Neues EU-US-Datenschutzrahmenwerk bringt Rechtsklarheit für Google Analytics 4 in Europa; Unternehmen sind weiterhin für die Einhaltung verantwortlich.
- Die EU hat mit den USA ein neues Datenschutz-Framework verabschiedet
- Dieses Framework ermöglicht die Datenübertragung von der EU in die USA.
- Unternehmen sind für die Einhaltung des Frameworks verantwortlich.
In einer bedeutenden Entwicklung gilt Google Analytics 4 in Europa nach der kürzlich erfolgten Annahme des EU-US-Datenschutzrahmens durch die Europäische Kommission als legal.
Die Nachricht kommt inmitten von Warnungen der schwedischen Behörde für Datenschutz (IMY) bezüglich potenzieller Überwachungsrisiken im Zusammenhang mit GA4.
Der rechtliche Status von GA4 in Europa und die Warnung des IMY sind miteinander verbundene Teile einer größeren globalen Erzählung über Datenschutz, Datenschutzbestimmungen und transatlantische Datenübertragungen.
Contents
- 1 EU-US-Datenschutzrahmen verabschiedet
- 2 Verbesserte Schutzmaßnahmen gegenüber früheren Mechanismen
- 3 Schwedischer Datenschutzbeauftragter warnt vor Google Analytics
- 4 Erklärung des Kommissionspräsidenten
- 5 Rahmen-Compliance-Protokoll für US-Unternehmen
- 6 Sicherung des Zugriffs auf übertragene Daten
- 7 Künftige Schritte
- 8 Zusammenfassend
EU-US-Datenschutzrahmen verabschiedet
Die Europäische Kommission hat den neuen EU-US-Datenschutzrahmen ratifiziert und bekräftigt, dass die Vereinigten Staaten einen gleichwertigen Schutz für personenbezogene Daten bieten, die aus der EU übermittelt werden, wie sie innerhalb der Union bereitgestellt werden.
Dieser Beschluss ermöglicht eine sichere Datenübertragung aus der EU an am Rahmen beteiligte US-Unternehmen, ohne dass zusätzliche Datenschutzmaßnahmen erforderlich sind.
Der Rahmen führt strenge Sicherheitsvorkehrungen ein, die Bedenken ausräumen, die zuvor vom Europäischen Gerichtshof vorgebracht wurden. Diese Sicherheitsvorkehrungen beschränken den Zugang der US-Geheimdienste zu EU-Daten auf das Wesentliche und Verhältnismäßige und richten ein Datenschutzprüfungsgericht (DPRC) ein. EU-Bürger werden Zugang zu diesem Gericht haben.
Verbesserte Schutzmaßnahmen gegenüber früheren Mechanismen
Das neue Rahmenwerk bietet erhebliche Verbesserungen im Vergleich zum vorherigen Datenschutzschild-Mechanismus. Wenn die DVRC beispielsweise feststellt, dass Daten gesammelt wurden, die gegen die neuen Sicherheitsvorkehrungen verstoßen, kann sie die Löschung dieser Daten anordnen.
US-amerikanische Unternehmen, die Daten aus der EU importieren, müssen Verpflichtungen einhalten, die die neuen Sicherheitsvorkehrungen für den staatlichen Zugriff auf Daten ergänzen.
Schwedischer Datenschutzbeauftragter warnt vor Google Analytics
Die Ankündigung des neuen EU-US-Datenschutzrahmens fällt mit Warnungen von IMY für Unternehmen zusammen, die GA4 verwenden, und beruft sich auf Bedenken hinsichtlich der Überwachungsrisiken der US-Regierung.
Die Untersuchung der Behörde gegen vier schwedische Unternehmen ergab Verstöße gegen die Einwilligungs- und Datenübertragungsanforderungen der DSGVO, was zu Strafen und Anordnungen führte, Google Analytics nicht mehr zu verwenden.
In Reaktion auf die Entscheidung von IMY betonte Google, dass Google Analytics bestimmte Personen im Web nicht identifiziert oder verfolgt. Das Unternehmen erklärte, dass Website-Publisher für die Einhaltung und ethische Datennutzung verantwortlich sind, während Google Sicherheitsvorkehrungen, Kontrollen und Ressourcen bereitstellt.
