News
Neues Framework für Datenübermittlungen in die USA (coming soon)
Am 25. März 2022 gaben die Präsidentin der Europäischen Kommission Ursula von der Leyen und US-Präsident Joe Biden in einer gemeinsamen Pressekonferenz bekannt, dass man sich im Rahmen eines Trans-Atlantic Data Privacy Framework (TDPF) auf gemeinsame Regelungen bezüglich der Übermittlung personenbezogener Daten in die USA verständigt habe. Begleitend wurden von Seiten der EU-Kommission und des Weißen Hauses jeweils Fact Sheets mit den wesentlichen Inhalten der Vereinbarung bereitgestellt (EU / US).
Durch das TDPF wollen beide Seiten die Lücke schließen, die durch Aufhebung des Kommissionsbeschlusses zum Privacy Shield durch den europäischen Gerichtshof im „Schrems-II“-Urteil (vom 16. Juli 2020, Rs. C-311/18) entstanden ist. Das TDPF stellt damit nunmehr den dritten Anlauf dar, EU-weit einen einheitlichen, datenschutzkonformen Rahmen für die Übermittlungen von personenbezogenen Daten in die USA zu schaffen.
Rechtliche Einordnung der Ankündigung der EU-Kommission und des Weißen Hauses
Die wichtigste Info vorab: Zum jetzigen Zeitpunkt handelt es sich beim TDPF lediglich um eine gemeinsame Ankündigung von EU-Kommission und US-Regierung. Da es sich beim TDPF selbst um kein rechtsverbindliches Abkommen handelt, muss der Inhalt der Vereinbarung zunächst in das US-Recht umgesetzt werden. Erst anschließend kann die EU-Kommission einen neuen Angemessenheitsbeschluss betreffend die Übermittlung personenbezogener Daten in die USA erlassen. Entwürfe für diese Rechtsakte wurden nach offiziellen Angaben noch nicht erstellt.
Grundsätzlich scheint das TDPF geeignet zu sein, die rechtlichen Bedingungen für eine Übermittlung personenbezogener Daten in die USA zu verbessern. So soll das TDPF vor allem auch die Defizite des EU-US Privacy Shield adressieren, die der EuGH in der „Schrems II“-Entscheidung identifiziert hatte. Nach dem Inhalt des Fact Sheet des Weißen Hauses werden betroffene Personen z.B. die Möglichkeit erhalten, rechtlich gegen Maßnahmen von US-Überwachungsbehörden vorzugehen. Weiter sollen Privatsphäre und Grundfreiheiten von EU-Bürgern vor und bei Durchführung solcher Maßnahmen stärker berücksichtigt werden.
Im Idealfall führt das TDPF in Zukunft dazu, dass bei Datenübermittlungen in die USA nicht länger besondere Maßnahmen zum Schutz personenbezogener Daten vor Zugriffen durch US-Behörden getroffen werden müssen und auf den Abschluss von Standarddatenschutzklauseln (SCC) verzichtet werden kann. Im schlimmsten Fall wird auch der Kommissionsbeschluss zum TDPF innerhalb weniger Jahre vom EuGH aufgehoben.
Unmittelbare Reaktionen auf das TDPF
Die Ankündigung des TDPF wurde an vielen Stellen positiv aufgenommen. Zum Beispiel kündigte Microsoft bereits jetzt an, die aktuell noch unbekannten Anforderungen des Framework umsetzen zu wollen. Von anderer Seite wird das TDPF allerdings mit Skepsis betrachtet. Vor allem die von Max Schrems mitgegründete Datenschutzorganisation NOYB brachte in einer Pressemitteilung ihre deutliche Skepsis zum Ausdruck.
Nächste Schritte für Unternehmen
Wir raten dringend davon ab, bereits infolge der Ankündigung auf den Abschluss von SCC zu verzichten oder die Durchführung zusätzlicher Maßnahmen zum Schutz personenbezogener Daten zu unterlassen. Zum jetzigen Zeitpunkt ist noch nicht absehbar, ob und ab wann das TDPF die aktuell bestehenden Datenschutzprobleme bei der Übermittlung personenbezogener Daten in die USA lösen kann. Entsprechend empfehlen wir zunächst die Veröffentlichung des Entwurfs des Angemessenheitsbeschlusses der EU-Kommission abzuwarten.
