Ich lese jetzt schon mehrfach, die automatische Überführung gestern von rd. 2600 US-Unternehmen durch das US-Handelsministerium vom Privacy Shield in das DPF zeige, dass es „keine wesentlichen Änderungen“ bei EU-US Datentransfer gegeben habe: 

Diese Behauptung (“neuer Wein in alten Schläuchen") ist ein Trugschluss: Vgl. FAQ 2 (übersetzt) :

“Es ist wichtig, darauf hinzuweisen, dass sich die Entscheidung des EuGH in der Rechtssache Schrems II ausschließlich auf den staatlichen Zugriff auf Daten bezog.  Der EuGH hat nicht den Schutz in Frage gestellt, den der EU-US-Privacy Shield den EU-Bürgern im kommerziellen Bereich bietet.  Die Verpflichtungen der USA im Rahmen des EU-US-DSGVO in Bezug auf die Signalaufklärung sind in der Executive Order und den Verordnungen zur neuen DPRC enthalten.”

Durch Executive Order 14086 und diversen Entwicklungen in den letzten Jahren hat sich einiges geändert. Ob diese Änderungen dem EuGH im Endergebnis ausreichen, wird sich weisen

Die neue Webseite zum Data Privacy Framework des Department of Commerce (ITA) ist jetzt online:

https://www.dataprivacyframework.gov/s/program-overview

Von besonderer Relevanz für europäische Datenexporteure sind die detaillierten neuen FAQs, die – wie ich höre- weiter ergänzt werden:

FAQs – General

FAQs – Privacy Policy 

FAQs – EU-U.S. Data Privacy Framework (EU-U.S. DPF)

FAQs – UK Extension to the EU-U.S. Data Privacy Framework (UK Extension to the EU-U.S. DPF)

FAQs – Swiss-U.S. Data Privacy Framework (Swiss-U.S. DPF)

Zum Beispiel heißt es zum Notice Prinzip, dass der Datenimporteur die Betroffenen zumindest über folgendes informieren muss.

„i. seine Teilnahme am EU-U.S. DPF und, falls zutreffend, an der UK Erweiterung zum EU-U.S. DPF, und/oder am Swiss-U.S. Data Privacy Framework (Swiss-U.S. DPF) und Angabe eines Links oder der Webadresse für die Data Privacy Framework List,

ii. die Kategorien der erhobenen personenbezogenen Daten und die US-Gesellschaften und ggf. US-Tochtergesellschaften der Organisation, die sich ebenfalls an die DPF-Grundsätze halten,

iii. ihre Verpflichtung, alle personenbezogenen Daten, die sie aus der EU und gegebenenfalls aus dem UK (und Gibraltar) und/oder der Schweiz unter Berufung auf den/die relevanten Teil(e) des DPR-Programms erhält, den DPR-Grundsätzen zu unterwerfen

iv. die Zwecke, für die sie personenbezogene Daten über sie sammelt und verwendet,

v. wie man sich mit Anfragen oder Beschwerden an die Organisation wenden kann, einschließlich aller relevanten Niederlassungen in der Europäischen Union und gegebenenfalls im Vereinigten Königreich und/oder in der Schweiz, die auf solche Anfragen oder Beschwerden reagieren können,

vi. die Art oder Identität der Dritten, an die sie personenbezogene Daten weitergibt, und die Zwecke, für die sie dies tut,

vii. das Recht des Einzelnen auf Zugang zu seinen personenbezogenen Daten,

viii. die Möglichkeiten und Mittel, die die Organisation Einzelpersonen bietet, um die Verwendung und Weitergabe ihrer personenbezogenen Daten einzuschränken,

ix. die unabhängige Stelle zur Beilegung von Streitigkeiten, die für die Bearbeitung von Beschwerden und die Bereitstellung angemessener, für die betroffene Person kostenloser Rechtsbehelfe zuständig ist, und ob es sich dabei um (1) das von den Datenschutzbehörden der EU und gegebenenfalls dem britischen Information Commissioner's Office (ICO) (und der Regulierungsbehörde von Gibraltar (GRA)) und/oder dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) eingerichtete Gremium, (2) einen alternativen Streitbeilegungsanbieter mit Sitz in der Europäischen Union und gegebenenfalls dem UK und/oder der Schweiz oder (3) einen alternativen Streitbeilegungsanbieter mit Sitz in den USA handelt,

x. die Unterwerfung unter die Ermittlungs- und Durchsetzungsbefugnisse der Federal Trade Commission (FTC), des U.S.- Department of Transport oder anderer in den USA zugelassener gesetzlicher Organe,

xi. die Möglichkeit für den Einzelnen, unter bestimmten Bedingungen ein verbindliches Schiedsverfahren in Anspruch zu nehmen,

xii. das Erfordernis, personenbezogene Daten auf rechtmäßige Anfragen von Behörden hin offenzulegen, auch um Anforderungen der nationalen Sicherheit oder der Strafverfolgung zu erfüllen, und

xiii. seine Haftung im Falle der Weitergabe an Dritte.

