Am 10. Juli 2023 hat die Europäische Kommission den lang erwarteten Angemessenheitsbeschluss für die Übermittlung von personenbezogenen Daten in die USA veröffentlicht und damit für eine neue Rechtsgrundlage gesorgt. Für die E-Commerce-Branche ist das ein wichtiges Thema: Solche Datenübermittlungen sind hier oftmals an der Tagesordnung. Betroffene sollten nicht nur ihre Datenschutzerklärung anpassen, sondern auch darauf achten, dass ihre genutzten Partner die nötige Zertifizierung vorweisen. Für welche Unternehmen das der Fall ist, und worum es sich bei diesen Zertifizierungen überhaupt handelt, zeigen wir hier.
Überblick: Was ist der neue Angemessenheitsbeschluss (TADPF) und warum ist er so wichtig?
Seit Sommer 2020 war die Nutzung von Diensten, durch die personenbezogene Daten von EU-Bürgern in die USA übermittelt und dort verarbeitet wurden, aus datenschutzrechtlicher Sicht mit Risiken verbunden. Auch wenn solche Verarbeitungsvorgänge weiterhin zahlreich erfolgten, waren sie jedoch oft kaum datenschutzkonform. Grund dafür war der Wegfall des sogenannten Privacy Shields, dem Vorgänger des jetzigen Angemessenheitsbeschlusses. Dieses wurde durch den EuGH wegen rechtlicher Probleme gekippt, unter anderem wegen der weitreichenden Befugnisse, die die US-Geheimdienste für Zwecke der nationalen Sicherheit hatten.
Mit dem neuen Angemessenheitsbeschluss, dem Trans-Atlantic Data Privacy Framework (TADPF) fallen die seitdem bestehenden, datenschutzrechtlichen Unsicherheiten vorerst weg.
Für Betroffene ist diese Änderung auch deshalb wichtig, da es zu Anpassungsbedarf kommt, beispielsweise bezüglich der Datenschutzerklärung. Und Betroffene gibt es viele: Die Übermittlung von personenbezogenen Daten in die USA läuft im Hintergrund von vielen Online-Shops, Präsentationsseiten, Blogs, Apps und Websites generell ab – beispielsweise, wenn deren Betreiber bestimmte Tools oder Hosting-Anbieter nutzen. Auch die unternehmerische Nutzung von Social Media Netzwerken führt vielfach zu Anpassungsbedarf.
Datenschutzerklärung und Zertifizierung: Fortlaufende Aktualisierung erforderlich
Wer personenbezogene Daten übermittelt, muss darüber informieren. Das geschieht im Rahmen der Datenschutzerklärungen, die nun häufig dringend angepasst werden müssen. Durch eine rechtliche Besonderheit reicht es vielfach allerdings nicht aus, diese Aktualisierung nur einmalig vorzunehmen. Die US-Unternehmen müssen sich nämlich nach dem neuen TADPF zertifizieren lassen, damit dieser Angemessenheitsbeschluss tatsächlich als Rechtsgrundlage genutzt werden kann. Diese Zertifizierungsvorgänge laufen zur Zeit, immer mehr US-Unternehmen schließen sich dem TADPF an.
Wichtig: Wer personenbezogene Daten in die USA übermittelt, sollte insofern die fortlaufenden Zertifizierungen im Blick behalten und seine Datenschutzerklärungen ggf. fortlaufend anpassen.
Der Händlerbund stellt seinen Mitgliedern selbstverständlich aktualisierte Klauseln zur Verfügung. Aktuell sind für folgende Klauseln für bereits zertifizierte Unternehmen verfügbar (Stand 09.08.2023):
- wix.com Inc.
- Lightspeed POS USA Inc.
- HubSpot Inc.
- WhatsApp LLC
- Meta Platforms Inc.
- Google LLC
- Intuit
- Klaviyo
- Adobe Inc.
- Mouseflow Inc.
- Microsoft Corporation
- Tawk.to Inc.
- Zendesk Inc.
- Amazon.com Inc.
- Cloudflare Inc.
- Sentry.io
Eine Übersicht über alle Unternehmen, die bisher bereits nach dem TADPF zertifiziert worden sind, findest du auf der Website der International Trade Admission (ITA).