Erklärung des Kommissionspräsidenten
Die Präsidentin der Europäischen Kommission, Ursula von der Leyen, kommentierte:
„Der neue EU-US-Datenschutzrahmen wird sichere Datenflüsse für Europäer gewährleisten und Unternehmen auf beiden Seiten des Atlantiks Rechtssicherheit bringen. Heute unternehmen wir einen wichtigen Schritt, um den Bürgern Vertrauen in die Sicherheit ihrer Daten zu vermitteln, unsere wirtschaftlichen Beziehungen zwischen der EU und den USA zu vertiefen und gleichzeitig unsere gemeinsamen Werte zu bekräftigen.“
Rahmen-Compliance-Protokoll für US-Unternehmen
US-Unternehmen können dem Rahmen beitreten, indem sie sich verpflichten, bestimmte Datenschutzverpflichtungen einzuhalten.
Dazu gehören das Löschen personenbezogener Daten, wenn sie für ihren ursprünglichen Zweck nicht mehr erforderlich sind, und die Gewährleistung eines fortgesetzten Schutzes, wenn Daten an Dritte weitergegeben werden.
EU-Bürger haben mehrere Möglichkeiten zur Wiedergutmachung, wenn US-Unternehmen ihre Daten falsch behandeln. Dazu gehören kostenlose, unabhängige Streitbeilegungsmechanismen und ein Schiedspanel.
Sicherung des Zugriffs auf übertragene Daten
Der US-Rechtsrahmen sieht mehrere Schutzmaßnahmen für den Datenzugriff durch US-Behörden vor. Der Zugriff auf Daten ist auf das zum Schutz der nationalen Sicherheit erforderliche und verhältnismäßige Maß beschränkt.EU-Bürger werden Zugang zu einem unabhängigen und unparteiischen Rechtsbehelfsmechanismus in Bezug auf die Erhebung und Verwendung ihrer Daten durch US-Geheimdienste, einschließlich der neu gegründeten DVRC, haben. Dieses Gericht wird Beschwerden unabhängig untersuchen und lösen.
Diese Sicherheitsvorkehrungen werden allgemeinere transatlantische Datenflüsse erleichtern, da sie gelten, wenn Daten mit anderen Instrumenten wie Standardvertragsklauseln und verbindlichen Unternehmensvorschriften übermittelt werden.
Künftige Schritte
Die Übernahme des EU-US-Datenschutzrahmens und der Entscheidung der Europäischen Kommission machen die von der schwedischen Behörde geäußerten Bedenken nicht irrelevant. Die beiden Veranstaltungen befassen sich mit verschiedenen Aspekten des umfassenderen Datenschutzproblems.
Das EU-US-Datenschutzrahmenwerk soll den allgemeinen Datenschutz für EU-Bürger gewährleisten, wenn ihre Daten in die USA übermittelt werden. Es bietet Sicherheitsvorkehrungen und richtet das Datenschutzprüfungsgericht (DPRC) ein.
Während der neue Rahmen den Datenschutz verbessern sollte, bleiben die einzelnen Unternehmen dafür verantwortlich, dass ihre Praktiken der DSGVO und anderen relevanten Vorschriften entsprechen.
Auch mit dem neuen Framework müssen Unternehmen bei der Verwaltung ihrer Datenschutzpraktiken wachsam bleiben.
Zusammenfassend
Während der EU-US-Datenschutzrahmen ein wichtiger Schritt in Richtung eines besseren Datenschutzes ist, löst er nicht automatisch spezifische Probleme im Zusammenhang mit einzelnen Unternehmen oder Dienstleistungen, wie z. B. die vom IMY über Google Analytics aufgeworfenen.
Die Funktionsweise des EU-US-Datenschutzrahmens unterliegt regelmäßigen Überprüfungen durch die Europäische Kommission, die europäischen Datenschutzbehörden und die zuständigen US-Behörden. Die erste Überprüfung ist innerhalb eines Jahres nach Umsetzung des Angemessenheitsbeschlusses geplant.