News
Neues Framework für Datenübermittlungen in die USA (coming soon)
Am 25. März 2022 gaben die Präsidentin der Europäischen Kommission Ursula von der Leyen und US-Präsident Joe Biden in einer gemeinsamen Pressekonferenz bekannt, dass man sich im Rahmen eines Trans-Atlantic Data Privacy Framework (TDPF) auf gemeinsame Regelungen bezüglich der Übermittlung personenbezogener Daten in die USA verständigt habe. Begleitend wurden von Seiten der EU-Kommission und des Weißen Hauses jeweils Fact Sheets mit den wesentlichen Inhalten der Vereinbarung bereitgestellt (EU / US).
Durch das TDPF wollen beide Seiten die Lücke schließen, die durch Aufhebung des Kommissionsbeschlusses zum Privacy Shield durch den europäischen Gerichtshof im „Schrems-II“-Urteil (vom 16. Juli 2020, Rs. C-311/18) entstanden ist. Das TDPF stellt damit nunmehr den dritten Anlauf dar, EU-weit einen einheitlichen, datenschutzkonformen Rahmen für die Übermittlungen von personenbezogenen Daten in die USA zu schaffen.
Rechtliche Einordnung der Ankündigung der EU-Kommission und des Weißen Hauses
Die wichtigste Info vorab: Zum jetzigen Zeitpunkt handelt es sich beim TDPF lediglich um eine gemeinsame Ankündigung von EU-Kommission und US-Regierung. Da es sich beim TDPF selbst um kein rechtsverbindliches Abkommen handelt, muss der Inhalt der Vereinbarung zunächst in das US-Recht umgesetzt werden. Erst anschließend kann die EU-Kommission einen neuen Angemessenheitsbeschluss betreffend die Übermittlung personenbezogener Daten in die USA erlassen. Entwürfe für diese Rechtsakte wurden nach offiziellen Angaben noch nicht erstellt.
Grundsätzlich scheint das TDPF geeignet zu sein, die rechtlichen Bedingungen für eine Übermittlung personenbezogener Daten in die USA zu verbessern. So soll das TDPF vor allem auch die Defizite des EU-US Privacy Shield adressieren, die der EuGH in der „Schrems II“-Entscheidung identifiziert hatte. Nach dem Inhalt des Fact Sheet des Weißen Hauses werden betroffene Personen z.B. die Möglichkeit erhalten, rechtlich gegen Maßnahmen von US-Überwachungsbehörden vorzugehen. Weiter sollen Privatsphäre und Grundfreiheiten von EU-Bürgern vor und bei Durchführung solcher Maßnahmen stärker berücksichtigt werden.
Im Idealfall führt das TDPF in Zukunft dazu, dass bei Datenübermittlungen in die USA nicht länger besondere Maßnahmen zum Schutz personenbezogener Daten vor Zugriffen durch US-Behörden getroffen werden müssen und auf den Abschluss von Standarddatenschutzklauseln (SCC) verzichtet werden kann. Im schlimmsten Fall wird auch der Kommissionsbeschluss zum TDPF innerhalb weniger Jahre vom EuGH aufgehoben.
Unmittelbare Reaktionen auf das TDPF
Die Ankündigung des TDPF wurde an vielen Stellen positiv aufgenommen. Zum Beispiel kündigte Microsoft bereits jetzt an, die aktuell noch unbekannten Anforderungen des Framework umsetzen zu wollen. Von anderer Seite wird das TDPF allerdings mit Skepsis betrachtet. Vor allem die von Max Schrems mitgegründete Datenschutzorganisation NOYB brachte in einer Pressemitteilung ihre deutliche Skepsis zum Ausdruck.
Nächste Schritte für Unternehmen
Wir raten dringend davon ab, bereits infolge der Ankündigung auf den Abschluss von SCC zu verzichten oder die Durchführung zusätzlicher Maßnahmen zum Schutz personenbezogener Daten zu unterlassen. Zum jetzigen Zeitpunkt ist noch nicht absehbar, ob und ab wann das TDPF die aktuell bestehenden Datenschutzprobleme bei der Übermittlung personenbezogener Daten in die USA lösen kann. Entsprechend empfehlen wir zunächst die Veröffentlichung des Entwurfs des Angemessenheitsbeschlusses der EU-Kommission abzuwarten.
Bei der Vorgängervereinbarung des TDPF, dem EU-US Privacy Shield, dauerte es in etwa einen Monat bis die Textentwürfe zum Angemessenheitsbeschluss veröffentlicht wurden und weitere fünf Monate bis der eigentliche Beschluss durch die EU-Kommission erlassen wurde. Aufgrund der geltenden Verfahrensvorgaben (so müssen etwa die EU-Mitgliedstaaten zustimmen und der EDSA eine Stellungnahme abgeben) erscheint es unwahrscheinlich, dass das TDPF wesentlich früher wirksam werden könnte.