Bei der Vorgängervereinbarung des TDPF, dem EU-US Privacy Shield, dauerte es in etwa einen Monat bis die Textentwürfe zum Angemessenheitsbeschluss veröffentlicht wurden und weitere fünf Monate bis der eigentliche Beschluss durch die EU-Kommission erlassen wurde. Aufgrund der geltenden Verfahrensvorgaben (so müssen etwa die EU-Mitgliedstaaten zustimmen und der EDSA eine Stellungnahme abgeben) erscheint es unwahrscheinlich, dass das TDPF wesentlich früher wirksam werden könnte.
Wir möchten Sie außerdem bereits jetzt darauf hinweisen, dass sich US-Unternehmen für eine Übermittlung personenbezogener Daten im Rahmen des TDPF nach Angaben des Fact Sheets der EU-Kommission zunächst zertifizieren lassen müssen. Soweit ein Dienstleister nicht bereit sein sollte sich zertifizieren zu lassen, gelten die bestehenden Vorgaben an die Drittlandübermittlung (Vereinbarung von SCC und Durchführung zusätzlicher Maßnahmen).
News
Meldepflichten nach dem geplanten BSIG (Umsetzung NIS-2)
Als Umsetzung des Art. 23 Abs. 4 S. 1 NIS-2-Richtlinie finden sich in § 32 des Entwurfs zum Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSIG-E) Ausführungen zu Meldepflichten für besonders wichtige Einrichtungen sowie wichtige Einrichtungen. Das BSIG-E ist Teil des Entwurfs zum Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung.
Risikomanagementmaßnahmen besonders wichtiger und wichtiger Einrichtungen und Dokumentationsnachweis nach dem neuen BSIG
Das neue BSIG befindet sich auf der Zielgeraden des Gesetzgebungsverfahrens zur Umsetzung der NIS-2-Richtlinie. Im aktuellen Entwurf legt der dortige § 30 Abs. 1 Satz 1 BSIG fest, dass besonders wichtige und wichtige Einrichtungen verpflichtet sind, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen (TOM) zu ergreifen, um u.a. Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der IT-Systeme und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten.
Barrierefreiheitsstärkungsgesetz (Teil 2) – Für welche Apps und Websites gilt das BFSG?
In Teil 1 unserer Beitragsreihe zum Barrierefreiheitsstärkungsgesetz (BFSG) haben wir uns bereits mit den allgemeinen Anforderungen des BFSG befasst. In Teil 2 geht es darum, für welche Apps und Websites das BFSG gilt.
Piltz Legal Whitepaper zur KI-Verordnung
Die KI-Verordnung, auch bekannt als Artificial Intelligence Act („AI Act“), ist kürzlich in Kraft getreten. Erstmalig wird damit ein harmonisierter Rechtsrahmen auf europäischer Ebene zum Einsatz von Künstlicher Intelligenz (KI) geschaffen. Die Verordnung gilt aufgrund ihrer Rechtsnatur bereits mit ihrem Inkrafttreten unmittelbar in allen Mitgliedstaaten, ohne dass ein weiterer Vollzugsakt notwendig wird.
Barrierefreiheitsstärkungsgesetz (Teil 1) – Neue Pflichten für Unternehmen ab Juni 2025
Bestimmte Produkte und Dienstleistungen müssen nach dem 28. Juni 2025 barrierefrei zugänglich sein. Dies sieht das bereits im Juli 2021 veröffentlichte Barrierefreiheitsstärkungsgesetz (BFSG) vor. Konkret betrifft das BFSG vor allem auch die Gestaltung von Websites und Apps. Um Sie angemessen auf die Anforderungen des BFSG vorzubereiten, haben wir einen kurzen Überblick zu den wichtigsten Informationen erstellt.
Ist mein Unternehmen Anbieter nach der KI-Verordnung? Zum Begriff des „Inverkehrbringens“ nach der KI-VO
Die Einführung der KI-Verordnung (KI-VO) der Europäischen Union hat weitreichende Auswirkungen auf Unternehmen, die KI-Systeme entwickeln und / oder anbieten. Die KI-VO legt eine Vielzahl von Anforderungen fest, die in erster Linie von den Anbietern von KI-Systemen erfüllt werden müssen. Daher ist es für Unternehmen essenziell zu klären, ob sie als „Anbieter“ von KI-Systemen im Sinne der KI-VO gelten.