Statt Privacy Shield: Google will auf Standarddatenschutzklauseln setzen

Mit seiner Entscheidung vom 16. Juli 2020 hat der Europäische Gerichtshof das EU-USA-Privacy-Shield, eine der rechtlichen Grundlagen für die DSGVO-konforme Übermittlung personenbezogener Daten in die USA, für ungültig erklärt. Unternehmen, die mit solchen Datentransfers zu tun haben, stellt das mitunter vor große Herausforderungen. 

Betroffen ist dabei insbesondere auch Google als Anbieter von Analyse- und Tracking-Möglichkeiten. Nun hat das Unternehmen Partner darüber informiert, die Datenverarbeitung auf andere Füße zu stellen: Fortan soll diese auf Basis der sog. Standarddatenschutzklauseln abgewickelt werden. 

Google nutzt Standarddatenschutzklauseln ab 12. August 

In Kraft treten soll die Änderung bereits zum 12. August – allerdings hatte der EuGH auch keine Übergangsfrist oder ähnliches gewährt. Dabei hat Google die Änderung für seinen Werbe- und Messdienst „Google Ads“ angekündigt. Im Zuge dessen werden laut der Benachrichtigung die „Google Datenverarbeitungsbedingungen zwischen Verantwortlichen für Google Werbeprodukte“, die „Auftragsdatenverarbeitungsbedingungen für Google Werbeprodukte“ sowie die „Datenverarbeitungsbedingungen zwischen Verantwortlichen für Messdienste von Google“ angepasst. 

Alternative zum ungültigen Privacy Shield – theoretisch

Nach eigener Aussage will Google die rechtskonforme Übermittlung in die USA sicherstellen. „Wir werden die Entwicklung der internationalen Datenübertragungsmechanismen im Rahmen der DSGVO weiterhin überwachen und uns dazu verpflichten, eine rechtmäßige Grundlage für die Datenübertragung in Übereinstimmung mit den geltenden Datenschutzgesetzen zu schaffen“, heißt es im Artikel des Konzerns zu den anstehenden Anpassungen. 

Standarddatenschutzklauseln (SDK) stellen nach den Vorgaben eine Alternative für die Übermittlung personenbezogener Daten in Staaten außerhalb der EU, sog. Drittländer, dar – das besonders für den Fall, dass ein Abkommen wie es der Privacy Shield dargestellt hat, nicht existiert. Google gibt mit der Nutzung dieser Standarddatenschutzklauseln sozusagen die Garantie, dass bei der Übermittlung und der Verarbeitung in den USA ein Datenschutzniveau eingehalten wird, das mit jenem in der EU vergleichbar, also angemessen ist. 

Datenschutzkonferenz: Ohne zusätzliche Maßnahmen nicht ausreichend

Entgegen der Verwendung des Privacy Shields ist jene der SDK zwar grundsätzlich zulässig, das hat der EuGH im betreffenden Urteil auch festgestellt. Diese Klauseln aber nur förmlich aufzunehmen, reicht nicht aus, um das Datenschutzniveau auch sicherzustellen – so äußerte sich gerade die Datenschutzkonferenz (DSK) in einer Mitteilung bezüglich des EuGH-Urteils.

Kritisiert worden waren hier die weitgehenden Zugriffsbefugnisse US-amerikanischer Behörden bzw. Nachrichtendienste, gegen die EU-Bürgerinnen und Bürger zudem keine ausreichenden Rechtsbehelfsmöglichkeiten hätten. Allein die Nutzung von Standarddatenschutzklauseln dürfte an dieser Situation womöglich nichts ändern. Kann das angemessene Datenschutzniveau im Drittstaat nicht durch die Standardvertragsklauseln selbst garantiert werden, braucht es nach Auffassung der Datenschutzkonferenz zusätzliche Maßnahmen. „Nach dem Urteil des EuGH reichen bei Datenübermittlungen in die USA Standardvertragsklauseln ohne zusätzliche Maßnahmen grundsätzlich nicht aus“, heißt es weiter. 

Google will mit der Verwendung der Standardvertragsklauseln die Vorgaben der DSGVO erfüllen und sichert auch zu, dass dem Unternehmen durch das Update keine zusätzlichen Rechte an Daten eingeräumt werden würden. Ob mit der Änderung eine rechtskonforme Grundlage entsteht, erscheint mit Blick auf die Äußerung der Datenschutzkonferenz aber kritisch. Ob es sich tatsächlich um eine nachhaltige Lösung handelt, wird sich noch zeigen müssen.