EDSA-Empfehlungen: Schrems II und internationaler Datentransfer

3. Feb. 2021 Benn-Ibler Rechtsanwälte

Der Europäische Datenschutzausschuss (EDSA) veröffentlichte am 10.11.2020 Empfehlungen zu ergänzenden Maßnahmen für Übermittlungsinstrumente und Empfehlungen zu unverzichtbaren Garantien, den sog. European Essential Guarantees (EEG), um nach dem Urteil „Schrems II“ des Europäischen Gerichtshofs sicherzustellen, dass laufende und zukünftige internationale Datenübertragungen unter Einhaltung des EU-Schutzniveaus gewährleistet sind.

Die Empfehlungen enthalten einen Fahrplan für die von Datenexporteuren zu unternehmenden Schritte, anhand welcher sie feststellen können, ob zusätzliche Maßnahmen ergriffen werden müssen, sodass Daten außerhalb des EWR-Raumes übertragen werden können. Weiters soll der Fahrplan dazu dienen, diejenigen Maßnahmen zu identifizieren, welche wirksam sein könnten. Hierfür ist eine nicht erschöpfende Liste von Beispielen ergänzender Maßnahmen enthalten (technischer, vertraglicher oder organisatorischer Art) sowie deren Bedingungen zur Wirksamkeit.

Datenexporteure sind weiterhin dafür verantwortlich, die konkrete Bewertung im Zusammenhang mit der Übertragung, dem Drittlandgesetz und dem Übertragungsinstrument vorzunehmen. Sie haben mit der gebotenen Sorgfalt vorzugehen und ihren Prozess gründlich zu dokumentieren, da sie für die Entscheidungen, die sie auf dieser Grundlage treffen, zur Rechenschaft gezogen werden. Häufig werden die ergänzenden Maßnahmen unzureichend sein, um identifizierte Risiken zu beseitigen.

Die Empfehlungen zu ergänzenden Maßnahmen waren bis zum 21.12.2020 Gegenstand einer öffentlichen Konsultation.

Darüber hinaus hat der EDSA auch die Empfehlungen zu den EEG verabschiedet, welche ua durch das Schrems II Urteil aktualisiert wurden. Die vier EEG sind:

• Die Verarbeitung hat auf klaren, präzisen sowie zugänglichen Regeln zu beruhen.
• Die Notwendigkeit und Verhältnismäßigkeit im Hinblick auf die verfolgten legitimen Ziele müssen nachgewiesen werden.
• Es muss ein unabhängiger Überwachungsmechanismus vorhanden sein.
• Dem Einzelnen müssen wirksame Rechtsbehelfe zur Verfügung stehen.

Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data (10.11.2020)

Recommendations 02/2020 on the European Essential Guarantees for surveillance measures (10.11.2020);