Willkommen zum Podcast Kaffeerecht von der Kanzlei TWW Law mit rechtlichen Themen für Kreative, Unternehmer und Unternehmen. Hallo und herzlich willkommen zu einer weiteren Folge unseres Podcasts Kaffeerecht. Mein Name ist Dennis Tölle und ich bin heute wieder hier mit Marwan Erifay. Hallo auch von meiner Seite.

Heute beschäftigen wir uns mit dem Thema der Angemessenheitsbeschlüsse und was das alles bedeutet überhaupt. Wo befinden wir uns überhaupt? Das werde ich am besten jetzt direkt sagen, sonst schalten alle wieder ab. Es geht darum, um Datenübermittlungen in die USA, spezifisch in die USA.

Denn das ist ja nach der berühmt-berüchtigten DSGVO gar nicht so einfach. Und damit werden wir uns heute beschäftigen, wann das rechtmäßig ist, was es da Neues gibt. Und ja, ich freue mich auf die Folge. Ja, guck mal, jetzt haben wir es innerhalb von 42 Sekunden geschafft, das Thema schon mal anzubringen.

Ein schneller Einstieg heute. Wir verlieren keine Zeit. Der Kaffee wirkt. Ja, auf jeden Fall, wobei meiner schon alle ist, muss ich gestehen.

Wir haben zu lange vorbesprochen. Ja, das Datenschutz ist heute unser Thema, insbesondere eben der aktuelle Angemessenheitsbeschluss zwischen der EU und den USA. Beziehungsweise, ja, du wirst gleich noch sagen, zwischen wem das denn nun stattfindet und wem nicht. Um das Thema aber so ein bisschen einzuleiten, vielleicht auch gerade für die Hörer, die da jetzt auch nicht tagtäglich mit zu tun haben und dieses Thema Datenschutz vielleicht auch aufgrund der Komplexität, Trockenheit oder was auch immer manchmal meiden, vielleicht vorab einmal die Klärung, warum ein solches Abkommen überhaupt relevant ist.

Ja, wir brauchen im Prinzip die DSGVO. Haben wir in Europa irgendwann adoptiert im Jahr 2016. Im Jahr 2018 ist sie in Kraft getreten. Und diese Datenschutzgrundverordnung sieht vor, dass eigentlich jede Datenverarbeitung rechtswidrig ist.

Und unter nur bestimmten Erlaubnistatbeständen erlaubt ist. Und das sagt sie für Datenverarbeitung innerhalb der EU. Und wenn es jetzt darum geht, Daten, die entweder innerhalb der EU schon verarbeitet wurden oder woanders, in anderen Drittstaaten sozusagen verarbeitet werden sollen, diese Daten also zu übermitteln in Drittstaaten, dann sieht die Datenschutzgrundverordnung ähnlich wie bei den Datenverarbeitungen vor, dass das erstmal nicht erlaubt ist, außer bestimmte Voraussetzungen sind erfüllt. Und da gibt es drei Voraussetzungen.

Leicht parallel laufen diese zu den Datenverarbeitungen innerhalb der EU. Und zwar gibt es einmal die Einwilligung, die aber sehr hohe Voraussetzungen hat. Also so eine Einwilligung müsste immer schriftlich gegeben werden. Gleich können wir ein kurzes Beispiel geben, wann sozusagen immer Datenübermittlungen in beispielsweise die USA stattfinden.

Dann wird man sehen, dass eine schriftliche Einwilligung eigentlich einfach nicht praktikabel ist. Es gibt sogenannte Standardvertragsklauseln. Auch diese sind immer so ein bisschen mit Vorsicht zu genießen, können leicht rechtswidrig sein, weil sie sehr hohe Anforderungen gerecht werden müssen. Es muss eigentlich immer in dem Drittstaat gewährleistet werden, dass die gleichen Voraussetzungen, die gleichen Ansprüche, die die DSGVO an Datenverarbeitung innerhalb der EU setzt, diese auch gewährleistet sind im Ausland.

Und dann gibt es noch das Dritte und eigentlich das Schönste, die Angemessenheitsbeschlüsse. Und das macht die Europäische Kommission zusammen mit einem dritten Drittstaat. Und dort findet sozusagen die Europäische Kommission oder die Europäische Kommission ermittelt, ob das Datenschutzniveau in dem Drittstaat dem Datenschutzniveau der DSGVO entspricht. Und wenn das der Fall ist, dann spricht sie einen Angemessenheitsbeschluss aus und gibt sozusagen in gewisser Weise einen Freifahrtsschein für Datenübermittlung in diesen spezifischen Drittstaaten.

Genau. Um das noch so ein bisschen juristisch einzukleiden, das ist dann Artikel 45 der Datenschutzgrundverordnung, der sich dazu verhält, wie eben die Datenübermittlung auf Grundlage eines Angemessenheitsbeschlusses erfolgt. Und von besonderer Relevanz ist nun mal die Datenübermittlung in die USA. Woran liegt das?

Was hat das für Gründe? Im Wesentlichen hat das den Grund, dass viele Unternehmen, die Dienste anbieten, die wir in unserer Praxis sowohl privat als auch beruflich heute nutzen, ihren Sitz in den USA haben. Und selbst wenn, viele Unternehmen haben das ja in der Vergangenheit auch versucht, die Datenspeicher selbst nicht in den USA liegen, unterliegen sie denn doch noch gewissen Voraussetzungen oder gewissen Anforderungen der US-amerikanischen Gesetzgebung und eben dort auch Zugriffsmöglichkeiten der Behörden etc. Und deswegen gab es da, wir gleich noch hören, so ein bisschen Kritik.

Aber das ist so der Grund, warum die USA letztlich schon ein sehr wichtiger datenschutzrechtliches Drittland sind, weil sie uns einfach mit Diensten, in Anführungsstrichen, tagtäglich versorgen. Ja, ich meine, auf der Seite dieser amerikanischen Unternehmen waren sehr viele sehr, sehr fähige Juristen unterwegs und haben versucht, über verschiedene Möglichkeiten diese Problematik sozusagen zu umgehen, indem man einerseits ein Unternehmen in der EU gründet, das auch seinen Sitz in der EU hat und dann geguckt hat, okay, dann gibt es keine Datenübermittlung mehr in die USA möglicherweise oder das zumindest gesagt hat, dass man Server in der EU hat. Aber am Ende des Tages ist dann sozusagen unterm Strich immer rausgekommen oder musste man immer leider feststellen, dass eine Datenübermittlung in die USA, auf Server in die USA ist, nicht zu vermeiden. Und in dem Moment, in dem das nicht zu vermeiden ist, müssen wir über die von dir angesprochenen Artikel 44 fortfolgende DSGVO sprechen und dann müssen wir einen Angemessenheitsbeschluss haben oder dann müssen wir irgendeine Rechtfertigung haben, dass diese Datenübermittlung akzeptiert wird von der DSGVO, sonst ist sie rechtswidrig.

