NRF Compliance-Talk: Compliance und Datenschutz

Unternehmen nutzen heute selbstverständlich IT-Systeme von US-Anbietern und übermitteln Daten weltweit in ihrem Konzern. Der Europäische Gerichtshof (EuGH) hat mit seinem Urteil in der Rechtssache Schrems (Urteil des Gerichtshofs, vom 16. Juli 2020, Rechtssache C-311/18, Schrems II) hohe Hürden für eine solche Übermittlung in Staaten außerhalb Europas geschaffen. Unternehmen müssen ihre Übermittlungen anpassen oder sind erheblichen Compliance-Risiken ausgesetzt.

Der EuGH stellt auch u.a. die weitere Nutzung der sogenannten EU-Standarddatenschutzklauseln in Frage. Diese bleiben hiernach zwar wirksam und dürfen weiterhin eingesetzt werden. Allerdings müssen Unternehmen beim Einsatz dieser Standarddatenschutzklauseln künftig im Einzelfall prüfen, ob die Gesetze im Empfängerland den darin enthaltenen Vertragspflichten entgegenstehen. Damit bleibt die Überprüfung den übermittelnden Unternehmen überlassen, ob im Drittland das geforderte Schutzniveau für die auf Basis der Standarddatenschutzklauseln übermittelten Daten tatsächlich eingehalten wird. In der Praxis ist dies schwierig. Im ersten Schritt müssen Unternehmen sich zunächst einen Überblick verschaffen, welche IT-Systeme und Übermittlungen hiervon betroffen sind.

Wie es konkret weitergeht, ist derzeit unklar. Wir erwarten eine finale Version der Handreichung der Behörden hierzu und auch die EU-Kommission will demnächst neue EU-Standarddatenschutzklauseln veröffentlichen. Hier entsteht ein möglicher Konflikt, wie mit dem Urteil des EuGH umgegangen werden soll, also ob ein risikobasierter Ansatz gewählt werden kann – eine Übermittlung also möglich ist, wenn für die betroffenen Daten im Empfängerstaat in diesem Fall eine Gefährdung sehr unwahrscheinlich ist.

Einen Überblick über die Herausforderungen für Unternehmen geben Ihnen Dr. Christoph Ritzer und Dr. Alexander Cappel in der fünften Folge des „NRF Compliance-Talk“. Gerne stehen wir Ihnen zudem jederzeit für einen vertieften Austausch zu diesem Thema zur Verfügung.