Mitautoren: Tobias Hinderks*, Nina Diercks **

Ein herzliches Moin liebe Leserinnen und Leser,

willkommen zum dritten Teil der Blog-Reihe rund um den transatlantischen Datenverkehr und der Frage, was eigentlich nach dem weitreichenden Urteil des EuGH Schrems II Sache ist. Bereits in zwei Blog-Artikeln haben wir uns mit der Frage befasst, was nun gilt, da der Privacy Shield nicht mehr gilt.

Zur Erinnerung: Der Privacy Shield zwischen der EU und den USA war der Grund, weshalb recht einfach und legal personenbezogene Daten über den Atlantik ausgetauscht werden durften. Diesen Privacy Shield wollte der EuGH mit seiner Entscheidung Schrems II jedoch nicht als ausreichend akzeptieren; die europäischen Datenschutzvorstellungen würden in Angesicht der weitreichenden Befugnisse der Sicherheitsbehörden, auf Daten zuzugreifen, nicht erfüllt.Den ganzen Artikel lesen.

Mitautoren: Tobias Hinderks*, Nina Diercks**

Liebe Leserinnen und Leser,

willkommen zum zweiten Teil der Blogreihe rund um den transatlantischen Datenverkehr. Ziel dieser Blog-Reihe ist es, sich mit dem Themenkomplex der EuGH-Rechtsprechung C-311/18 (Schrems II) zu beschäftigen. Dabei wollen wir uns die Reaktionen der Aufsichtsbehörden ansehen, einen Blick auf die Sichtweise jenseits des Atlantiks werfen und einfach mal aufräumen bei den vielen unterschiedlichen Fragen, die durch den digitalen Raum geistern.Den ganzen Artikel lesen.

Mitautoren: Tobias Hinderks*, Nina Diercks*

2020/2021. Die ganze EU diskutierte, wie nach dem EuGH Urteil C-311/18 (Schrems II) noch legal personenbezogene Daten in die USA übermittelt werden können. Die ganze EU? Nein, eine (kleine) Staatskanzlei in Düsseldorf sieht in einer Übertragung überhaupt kein Problem.

Ok, ein wenig Kontext? Die Landesregierung NRW hat eine kleine Anfrage der Grünen-Fraktion im Landtag NRW beantwortet, die sich um den Einsatz eines von Amazon Web Services gehosteten Messengers für Schüler*innen dreht. Die Grünen hatten unter anderem gefragt, ob die Landesregierung bei der Umsetzung auch Subunternehmen in Betracht gezogen hat, die nicht dem US CLOUD Act unterliegen. Hierauf antwortete die Landesregierung:

„Darüber hinaus ist darauf hinzuweisen, dass der CLOUD Act nur dann einen Zugriff auf Daten zulässt, wenn eine rechtmäßige Verfügung einer amerikanischen Ermittlungsbehörde oder eines amerikanischen Gerichts vorausgegangen ist. Insofern unterscheidet sich die Rechtslage nicht von der Rechtslage in anderen Staaten, einschließlich Deutschlands.

[…]

Aber selbst bei einer theoretischen Herausgabe der Daten durch [Amazon Web Services] an amerikanische Ermittlungsbehörde wäre der übermittelte Datensatz aufgrund der durch den Dienstleister SVA eingerichteten Verschlüsselung nach sehr hohem Industriestandard von in der Cloud abgelegten Daten für amerikanische Behörden nicht verwertbar.“ (Drs. 17/11271, S. 3)

Das ist ein interessantes Statement der Regierung des bevölkerungsreichsten Bundeslandes. Inhaltlich dazu später. Für uns soll es zunächst der Aufhänger sein, uns mit der Zeit nach Schrems II zu befassen.

• Wo ist eigentlich das Problem mit der Datenübertragung in die USA?
• Was sagt denn die US-Regierung zum Urteil?
• Was haben die Aufsichtsbehörden zu Schrems II veröffentlicht?
• Wie könnten Lösungen aussehen? Gibt es überhaupt Lösungen?

Fragen über Fragen und die dringende Suche nach einer Antwort.

An dieser Stelle müssen wir kurz durchatmen. Denn auf uns kommt viel Arbeit zu. Die Übermittlung von Daten in die USA war bereits vor Schrems II sehr intensiv diskutiert worden. Und nach der tiefgreifenden Änderung durch Schrems II ist man sich eigentlich nur noch in einem sicher: Es ist kompliziert.