Das will ich vielleicht noch kurz erwähnen, weil du auch über Standardvertragsklauseln gesprochen hast, als eine Möglichkeit zur Übermittlung von Daten an ein Unternehmen in einem Drittland. Diese Standardvertragsklauseln sind ja nicht, also sie sind nicht in Anführungsstrichen nutzlos in der Praxis, sie werden auch angewendet, nur muss man sagen, dass tatsächlich die ganz großen Anbieter in aller Regel nicht in der Art und Weise mit jedermann diese Standardvertragsklauseln zur Anwendung bringen, als dass das rechtlich in Ordnung wäre. Das heißt also, zum einen ist natürlich der Aufwand auf der einen Seite sehr hoch, wenn ich mich aktiv kümmern muss als Unternehmen, dass, ich sage mal, als deutsches oder europäisches Unternehmen, das Daten an ein Unternehmen in den USA übermitteln möchte, weil es nicht anders geht, wenn ich den Dienst nutzen will. Dann ist der Aufwand relativ hoch, diese Standardvertragsklauseln zur Anwendung zu bringen.

Wenn ich einen Angemessenheitsbeschluss habe, dann muss ich mich nicht mehr um den Datenschutz kümmern, als ich es ohnehin in der EU muss. Und deswegen ist das schon der komfortabelste und angenehmste Weg. Und machen wir uns nichts vor, mit diesem Angemessenheitsbeschluss werden viele bislang als rechtswidrig eingestufte Datenübermittlungen, ad hoc, widerrechtmäßig. Sprechen wir gleich noch kurz drüber.

Aber diese Standardvertragsklauseln sind da, sie können angewendet werden, aber der Aufwand ist immens höher, als wenn man jetzt so einen Angemessenheitsbeschluss hat. Also mit der Gefahr, dass wir jetzt hier so ein bisschen einen fließenden Übergang in unseren zweiten Themenpunkt haben, würde ich einmal ganz kurz über den geschichtlichen Hintergrunds so ein bisschen reden, so ein bisschen die Historie abarbeiten, damit man das auch versteht, was du gerade gesagt hast. Nämlich wir hatten einen Angemessenheitsbeschluss, der von der Europäischen Kommission erlassen wurde für die USA und der wurde aber einkassiert in dem sogenannten Schrems-1-Urteil vom EuGH und wurde gesagt, nee, nach Prüfung durch das Gericht besteht eigentlich nicht das gleiche Datenschutzniveau in den USA, wie sie in Europa bestehen. Und wir werden auch gleich nochmal über die Gründe so ein bisschen reden und gucken, vielleicht können wir so ein bisschen anreißen, wie es jetzt momentan aussieht.

Dann kam ein zweiter Angemessenheitsbeschluss, der wurde auch wieder kassiert. Es heißt wieder Schrems Urteil, aber Schrems 2 diesmal, auch wieder vom EuGH kassiert, der Privacy Shield. Und dann hatten wir jetzt eine relativ lange Phase, würde ich behaupten, in der eigentlich sozusagen wilder Westen vorlag und man wusste nicht so richtig, wir in der Praxis als, in der juristischen Beratung mussten eigentlich immer sagen, oh, lieber nicht machen, eigentlich rechtswidrig, vorsichtig sein. Also es war eine sehr komplexe Zeit, weil wie man weiß, YouTube, Google, Microsoft ist alles im Alltag vorhanden.

Wir können eigentlich fast gar nicht darauf verzichten. Es ist also eine super schwierige Zeit gewesen. Man hat versucht, mit Standardvertragsklauseln sich zu retten. Da hatte man aber auch eigentlich die Sorge, dass es nur eine Frage der Zeit war, bis die wiederum kassiert werden vom EuGH.

Und jetzt sozusagen Glück für uns alle, ist jetzt der nächste Angemessenheitsbeschluss da, für die USA, der dritte. Und der erstmal steht. Es ist vielleicht auch hier möglicherweise, wer weiß, eine Frage der Zeit, bis der kassiert wird. Aber erstmal können wir uns auf den verlassen und den sozusagen anwenden und sagen, okay, jetzt können wir gerade Daten rechtssicher, rechtmäßig übermitteln in die USA.

Ja, und das, was du eben angesprochen hast in der Praxis, das ist so ein bisschen so ein Eiertanz gewesen. Ja, auch Juristen wissen, dass die Praxis im Moment weit anders läuft, als es vielleicht die strenge datenschutzrechtliche Auslegung sich das wünscht. Also, viele Unternehmen nutzen, Privatleute nutzen Dienste von Unternehmen, die in den USA sitzen. Egal, ob die jetzt ihre Server oder ein paar Server in der EU stehen haben oder sogar in Deutschland stehen haben, das sind eben die Microsofts, die Apples, die Googles dieser Welt, die einfach so verbreitet sind mit ihren Diensten, die manchmal auch nicht zu ersetzen sind.

Es ist jetzt auch nicht so, dass wir in den letzten Jahren, also jedenfalls kann ich das so nicht bestätigen, dass besonders viele Unternehmen gesagt hätten, oh, dann müssen wir uns jetzt eine Alternative suchen, dann suchen wir uns jetzt, weiß nicht, wir nutzen nicht mehr Google Analytics, sondern wir nutzen eben einen anderen Dienst, wo ich selber bestimmen kann, wo meine Daten liegen, vertraue die nicht mehr Google an. Oder ich benutze eben ein Video-Hosting, das eben nur in Deutschland hostet, was keinen Bezug mehr zu den USA hat. Die Verbreitung und die, man muss ja auch sagen, das sind ja keine schlechten Dienste. Die Funktionen sind gut, die Verbreitung ist gut, es ist sehr komfortabel.

Die Nutzung findet statt und dementsprechend war natürlich klar, dass man in einer Beratung auch immer sagen musste, ja, wir wissen, dass ihr das alles nutzt, aber wir müssen darauf hinweisen, dass es eben im Moment jedenfalls schwierig ist. Nicht ausgeschlossen, dass es irgendwann sich ändert, ad hoc, so wie es jetzt erfolgt ist, aber es ist immer mit einem bestimmten Risiko verbunden gewesen, das jetzt glücklicherweise, jedenfalls für eine gewisse Zeit, entfällt. Ja, was man dazu vielleicht noch sagen kann, so aus rein technischer Sicht kann man einfach, es ist einfach ein Fakt, dass am Beispiel von Google, wenn ich Google verwende, es ist ein einfaches Gesamtkonzept, das mir alles bietet. Und das kann man jetzt gut oder schlecht finden, dass es ausgerechnet Google ist oder dass es nicht Google ist, was auch immer.

Das will ich gar nicht sozusagen bewerten. Es geht mir nur darum, dass für Unternehmer und Unternehmen, die sozusagen wirtschaftlich denken, ist Google die bessere Wahl, Stand jetzt. Und da kann man, also es ist halt einfach schwierig sozusagen dann zu sagen, nee, aber Google mach mal bitte nicht, weil das führt ja einfach dazu, dass es wirtschaftlich höhere Kosten auf diese Personen, auf dieses Unternehmen zukommen. Und da muss ich persönlich sagen, verstehe ich erstmal im Ausgangspunkt jedes Unternehmen, das sagt, nee, ich will mir diese höheren Kosten nicht leisten.