Wir möchten Sie außerdem bereits jetzt darauf hinweisen, dass sich US-Unternehmen für eine Übermittlung personenbezogener Daten im Rahmen des TDPF nach Angaben des Fact Sheets der EU-Kommission zunächst zertifizieren lassen müssen. Soweit ein Dienstleister nicht bereit sein sollte sich zertifizieren zu lassen, gelten die bestehenden Vorgaben an die Drittlandübermittlung (Vereinbarung von SCC und Durchführung zusätzlicher Maßnahmen).
News
OLG Frankfurt: Schmerzensgeld bei Cookie-Einsatz ohne Einwilligung – auch für Drittanbieter
Nach § 25 Abs. 1 TDDDG müssen Websitebetreiber grundsätzlich eine Einwilligung vom Nutzer einholen, wenn sie eigene oder Cookies von Drittanbietern einsetzen. Die Einwilligung wird über Cookie-Banner eingeholt, in denen Nutzer über den Einsatz der Cookies umfassend informiert werden müssen. Die konkrete Ausgestaltung der Banner und ob die Informationen ausreichend sind, um eine wirksame Einwilligung in das Speichern und die anschließende Verarbeitung personenbezogener Daten einzuholen, waren bereits Gegenstand zahlreicher Gerichtsentscheidungen. Nun hat sich das OLG Frankfurt (Urteil vom 11.12.2025 – Az. 6 U 81/23) in einem Fall mit der Haftung für eine nicht eingeholte Einwilligung beschäftigt und den Drittanbieter zu einem Unterlassen und Zahlung von Schadensersatz i.H.v. 100 EUR gegenüber dem Nutzer verurteilt.
Umsetzung von Risikomanagementmaßnahmen im Zusammenhang mit der NIS-2-Richtlinie und Rückgriff auf Maßnahmen nach Art. 32 DSGVO
Die Umsetzung der Risikomanagementmaßnahmen nach der NIS-2-Richtlinie und dem BSIG als Umsetzungsgesetz scheint für viele betroffene Organisationen im ersten Moment herausfordernd. Dies liegt häufig daran, dass die eher abstrakt wirkenden Vorgaben wie z.B. „Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen“ Organisationen abschrecken, da nicht auf Anhieb erkennbar ist, was konkret zu tun ist.
NIS-2: Pflicht zur Benennung eines Vertreters für Einrichtungen im Drittland
Im Anwendungsbereich der NIS-2-Richtlinie (NIS-2-RL) kann es zu Situationen kommen, in denen Anbieter bestimmter NIS-2-relevanter Dienste, wie etwa ein Managed Service Provider, seinen Sitz ausschließlich in einem Drittland hat, jedoch Dienste innerhalb der EU anbietet. Der territoriale Anwendungsbereich ist nach Art. 2 Abs. 1 NIS-2-RL eröffnet, sobald ein Unternehmen einen Dienst in der EU erbringt oder dort Tätigkeiten ausübt. Art. 26 NIS-2-RL konkretisiert diesen Anwendungsbereich dahingehend, dass grundsätzlich der Mitgliedstaat und damit dessen jeweiliges Umsetzungsgesetz für eine Einrichtung anwendbar ist, in dem die Einrichtung niedergelassen ist. Hierzu haben wir bereits einen Beitrag verfasst.
Territorialer Anwendungsbereich von NIS-2 – Wann gilt das BSIG für Managed Service Provider (MSP) aus Drittländern?
In einem früheren Beitrag haben wir uns mit der Frage auseinandergesetzt, wer nach dem geänderten Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSI-Gesetz - BSIG) als Managed Service Provider (MSP) oder Managed Security Service Provider (MSSP) einzuordnen ist. Ist also ein Unternehmen eines Unternehmensverbundes zentral für den Betrieb der IT des Verbundes zuständig, kann es als MSP und damit als wichtige oder besonders wichtige Einrichtung i. S. v. § 28 Abs. 1 Nr. 4 und / oder § 28 Abs. 2 Nr. 3 BSIG einzuordnen sein – sofern es in den Anwendungsbereich des BSIG fällt.
Der CRA – Was sollten Unternehmen 2026 und darüber hinaus beachten?
Der Cyber Resilience Act (CRA) zielt darauf ab, dass auf dem europäischen Markt bereitgestellte Produkte mit digitalen Elementen ein einheitliches Cybersicherheitsniveau aufweisen. Zu diesem Zweck legt der CRA Pflichten für sämtliche Wirtschaftsakteure der Produktlieferkette fest, insbesondere für den Hersteller, aber auch für die Händler von Produkten mit digitalen Elementen.
Bestandskundenwerbung (nur) nach UWG: EuGH-Entscheidung Inteligo Media
Der EuGH hat in der Rechtssache C-654/23 (Inteligo Media) klargestellt, dass bei Bestandskundenwerbung nach Art. 13 Abs. 2 ePrivacy-RL die Rechtmäßigkeitsvoraussetzungen des Art. 6 Abs. 1 DSGVO nicht zur Anwendung kommen. Damit weicht das Urteil von der bislang vielfach vertretenen Behördenpraxis ab. Zugleich erweitert der EuGH durch seine Auslegung des Begriffs „Verkauf“ den Anwendungsbereich der Bestandskundenausnahme.