Die Übermittlung von personenbezogenen Daten aus der EU bzw. aus dem EWR in einen sog. Drittstaat, stellt Unternehmen regelmäßig vor die Herausforderung, bestimmte datenschutzrechtliche Anforderungen zu erfüllen, um den Datenfluss zu legitimieren. Nach der europäischen Datenschutzrichtlinie (RL 95/46/EG) ist im Grundsatz jede Übermittlung in Drittstaaten verboten, solange nicht ein angemessenes Schutzniveau für die übermittelten Daten geschaffen wird. Dieses angemessene Schutzniveau kann auf mehreren Wegen hergestellt werden. Ein Beispiel für Übermittlungen in die USA ist etwa die Selbstzertifizierung der die Daten empfangenden Stelle unter Safe Harbor. Daneben werden in der Praxis oft die sog. Standardvertragsklauseln der Europäischen Kommission eingesetzt. Hierbei handelt es sich um Musterverträge (eine Übersicht findet sich hier), die zwischen dem „Datenexporteur“ in der EU/dem EWR und dem „Datenimporteur“ (im Drittland) abgeschlossen werden können. Werden die Verträge ohne inhaltliche Änderungen (oder zumindest ohne solche, die zum Nachteil des Schutzniveaus der Daten von den Mustertexten abweichen) abgeschlossen, so wird automatisch ein angemessenes Schutzniveau der Daten angenommen. Eine Genehmigung der Standardverträge durch eine Aufsichtsbehörde ist dann (zumindest in Deutschland und einigen anderen Ländern der EU) nicht erforderlich, da die Behörden an die Entscheidung der EU-Kommission gebunden sind. Manche Behörden verlangen jedoch zumindest, die Verwendung der Verträge ihr gegenüber anzuzeigen. Anders sieht es für Individualverträge aus, welche der Genehmigung der Behörde bedürfen.
Die europäischen Datenschutzbehörden, versammelt in der Artikel 29 Datenschutzgruppe (Art. 29 Gruppe), haben nun in einer neuen Stellungnahme (WP 226, PDF) ein Verfahren im Zusammenhang mit der Prüfung und Genehmigung von Standard- als auch Individualverträgen vorgestellt, welches vor allem für international tätige und in mehreren Mitgliedstaaten ansässige Unternehmen interessant sein dürfte, die personenbezogene Daten in Drittstaaten übermitteln.
Die Art. 29 Gruppe erkennt die praktische Schwierigkeit, dass ein Unternehmen mit mehreren Niederlassungen in der EU möglicherweise (je nach dem nationalen Recht) gezwungen ist, in jedem Mitgliedstaat, von dem aus personenbezogene Daten in ein Drittland übermittelt werden sollen, eine Genehmigung der Behörde für inhaltlich dieselben Verträge einzuholen. Es besteht das Risiko, dass eine Aufsichtsbehörde die ihr vorgelegten Verträge als ausreichend anerkennt, eine andere Behörde jedoch Nachbesserungen fordert. Die Folge ist ein nicht zu unterschätzender Mehraufwand für Unternehmen und im schlimmsten Fall eine Divergenz der Verträge oder sogar ein Absehen von deren Verwendung, unter einem ja eigentlich vollharmonisierten europäischen Datenschutzrecht!
Unternehmen, die Übermittlungen aus mehreren Mitgliedstaaten in einen Drittstaat auf der Grundlage inhaltlicher gleicher Verträge planen, können nun ein neu geschaffenes Kooperations-Verfahren der europäischen Aufsichtsbehörden in Anspruch nehmen, um eine für alle Verträge einheitliche Entscheidung und damit vor allem eine gewisse Rechtssicherheit zu erhalten.
Das Verfahren ist nach der Stellungnahme der Art. 29 Gruppe grob wie folgt aufgebaut:
1. Das Unternehmen sucht sich diejenige Aufsichtsbehörde in einem Mitgliedstaat (in dem es eine Niederlassung besitzt) aus, die seiner Meinung nach als führende Behörde agieren sollte. Folgende Kriterien sollten der Entscheidung zugrunde liegen: der Ort der Niederlassung, an dem die Vertragsklauseln ausgehandelt bzw. entworfen werden; der Ort der Niederlassung, an dem die meisten Entscheidungen in Bezug auf die Zwecke und Mittel der Datenverarbeitung getroffen werden; den Ort der Niederlassung, um das Verfahren am effektivsten durchzuführen und die Vertragsklauseln durchzusetzen; den Ort einer Niederlassung, von dem aus die meisten Datenübermittlungen stattfinden; der Ort der Niederlassung des europäischen Hauptsitzes.