Das muss ich sozusagen so effizient wie möglich gestalten. Dass man möglicherweise dann lieber das Risiko einnimmt, einen Datenschutzverstoß zu begehen, ist verständlich, denn da kommt man so ein bisschen vielleicht zu einem Problem, also jetzt ein bisschen abseits von dem Thema, aber da kommt man vielleicht so ein bisschen zu einem Problem, dass der Datenschutz und generell das Datenschutzrecht, die Datenschutz, das Datenrecht auch haben, es gibt so ein großes Rechtsdurchsetzungsproblem. Wenn Privatpersonen merken, hier möglicherweise liegt eine Datenverarbeitung vor, die meine, also gegen die DSGVO verstößt und die wollen dagegen vorgehen. Es ist aufgrund der Vielzahl der Verstöße und der auch Überarbeitetheit von oder der wenigen Mitteln auf Seiten des Staates, um dagegen vorzugehen, es gibt ein Rechtsdurchsetzungsproblem.

Das sieht man, dagegen wird auch was gemacht, aber das besteht sozusagen Stand jetzt und es ist Stand jetzt schwierig zu sagen, dass man die Daten, oder es bestehen hohe Hürden, um Datenschutzverstößen vorzugehen. Und deswegen ist das Risiko auf Seiten der Unternehmen und Unternehmer, um jetzt sozusagen den Kreis wieder zu schließen, ist vergleichsweise gering, zumindest aus meiner Sicht, wenn man sozusagen datenschutzrechtliche Grenzgänge begeht. Ja, also es ist in der Tat, wenn man das mal irgendwie vergleicht mit anderen Situationen, wo wir in den, ja, es hat in den letzten Jahren nachgelassen, aber ich sage mal, im Wettbewerbsrecht war es ja eine ganze Zeit lang so, dass also Mitbewerber und entsprechende Verbände auch, sagen wir mal, weniger intensive Verstöße gegen das Wettbewerbsrecht und andere damit zusammenhängende Vorschriften geltend machen konnten, wo es dann dazu gekommen ist, dass man, also weiß ich nicht, wenn der zweite Vorname im Impressum abgekürzt war, da Mitbewerber abmahnen konnte. Das hat natürlich dazu geführt, dass der Markt sich sehr stark selbst reguliert und wir da tatsächlich, was jetzt so die Frage nach Widerrufsrechten und Verbraucherrechten etc.

angeht, relativ weit vorne sind. Und diese Möglichkeiten sind relativ früh sowohl vom Gesetzgeber als auch von der Rechtsprechungspraxis im datenschutzrechtlichen Bereich eingegrenzt worden. Das heißt also so eine, ja, es wurde mal von einer Welle gesprochen, die da stattgefunden hat, die habe ich ehrlich gesagt nicht erlebt. Aber gut, das ist in diesem Maße nicht passiert.

Das heißt also, das Gros der Überprüfung von datenschutzrechtlichen Vorschriften findet von staatlicher Seite statt und die sind einfach von einer Personalsituation sehr unterschiedlich ausgestattet und können das in der Masse gar nicht verfolgen. Weil ich meine, wie viele Unternehmen haben wir in Deutschland und sagen wir mal, selbst wenn nur die Hälfte davon irgendwie Dienste US-amerikanischer Unternehmen nutzt, wird man da sicherlich immer was finden, was nicht ganz korrekt verläuft oder was irgendwo, da fehlt eine Einwilligung, ein Hinweis etc. Und das kann faktisch nicht verfolgt werden. Was nicht heißt, dass es das nicht wird, denn das muss man auch immer mal wieder feststellen, dass man dann quasi so branchenweit oder je nach Art des Rechtsverstoßes eben bestimmte Kategorien tatsächlich auch von den einzelnen Länderbehörden aufgegriffen werden.

Aber dort wird auch berücksichtigt, dass es faktisch eine wirtschaftlich vernünftige Entscheidung sein kann, solche Dienste zu nutzen. Eine Überlegung, die man hier vielleicht nochmal so in den Raum werfen kann, ist, wir haben ja jetzt wieder einen Angemessenheitsbeschluss und wir haben ganz klar die Beschreibung der Europäischen Kommission, dass Datenübermittlungen in die USA möglich sein sollen. Dann stellt sich ja schon ein bisschen die Frage und hinzugefügt noch, es ändert sich ja, also der Angemessenheitsbeschluss hat nichts faktisch sozusagen daran geändert, wie Microsoft oder Google ihr Unternehmen betreiben. Zumindest nicht in einem großen Ausmaße.

Und dann kann man ja doch schon die Frage stellen, sozusagen warum, also eindeutig gibt es da Probleme sozusagen zwischen Rechtsprechung und Gesetzgebung und man sieht hier sozusagen in der DSGVO sieht man Sachen, die nicht vereinbar sind mit amerikanischem Recht, können wir gleich auch nochmal ansprechen oder sollten wir auch gleich so langsam mal ansprechen, so oft wie wir schon darauf verwiesen haben. Aber wenn wir das doch eigentlich sozusagen auch gesellschaftlich, weil wir es ja alle nutzen, eigentlich wollen, dann ist so ein bisschen die Frage, warum lassen wir es nicht einfach zu? Also das einfach nur so als Überlegung ist sehr unjuristisch, ist eher so ein, ja vielleicht so ein gesellschaftlicher Punkt, vielleicht einfach so ein bisschen praxisnah. Wir müssen es eigentlich möglich machen, weil wir wollen es eindeutig, wir wollen nicht verzichten, wir wollen ja auch den europäischen Wirtschaftsraum stärken, wie die Europäische Kommission in ihrer Datenstrategie gesagt hat.

Und um das zu machen, müssen wir ja möglichst offen sein für Datenübermittlung in alle Richtungen, einerseits in die EU, andererseits aus der EU raus. Ja, also ich glaube, dass da ohnehin im Moment so ein kleiner, ja nicht Umbruch stattfindet, aber du hast das Wort eben schon kurz in den Mund genommen, dass wir ja bisher immer vom Datenschutzrecht sprechen und sich zunehmend das Wort Datenrecht auch dazwischen mischt, nämlich nicht nur die Frage danach, wie kann ich Daten schützen und wie kann ich Datenübermittlung verhindern, sondern wie kann ich Daten auch wirtschaftlich nutzen. Natürlich unter Berücksichtigung gewisser Schutzstandards, aber Daten sind, und das nicht erst seit gestern, ein ganz erhebliches wirtschaftliches Gut. Und das wollen die Unternehmen innerhalb der EU und außerhalb der EU, die tun es auch schon ganz fleißig, nutzen.

Und deswegen ist man da so ein bisschen, wie ich meine, so ein bisschen in der Bredouille, dass man sagt, okay, auf der einen Seite will ich natürlich nutzen, auf der anderen Seite will ich schützen. Das muss ich unter einen Hut bringen und das ist, glaube ich, nicht immer ganz einfach. Aber ich kann die Position nachvollziehen, dass man sagt, okay, ich lasse es doch einfach zu. Ja, und jetzt müssen wir einfach die Frage stellen und sie auch beantworten am besten.

