Read English Version
Wir alle hatten in der ersten Februar Woche begierig weißen Rauch zu einer Lösung der durch die Entscheidung des Europäischen Gerichtshofs (EuGH) im Fall Schrems für ungültig erklärten Safe Harbor Regelung entstandenen Datenschutzfragen erwartet. In ihrer Rede am 1. Februar 2016 vor dem Ausschuss für bürgerliche Freiheiten, Justiz und Inneres informierte Kommissarin Jourová über den Stand der Verhandlungen zu einem neuen “EU-US Privacy Shield”, das die Safe Harbor-Regelungen ersetzen soll. Am 2. Februar 2016 veröffentlichte die EU Kommission eine Pressemitteilung über die Vereinbarung neuer Rahmenbedingungen zu einer transatlantischen Datenübertragung: das EU-US Privacy Shield. Letztlich veröffentlichte die Artikel 29 Gruppe (WP29) am 3. Februar 2016 eine Erklärung zur Einführung des EU-US Privacy Shields, in der sie die ihrer Auffassung nach vier wichtigsten gemäß der Schrems-Entscheidung vom EU-US Privacy Shield zu erfüllenden Parameter noch einmal zusammenfasste.
Doch die guten Neuigkeiten zuerst: Die WP29 informierte, dass sie Standardvertragsklauseln und Binding Corporate Rules als Mittel zur Herstellung eines angemessenen Datenschutzniveaus für transatlantische Übertragungen personenbezogener Daten noch bis zum Ende Februar 2016 akzeptieren werde. Jedenfalls hat die Wirtschaft für die Zwischenzeit eine kleine Absicherung in dieser Beziehung.
Zur gleichen Zeit informierte die WP29 jedoch, dass sie bereit steht, das Ergebnis der Verhandlungen zum EU-US Privacy Shield im Lichte der vom EuGH in der Schrems-Entscheidung festgestellten „European essential guarantees“ zu analysieren. Mit seiner Entscheidung, dass Entscheidungen der EU Kommission durch nationale Behörden überprüft werden können, hat der EuGH ein System der „checks and balances“ geschaffen, dass der EU Kommission nur wenig Verhandlungsspielraum lässt. Während die WP29 bereit steht, das Verhandlungsergebnis im Lichte der Schrems-Entscheidung zu überprüfen, hat die EU Kommission die undankbare Aufgabe, mit der US Regierung ein Abkommen über einen Punkt zu schließen, der in Zeiten des Krieges gegen den Terror politisch nicht kontroverser ausgetragen werden könnte. Jedoch stellt die EuGH-Entscheidung letztlich eine nicht-verhandelbare Hürde dar – insbesondere vor dem Hintergrund, dass Datenübertragungen für die Wirtschaft heute ebenso elementar wichtig sind, wie Zahlungsüberweisungen.
Als Kontrast zur gegenwärtigen Berichterstattung findet sich nachfolgend ein Versuch, die Schlüsselelemente der Schrems-Entscheidung den gegenwärtigen Informationen auf Basis von Fr. Jourovás Rede am 1. Feburar und der Presseerklärung der EU Kommission vom 2. Februar über den EU-US Privacy Shield gegenüberzustellen. Da die Rede von Fr. Jourová nur in der englischen Sprache vorliegt, ist die Tabelle in dieser Sprache gehalten. Die Nummerierung in der Spalte „ECJ“ bezieht sich auf die entsprechenden Absätze der Schrems-Entscheidung.
Ruft man sich die Gründe der Schrems-Entscheidung noch einmal ins Gedächtnis, scheint die Tatsache, dass ein Drittland aufgrund seiner innerstaatlichen Rechtsvorschriften oder internationaler Verpflichtungen hinsichtlich des Schutzes der […] Grundrechte von Personen ein angemessenes Schutzniveau gewährleistet, ein zentraler Punkt der Entscheidung zu sein. Zu diesem Zeitpunkt überlasse ich es dem Leser, zu entscheiden, ob und in welchem Umfang die Anforderungen des EuGH zum gegenwärtigen Stand der Verhandlungen des EU-US Privacy Shields bereits erfüllt sind. Ich denke man muss anerkennen, dass sich die Verhandlungen noch im Gang befinden. Ggf. kann man die Parameter in der oben stehenden Tabelle auch auf andere Weise gegenüberstellen. Die Tabelle kann jedoch zur Erinnerung an die Anforderungen des EuGH bei der Verfolgung zukünftiger Berichterstattung zum Fortgang der Verhandlungen dienlich sein. Da die WP29 das einmal erfolgreich eingesetzte Mittel der (kurzen) Fristsetzung gegenüber den Verhandlungsparteien erneut eingesetzt hat, wird es hierzu gewiss bald Neuigkeiten geben. Wir sollten für die Wirtschaft hoffen, dass sich die Parteien letztlich auf einen Deal einlassen können, der die Anforderungen des EuGH erfüllt. Eine zweite Runde vor dem EuGH würde sicherlich dem Bedürfnis nach Rechtssicherheit – auf beiden Seiten des Atlantiks – nicht Rechnung tragen.
