Empfehlungen der EU-Datenschützer veröffentlicht

Die Vorschläge können noch bis zum 10. Dezember 2020 von der Öffentlichkeit kommentiert werden. Darüber hinaus will die Kommission die Meinung des Europäischen Datenschutzausschusses (EDSA) und des Europäischen Datenschutzbeauftragten einholen. Der EDSA hat zu dem Schrems-Urteil ebenfalls in der vergangenen Woche ausführliche Richtlinien veröffentlicht. Das 46-seitige Dokument (PDF) empfiehlt ein Vorgehen für den Datenverarbeiter in sechs Schritten. Zudem nennt es "zusätzliche Maßnahmen", um ein angemessenes Datenschutzniveau beim Transfer in Drittstaaten sicherzustellen. Dazu zählen technische und organisatorische Maßnahmen sowie zusätzliche vertragliche Vereinbarungen.

Als mögliche technische Vorkehrungen nennt der EDSA eine Datenverschlüsselung vor dem Hochladen der Daten auf einen Server in einem Drittstaat oder die Übertragung pseudonymisierter Daten. Bei einem reinen Transport der Daten durch einen Drittstaat sei eine sichere Transportverschlüsselung erforderlich. Ebenfalls sei es möglich, dass der Datenimporteur von Auskunftsbegehren im Drittstaat rechtlich ausgenommen sei.

Daten auf mehrere Länder verteilen

Ein weiteres Verfahren könne darin bestehen, die exportierten Daten aufzusplitten, so dass sie bei einer separaten Abfrage nicht verwendet werden können. Dabei sollen die Datenverarbeiter in unterschiedlichen Jurisdiktionen stehen, damit ein Land nicht auf die verschiedenen Quellen zugreifen kann.

Die zusätzlichen vertraglichen Vereinbarungen könnten Vorgaben enthalten, wie sie auch in den neuen Standardvertragsklauseln vorgesehen sind. Darüber hinaus könnten sie die erwähnten technischen Vorkehrungen betreffen. Die EU-Kommission sieht dabei die Empfehlungen des EDSA als "Ergänzung" ihres eigenen Vorschlags an.

Schrems-Verein ist skeptisch

Und wie beurteilt der österreichische Datenschutzaktivist Max Schrems, der mit seinen Klagen die Datenschutzabkommen zu Fall gebracht hat, die neuen Vorschläge der Kommission? Auf Anfrage von Golem.de teilte seine Organisation Noyb mit, erst in den kommenden Tagen eine offizielle Stellungnahme zu veröffentlichen. Aber "auf den ersten Blick" sehe es danach aus, dass die vorgeschlagenen Standardvertragsklauseln weder die Empfehlungen des EDSA noch die des EuGH-Urteils zum Privacy Shield ausreichend berücksichtigten.