Was ist eigentlich das Problem mit dem amerikanischen Recht? Warum ist deren Datenschutz eigentlich nicht entsprechend dem europäischen Datenschutz? Um es vorwegzunehmen, das ist sehr unterschiedlich von Bundesstaat zu Bundesstaat, muss man auch einmal so sagen. Dann beispielsweise in Kalifornien, ich glaube ehrlich gesagt auch nur in Kalifornien, besteht ein wesentlich strengeres Datenschutzrecht als dasjenige der EU oder mindestens ebenbürtige, da ich will mich jetzt nicht zu sehr in irgendwelche rechtsvergleichliche Diskussionen einmischen.

Zumindest kann man relativ häufig, wenn man mal darauf achtet, bei verschiedensten Anbietern von irgendwelchen Internetdiensten, Plattformdiensten, kann man einen spezifischen Verweis auf das kalifornische Datenschutzrecht noch sehen. Also meistens wird das so unterteilt in die Datenschutzkonformität mit der DSGVO und dann noch einen Absatz dazu, wie sie dem kalifornischen Recht sozusagen gerecht werden wollen. Das ist eigentlich ganz interessant. Also eindeutig sind da spezifische Voraussetzungen, die auch so von der DSGVO nicht vorausgesetzt werden.

Das große Problem mit dem amerikanischen Recht ist jedoch, dass die USA Zugriffsmöglichkeiten dem Staat, also insbesondere deren Nachrichtendiensten, gewähren. Was wiederum bedeutet, und diese sind sehr weit, also wenn Daten auf einem Server in den USA liegen und sozusagen ein Nachrichtendienst, von mir aus FBI oder NSA, berechtigte Gründe haben, und was diese berechtigten Gründe sind, ist relativ weitgehend, also sie haben eigentlich schnell sozusagen irgendeinen berechtigten Grund, dann dürfen die auf diesen Server zugreifen und die Daten auslesen und verwerten oder sich anschauen. Und diese Zugriffsmöglichkeiten bestehen nicht nur für Daten, die auf Servern in den USA liegen, sondern die auch auf Servern im Ausland liegen, wenn diese Server sozusagen einem amerikanischen Unternehmen zugeordnet sind. Und das ist eindeutig nicht vereinbar mit der DSGVO, die wiederum sagt, naja, du brauchst nicht nur irgendeinen berechtigten Grund, sondern du brauchst eigentlich eine gesetzliche Grundlage und dann muss das sozusagen auch angemessen sein für den Betroffenen.

Es muss dann, wenn wir hier über polizeiliche Ermittlungen reden, dann müssen bestimmte Voraussetzungen vorliegen, dann muss vielleicht ein Richter eingeschaltet worden sein, dass dieser sich das anschaut. Also die DSGVO sieht das sehr viel strenger, dass der Staat sich einfach Daten auslesen kann. Stichwort wäre hier vielleicht sowas wie die Vorratsdatenspeicherung, die auch nicht mehr einfach so möglich ist durch die DSGVO und nicht nur durch die DSGVO. Und deshalb ist man lange davon ausgegangen, eigentlich amerikanisches Datenschutzrecht und die DSGVO, die werden nicht vereinbar sein, solange es diese Zugriffsrechte gibt.

Das scheint man jetzt auf Seiten der Europäischen Kommission wieder anders gesehen zu haben. Oder zumindest hat man es ermöglicht, es anders zu sehen mit dem neuen Angemessenheitsbeschluss. Aber so richtig faktisch, muss ich ehrlich gestehen, hat sich nichts an dieser Lage geändert. Deswegen ist es wahrscheinlich ein Punkt, den man im Auge behalten muss.

Ja, diesen Zwiespalt wird man wahrscheinlich auch nicht so auflösen können, dass die Amerikaner sagen, ja, dann werden wir diese Zugriffsmöglichkeiten eben einschränken unserer Nachrichtendienste, weil man muss ja manchmal auch sagen, dass man dann von dort Informationen bekommt, über die man dann auch als europäischer Staat dann vielleicht ganz dankbar ist, dass diese Informationen da sind, weil die Hürden in Europa, speziell in Deutschland natürlich etwas höher sind. Aber nichtsdestotrotz bin ich grundsätzlich da auch ein Befürworter von hohen Hürden, wobei die Diskussion da also, glaube ich, zu Recht von beiden Seiten stark geführt wird. Aber um das mal so ein bisschen zusammenzufassen, also diese Hürde haben wir nicht umschifft mit dem aktuellen Data Privacy Framework. Haben wir eigentlich schon gesagt, dass es so heißt, Data Privacy Framework, nur in der Überschrift, glaube ich, bisher.

Es heißt Data Privacy Framework. Das ist der dritte Name. Mal gucken, wie lange er uns begleitet. Dieser Angemessenheitsbeschluss sieht jetzt tatsächlich auch etwas anders aus als die bisherigen beiden.

Also das Grundkonzept ist ein bisschen ein anderes. Also wir haben zwar die Festlegung durch die EU-Kommission und durch die USA, Aber der Ablauf, wann denn nun eine Datenübermittlung zulässig ist, ist etwas anders. Vielleicht kannst du dazu noch so ein, zwei Punkte sagen, wie es jetzt dazu kommen kann, dass so eine Datenübermittlung zulässig ist. Ja, wir haben ein neues System, das es auch so in anderen Angemessenheitsbeschlüssen noch nicht gab.

Achso, man muss vielleicht noch einmal, ganz kurz möchte ich nur, erinnere mich bitte an den Punkt, den du gerade angebracht hast, nur ganz kurz eingeschoben. Angemessenheitsbeschlüsse gibt es natürlich nicht nur mit den USA. Es gibt auch andere Unternehmen in nicht-amerikanischen Ländern, mit denen wir trotzdem Angemessenheitsbeschlüsse brauchen, damit es sozusagen einfacher wird, Daten dorthin zu übermitteln. Ich möchte nicht alle nennen, es sind gar nicht so viele, aber beispielsweise mit Kanada, mit Japan, mit den Ferroer-Inseln, Neuseeland, Korea, also Südkorea und der Schweiz, haben wir Angemessenheitsabkommen, Beschlüsse.

Und auch, relativ wichtig, mit dem Vereinigten Königreich, also mit Großbritannien, haben wir auch einen Angemessenheitsbeschluss, wobei dieser zeitlich, also diesen Angemessenheitsbeschluss sind meistens zeitlich befristet. Und dieser mit dem Vereinigten Königreich, der ist so ein bisschen mit Vorsicht zu genießen. Da könnte, je nachdem, wie Großbritannien da regierungsmäßig unterwegs ist und datenschutzrechtlich unterwegs ist, könnte sich da einiges ändern. Weil zum Stand, ich glaube vor ein paar Monaten war es zumindest noch so, dass Großbritannien im Prinzip ein Äquivalent der DSGVO hatte.

also fast wortlautmäßig gleich, waren auch bei denen in Kraft. Und solange das der Fall ist, wird es auch diesen Angemessenheitsbeschluss relativ einfach geben. Und jetzt kommen wir zurück zu deiner Frage. Wie sieht es jetzt eigentlich aus?

