Unternehmen, die keine eigenen Vereinbarungen mit US-Dienstleistern haben oder nicht mit Unternehmen zusammenarbeiten, die wiederum Daten in den USA verarbeiten und zudem nicht zu US-Unternehmen gehören, haben nichts zu befürchten. Betroffen von der Entscheidung sind allerdings diejenigen Unternehmen, deren vertragliche Basis für eine Datenverarbeitung in den USA auf die Einhaltung der Regelungen der Safe-Harbor-Vereinbarung abstellen. Solche Firmen stehen nun vor der Frage, wie sie sich nach dem Urteil des EUGH hinsichtlich ihrer Datenverarbeitung zu verhalten sollen. Dr. Fabian Niemann von der Rechtskanzlei Bird & Bird beantwortet hierzu die dringendsten Fragen:

Adzine: Herr Dr. Niemann, sollten also Unternehmen, die bisher auf Grundlage von Safe Harbor Daten in die USA transferiert haben, dies nach dem Urteil sofort unterlassen?

Dr. Niemann: Das Urteil des EuGH gilt ohne Umstellungsfrist unverzüglich. Nichtsdestotrotz sollten Unternehmen nicht in Panik verfallen und alle Datentransfers sofort abbrechen. Stattdessen gilt es jetzt zu prüfen, welche Datentransfers konkret betroffen sind und Alternativen zu evaluieren.

Adzine: Welche rechtlichen Auswirkungen hat das Urteil nun auf die Unternehmen, die bisher personenbezogene Daten in die USA transferiert haben?

Dr. Niemann: Die rechtlichen Auswirkungen des Urteils sind noch nicht so klar, wie es zunächst den Anschein haben mag. Obwohl es offensichtlich ist, dass Datentransfers auf der Basis von Safe Harbor neu bewertet werden und möglicherweise auf einer neuen Grundlage erfolgen müssen, ist noch nicht abzusehen, wie neue rechtliche Rahmenbedingungen aussehen könnten. Die Einschätzung des neuen Sachverhalts und der sich daraus ergebenden Konsequenzen für Unternehmen ist von Seiten der zuständigen Datenschutzbehörden in den verschiedenen EU-Mitgliedsstaaten bisher noch sehr unterschiedlich. Schon diese Woche möchte sich die Artikel 29 Gruppe (also die Gruppe der europäischen Datenschutzbehörden) treffen, um die Folgen des Urteils zu beraten; die Resultate dieses Meetings bleiben abzuwarten. Kurzfristig dürften wahrscheinlich Standardvertragsklauseln die einzige Alternative in vielen Fällen sein.

Adzine: Was empfehlen Sie den Unternehmen, wie sollen sie sich verhalten?

Dr. Niemann: Es ist auf jeden Fall empfehlenswert, dass die Unternehmen:

Adzine: Wie hoch ist aktuell das Risiko, direkter rechtlicher Konsequenzen?

Dr. Niemann: Den inoffiziellen Statements der zuständigen Behörden nach zu urteilen, ist das Risiko aktuell noch gering. Dies kann sich aber schnell ändern, weshalb Unternehmen, wie bereits erwähnt, schnellstmöglich Alternativen evaluieren sollten.

Adzine: Welche Auswirkungen hat das Urteil auf andere rechtliche Grundlagen des Datentransfers, konkret Standardvertragsklauseln und Binding Corporate Rules (BCR)?

Dr. Niemann: Diese Grundlagen haben weiterhin Gültigkeit. Sie sind nicht Teil des Urteils. Aber auch hier besteht das Risiko, dass Grundlagen mittelfristig von Nutzern, Verbraucherverbänden oder Datenschutzorganisationen vor dem EuGH in Frage gestellt werden.