Dieser Beitrag sowie Antworten auf Kommentare zu diesem Beitrag enthalten allgemeine Erwägungen zum Gegenstand des Beitrags. Sie stellen keine rechtliche Beratung und kein Angebot zur Rechtsberatung dar und begründen kein Beratungsverhältnis.
The Birth of The EU-US Privacy Shield
We were all eagerly awaiting white smoke in the first week of February 2016 on a resolution of the data protection issues created by the European Court’s (“ECJ”) holding in the Schrems case that invalidated the Safe Harbor. In her speech on February 1, 2016, before the Committee on Civil Liberties, Justice and Home Affairs, Commissioner Jourová informed on the status of negotiations on a new “EU-US Privacy Shield” to replace the Safe Harbor. On February 2, 2016, the EU Commission issued a press release on an agreement of a new framework for transatlantic data flows: EU-US Privacy Shield. Finally, on February 3, 2016 the Article 29 Working Party (“WP29”) issued a statement on the introduction of the EU-US Privacy Shield, summarizing the four most important benchmarks the EU-US Privacy Shield would need to cover according to the ECJ’s holding in the Schrems case.
To put the good news first: the WP29 informed that it will accept Standard Contractual Clauses and Binding Corporate Rules as a means to provide an adequate level of data protection for transatlantic transfers of personal data until end of February 2016. At least businesses have a little assurance in this regard for the time being.
At the same time the WP29 informs that it stands ready to analyze the result of the negotiations on the EU-US Privacy Shield in light of the European essential guarantees set forth in by the ECJ in the Schrems case. By holding that the EU Commission’s decisions can be challenged by national authorities, the ECJ created a system of checks and balances leaving little negotiation room for the EU Commission: While the WP29 stands ready to benchmark a negotiation result by the Commission against the Schrems holding, the Commission has the thankless task to cut a deal with the US government on an issue that could not be more politically controversial in times of the war against terrorism. However, the ECJ’s holding is a non-negotiable hurdle, and cross-border data transfers today are as crucial to businesses as money transfers.
As a contrast to the current reports on the subject, following is an attempt to juxtapose the key elements of the ECJ’s holding against current information on the specifics of the EU-US Privacy Shield on the basis of Ms. Jourová’s speech on February 1 and the Commission’s press release on February 2, 2016. The numbering in the ECJ column refers to the paragraphs in the ECJ judgment.
When looking at the Schrems holding, it seems that a third country “ensures by reason of domestic law or of international commitments, a level of protection of fundamental rights essentially equivalent to that guaranteed in the EU legal order” was key to the ECJ when reviewing the old Safe Harbor regime. At this point, however, I leave it up to the reader to decide if and to what extent the ECJ’s requirements already have been met by the current status of the negotiations. I think we need to appreciate that so far the negotiations have not been completed. You might also allocate the parameters in the above table in a slightly different fashion. However, the table may help to recall the ECJ’s requirements when following future coverage on the progress of the negotiations. Since the WP29 continues with the once successful setting of (tough) deadlines for the negotiating parties, there will certainly be news soon. Let’s hope for our industries that the negotiating parties finally will be able to cut a deal that will satisfy the requirements set forth by the ECJ. A second run before the ECJ will certainly not provide the certainties that businesses require – at both sides of the Atlantic Ocean.
This blog post, and any responses to comments on this post, are intended to convey general thoughts on the topic presented. They should not be relied upon as legal advice. They are not an offer to represent you, nor are they intended to create an attorney-client relationship.
FARMAMOARA 