Was ist das Besondere sozusagen? Und hier ist es nämlich so, vorher war es, oder vorher ist es immer so gewesen, die Europäische Kommission guckt sich das Datenschutzrecht in dem Drittstaat an und sagt, okay, ist gleich DSGVO oder ausreichend nach DSGVO-Standard, dann gibt es Angemessheitsbeschluss und dann kann man einfach Daten übermitteln. Dann kommt es auch nicht darauf an, welches Unternehmen auf der anderen Seite steht, also in dem Drittstart ist, sondern man kann das eigentlich relativ umfassend machen, wenn man sozusagen die restlichen Bestimmungen der DSGVO beachtet. Im Fall des Data Privacy Frameworks ist es jetzt aber so, dass sich einzelne Unternehmen registrieren lassen müssen.

Da gibt es auch eine Website, die werden wir wahrscheinlich in den Shownotes verlinken, wo man das dann überprüfen kann, ob ein Unternehmen das getan hat. und dann gibt es sozusagen aktive Teilnehmer des Data Privacy Frameworks in den USA und wenn ein Unternehmen das adoptiert hat und sich registriert hat, dann gilt der Angemessenheitsbeschluss und ich darf Daten zu diesem Unternehmen übermitteln. Aber wenn ein Unternehmen das nicht getan hat oder noch nicht getan hat, Dann gilt auch der Angemessenheitsbeschluss nicht und dann ist auch eine Datenübermittlung zu Servern dieses Unternehmens, zumindest nach dem Angemessenheitsbeschluss, rechtswidrig. Also dann kann immer noch eine Einzelfall-Einwilligung oder eine Standardvertragsklausel greifen, aber der Angemessenheitsbeschluss, der gilt erstmal nicht.

Und ja, das ist natürlich relativ spannend, weil wir jetzt hier insoweit ein neues System haben, dass nicht die gesamte USA dem Datenschutzabkommen der DSGVO entspricht, sondern nur einzelne Unternehmen innerhalb der USA. Und diese Einfachheit, die wir vorher immer bei den Angemessenheitsbeschlüssen hatten, zu sagen, naja gut, Japan ist jetzt ein DSGVO-konformes Land, diese Einfachheit haben wir jetzt nicht mehr, sondern es gibt immer noch sozusagen eine Aufgabe der Unternehmen oder derjenigen, die Daten übermitteln wollen in die USA, zu schauen, darf ich das denn in Bezug zu diesem spezifischen Unternehmen? Ist vielleicht ein Kunstgriff, der auch so nötig war von der Europäischen Kommission, damit dieser Data Privacy Framework ein bisschen länger hält, als die Angemessenheitsbeschlüsse, die davor gekommen sind. Trotzdem, ja, auf jeden Fall interessant, dass es so gewählt wurde.

Ja, dazu vielleicht noch kurz als Ergänzung. Das ist diese Website und dieses System betreibt das US-Handelsministerium. Da findet man eben zum einen die Möglichkeit als Unternehmen, als dann US-amerikanisches Unternehmen, sich dort zu verifizieren, sich zu registrieren, zu verifizieren und eben die Voraussetzungen darzulegen, dass man die Anforderungen dieser DSGVO entsprechend einhält. die Prüfungskompetenz des Handelsministeriums ist dabei, meine ich, überschaubar.

Also ich glaube, die machen jetzt kein Audit bei Microsoft und gehen her und sagen, schauen wir mal an, ob das auch alles stimmt, sondern das ist schon eine Selbstverifizierung oder eine Selbstzertifizierung. Und das wäre wahrscheinlich einer der Punkte, die in einem potenziellen Verfahren vor dem Europäischen Gerichtshof, ich meine, der Max Schrems hat auch oder seine Organisation hat auch schon angedeutet oder sogar angekündigt, dass man auch diesen Angemessenheitsbeschluss vor den EuGH bringen möchte. Und das ist dann so, aber das wäre sicherlich einer der Punkte, wo man sagen kann, naja gut, wenn die Unternehmen sich jetzt selber bescheinigen können, dass sie DSGVO-konform sind, dann ist das zwar ganz schön, dass das nicht pauschal alle Unternehmen sind, aber dann muss man sich natürlich fragen, inwieweit nicht Microsoft ein sehr großes Interesse daran hat, datenschutzkonform zu sein, um eben im europäischen Wirtschaftsraum auch präsent zu bleiben und zu sagen, hier, komm, ihr könnt unsere Dienste alle nutzen. Ja, man muss aber da auch dazu sagen, dass sozusagen die Europäische Kommission sich selber eingeräumt hat, das Recht sozusagen auf Prüfzyklen zu haben, in denen sie überprüfen, ob der Angemessenheitsbeschluss noch dem Stand der Dinge entspricht, ob die Unternehmen, die den adoptiert haben, auch dem Stand der Dinge entsprechen oder den Anforderungen entsprechen.

Ich bin auf jeden Fall gespannt, wenn es zu einem Verfahren kommt, ob das einer der Punkte ist, an denen das scheitert. Ich könnte mir vorstellen, dass diese Einzelzertifizierung von Unternehmen alleine schon problematisch ist, Denn der 45, den du ja am Anfang schon genannt hast, der Artikel 45 DSGVO, der sieht das erstmal nicht vor. Der sieht einen Angemessenheitsbeschluss für einen Drittstaat vor und nicht für einzelne Unternehmen innerhalb eines Drittstaats. Entweder der Drittstaat entspricht dem datenschutzrechtlichen Anforderungen der DSGVO oder nicht.

Also wenn man das so hart liest, wie ich das jetzt sozusagen getan habe, zur Veranschaulichung, das ist noch nicht meine persönliche Meinung, dann wäre das problematisch, mindestens problematisch. Also dann könnte das auch daran alleine schon scheitern und deswegen dieser Data Privacy Framework, der ist spannend, vielleicht wird der kassiert vom EuGH, vielleicht nicht. Es ist auf jeden Fall, man merkt richtig, wie das ein Struggle ist in der Gesetzgebung, weil man will unbedingt eigentlich diesen Angemessenheitsbeschluss mit den USA aus verständlichen Gründen, aus Rechtssicherheit, aus Einfachheit für den Datenverkehr, aber er bereitet sehr große Probleme. Aber wir können ja vielleicht jedenfalls Stand heute das Ganze auch mal freudig und positiv zusammenfassen, dass die Datenübermittlung an US-Unternehmen von europäischen Unternehmen datenschutzrechtlich zulässig ist, Klammer auf, wenn das jeweilige anbietende Unternehmen sich entsprechend selbst zertifiziert hat, Klammer zu.

