Robert WenigerGrenzüberschreitende Datenübermittlungen international tätiger Unternehmen

Zum Inhalt

Am 24.07.1995 hat der Rat der Europäischen Union die Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr verabschiedet. Die Richtlinie stellt den vorläufigen Höhepunkt der EG-weiten Entwicklung der allgemeinen Datenschutzgesetzgebung dar. Die Richtlinie ist mit erheblicher Fristüberschreitung am 18.05.2001 in das novellierte Bundesdatenschutzgesetz eingearbeitet worden.

Einen neuen Ansatz enthält die Richtlinie insbesondere bei einem Datenexport in ein Drittland. Ein solcher Datentransfer in Staaten außerhalb der EG/EWR darf hiernach grundsätzlich nur dann stattfinden, wenn ein angemessenes Schutzniveau im Empfängerland sichergestellt ist. Mit diesem rigiden Grundsatz hat die EG Hürden zum Datenexport geschaffen und damit indirekt Druck auf Nicht-EG-Staaten ausgeübt, um auch dort ein angemessenes Schutzniveau zu erzielen. Angesichts der Tatsache, dass ein freier Datenfluss in Drittländer in Ermangelung des Vorliegens eines angemessenen Schutzniveaus schwer möglich ist, kommt der Frage, wie Drittlandsübermittlungen gleichwohl datenschutzgerecht vorgenommen werden können, eine besondere Bedeutung zu.

Betroffen von der EG-Regelung zum grenzüberschreitenden Datenverkehr sind maßgeblich die Unternehmen der Privatwirtschaft. Wirtschaftsunternehmen gehören zu den wichtigsten und intensivsten Nutzern des transnationalen Datenflusses. Für diese gilt, sich einerseits den rauh gewordenen globalen Anforderungen des Marktes zu stellen und sich andererseits den Regularien des europäischen Datenschutzniveaus zu unterwerfen. Gleichzeitig ist die arbeitsteilige internationale Wirtschaft in immer stärkerem Maße von einem grenzüberschreitenden Datenfluss abhängig.

Angesichts dieser Tatsache sehen sich insbesondere weltweit operierende Unternehmen mit Sitz innerhalb der EG mit der Frage konfrontiert, ob und unter welchen Voraussetzungen personenbezogene Daten datenschutzgerecht in Drittländer übermittelt werden können. Welcher Sinn steht hinter diesen Vorgaben der EG-Richtlinie? Inwieweit werden Unternehmen der Privatwirtschaft bei einem Datenexport aus der Bundesrepublik Deutschland in einen EG-Mitgliedstaat bzw. in ein Drittland jeweils berechtigt und verpflichtet? Welche Ausnahmen und Lösungsansätze stellen sich als praktikabel dar? Erweist sich die Beachtung eines hohen Schutzniveaus personenbezogener Daten bei einem Datenexport als Hemmschuh oder als wettbewerblicher Vorteil für die betroffenen Unternehmen?

Der Erörterung dieser Fragen dient die Abhandlung.