbearbeitung erfüllt ist.

Das neue Datenschutzabkommen bietet den Unternehmen in der EU die lang erwartete Rechtsgrundlage, um wieder Personendaten in die USA zu übermitteln ohne zusätzliche Vorkehrungen zu treffen. Nach drei Jahren des Wartens, ist wieder Rechtssicherheit vorhanden. Dennoch ist sicher, dass sich die europäischen Gerichte regelmässig mit der Überprüfung des neuen Abkommens beschäftigen werden, da bereits Datenschutzaktivisten Klagen angekündigt haben.

Welche Bedeutung hat das EU-US Data Privacy Framework für die Schweiz?

Damit personenbezogene Daten in Drittländer exportiert werden dürfen, benötigt es einen Angemessenheitsbeschluss des Bundesrates. Seit der EuGH das Privacy Shield-Abkommen für ungültig erklärt hat, besteht auch von der Schweiz kein Angemessenheitsbeschluss mehr für die USA. Somit sind die Schweizer Unternehmen für den Datenexport in die USA ebenfalls zu anderen Rechtfertigungsgründen verpflichtet, wie bspw. die Einwilligung oder der Abschluss von Standardvertragsklauseln. Hierbei kann Dir unser Blogbeitrag zum Thema: Wann darf ich Personendaten ins Ausland weitergeben? – Auf dem Weg zum nDSG Teil 7 eine grosse Hilfe sein.

Das neue EU-US Data Privacy Framework wurde vom EDÖB zur Kenntnis genommen. Die Schweiz führt aktuell auch Gespräche mit den USA zur Erstellung eines entsprechenden Rahmenwerks (Swiss-US Data Privacy Framework). Das DSG nimmt den Bundesrat in die Pflicht Angemessenheitsbeschlüsse für die einzelnen Staaten zu genehmigen. Er wird bestimmen, ob die USA mit dem neuen Swiss-US Data Privacy Framework in die Liste der Staaten mit Angemessenheitsbeschluss aufgenommen wird. Bis zum Angemessenheitsbeschluss des Bundesrates wird die USA aus datenschutzrechtlicher Sicht weiterhin als unsicheres Drittland behandelt.

Zukunftsausblick

Insgesamt bleibt der Datenaustausch zwischen den USA, der EU und der Schweiz ein hochaktuelles Thema, das sowohl auf rechtlicher als auch auf politischer Ebene weiterhin intensiv diskutiert wird. Die Schaffung eines vertrauenswürdigen Privacy Frameworks ist von entscheidender Bedeutung, um den grenzüberschreitenden Datenfluss zu erleichtern und gleichzeitig die Privatsphäre und die Rechte der Einzelpersonen zu schützen. Das von der EU-Kommission genehmigte EU-US Data Privacy Framework ist ein erster, wichtiger Schritt in die richtige Richtung. Aus schweizerischer Sicht scheint es nur noch eine Frage der Zeit, bis zum Swiss-US Data Privacy Framework und dem Angemessenheitsbeschluss des Bundesrates.