Datenübermittlungen in Staaten außerhalb der EU, also in „Drittstaaten“ sind rechtlich heikel. Für 15 Staaten, darunter Japan und die Schweiz, bieten Angemessenheitsbeschlüsse der EU-Kommission eine tragfähige Rechtsgrundlage. Sie zu kennen, kann sehr nützlich sein.

Die Ausgangslage ist schwierig

Vom Grundsatz her verbietet die DSGVO Übermittlungen an Datenempfänger außerhalb der EU in „Drittstaaten“. Ausnahmen von diesem grundsätzlichen Verbot enthält die DSGVO in ihrem Kapitel V. Es besteht aus sechs größtenteils sehr umfangreichen Artikeln. Am einfachsten wird es, wenn für ein Land ein Angemessenheitsbeschluss der EU-Kommission vorliegt.

Angemessenheitsbeschlüsse vereinfachen das Leben

Art. 45 Abs.1 DSGVO hält dazu folgendes fest „Eine Übermittlung personenbezogener Daten an ein Drittland … darf vorgenommen werden, wenn die (EU-) Kommission beschlossen hat, dass das betreffende Drittland … ein angemessenes Schutzniveau bietet.“ Dies eröffnet gerade kleinen und mittleren Unternehmen einen gut gangbaren Weg, um personenbezogene Daten in ein Drittland zu übermitteln.

Insgesamt bestehen Beschlüsse für 18 Länder

Die Liste der Länder, für die Angemessenheitsbeschlüsse bestehen, ist inzwischen relativ lang: Andorra, Argentinien, Färöer-Inseln, Guernsey, Isle of Man, Israel, Japan, Jersey, Kanada, Neuseeland, Schweiz, Südkorea, Uruguay, Großbritannien, USA. Vielen ist nur der Angemessenheitsbeschluss für die USA bekannt, der unter dem Stichwort „Privacy Shield“ große Beachtung gefunden hat. Darüber wird manchmal vergessen, dass Länder wie etwa Israel, Japan und vor allem die Schweiz zumindest für viele Branchen genauso wichtig sind wie die USA.

Großbritannien verdient einen genaueren Blick

Großbritannien gehört seit dem Brexit nicht mehr zur EU. Es ist ein Drittstaat. Ohne Angemessenheitsbeschluss hätte der Datenaustausch mit Großbritannien nicht im bisherigen Umfang fortgeführt werden können. Die drei Kanalinseln Guernsey, Jersey und Isle of Man, wichtige Standorte für den Finanzbereich, haben innerhalb des Vereinigten Königreichs einen rechtlichen Sonderstatus. Deshalb wurden für sie schon weit vor dem Brexit Angemessenheitsbeschlüsse herbeigeführt.

Angemessenheitsbeschlüsse haben große Vorteile

Wenn für ein Land ein Angemessenheitsbeschluss besteht, braucht eine Datenübermittlung dorthin keine besondere Genehmigung (siehe Art. 45 Abs. 1 Satz 2 DSGVO). Es sind auch keine Zusicherungen des Datenempfängers erforderlich, dass er irgendwelche zusätzlichen Vorgaben einhält. Sofern sich eine Datenübermittlung im Rahmen des jeweiligen Angemessenheitsbeschlusses bewegt, ist sie ohne Wenn und Aber rechtlich zulässig. Daher spricht die EU-Kommission von einer „unkomplizierten und umfassenden Lösung für die Übermittlung von Daten.“

Jede Angemessenheitsbeschluss erfordert genaue Lektüre

Wer Daten in ein bestimmtes Land übermitteln will, muss zuvor den Angemessenheitsbeschluss für dieses Land genau lesen. Manchmal finden sich dort nämlich gewisse Einschränkungen. Klassisches Beispiel hierfür ist Kanada. Der Beschluss für dieses Land gilt nur für Datenempfänger in Kanada, die als kommerziell einzustufen sind. Solche Einschränkungen enthalten aber nur wenige Angemessenheitsbeschlüsse.

Manche Angemessenheitsbeschlüsse sind älter als die DSGVO

Viele Angemessenheitsbeschlüsse wurden schon weit vor der DSGVO erlassen. Rechtsgrundlage hierfür war eine Bestimmung in der EG-Datenschutzrichtlinie von 1995. Die DSGVO hält ausdrücklich fest, dass solche „Alt-Beschlüsse“ weiterhin gelten (siehe Art. 45 Abs. 9 DSGVO). Sie bleiben so lange in Kraft, bis die EU-Kommission sie ändert, durch einen anderen Beschluss ersetzt, oder sie aufhebt. Die Aufhebung eines solchen Beschlusses ist bisher noch nicht vorgekommen.

Die EU-Kommission sorgt für die Fortentwicklung der Beschlüsse

Zu den „Alt-Beschlüssen“ gehören etwa die Angemessenheitsbeschluss für Japan und die Schweiz. Die EU-Kommission bemüht sich intensiv darum, sie dauerhaft „DSGVO-tauglich“ zu machen. Dies belegt ein Bericht der EU-Kom-mission vom 15. Januar 2024, der sich auf 17 Seiten den „Alt-Beschlüssen“ widmet. Er ist abrufbar unter https://com-mission.europa.eu/document/f62d70a4-39e3-4372-9d49-e59dc0fda3df_en.

Ein kurzer Blick erspart viel Arbeit

Es mag sein, dass Sie nie Daten etwa nach Uruguay übermitteln müssen. Falls es aber vorkommt, sollten Sie wissen, dass es für dieses Land einen Angemessenheitsbeschluss gibt. Eine Liste aller Angemessenheitsbeschlüsse finden Sie hier: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protec-tion/adequacy-decisions_en.