2. Das Unternehmen hat dieser Behörde den Vertragsentwurf (schriftlich als auch per E-Mail) zu übersenden und dabei auf die Art der verwendeten Standardvertragsklauseln hinzuweisen. Zudem muss auf Abweichungen zu den Mustern hingewiesen werden. Zudem sollte angegeben werden, aus welchen Mitgliedstaaten die Übermittlungen erfolgen.
3. Die Aufsichtsbehörden können entscheiden, ob im konkreten Fall ein solches Kooperations-Verfahren überhaupt sinnvoll erscheint oder nicht (etwa wenn Änderungen an den Mustertexten sich nicht auf den Datenschutz beziehen).
4. Die Wahl der führenden Behörde bleibt letztendlich den beteiligten Aufsichtsbehörden vorbehalten. Sie können etwa eine andere als die von dem Unternehmen gewählte Behörde als führend bestimmen. In diesem Fall müssen sie jedoch die Präsidentin der Art. 29 Gruppe informieren, die diese Übertragung durchführt.
5. Nach Eingang der Unterlagen soll das Unternehmen innerhalb von 2 Wochen Nachricht erhalten, ob das Kooperations-Verfahren eingeleitet wird.
6. Nimmt die ausgewählte Behörde die Bestimmung als führende Behörde an, so wird sie alle anderen von der Entscheidung betroffenen Behörden kontaktieren (also jene Behörden in Mitgliedstaaten, in denen sich Niederlassungen befinden, die ebenfalls Daten übermitteln sollen). Zudem werden gleichzeitig Prüfbehörden bestimmt, die neben der führenden Behörde die Verträge inhaltlich kontrollieren. Sind mehr als 9 Mitgliedstaaten betroffen, so werden 2 Prüfbehörden bestimmt. Ansonsten nur eine.
7. Andere betroffene Behörden können innerhalb von 2 Wochen der Einsetzung der Behörden und der Verteilung der Rollen widersprechen. Die Prüfbehörden sollen ihrer Benennung zustimmen.
8. Ähnlich wie bei der EU-weiten Prüfung von verbindlichen Unternehmensregelungen (BCR), soll auch hier ein freiwilliges System der gegenseitigen Anerkennung von behördlichem Handeln zwischen europäischen Aufsichtsbehörden eingerichtet werden.
Hat die führende Behörde ihre Analyse beendet, so wird sie das Ergebnis den Prüfbehörden mitteilen. Die Prüfbehörden haben dann einen Monat Zeit, um eigene Anmerkungen oder Änderungen vorzuschlagen. Diese Monatsfrist soll nur in Ausnahmefällen verlängert werden können. Sollte keine Reaktion der Prüfbehörde erfolgen, so gilt dies als ihre Zustimmung zum Vorschlag der führenden Behörde.
9. Danach wird das Ergebnis an alle anderen betroffenen Behörden weitergeleitet. Solche Behörden, die Teil des Systems der gegenseitigen Anerkennungen von Entscheidungen sind, werden die positive Entscheidung der führenden Behörden nur umsetzen (entsprechend den nationalen Vorgaben also etwa ihre Genehmigung erteilen).
Aufsichtsbehörden, die nicht an dem gegenseitigen Anerkennungsverfahren teilnehmen, haben eine Frist von einem Monat, um der Entscheidung der führenden Behörde zu widersprechen. Eine Fristverlängerung kann nur in Ausnahmefällen gewährt werden. Erfolgt keine Antwort der Behörde, so gilt dies als ihre Zustimmung.
10. Als letzten Schritt wird die führende Behörde das Antwortschreiben an das Unternehmen im Namen der betroffenen Aufsichtsbehörden unterzeichnen und ihr Ergebnis bekannt geben. Ab diesem Moment ist das Kooperations-Verfahren abgeschlossen und das Unternehmen kann die jeweiligen nationalen Behörden kontaktieren, um die erforderlichen Genehmigungen für die Verträge zu erhalten.