Das ist grundsätzlich ja erstmal schon mal eine wesentlich andere Wertung und ein ganz anderer Stand, als wir das, ich meine in der ersten Folge des Podcasts hatten wir schon mal so ein bisschen über Datenschutz gesprochen und so ein bisschen auch zwar angedeutet, dass da was kommt und das ist ja Grundlage oder Anlass gewesen, dass wir nochmal ein bisschen intensiver in dieser Folge darüber sprechen wollen, dass sich eben was getan hat und dass diese grundsätzliche Wertung, Stand heute ist es pauschal unzulässig, das stimmt nicht, das ist pauschal zulässig. eben wenn es so eine Selbstzertifizierung gegeben hat. Aber natürlich besteht die Gefahr, dass man irgendwie in den nächsten drei bis fünf Jahren, das dauert ja immer alles eine ganze Weile, bis es durch die Instanzen beim EuGH liegt, bis er entschieden hat, dass dieser Angemessenheitsbeschluss in Teilen oder in Gänze eben für eben nicht dem tatenschutzrechtlichen Anforderungen angemessen erscheint. dann wird es vielleicht wieder anders aussehen.

Und damit kommen wir ja eigentlich schon fließend zu unserem letzten Punkt. Und zwar der Frage, wie können wir jetzt eigentlich, also was sind sozusagen die Schlüsse daraus, dass wir jetzt diesen Angemessenheitsbeschluss haben? Wie würde man vielleicht auch vorgehen als Unternehmer? Ja, genau, das ist wahrscheinlich so der Teil, der erstmal am spannendsten ist.

Im Wesentlichen hat sich nur ein Schritt geändert. Also ganz zu Beginn steht immer die Frage oder die Aufgabe für mich, dass ich mal schaue, wo gehen meine Daten denn überhaupt alle hin. Zwei Beispiele. Das erste Beispiel ist, ich will eine Website betreiben, ich will einen Shop betreiben, weiß ich nicht, ich will online irgendwelche Waren oder Dienstleistungen verkaufen, dann muss ich schon beim Hosting-Anbieter schauen, welchen Hosting-Anbieter nutze ich, das heißt, habe ich da irgendwie ein deutsches Unternehmen, US-Unternehmen etc.

Da ist der erste Punkt. Wenn ich ein US-Unternehmen habe, dann mache ich nichts verkehrt, wenn ich erstmal davon ausgehe, dass dort personenbezogene Daten landen meiner Kunden, mindestens die IP-Adresse und da habe ich das. Wenn ich das nicht habe, dann muss ich gucken, ich weiß nicht, wenn ich irgendwelche Systeme benutze, weiß ich nicht, WordPress, Drupal, was weiß ich, dann kann ich ja mit Einzelnen, kann ich das selber hosten und kann gucken, ob ich da vielleicht irgendwelche Plugins benutze, irgendwelche Themes benutze, die dann wiederum möglicherweise Daten in die USA übermitteln. Das ist ein relativ technischer Vorgang.

Wenn ich da jemanden für habe, dann muss ich mich eben mit dem unterhalten, der das dann weiß, der das für mich gestaltet. Aber das ist so die erste Aufgabe, wo ich mal gucken muss, wo gehen die Daten denn alle hin. Der zweite Teil ist der, unabhängig von den Systemen, die ich nach außen einsetze, muss ich natürlich auch gucken, was mache ich selber mit den Daten meiner Kunden, Klienten, Geschäftspartner etc. Das heißt, wo speichere ich das denn?

Habe ich, weiß ich nicht, zu Hause im Keller irgendwie einen Server stehen, wo die Daten gespeichert werden, dann ist das vielleicht nicht so das Problem. Aber das ist heutzutage ja nun, weiß Gott nicht mehr, die Lösung unten im Keller einen Server stehen zu haben, um nicht zumindest in einem anderen Keller noch einen Server stehen zu haben, auf dem das Ganze nochmal liegt. Und spätestens, wenn ich dann irgendwelche Backup-Lösungen in der Cloud einsetze, wenn ich E-Mail-Anbieter nutze, die eben von einem der ganz großen Anbieter angeboten werden, ob das jetzt Microsoft ist, ob das Google ist, ob das Apple ist, dann bin ich wieder bei einem US-amerikanischen Unternehmen. Auch dann muss ich mich fragen, welche Daten landen denn wo?

Und wenn ich das denn alles so, das ist jetzt ein bisschen runtergebrochen gewesen, wenn ich dann so mein Datenschutzkonzept so ein bisschen aufgestellt habe, derart, dass ich weiß, wo welche Daten denn hingehen, dann muss ich schauen, welche Unternehmen stecken dahinter. So, und jetzt kommen wir so ein bisschen dahin, was du eben schon angesprochen hast, also auf der Website des Handelsministeriums gibt es eben die Möglichkeit zu recherchieren, des US-Handelsministeriums, gibt es die Möglichkeit zu recherchieren, welche Unternehmen selbst zertifiziert sind und dort schaue ich dann, ob diese Unternehmen, die das anbieten, das ist manchmal nicht ganz einfach herauszufinden, wer das denn tatsächlich anbietet und wo die sitzen, ob die zertifiziert sind. Ja, nur um das nochmal ganz kurz aufzugreifen. Es gibt, also man muss schon sagen, dass Unternehmen bzw.

Unternehmer die Verpflichtung haben, sich darüber im Klaren zu sein, welche Unternehmen sie verwenden, welche Daten dabei verarbeitet werden. Also da sozusagen diese Arbeit im Vorfeld zu machen, herauszufinden, welche Systeme verwende ich, welche Systeme vielleicht will ich verwenden, also vielleicht sucht man zwischen zwei potenziellen Hosting-Anbietern lieber das aus, was in der EU sitzt und auch Server in der EU verwendet. Da sozusagen ist eine Aufgabe, da sollte man das nicht einfach auf die leichte Schulter nehmen und sagen, ich nehme das Erstbeste, was mir entgegenkommt oder das Günstigste, was mir entgegenkommt. Da kann man dann schon sagen, okay, hier muss man alle Faktoren miteinander einbeziehen und unabhängig von diesem Angemessenheitsbeschluss kann es immer noch sinnvoll sein, lieber europäische Anbieter zu nutzen.

Ja, da muss man vielleicht auch dann so ein bisschen diesen Umstand natürlich mit erwähnen, dass nicht jeder heute damit anfängt, mit diesem Internet und auf einmal eine Internetseite erstellt oder dieses E-Mail benutzt, sondern alle machen das ja so. Und ich glaube auch, die E-Mail ist ja mittlerweile so ein bisschen der Brief der heutigen Zeit. Also ganz andere Kommunikationsmöglichkeiten sind ja nun mal präsent und das auch nicht erst seit gestern. Und dementsprechend muss man natürlich auch die Sachen, die man bereits einsetzt, überprüfen.

Wenn man feststellt, da ist es schwierig, weil vielleicht ist es ein US-amerikanisches Unternehmen, das vielleicht auch noch nicht selbst zertifiziert ist, dann habe ich die Möglichkeit zu sagen, gut, dann ist das so, dann nehme ich das hin oder ich überlege es zu ändern. Das ist natürlich Aufwand und je nachdem, was für ein System das ist, wenn ich jetzt sage, ich wechsle meinen E-Mail-Anbieter, dann kann das ein erheblicher Aufwand sein, dann muss man das natürlich entsprechend berücksichtigen. Ja und vielleicht hat uns ja auch die ein oder andere, die gerade in der Gründung eines Startup-Unternehmens sich befindet und gerade überlegt, wie man das am besten aufzieht und da, wenn man gerade sozusagen ganz neu anfängt, kann man da sozusagen frühzeitig sich die Entscheidungen treffen, die datenschutzkonform sind. Ja, auf dem weißen Blatt Papier anzufangen, das ist manchmal immer ganz schön.

