(Für Shops, Blogger usw.) US-Datenverarbeitung wieder erlaubt: Trans-Atlantic Data Privacy Framework schafft rechtliche Grundlage

Ursula von der Leyen hat es getwittert:
twitter.com/von…993


Ich teile hier den Newsletter (Kurzfassung) von DevOwl:

Das Trans-Atlantic Data Privacy Framework (TADPF) schafft nach Jahren der Unsicherheit eine neue rechtliche Grundlage für die Datenverarbeitung in den USA. Daher hat die Europäische Kommission am 10. Juli 2023 einen Angemessenheitsbeschluss zur US-Datenverarbeitung gefasst, die ein hinreichendes Datenschutzniveau im Sinne der DSGVO bescheinigt.

In diesem Artikel werden wir uns anschauen, wie sich die Rechtslage konkret verändert hat, welche Vorteile das für Website-Besucher mit sich bringt und was Website-Betreiber unbedingt beachten müssen. Denn neben der Kritik am Trans-Atlantic Data Privacy Framework gibt es eine knifflige Hürde für Website-Betreiber, um US-Services wieder sicher einzubinden. Wir erklären dir auch, wie du diese Hürde ganz einfach mit Real Cookie Banner für WordPress meistern werden kannst!

Was war das Problem mit der US-Datenverarbeitung?
Die Datenschutz-Grundverordnung (DSGVO) legt ein sehr hohes Schutzniveau für die Verarbeitung personenbezogener Daten fest und gewährt umfangreiche Rechte für betroffene Personen, wie zum Beispiel Auskunftsrechte, Widerrufsrechte und das Recht auf Löschung. Das Hauptproblem bei der Datenverarbeitung in den USA bestand in den unterschiedlichen Datenschutzstandards zwischen der EU und den USA. Insbesondere die Befugnisse der US-Behörden, auf personenbezogene Daten von Nicht-US-Bürgern ohne hinreichenden Rechtsbehelf (einfach gesagt: dagegen vorgehen zu können) zuzugreifen, haben zur Möglichkeit unerwünschter Überwachung und Zugriffe seitens staatlicher Behörden in den USA geführt. Dies war für die EU eines der Probleme, um das Datenschutzniveau der USA als ausreichend zu betrachten.


Trans-Atlantic Data Privacy Framework schafft neue rechtliche Grundlage für US-Datenverarbeitung

Am 10. Juli 2023 war es endlich so weit: Der Angemessenheitsbeschluss für das Trans-Atlantic Data Privacy Framework wurde beschlossen. Ein langer Name für eine Vereinbarung – weder ein Gesetz noch eine behördliche Anordnung – zwischen der EU-Kommission und dem US-Handelsministerium. In dieser Vereinbarung verpflichteten sich die USA, ihr Datenschutzniveau zu verbessern, während die EU-Kommission im Gegenzug einen Angemessenheitsbeschluss für die Übertragung und Verarbeitung von Daten in den USA erlässt.

Die Vereinbarung baut auf dem bestehenden Rahmenwerk des "EU-US Privacy Shield" auf, das 2020 vom Europäischen Gerichtshof aufgrund von Bedenken hinsichtlich der Überwachungspraktiken der USA für ungültig erklärt wurde. Obwohl der neue Angemessenheitsbeschluss strengere Sicherheitsmaßnahmen und verbesserte Transparenz vorsieht, gibt es weiterhin viel Kritik darüber, ob diese Maßnahmen ausreichen, um einen angemessenen Schutz der Privatsphäre zu gewährleisten.

Dennoch dürfte dieser Angemessenheitsbeschluss vorerst einige Jahre Ruhe in die Diskussion um die Datenverarbeitung in den USA bringen wird. Organisationen wie Noyb werden Zeit benötigen, um rechtliche Wege zu beschreiten und den neuen Angemessenheitsbeschluss von dem EuGH erneut überprüfen zu lassen. Als Website-Betreiber hast du also etwas Ruhe, um durchzuatmen!


Worauf müssen Website-Betreiber zukünftig bei der Datenverarbeitung in den USA achten?

Auch in Zukunft musst du einen Auftragsverarbeitungsvertrag mit dem Unternehmen abschließen, das deine Daten verarbeitet. Das gilt genauso wie für Unternehmen aus anderen sicheren oder unsicheren Ländern im Sinne der DSGVO. Aber der lange Text zur US-Datenverarbeitung in deinem Cookie Banner kann entfallen.

Allerdings gibt es einen kniffligen Teil für dich als Website-Betreiber: Der Angemessenheitsbeschluss der Europäischen Kommission für die USA, basierend auf dem Trans-Atlantic Data Privacy Framework, betrachtet die Datenverarbeitung in den USA nicht generell als sicher. Stattdessen haben US-Unternehmen nun die Möglichkeit, sich selbst gemäß dem Trans-Atlantic Data Privacy Framework und den europäischen Datenschutzgrundsätzen zu verpflichten und zu zertifizieren.

Es ist davon auszugehen, dass die meisten US-Unternehmen, deren Services auch in der EU genutzt werden und die bereits unter dem Privacy Shield zertifiziert waren, sich zeitnah selbst zertifizieren werden. Unternehmen, die nämlich bereits unter dem Privacy Shield zertifiziert waren, werden laut dem US-Handelsministerium ihre bestehenden Anmeldedaten für ihre Zertifizierungskonten auf der Website des Trans-Atlantic Data Privacy Framework weiterhin verwenden können.


Fazit: US-Services wieder nutzbar, aber mit zusätzlichem Aufwand für Website-Betreiber

Zusammenfassend kann festgestellt werden, dass der neue Angemessenheitsbeschluss der EU für die USA einen wichtigen Schritt zur Stärkung des Datenschutzes und des transatlantischen Datenverkehrs darstellt. Die erhöhten Datenschutzstandards und verbesserten rechtlichen Rahmenbedingungen sollen sicherstellen, dass die personenbezogenen Daten der EU-Bürger angemessen geschützt werden. Dennoch bleiben berechtigte Kritikpunkte bestehen, und es bleibt abzuwarten, wie der EuGH auf eine Klage von Max Schrems reagieren wird.

Als Website-Betreiber musst du im Einwilligungsdialog (Cookie-Banner) weitere Angaben machen, da der Angemessenheitsbeschluss nicht die ganzen USA, sondern nur Datenverarbeitungen zertifizierter Unternehmen als sicher erklärt. In Kürze wirst du dadurch die allermeisten relevanten US-Services wieder rechtssicher auf deiner Website einbinden können.

Sobald alle relevanten US-Services sich nach dem Trans-Atlantic Data Privacy Framework selbst zertifiziert haben, wird auch ein großer Textblock in Cookie Bannern entfallen können. Dadurch wird die Transparenz auf deiner Website gestärkt und Website-Besucher können einfachere Entscheidungen darüber treffen, welchen Datenverarbeitungen sie zustimmen möchten und welchen nicht.