Trans Atlantic Data Privacy Framework – TADPF
Die digitalen Grenzen verschwimmen zunehmend. Daher steht der Schutz persönlicher Daten im Fokus internationaler Debatten. Insbesondere die Schrems-Entscheidungen des EuGH verdeutlichten den Bedarf an einem soliden Fundament für die Datensicherheit. Diese Urteile markierten Wendepunkte, da sie die Unzulänglichkeiten früherer Abkommen aufzeigten. Als Antwort entstand das Trans-Atlantic Data Privacy Framework (TADPF). Im Folgenden betrachten wir diesen rechtlichen Rahmen detailliert.
Was sind Datenübertragungen?
Zunächst müssen wir den Begriff der Datenübertragung klären. Denn die Datenschutzkonferenz (DSK) hat in ihren Richtlinien vom 4. September 2023 eine klare Definition vorgelegt. Laut DSK umfasst der Begriff weit mehr als nur bewusste Aktionen. Bereits die Bereitstellung eines Zugriffs aus einem Drittland – etwa für Support-Zwecke – gilt als Übermittlung.
TADPF – Neuer Rahmen für den Datentransfer
Die DSGVO reguliert die Übermittlung von Daten in Länder außerhalb des EWR streng (Art. 44 ff.). Frühere Abkommen wie „Safe Harbor“ oder „Privacy Shield“ scheiterten vor dem EuGH. Jedoch unterzeichnete US-Präsident Joe Biden im Oktober 2022 eine Executive Order für einen neuen Rechtsrahmen. Schließlich trat am 10. Juli 2023 der Angemessenheitsbeschluss in Kraft. Dieser sichert ein angemessenes Datenschutzniveau für US-Unternehmen, die das TADPF umsetzen.
Umsetzung und Zertifizierung
Das TADPF beruht auf einer freiwilligen Selbstzertifizierung der US-Unternehmen. Dafür führt das US-Handelsministerium eine offizielle Liste unter Bedeutung für die Praxis
Bestehende Verträge oder andere Mechanismen müssen Sie nicht zwingend auf das TADPF umstellen. Denn ein Anpassungsaufwand lohnt sich nur bedingt, falls der EuGH das Abkommen erneut kippt. Für neue Datenübermittlungen ist das TADPF jedoch eine Option, sofern der US-Dienstleister zertifiziert ist. Fehlt diese Zertifizierung, müssen Sie weiterhin Garantien nach Art. 46 bis 49 DSGVO nutzen. Vorteilhaft am TADPF ist, dass keine zusätzlichen Genehmigungen nötig sind.
Dennoch bleibt ein Risiko: Sollte der EuGH das TADPF für ungültig erklären, müssten Unternehmen ihre Datenströme kurzfristig wieder auf Standardvertragsklauseln (SCCs) umstellen. Daher prüfen viele Verantwortliche vorsorglich, ob sie direkt SCCs verwenden sollten. Oftmals haben sie bei großen Auftragsverarbeitern ohnehin keine Wahl bei der Vertragsform.
Fazit
Der Angemessenheitsbeschluss ist eine positive Entwicklung. Dennoch wünschen sich viele Akteure eine langfristig sicherere Grundlage. Aktuell bleiben SCCs das zuverlässigste Mittel für Übermittlungen in Drittländer. Abschließend sollten Sie stets abwägen, ob der administrative Aufwand angesichts der bestehenden Rechtsunsicherheit gerechtfertigt ist.
Links & Verweise:
TADPF Portal |
DSK-Richtlinie (USA) |
procado: Blog zum TADPF
gesa/procado
procado