Ist halt, ja, Praxisrelevanz ist nicht mehr vorhanden. Also ja, es ist tatsächlich, also selbst Kleinstunternehmen, Kleinstunternehmer, Also jeder hat eine Website, jeder hat irgendwie ein Online-Angebot. Also nicht jeder übermittelt dann Daten in die USA. Ich kann es natürlich alles irgendwie gut gestalten.

Aber wenn ich jetzt heute sage, ich will meinen Shopify-Shop, der irgendwie Riesenumsätze bringt für mich, mal eben umbauen auf was Eigenes, das ich hier in der EU selber hoste, dann ist natürlich die Gefahr, dass meine Umsätze dabei abschmieren, sehr groß. Und dann ist nachvollziehbar, dass man sagt, dann nehme ich das jetzt erstmal so hin. Aber ja, ändert am Ablauf erstmal nichts. sozusagen diese zwei Punkte abgehakt haben und dann jetzt Unternehmen haben, die zertifiziert sind, dann müssen wir uns die Datenschutzerklärung anschauen, beziehungsweise die Datenschutzhinweise anschauen.

Ja, kleiner Einwurf noch. Ich habe parallel gerade mal geguckt. Shopify ist tatsächlich noch nicht zertifiziert. Das kann ich noch gerade ergänzen.

Ein guter Hinweis. Jetzt wieder du. Ja, nee, alles gut. Jetzt schauen wir uns die Datenschutzhinweise an.

Und jetzt im Fall von Shopify würde sich wahrscheinlich nichts ändern, denn die Datenschutzhinweise würden dann wahrscheinlich noch nicht auf einen Angemessenheitsbeschluss verweisen und das wäre ja dann auch richtig im Fall von Shopify, denn Shopify ist keines der Unternehmen, das dem Data Privacy Framework unterfällt. Hätten wir aber ein Unternehmen, das dem Data Privacy Framework unterfällt, also dieses Registrierungsverfahren oder Selbstzertifizierungsverfahren durchgeführt haben, wie beispielsweise Google, dann könnte man jetzt hier oder wäre man dazu verpflichtet, hier die Datenschutzerklärung anzupassen. Also wir brauchen immer noch eine Rechtsgrundlage, dass wir überhaupt die Daten verarbeiten und dann nachher auch verarbeitet werden durch Google. Jedoch brauchen wir keine Rechtsgrundlage mehr oder können einen einfachen Verweis hinsichtlich der Datenübermittlung, der reinen Übermittlung in die USA vornehmen.

Also da können wir dann jetzt auf diesen Angemessenheitsbeschluss verweisen. Man könnte vielleicht der Transparenz halber auch einen Link hinzufügen auf entweder Datenschutzhinweise von Google oder aber auch sogar, das müsste man sich nochmal überlegen in der Praxis, ob das so sinnvoll ist, aber vielleicht auch auf die Liste, wo dann sozusagen der Eintrag ist, dass Google ein aktiver Teilnehmer des Data Privacy Framework ist. Aber auf jeden Fall ist die Datenübermittlung als solche dann gerechtfertigt. Genau.

Damit das nicht falsch verstanden wird, es ist ja nicht so, dass damit quasi sämtliche datenschutzrechtliche Anforderungen entfallen. Es gelten dann eben nur noch in Anführungsstrichen die Voraussetzungen der DSGVO. Die einfachen will ich jetzt nicht sagen, aber ich sage mal die Standardanforderungen der DSGVO. Das heißt, natürlich brauche ich für eine entsprechende Datenverarbeitung auch eine Einwilligung oder jedenfalls einen der gesetzlichen Gründe, die das zulässig machen.

Und natürlich habe ich auch weiterhin meine Pflichten, darüber zu informieren, welche Rechte die betroffenen Nutzer haben. Das heißt, ob das jetzt ein Widerruf ist, ob das eine Auskunft, ob das eine Beschwerdemöglichkeit ist. Natürlich muss ich auch weiterhin darauf hinweisen. Und genauso muss ich dafür sorgen, dass ich die ganzen entweder, im Idealfall, Einwilligungen zur Verarbeitung habe oder eben zum Beispiel bei der Erfüllung von Verträgen auch die entsprechende gesetzliche Berechtigung dazu habe, diese Daten entsprechend zu verarbeiten.

Es kommt aber eben nicht mehr on top, dass ich diese Datenübermittlung in ein Drittland habe und das lässt so ein bisschen, weil die teilweise fast unmöglich waren einzuhalten, lässt das Ganze oder lässt die Nutzung der Dienste in den USA und lässt die Nutzung bestimmter anderer Dienste einfach etwas leichter möglich werden. Ja, und wenn ich jetzt so an Datenschutzerklärungen, die wir jetzt sozusagen auch erschaffen haben, denke, dann kann hier ein erheblicher Teil der Datenschutzerklärung, ist jetzt dadurch betroffen, also häufig macht es einen relativ hohen Anteil so einer klassischen Datenschutzerklärung aus, dass irgendwie Google Analytics eingebunden werden, dass Shopify eingebunden wurde, dass möglicherweise irgendwie Microsoft Office verwendet wurde. Das ist ein relativ großer Teil einer solchen Datenschutzerklärung und das zeigt eigentlich nur relativ anschaulich, warum es so sinnvoll ist und auch so wichtig ist, aus Rechtssicherheitsgründen so eine Datenschutzerklärung immer mal wieder zu überprüfen auf ihrer Aktualität. Also da ist auch derjenige, der eine Datenschutzerklärung oder Datenschutzhinweise verwendet auf seiner Webseite oder in seinem Kundenformular, ist dafür zuständig und verantwortlich, dass diese auch dem aktuellen Stand der Dinge entspricht.

Also man kann sich jetzt hier nicht, wenn jetzt jemand kommt und sagt, naja, aber die Datenschutz-Erklärung hat den aktuellen Angemessenheitsbeschluss noch nicht eingebunden, dann kann man sich nicht darauf berufen, dass man sagt, naja, aber das ist erst ein paar Monate her, dass der da ist oder sowas. Da muss man schon gucken, dass man immer auf dem aktuellsten Stand ist. Ja, das ist in der Tat so. Vor allen Dingen, ich habe so ein bisschen, es gibt im Moment so ein bisschen die Tendenz dazu, dass neben den behördlichen Datenschutzbehörden, eine leichte Doppelung, dass neben dieser staatlichen Überprüfung der Einhaltung solcher Vorschriften, die jetzt natürlich für viele Unternehmen insofern fremd sind, als dass die damit noch nie Kontakt hatten.

