Der HBDI erteilt folgenden Hinweis

eu-us-privacy-shield.jpg

Logo EU-US Privacy Shield

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) erteilt

  • öffentlichen und nicht-öffentlichen Stellen in Hessen,
  • die Datenverarbeitungssysteme nutzen, die mit der Übermittlung personenbezogener Daten an Drittländer im Sinne des Kapitel V Datenschutz-Grundverordnung (DS-GVO) einhergehen

folgenden Hinweis:

Mit seinem Urteil in der Rechtssache C-311/18 (Schrems II) vom 16. Juli 2020 hat der EuGH mehrfach festgestellt, dass personenbezogene Daten nur dann ins außereuropäische Ausland übermittelt werden dürfen, wenn durch diese Übermittlung das von der DS-GVO gewährleistete Schutzniveau nicht unterschritten wird. Ein solches Unterschreiten hat das Gericht für die USA ausdrücklich festgestellt.

Der EuGH betont, dass es in der Verantwortung der Datenexporteure liegt, dies sicherzustellen.

Die Datenschutzaufsichtsbehörden und damit auch der HBDI sind verpflichtet, dafür Sorge zu tragen, dass die Datenexporteure ihrer Verantwortung gerecht werden und das von der DS-GVO gewährleistete Schutzniveau sicherstellen.

Es besteht Handlungsbedarf: Von allen Stellen in Hessen sind eine Vielzahl von Datenverarbeitungsvorgängen – auch ganz alltägliche und weit verbreitete Softwareprodukte und Dienstleistungen (z. B. Videokonferenzsysteme) – in den Blick zu nehmen. Hinweise dazu, was konkret zu tun ist, sind hier zu finden.

Der HBDI erwartet, dass datenverarbeitende Stellen in Hessen nachweisen können, dass sie die erforderlichen Überlegungen angestellt und nötigenfalls Schritte eingeleitet haben, um sicherzustellen, dass die eingesetzten Datenverarbeitungsverfahren den Anforderungen der DS-GVO genügen. Dies kann je nach Verarbeitungsprozess unterschiedlich komplex sein. Bei einfach umzusetzenden Verfahrensänderungen, bei denen schon jetzt funktional gleichwertige, datenschutzgerecht einsetzbare Alternativen existieren (wie zum Beispiel für den Einsatz von Videokonferenzsystemen) werden umgehende Umsetzungstätigkeiten erwartet.

Wird Umsetzungsbedarf für komplexere Verfahren identifiziert, muss ein angemessener Fahrplan für die Umsetzung erstellt werden.

Dies vorausgesetzt wird der HBDI bei seinem Vorgehen als Aufsichtsbehörde notwendige Umsetzungszeiträume berücksichtigen.

Stand 22.06.2021

SERVICE