Zu den verschiedenen Voraussetzungen des DPF, die der Datenimporteur in der Privacy Policy erklären muss, gibt es z.T. in den FAQ detaillierte neue Formulierungshilfen.

FAZIT: wie schon gesagt, bloße kosmetische Änderungen der bestehenden unter dem Privacy Shield geposteten Privacy Policy der Datenimporteure reichen vermutlich nicht aus. Die betroffenen Datenexporteure in Europa werden sich überlegen müssen, wie sie auf den DPF in ihren Datenschutzerklärungen verweisen und welche Compliance Massnahmen hinsichtlich des konkreten Datenimporteurs erforderlich sind.

Mehr Details zum Privacy Shield findet man in den Buchkapiteln hier: https://beck-online.beck.de/Dokument?vpath=bibdata%2Fkomm%2Fforgohelfric... und https://beck-online.beck.de/?vpath=bibdata%2Fkomm%2FBusscheVoigtHdbKonzD...

Ich interpretiere diese DoC- Veröffentlichung derzeit so: Ein ordnungsgemäß nach dem Privacy Shield zertifiziertes US- Unternehmen muss zumindest seine geposteten Datenschutzhinweise ab dem 17. Juli bis zum 10. Oktober 2023 aktualisieren, aber es muss keine gesonderte Selbstzertifizierung vornehmen, um sich sofort auf die Angemessenheitsentscheidung des DPF stützen zu können. Ob noch mehr zu tun ist (z.b. zum Thema Dispute Resolution), werden die neuen DOC Regeln zum DPF nächste Woche zeigen.  

ABER: Die Unternehmen sollten die jüngsten Durchsetzungsmaßnahmen der Federal Trade Commission (FTC) in den USA mit der Zusage der FTC, die DPF ernsthaft durchzusetzen (siehe Erw. 63 des Angemessenheitsbeschlusses) und die diesbezüglichen Aufforderung der EU Kommission sehr ernst nehmen, selbst wenn sie nach dem Privacy Shield seit Jahren problemlos zertifiziert sind: Praktisch heißt das: sie müssen die Einhaltung der Grundsätze des DPF sorgfältig überprüfen. Eine bloße kosmetische Änderung der schon geposteten Datenschutzhinweise (Ersetzen der Worte "Privacy Shield" durch "DPF") reicht da nicht. Umfangreichere Änderungen können z.B. bei den Passagen zur Datenminimierung, Zweckbindung, Verhältnismäßigkeit erforderlich werden, denn die FTC  (im Zusammenarbeit mit dem DoC) wird wahrscheinlich proaktiver als bisher einschreiten, wenn sie die Erklärung als irreführend, unvollständig oder unfair einstuft.

Vielen Dank. Ich bin gespannt, was die DSBs zu diesem Thema ausführen werden. Jedenfalls dürften die TIAs sehr viel kürzer werden. Die Norwegische Datenschutzbehörde schreibt z.B.: 

"Kann ich jetzt personenbezogene Daten ungehindert an eine beliebige US-Organisation übermitteln?
Nein, das können Sie nicht.

Es ist wichtig zu wissen, dass der Angemessenheitsbeschluss nur für die selbstzertifizierten Organisationen auf dieser Liste gilt (dataprivacyframework.gov). Wie wir weiter unten erklären, ist es jedoch einfacher geworden, personenbezogene Daten auch an andere US-Organisationen zu übermitteln."

Quelle: https://www.datatilsynet.no/regelverk-og-verktoy/sporsmal-svar/overforin...

Ich schließe aus den bisherigen Stellungnahmen: Wenn ein Datenexporteur sich nicht (ausschließlich) auf das neue DPF verlassen will oder kann, muss er weiterhin eine Folgenabschätzung (TIA) für die Übermittlung durchführen, wie sie im Schrems-II-Urteil des EuGH gefordert wird. Es dürfte jedoch nunmehr einfacher sein, eine positive TIA zu rechtfertigen, da selbst die EU-Kommission der Ansicht ist, dass die EO 14086, wie sie in US-Recht umgesetzt wurde, die vom EuGH geäußerten Bedenken ausreichend berücksichtigt.