In­ter­na­tio­na­le Da­ten­über­mitt­lung – was ist ein Angemessenheitsbeschluss?

An­ge­mes­sen­heits­be­schlüs­se stellen fest, dass per­so­nen­be­zo­ge­ne Daten in einem be­stimm­ten Dritt­land einen mit dem Eu­ro­päi­schen Da­ten­schutz­recht ver­gleich­ba­ren ad­äqua­ten Schutz genießen.

Art. 45 DS-GVO enthält die Kri­te­ri­en, Be­din­gun­gen und Ver­fah­ren für den Erlass eines An­ge­mes­sen­heits­be­schlus­ses der Kom­mis­si­on in Bezug auf das da­ten­schutz­recht­li­che Schutz­ni­veau eines Dritt­lan­des oder einer in­ter­na­tio­na­len Or­ga­ni­sa­ti­on.¹ Solche An­ge­mes­sen­heits­be­schlüs­se setzen die in Art. 8 Abs. 1 GrCh aus­drück­lich vor­ge­se­he­ne Pflicht zum Schutz per­so­nen­be­zo­ge­ner Daten um. Sie sollen den Fort­be­stand des hohen Niveaus dieses Schut­zes im Fall der Über­mitt­lung per­so­nen­be­zo­ge­ner Daten in ein Dritt­land gewährleisten.

Gleich­zei­tig dienen An­ge­mes­sen­heits­be­schlüs­se auch der Si­cher­stel­lung einer har­mo­ni­sier­ten Her­an­ge­hens­wei­se der Union im Ver­hält­nis zu Dritt­staa­ten. Sie werden von Dritt­staa­ten zu­neh­mend als Mög­lich­keit wahr­ge­nom­men, sich dem Rest der Welt auf­grund eines „EU-kom­­pa­­ti­­blen“ Da­ten­schutz­stan­dards als at­trak­ti­ven di­gi­ta­len Wirt­schafts­stan­dort zu emp­feh­len.²

Die Eu­ro­päi­sche Kommission

Die Eu­ro­päi­sche Kom­mis­si­on kann gemäß Art. 45 Abs. 3 DS-GVO so­ge­nann­te An­ge­mes­sen­heits­be­schlüs­se fassen. Sie stellt dabei fest, dass per­so­nen­be­zo­ge­ne Daten in einem be­stimm­ten Dritt­land einen mit dem Eu­ro­päi­schen Da­ten­schutz­recht ver­gleich­ba­ren ad­äqua­ten Schutz ge­nie­ßen. Hat die Eu­ro­päi­sche Kom­mis­si­on einen ent­spre­chen­den An­ge­mes­sen­heits­be­schluss gefasst, so dürfen per­so­nen­be­zo­ge­ne Daten, sofern die sons­ti­gen Be­stim­mun­gen der DS-GVO ein­ge­hal­ten werden, ohne weitere Ge­neh­mi­gung an das Dritt­land über­mit­telt werden. Da­ten­über­mitt­lun­gen auf der Grund­la­ge eines An­ge­mes­sen­heits­be­schlus­ses sind folg­lich pri­vi­le­giert: sie werden solchen in­ner­halb der EU gleich­ge­stellt.³

Bisher er­gan­ge­ne Angemessenheitsbeschlüsse

Art. 45 Abs. 9 DS-GVO hält aus­drück­lich fest, dass sämt­li­che vor Wirk­sam­wer­den der Da­ten­­­schutz-Grun­d­­ver­­or­d­­nung nach Art. 25 Abs. 6 der DSRL er­las­se­nen Ent­schei­dun­gen (sofern diese noch wirksam sind) bis zu einer ab­än­dern­den oder auf­he­ben­den Ent­schei­dung der Kom­mis­si­on wirksam bleiben.4

Es exis­tie­ren fol­gen­de An­ge­mes­sen­heits­be­schlüs­se für die Über­mitt­lung per­so­nen­be­zo­ge­ner Daten in diese Dritt­län­der (Stand: 10.01.2022)⁵:

