Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) erteilt
- öffentlichen und nicht-öffentlichen Stellen in Hessen,
- die Datenverarbeitungssysteme nutzen, die mit der Übermittlung personenbezogener Daten an Drittländer im Sinne des Kapitel V Datenschutz-Grundverordnung (DS-GVO) einhergehen,
folgenden Hinweis:
Mit seinem Urteil in der Rechtssache C-311/18 (Schrems II)Öffnet sich in einem neuen Fenster vom 16. Juli 2020 hat der EuGH mehrfach festgestellt, dass personenbezogene Daten nur dann ins außereuropäische Ausland übermittelt werden dürfen, wenn durch diese Übermittlung das von der DS-GVO gewährleistete Schutzniveau nicht unterschritten wird. Ein solches Unterschreiten hat das Gericht für die USA ausdrücklich festgestellt.
Der EuGH betont, dass es in der Verantwortung der Datenexporteure liegt, dies sicherzustellen.
Die Datenschutzaufsichtsbehörden und damit auch der HBDI sind verpflichtet, dafür Sorge zu tragen, dass die Datenexporteure ihrer Verantwortung gerecht werden und das von der DS-GVO gewährleistete Schutzniveau sicherstellen.
Es besteht Handlungsbedarf: Von allen Stellen in Hessen sind eine Vielzahl von Datenverarbeitungsvorgängen – auch ganz alltägliche und weit verbreitete Softwareprodukte und Dienstleistungen (z. B. Videokonferenzsysteme) – in den Blick zu nehmen. Hinweise dazu, was konkret zu tun ist, sind hierÖffnet sich in einem neuen Fenster zu finden.
Der HBDI erwartet, dass datenverarbeitende Stellen in Hessen nachweisen können, dass sie die erforderlichen Überlegungen angestellt und nötigenfalls Schritte eingeleitet haben, um sicherzustellen, dass die eingesetzten Datenverarbeitungsverfahren den Anforderungen der DS-GVO genügen. Dies kann je nach Verarbeitungsprozess unterschiedlich komplex sein. Bei einfach umzusetzenden Verfahrensänderungen, bei denen schon jetzt funktional gleichwertige, datenschutzgerecht einsetzbare Alternativen existieren (wie zum Beispiel für den Einsatz von VideokonferenzsystemenÖffnet sich in einem neuen Fenster) werden umgehende Umsetzungstätigkeiten erwartet.
Wird Umsetzungsbedarf für komplexere Verfahren identifiziert, muss ein angemessener Fahrplan für die Umsetzung erstellt werden.
Dies vorausgesetzt wird der HBDI bei seinem Vorgehen als Aufsichtsbehörde notwendige Umsetzungszeiträume berücksichtigen.
Stand 22.06.2021