Im Erkenntnis vom 12.05.2023 (W245 2252208-1/36E W245 2252221-1/30E) hat das Bundesverwaltungsgericht umfangreich auf 62 Seiten dargelegt, dass die Datenübermittlung von einer Website an Google am 14.8.2020 (die nicht auf eine Einwilligung iSd Art 49 Abs 1 lit a DSGVO gestützt war, und bei der auch Anonymize_IP nicht eingesetzt wurde) rechtswidrig war. Nach der Schrems-II-Entscheidung kann die Übermittlung von personenbezogenen Daten in die USA nicht mehr auf einen Angemessenheitsbeschluss...
Der internationale Datentransfer in „unsichere Drittländer“ ist nun durch die Google Fonts Abmahnung wieder in aller Munde.
Doch was ist eigentlich das rechtliche Problem, wenn personenbezogene Daten in die USA übermittelt werden?
Die Österreichische Datenschutzbehörde hat am 22.12.2021 entschieden, dass ein Datentransfer beim Einsatz von Google Analytics auf einer Website eines Verantwortlichen aus Österreich in die USA ohne zusätzliche Maßnahmen iSv Schrems II nur auf Basis der (online) abgeschlossenen Standardvertragsklauseln zwischen dem Verantwortlichen und Google nicht zulässig ist. Die Ents ist (in English Übersetzung) auf der Website von NOYB verfügbar....
Schrems II ist seit 16.7.2020 jedem Datenschützer und vielen Unternehmen ein Begriff. Datentransfers in Drittländer wurden komplexer, und können nur zum Teil auf Standardvertragsklauseln (Standard Contract Clauses) gestützt werden. Zusätzliche Maßnahmen sind bei Datenübertragungen in die USA (oder auch andere Drittländer mit einem nicht angemessenen Datenschutzniveau) erforderlich.
Der EDSA hat sich mit den Folgen der Schrems II - Entscheidung des EuGH vom 16.7.2020 bereits am 23.7.2020 beschäftigt.
Eine Information dazu in englischer Sprache ist verfügbar.
Was können Unternehmen jetzt tun? Womit müssen Unternehmen rechnen? Werden die Aufsichtsbehörden nun Sanktionen verhängen, zB Strafen oder Datenübermittlungen untersagen?