• Andorra* (ABl. EU v. 21.10.2010, Nr. L 277/27)
• Ar­gen­ti­ni­en* (ABl. EU v. 05.07.2003, Nr. L 168/19)
• Aus­tra­li­en, Son­der­fall PNR-Daten (ABl. EU v. 08.08.2008, Nr. L 213/47)
• Färöer-Inseln* (ABl. EU v. 09.03.2010,Nr. L 58/17)
• Guern­sey* (ABl. EU v. 25.11.2003, Nr. L 308/27)
• Isle of Man* (ABl. EU v. 30.04.2004, Nr. L 151/51 sowie Be­rich­ti­gung in ABl. EU v. 10.06.2004, Nr. L 208/47)
• Israel* (ABl. EU v. 01.02.2011, NR. L 27/39)
• Japan (ABl. EU v. 19.03.2019, Nr. L 76/1)
• Jersey* (ABl. EU v. 28.05.2008, Nr. L 138/21)
• Kanada* (ABl. EG v. 04.01.2000, Nr. L 2/13), Son­der­fall PNR-Daten (ABl. EU v. 10.06.2004, Nr. L 208/47)
• Neu­see­land* (ABl. EU v. 30.01.2013, Nr. L 28/12)
• Re­pu­blik Korea (Süd­ko­rea)
• Schweiz* (ABl. EG v. 25.08.2000, Nr. L 215/1)
• Uruguay* – Eastern Re­pu­blic of Uruguay (ABl. EU v. 23.08.2012, Nr. 227/11)
• Ver­ei­nig­tes Kö­nig­reich6

Bei den mit Stern­chen * ge­kenn­zeich­ne­ten Ländern hat die Eu­ro­päi­sche Kom­mis­si­on die An­ge­mes­sen­heits­be­schlüs­se noch auf Grund­la­ge von Art. 25 Abs. 6 der Richt­li­nie 95/46/EG („EU-Da­­ten­­schut­z­rich­t­­li­­nie“) er­las­sen. Sie gelten auch nach In­kraft­tre­ten der DS-GVO zum 25.05.2018 fort. Dies solange die Eu­ro­päi­sche Kom­mis­si­on nicht ihre Än­de­rung, Er­set­zung oder Auf­he­bung be­schließt (vgl. Art. 45 Abs. 9 DS-GVO). Von dieser Mög­lich­keit hat die Eu­ro­päi­sche Kom­mis­si­on bisher noch keinen Ge­brauch gemacht.

In­halt­li­che Reichweite

Zu be­ach­ten ist, dass sich die je­wei­li­gen An­ge­mes­sen­heits­be­schlüs­se in ihrer in­halt­li­chen Reich­wei­te von Land zu Land un­ter­schei­den können. So erfasst bei­spiels­wei­se die Ad­äquanz­ent­schei­dung für Kanada nur solche Da­ten­ver­ar­bei­tun­gen, die dem Per­so­nal In­for­ma­ti­on Pro­tec­tion and Elec­tro­nic Do­cu­ments Act (PIPEDA) un­ter­fal­len.7

Be­din­gun­gen

Sofern ein An­ge­mes­sen­heits­be­schluss der Kom­mis­si­on nach Art. 45 DS-GVO vor­liegt, sind die Be­din­gun­gen des Abs. 5 in Über­ein­stim­mung mit Art. 44 DS-GVO erfüllt.8 Ob die wei­te­ren Be­stim­mun­gen der DS-GVO, ins­be­son­de­re für die Zu­läs­sig­keit der je­wei­li­gen Über­mitt­lung von Daten, zu be­rück­sich­ti­gen sind und ge­ge­ben­falls daraus re­sul­tie­ren­de weitere Vor­aus­set­zun­gen vor­lie­gen, ist un­ab­hän­gig von einem An­ge­mes­sen­heits­be­schluss ein­zel­fall­ab­hän­gig nach den spe­zi­el­len Vor­schrif­ten der DS-GVO zu be­wer­ten. Art. 45 DS-GVO be­trifft nur die Frage des an­ge­mes­se­nen Schutz­ni­veaus und nicht die Ein­hal­tung der sons­ti­gen Be­stim­mun­gen, wie Art. 44 DS-GVO für die Zu­läs­sig­keit der Da­ten­über­tra­gung im Übrigen ver­langt.9 Eine Über­mitt­lung von Daten in Dritt­län­der und an andere qua­li­fi­zier­te Adres­sa­ten ist nach einem ent­spre­chen­den Kom­mis­si­ons­be­schluss nach Art. 45 Abs. 1 DS-GVO erlaubt.¹⁰

