In der Regel verteidigen Datenschützer die Aufsichtsbehörden, die meisten zumindest (zugegeben, manchmal reiben auch wir uns ob der einen oder anderen Einschätzung verwundert die Augen). Zurzeit bin ich unschlüssig, was von der aktuellen konzertierten Aktion der Aufsichtsbehörden zu halten ist. Doch der Reihe nach …
Nach dem Schrems-II-Urteil letzten Sommer stehen Datenübermittlungen in die USA auf tönernen Füßen und will man die Standardvertragsklauseln (SCC) als Basis für Datenexporte nutzen, bedarf es evtl. zusätzlicher Schutzmaßnahmen, um ein angemessenes Schutzniveau zu garantieren. Da die Aufsichtsbehörden gehalten sind, „mit aller gebotenen Sorgfalt ihre Aufgabe zu erfüllen, die darin besteht, über die umfassende Einhaltung der DSGVO zu wachen“, haben sich einige Behörden (u. a. Baden-Württemberg, Rheinland-Pfalz, Hamburg) nun zusammengetan und eine Prüfung internationaler Datentransfers in die Wege geleitet. Übersetzt heißt das: Ausgewählte Unternehmen bekamen Post – mit Fragebogen, wobei die Themen von Mailhostern über Tracking zu Bewerberportalen usw. reicht, also Themen, die nahezu jedes Unternehmen tangieren. Allein einer dieser Fragebogen umfasst 5 Seiten und enthält knackige Fragen. Noch knackiger ist der Umstand, dass man gleich die unterzeichnete Fassung der SCC oder sonstige Dokumentationen beilegen möge. Die Fragebogen selbst geben keine Auskunft darüber, ob eine Beantwortungspflicht vorliegt – das wird man den Begleitschreiben entnehmen dürfen. Wäre dem so, dürfte man eine Menge Informationen und Dokumentationen zusammentragen … je nach vorgegebenem erwarteten Zeitrahmen für die Antwort an die Behörde kann das sportlich werden. Wohl dem, der dann sein Datenschutzmanagement auf dem Schirm hat …
Klar ist: Datenübermittlungen in die USA werden mit Argusaugen beäugt und die Schlinge um diejenigen, die sich hierzu noch keinerlei Gedanken gemacht haben, zieht sich zu. Eine Abwägung, ob man beim US-Dienstleister bleibt oder zu einem europäischen Anbieter wechselt und sich dabei andere Nachteile erkauft, kann schnell zur Diskussion um Henne und Ei geraten. Nicht falsch verstehen: Die freundlichen Erinnerungshilfen (vulgo Kontrollen) der Aufsichtsbehörden halten wir für richtig, auch weil ein Angemessenheitsbeschluss der EU-Kommission für die USA zwar sehnlich herbeigewünscht, ohne umfassende Änderungen des amerikanischen Rechts aber schwerlich möglich scheint. Verwunderlich ist jedoch der Zeitpunkt der konzertieren Aktion, wo doch erst letzten Freitag neue SCC verabschiedet wurden und sich die Behörden nun mit demnächst zu überarbeitenden SCC rumschlagen. Ob damit dem Datenschutz und damit den vor unzulässigen Datenverarbeitungen zu schützenden Personen ein Gefallen getan wird, sei dahingestellt …