Ausgangslage
Im Juni 2020 unterband der EuGH den auf die Selbst-Zertifizierung des US-Datenimporteurs nach dem Privacy Shield 2.0 gestützten Datentransfer in die USA. In der Folge stellte eine Vielzahl US-amerikanischer Datenimporteure auf die EU-Standardvertragsklauseln um.
Angemessenheitsbeschluss der EU im Juni 2023
Seit Juni 2023 kann ein Export personenbezogener Daten aus dem EWR in die USA erneut auf die Selbst-Zertifizierung des Datenimporteurs in den USA nach dem Privacy Shield 3.0 gestützt werden. Viele gehen davon aus, dass das Privacy Shield 3.0 allerdings kaum den 3. Jahrestag des In-Kraft-Tretens überdauern wird, denn es sind bereits eine Vielzahl von Klagen/Beschwerden angekündigt.
Selbst-Zertifizierung statt Standardvertragsklauseln?
Vor diesem Hintergrund stellt sich die Frage, ob aus Sicht der US-Datenimporteure das Umstellen aller bestehenden Vereinbarungen zum Datenimport von den Standardvertragsklauseln auf die Selbst-Zertifizierung nach dem Privacy Shield 3.0 überhaupt sinnvoll sein kann.
Ist der Datenimporteur als Auftragsverarbeiter eines EU-Datenexporteurs tätig, macht die Umstellung wenig Sinn, denn in diesem Fall ist weiterhin eine Vereinbarung zur Auftragsverarbeitung erforderlich. Letztere ist in den Standardvertragsklauseln „Controller-Processor-Transfer“ ohnehin enthalten.
Die Selbst-Zertifizierung von Auftragsverarbeitern ist demnach ausschließlich für US-Auftragsverarbeiter attraktiv, die unbedingt von den wenigen Regelungen der Standardvertragsklauseln „Controller-to-Processor“ abweichen wollen, die nicht ohnehin typischerweise in Vereinbarungen zur Auftragsverarbeitung enthalten sind.
Anders sieht die Rechtslage bei US-Datenimporteuren aus, die als alleinige verantwortliche Stelle tätig werden. In diesem Fall entfällt die Notwendigkeit der Vereinbarung der Standardvertragsklauseln Controller-to-Controller-Transfer zwischen US-Datenimporteur und EWR-Datenxporteur, was eine erhebliche Reduzierung des Dokumentationsaufwandes mit sich bringt.