Kri­tie­ri­en für eine Angemessenheitsentscheidung

Laut Art. 45 Abs. 1 3. HS DS-GVO muss „…ein an­ge­mes­se­nes Schutz­ni­veau“ geboten werden. Als „an­ge­mes­sen“ i.S.d. Art. 45 DS-GVO gilt ein Da­ten­schutz­ni­veau nicht erst dann, wenn es mit der Uni­ons­rechts­ord­nung iden­tisch ist (vgl. allg. Art. 29-Da­­ten­­schut­z­­grup­­pe WP 12 – Über­mitt­lun­gen in Dritt­län­der S. 5). Um bei Da­ten­über­mitt­lun­gen in ein Dritt­land oder an eine in­ter­na­tio­na­le Or­ga­ni­sa­ti­on den Fort­be­stand des in Art. 7 und Art. 8 Abs. 1 GrCh ga­ran­tier­ten Schut­zes der per­so­nen­be­zo­ge­nen Daten si­cher­zu­stel­len, ist not­wen­dig – aber nicht aus­rei­chend – dass das Dritt­land oder die in­ter­na­tio­na­le Or­ga­ni­sa­ti­on auf­grund seiner in­ner­staat­li­chen Re­chen­schafts­vor­schrif­ten oder in­ter­na­tio­na­ler Ver­pflich­tun­gen tat­säch­lich ein Schutz­ni­veau ge­währ­leis­tet, welches dem in der EU vor­zu­fin­den­den Schutz­ni­veau der Sache nach gleich­wer­tig ist (ErwG 104).11

AdOrga Solutions GmbH – Ihre Datenschutz-Diplomaten.
Wenn Sie Fragen haben oder Sie be­nö­ti­gen Un­ter­stüt­zung bei einer Drittlandübertragung?
Kon­tak­tie­ren Sie uns: consulting@AdOrgaSolutions.de.
Seit 2007 Lö­sun­gen für pro­fes­sio­nel­len und fach­kun­di­gen Datenschutz.

¹ Vgl. Zerdick, T., (2018), Da­ten­­­schutz-Grun­d­­ver­­or­d­­nung, S. 675, Rn. 1
² Ebenda
³ Vgl. EU-Kom­­mis­­si­on, Working do­cu­ment on Ade­quacy Re­fe­ren­ti­al (wp254rev.01), 6 Fe­bru­ary 2018
4 Vgl. Schrö­der, C., (2020), In: Kühling/Buchner DS-GVO Art. 45 DS-GVO, Rn. 33
⁵  Vgl. https://datenschutz.hessen.de/datenschutz/internationales/angemessenheitsbeschlüsse (auf­ge­ru­fen am 10.01.2022)
⁶ Durch­füh­rungs­be­schluss der Kom­mis­si­on vom 28.06.2021
⁷ Ent­schei­dung der Eu­ro­päi­schen Kom­mis­si­on vom 20.12.2001
⁸ Vgl. Zerdick, T., (2018), Da­ten­­­schutz-Grun­d­­ver­­or­d­­nung, S. 1186, Rn. 3
⁹ Ebenda
¹⁰ Ebenda
¹¹ Vgl. Pauly, D., (2021), in Paal/Pauly DS-GVO Art. 45, Rn. 1b