Der Irische High Court hat dem Europäischen Gerichtshof (EuGH) am 03. Oktober 2017 die Frage zur Entscheidung vorgelegt, ob die derzeit neben dem EU-US-Privacy Shield häufig benutzten EU-Standardvertragsklauseln als Rechtsgrundlage ausreichen, um personenbezogene Daten europäischer Bürger in den USA ausreichend zu schützen.

Der Kläger hatte im Jahre 2015 bereits erfolgreich den Safe-Harbor-Beschluss der EU-Kommission als Rechtsgrundlage für Datenübermittlungen in die USA zu Fall gebracht. Erst am 12.Juli 2016 wurde das neue EU-US-Privacy Shield verabschiedet. Von dem Urteil waren die Standardvertragsklauseln zwar zunächst ebensowenig betroffen wie die Binding Corporate Rules (BCR). Allerdings wurde bereits kurz nach dem Urteil Kritik an diesen verbliebenen Rechtsgrundlagen laut.

In dem nun angestrengten Verfahren hatte auch die irische Datenschutzaufsicht Zweifel an der Wirksamkeit der EU-Standardklauseln geäußert, die das Gericht nun übernommen hat. Sollte der EuGH auch hier feststellen, dass Standardvertragsklauseln keine geeignete Rechtsgrundlage für die Übermittlung personenbezogener Daten in Drittstaaten darstellen, hätte das nicht nur massive Auswirkungen auf den transatlantischen Datenverkehr. Anders als mit den USA gibt es für andere Länder, die als unsicher im Datenschutzsinne gelten, keine weiteren Grundlagen als eben jene Vertragsklauseln.

Zunächst bleibt es jedoch bei der aktuellen Rechtslage. Personenbezogene Daten können an US-Unternehmen derzeit entweder bei bestehender EU-US-Privacy Shield-Zertifizierung oder auf Grundlage der Standardvertragsklauseln übermittelt werden. Im Konzernverbund können darüber hinaus BCRs gelten. Auf unserer Themenwebseite zum EU-US-Privacy Shield informieren wir sie über die weiteren Entwicklungen.