EDSA verabschiedet Leitlinien zu Zertifizierung als Instrument bei der Übermittlung von Daten
Ein hinreichender Schutz für die Übermittlung personenbezogener Daten in Drittstaaten, für die kein Angemessenheitsbeschluss der EU-Kommission besteht, kann durch eine Zertifizierung nach Art. 42 Abs. 2 DSGVO i. V. m. Art. 46 Abs. 2 lit. f) DSGVO nachgewiesen werden. Solche Zertifizierungen würden es Datenexporteuren enorm erleichtern, das Schutzniveau beim Empfänger entsprechend der „Schrems 2“-Vorgaben zu prüfen.
Der Europäische Datenschutzausschuss (EDSA) hat am 14. Februar 2023 eine Leitlinie über Zertifizierungen als Instrument für Übermittlungen (Guidelines 07/2022 on certification as tool for transfers) angenommen. Diese Leitlinie ergänzt die allgemeine Leitlinie 1/2018 zu Zertifizierungen und hat spezifische Aspekte der Zertifizierungen als Möglichkeit sicherer Datenexporte in Drittstaaten zum Inhalt. Sie beschreibt Anforderungen an Zertifizierungen.
Problematisch ist, dass sich Zertifizierungsstellen hierfür akkreditieren lassen müssen. Dieser Prozess verlief in der Vergangenheit nur sehr schleppend. So sind erst jetzt, knapp fünf Jahre nach Wirksamwerden der DSGVO, erste Zertifizierungsstellen nach Art 42 Abs. 1 DSGVO am Markt verfügbar.
Fazit
Bislang blieb der in Art. 42 Abs. 2 i.V.m. Art 46 Abs. 2 lit. f DSGVO vorgesehene Fall, dass Zertifizierungen als geeignete Garantie für die rechtssichere Datenübermittlung in Drittstaaten gelten können, ohne praktische Relevanz, da die genauen Anforderungen unklar waren. Dies könnte sich langfristig durch die Leitlinien des EDSA nun ändern. Kurzfristig ist in Anbetracht der Erfahrungen mit dem schleppenden Prozess der notwendigen Akkreditierung von Zertifizierungsstellen nicht damit zu rechnen, dass Zertifizierungen für Datentransfers in Drittstaaten bald verfügbar sind.
Die Leitlinie ist bislang nur im Stand nach Abschluss der Konsultation veröffentlich, der BfDI wirkte daran als Berichterstatter mit und veröffentlichte eine Pressemeldung zur annehmenden Sitzung des EDSA. Sie wird in Kürze auf der Homepage des EDSA veröffentlicht werden.