Um ein verständliches Bild zu schaffen und dieses facettenreiche Thema abzuhandeln, braucht es mehr als einen Blog-Artikel. Deshalb ist dieser Blog-Beitrag der Beginn einer kleineren Serie rund um das Thema: Reaktionen auf Schrems II – Rechtslage im transatlantischen Datenverkehr, bestehend aus vier Beiträgen.

Wir beginnen mit Teil 1: Was hat der EuGH entschieden und wie beurteilen die USA die Auswirkungen. In Teil 2 sehen wir uns an, wie Datentransfer auf Basis von geeigneter Garantien gelingen könnten. Dabei setzen wir uns mit dem Schutzniveau und den Ansichten der Aufsichtsbehörden auseinander. Teil 3 wird sich um den CLOUD Act drehen und in Teil 4 nutzen wir die gewonnen Erkenntnisse um uns ein eigenes Bild der Ausführungen des EuGH zu machen  (Spoiler: Man muss nicht in allem einer Meinung mit dem EuGH sein) und ziehen ein Fazit zum Thema Datenübermittlungen in die USA.

Den ganzen Artikel lesen.

Der EuGH hat das Privacy Shield für ungültig erklärt! Gut, das kam nicht überraschend. Interessanter sind daher die Ausführungen zu den Standardvertragsklauseln. Diese sind grundsätzlich abstrakt wirksam, es ist aber im Einzelfall zu prüfen, ob die konkrete Übermittlung von personenbezogenen Daten in ein bestimmtes Drittland damit gerechtfertigt werden kann (Urteil des EuGH vom 16.07.2020, C-311/18, Schrems II).

Aha. Ist das wichtig?

Ja! Die Entscheidung schafft Klarheit im Bezug auf den Transfer von personenbezogen Daten in ein Drittland (alles außerhalb des EWR, also außerhalb von EU, Norwegen, Island und Liechtenstein). Reine Absichtsbekundungen dahingehend, personenbezogene Daten schützen zu wollen, reichen nicht aus, daher wurde das Privacy Shield gekippt. Aber auch ein „Weiter so“ mit den Standarddatenschutzklauseln wird es nicht geben.

Den ganzen Artikel lesen.

Ein herzliches „Moin“ zum neuen Rechtsüberblick für den August 2019. (*der natürlich erst 30. September erscheint…*hüstel )

Wieder haben wir interessante Themen aus dem digitalen Raum und Recht für Sie zusammengestellt und wünschen viel Spaß bei der Lektüre.

Wir beginnen mit einem Nachtrag zu dem im letzten Rechtsüberblick erwähnten Verfahren eines Gastwirtes gegen Google vor dem Landgericht München I (Az. 25 O 13925/18), in dem es eine etwas überraschende Wendung gab (*Spoiler: Kein streitiges Urteil!).

Anschließend beschäftigen wir uns mit dem beim OLG Düsseldorf anhängigen Verfahren des Bundeskartellamts (BKartA) gegen Facebook (Az.:  VI-Kart 1/19 (V)), in dem kürzlich ein neuer Beschluss erging. Bei diesem Verfahren geht es um die in Facebooks Nutzungsbedingungen vorgesehene, produktübergreifende (WhatsApp, Instagram & Co.) Datenverarbeitung. Diese befand das BKartA als zu weitgehend und untersagte Facebook die Durchführung dieser Bedingungen.

Weiter geht es mit dem vom Hamburgischen Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) begonnenen formlosen Verwaltungsverfahren gegen Google wegen deren Sprachassistent „Google Home“. Dieser sendet die mitgeschnittenen Gesprächsabschnitte zur Analyse an Google, wobei dort auch sensible personenbezogene Informationen enthalten sind. Der HmbBfDI hat entsprechend Zweifel an der Konformität mit der DSGVO. Google hat die Praxis vorerst freiwillig eingestellt. War das nötig?

Außerdem wagen wir einen Blick über den Tellerrand hinaus nach Florida, USA, wo die dortige Landesschulbehörde eine fragwürdige Datenplattform aufbauen möchte, welche Social-Media-Daten mit Schuldaten verknüpfen soll – im Namen der Sicherheit.

Wir enden mit einem Schmankerl, das nicht nur für angehende Juristen interessant ist: Das Justizprüfungsamt (JPA) Düsseldorf meint nämlich, nordrhein-westfälisches Landesrecht beschränke die Anwendung der DSGVO (*Spoiler: …nein). Das nutzen wir aber, um einen kleinen Einblick in die Funktionsweise der Öffnungsklauseln und des rechtlichen Vorranggefüges zu geben.

Viel Spaß!

Den ganzen Artikel lesen.