Am 24. Juli 2020 veröffentlichte der Europäische Datenschutzausschuss (EDSA/EDPB) ein Dokument mit häufig gestellten Fragen (FAQ) zum Urteil des EuGH in der Rechtssache C‑311/18 (Schrems II). Darin werden zwölf Fragen zum vorgenannten Urteil sowie der daraus folgenden Konsequenzen beantwortet.
Hinsichtlich der Nutzung von Standard Contractual Clauses (SCC) sowie Binding Corporate Rules (BCR) als Grundlage für eine Bekanntgabe von Personendaten von der EU in die USA hält der EDSA u.a. folgendes fest (vgl. FAQ Nr. 5 & 6):
„Whether or not you can transfer personal data on the basis of SCCs [BCRs] will depend on the result of your assessment, taking into account the circumstances of the transfers, and supplementary measures you could put in place. The supplementary measures along with SCCs [BCRs], following a case-by-case analysis of the circumstances surrounding the transfer, would have to ensure that U.S. law does not impinge on the adequate level of protection they guarantee.
If you come to the conclusion that, taking into account the circumstances of the transfer and possible supplementary measures, appropriate safeguards would not be ensured, you are required to suspend or end the transfer of personal data. However, if you are intending to keep transferring data despite this conclusion, you must notify your competent SA".
Bei den erwähnten "supplementary measures“ bzw. „appropriate safeguards“ handelt es sich im Wesentlichen um technische und/oder organisatorische - und nicht um rechtliche - Massnahmen (TOM), welche die im vorgenannten EuGH-Urteil beanstandeten Zugriffe von (US-)Behörden (sog. lawful access) mit hoher Wahrscheinlichkeit verhindern sollten.
Aus schweizerischer Sicht teilte der Eidg. Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) am 16.07.2020 mit, dass das oben genannte EuGH-Urteil für die Schweiz nicht direkt anwendbar sei, er das Urteil im Detail prüfe und sich zu gegebener Zeit äussern werde.
Michal Cichocki
Hinsichtlich der Nutzung von Standard Contractual Clauses (SCC) sowie Binding Corporate Rules (BCR) als Grundlage für eine Bekanntgabe von Personendaten von der EU in die USA hält der EDSA u.a. folgendes fest (vgl. FAQ Nr. 5 & 6):
„Whether or not you can transfer personal data on the basis of SCCs [BCRs] will depend on the result of your assessment, taking into account the circumstances of the transfers, and supplementary measures you could put in place. The supplementary measures along with SCCs [BCRs], following a case-by-case analysis of the circumstances surrounding the transfer, would have to ensure that U.S. law does not impinge on the adequate level of protection they guarantee.
If you come to the conclusion that, taking into account the circumstances of the transfer and possible supplementary measures, appropriate safeguards would not be ensured, you are required to suspend or end the transfer of personal data. However, if you are intending to keep transferring data despite this conclusion, you must notify your competent SA".
Bei den erwähnten "supplementary measures“ bzw. „appropriate safeguards“ handelt es sich im Wesentlichen um technische und/oder organisatorische - und nicht um rechtliche - Massnahmen (TOM), welche die im vorgenannten EuGH-Urteil beanstandeten Zugriffe von (US-)Behörden (sog. lawful access) mit hoher Wahrscheinlichkeit verhindern sollten.
Aus schweizerischer Sicht teilte der Eidg. Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) am 16.07.2020 mit, dass das oben genannte EuGH-Urteil für die Schweiz nicht direkt anwendbar sei, er das Urteil im Detail prüfe und sich zu gegebener Zeit äussern werde.
Michal Cichocki