Und, naja, wie ich mich nicht zu weit aus dem Fenster lehnen, auch wahrscheinlich nicht so wahnsinnig in naher Zukunft jedenfalls auch keinen Kontakt damit haben werden. Aber es gibt ja im Moment so ein bisschen die Tendenz, dass diese Verbraucherrechte, was, oder ich sag mal, dass die Verbraucher eben entweder alleine oder in Form einer, ja, ich sag mal, eines Sammelanliegens, Datenschutzverstöße, die einen selbst betreffend gelten machen können und dann mit unterschiedlichen Ansprüchen, populär sind dann immer irgendwelche Zahlungsansprüche, geltend machen. Und da gibt es im Moment Verfahren, deren Ausgang aber noch abgewartet wird, deren Ausgang dann auch teilweise durch den EuGH noch beantwortet werden muss, über die Frage, inwieweit kann denn ein Verbraucher tatsächlich einen Datenschutzverstoß einer bestimmten Kategorie, sage ich mal, so geltend machen, dass da am Ende bei rumkommt, okay, ich weiß nicht, meine Daten sind jetzt ohne Einwilligung in die USA geflossen, meine Daten sind nicht hinreichend gesichert worden, waren Teil eines Datenlecks etc. Inwieweit muss dieses Unternehmen, das dafür verantwortlich ist, mir denn nun eine Entschädigung oder einen Schadensersatz zahlen?

Und da gibt es auch schon Instanzurteile, die das durchaus zusprechen. Eines dieser Urteile ist ja zuletzt irgendwie ein bisschen genutzt worden, um tatsächlich missbräuchlich dann diese Google-Fonds-Abmahnungen auszusprechen und da Geld zu fordern. Aber das gibt es natürlich auch in nicht missbräuchlicher Form. Und das waren glaube ich 500 Euro, die aus München da geurteilt worden sind.

Und das kann natürlich dann schon interessant werden, wenn ich dann auf einmal irgendwie eine Situation habe, in der ein Verbraucher oder ein Nutzer hergehen kann und sagen kann, pass mal auf, du verarbeitest meine Daten ohne Einwilligung, ich bekomme 500 Euro. Das ist jetzt für den einen nicht so schlimm, aber wenn das die Runde macht, dann kann das natürlich schon sportlich werden. Und deswegen schadet es nicht, ein Auge darauf zu haben. Besonders muss man sagen, dass 500 Euro im europäischen Vergleich noch relativ klein sind.

Also nur kurz, um das einfach nur in den Raum zu werfen, Anspruchsgrundlage ist da der Artikel 82 DSGVO, wenn ich mich recht entsinne. Also da ist einfach ein Schadensersatz bei, also wenn der Verantwortliche einer Datenverarbeitung seinen Pflichten nicht nachkommt oder rechtswidrig verarbeitet, da ist dann eine Anspruchsgrundlage für Schadensersatz. Und es handelt sich hierbei um einen immateriellen Schadensersatz. Also es gibt keinen materiellen Schaden, wie beispielsweise meine Gesundheit ist geschädigt oder mein PC ist kaputt, sondern es gibt immateriellen Schaden, sozusagen meine Daten sind abgeflossen und möglicherweise kriege ich jetzt ganz viele Spam-E-Mails oder Spam-Anrufe oder sowas.

Und da ist so eine immaterielle Schädigung. Und in Deutschland sind wir historisch gesehen sehr vorsichtig, was die Bezifferung von immateriellen Schäden angeht, also relativ auch zurückhaltend, was die Höhe des Schadens dann angeht. Und 500 Euro wäre genau das Beispiel, während zum Beispiel in, ich meine es war Spanien und auch in Irland, für vergleichbare Verletzungen 1500 Euro angesetzt wurden. Und ich glaube in einem Einzelfall sogar mal 5000 Euro.

Also da ist das EU-Ausland ein bisschen härter, obwohl man sagen muss, dass überhaupt diese 500 Euro zugesprochen wurden. Und sozusagen der Schaden, diese immaterielle Schädigung, vielleicht auch ein bisschen psychische Schädigung, dass man irgendwie ein Unwohlsein bezüglich der Daten hat, die dann weg sind. Dass das überhaupt zugesprochen wurde in München, ist schon ein Schritt in die richtige Richtung, wenn man das jetzt in deutschen Kontext setzt. Es gab auch ein Urteil bezüglich des Facebook-Datenlecks, das 1.500 Euro mal zugesprochen hatte, aber das ist alles immer mit Vorsicht zu genießen, weil, wie du gesagt hast, das sind Instanzenurteile.

Wir haben da noch keine höchstrichterliche Rechtsprechung, wir haben da noch keine belastbare EuGH-Rechtsprechung, wo man sagen kann, okay, es gibt hier bestimmte Werte, an denen wir uns immer orientieren müssen. Es ist immer so eine Einzelfallabwägung. Je nachdem, wie gut man darlegen kann, dass man jetzt auch in seinem Lebensalltag geschädigt sich fühlt, kann man da mehr oder weniger sozusagen bekommen. Aber, wie du gesagt hast, in der Masse kann das relevant werden für ein Unternehmen.

Deswegen ist es immer sinnvoll, da auf den technischen organisatorischen, also die technisch organisatorischen Maßnahmen, die man sozusagen nach der DSGVO treffen muss, diese immer auf dem aktuellsten Stand möglich zu halten. gutes Schlusswort, wie ich finde. Und ich glaube, wenn wir jetzt einen Strich drunter machen und sagen, wo stehen wir denn jetzt im Datenschutz, würde ich im Vergleich zur ersten Folge sagen, die Einhaltung der Voraussetzungen ist erleichtert worden. Und ich glaube, dass es gerade im Bereich das Datenschutzrecht mal eine Entwicklung, die jetzt nicht immer diese Richtung genommen hat, sondern gerade mit der DSGVO jedenfalls gefühlt zumindest für viele Unternehmen gerade in die andere Richtung ging und dann mit den zwei untergegangenen Angemessenheitsbeschlüssen auch nicht besser wurde.

Und jetzt haben wir wieder eine Situation, wo wir da vielleicht ein bisschen aufatmen können. Und ich würde sagen, so das Wesentliche haben wir untergebracht. Und wenn es da zu diesem Thema Fragen gibt oder andere Anregungen zu Themen, dann freuen wir uns natürlich wie immer. Wir bringen die Shownotes noch einmal den Verweis zum US-Handelsministerium, wo zum einen recherchiert werden kann nach den Unternehmen, die schon da registriert und selbst zertifiziert sind.

Ich bringe auch noch einen Link zu den Standardvertragsklauseln rein, die ja trotzdem immer noch von Relevanz sind. Und dann würde ich sagen, freue ich mich auf die nächste Folge. Freue mich, wenn viele Hörer wieder dabei sind. Wenn es etwas gibt, gerne melden an podcast.tvw.lor und von meiner Seite auf Wiederhören.

Ja, ich habe mich auch gefreut, etwas zu hören. Wir haben relativ häufig auf die erste Folge verwiesen und gesagt, dass sich dahingehend was geändert hat. Die erste Folge hat sich mit E-Commerce und Datenschutz beschäftigt und ich möchte anmerken, dass diese jetzt nicht irrelevant geworden ist. Also, falls jemand da nochmal reinhören möchte, könnt ihr das auch gerne tun.

Ansonsten freue ich mich auf die nächste Folge, freue mich auf ein Wiederhören. Bis zum nächsten Mal.