Das Data Privacy Framework ist in Kraft – wer rechtssicher Daten verarbeiten möchte, sollte hier Fettnäpfchen vermeiden! Für Webseitenbetreiber gibt es bei dem neuen EU-Abkommen nämlich auch hierzulande ein paar Dinge zu beachten.
Was ist das Data Privacy Framework?
Das Data Privacy Framework – kurz DPF – ist der neueste Versuch, die rechtskonforme Übertragung privater Daten aus der EU in die USA zu ermöglichen. Damit reiht sich DPF in eine Gruppe aus mittlerweile drei Abkommen mit diesem Ziel. Die anderen beiden – Safe Harbor und Privacy Shield – waren zuvor an Bedenken des EU-Gerichtshofes gescheitert. Der Hintergrund: Seit den Enthüllungen Edward Snowdens im Jahr 2013 ist bekannt, dass es die amerikanischen Geheimdienste mit sensiblen Daten nicht sehr eng sehen. Einschlägige Abkommen mit den USA sind deshalb praktisch nicht umsetzbar. Ob DPF daran etwas ändern kann oder nach absehbaren Klagen wie seine Vorgänger von der Bildfläche verschwindet, steht jetzt noch in den Sternen. Bis Gerichte über die Zukunft des Abkommens entscheiden, gilt es aber EU-weit als Standard für die Datenübermittlung nach Übersee.
Was ändert sich für Webseitenbetreiber in Deutschland?
Um an DPF teilzunehmen, müssen sich amerikanische Unternehmen beim dortigen Handelsministerium CoC registrieren. Wer hierzulande Daten in die USA übermitteln möchte, sollte also zuerst die Zertifizierung des Empfängers prüfen. Dafür hat das CoC extra eine Webseite mit Suchfunktion eingerichtet. Auf dieser Seite sind Stand 04.09.2023 mehr als 2.400 Unternehmen registriert – Tendenz steigend. Taucht ein Unternehmen aus den USA auf dieser Liste aus, ist der rechtssichere Datentransfer prinzipiell möglich. Das Register weist in der Spalte “Covered Data” auf mögliche Einschränkungen hin. Dabei unterscheidet das CoC zwischen “HR” und “Non-HR”. “HR” umfasst persönliche Daten der Angestellten einer Organisation, die im Rahmen des Arbeitsverhältnisses gesammelt wurden. “Non-HR” umfasst sämliche anderen persönlichen Daten und dürfte damit die meisten Fälle von Datenübertragung wie etwa Daten von Kunden abdecken.
Allerdings brauchen auch Webseiten hierzulande einige Anpassungen. Die Pflicht zum Hinweisen auf Datenübermittlung und Cookies besteht nämlich weiterhin. An der Pflicht, sich die Einwilligung der Betroffenen etwa beim Einsatz von Tracking-Tools zu holen, ändert sich also nichts. Dafür gehören jetzt Hinweise auf DPF in die Datenschutzerklärung und das Cookie-Banner. Darin sollte erklärt werden, dass eine Datenübermittlung nach DPF stattfindet. Außerdem muss deutlich sein, an welche Unternehmen die Daten gehen, dass sie DPF-zertifiziert sind, und zu welchem Zweck die Datenübermittlung stattfindet.
Datenschutzerklärungen sind ein Minenfeld, denn Verstöße gegen aktuelle Regelungen können mitunter sehr teuer werden. Willst du Rechtssicherheit bei deiner Datenschutzerklärung? Wir können als Partner von e-Recht24 rechtssicher Datenschutzerklärungen erstellen. Sprich uns einfach darauf an!
