Vergabekammer Baden-Württemberg entscheidet, dass US-Cloud-Dienste nicht GDPR-konform sind

Im Juli 2020 wurde das EU-US Privacy Shield durch den Fall Schrems II für ungültig erklärt, was bedeutet, dass Datenübermittlungen in Nicht-EU-Länder nach der Datenschutz-Grundverordnung illegal sind. Diese Entscheidung war sofort bindend. Wenn Unternehmen eine Datenübermittlung in ein Land außerhalb der EU vornehmen wollen, müssen sie bestätigen, dass das betreffende Land Datenschutzvorschriften und -gesetze bereitstellt, die denen der Datenschutz-Grundverordnung gleichwertig sind.

Dieses Urteil des Europäischen Gerichtshofs (EuGH) gilt für alle EU-Länder, doch wird Schrems II auf lokaler Ebene oft nicht ernst genug genommen. Die Vergabekammer Baden-Württemberg hat jedoch jetzt eine verbindlichere Entscheidung getroffen, die erhebliche Auswirkungen auf alle öffentlichen Ausschreibungen im Land haben wird.

Laut einer Mitteilung von PresseBox hat die Vergabekammer Baden-Württemberg rechtskräftig entschieden, dass die Übermittlung personenbezogener Daten in ein „Drittland“ (außerhalb der EU) ohne eine gleichwertige Datenschutz-Grundverordnung nach der Datenschutz-Grundverordnung unzulässig ist.

Dies bedeutet, dass selbst dann, wenn ein Server von einem Unternehmen mit Sitz in der EU betrieben wird, dessen Muttergesellschaft jedoch in den USA ansässig ist, die Datenübermittlung nicht zulässig ist, da die Möglichkeit besteht, dass die außereuropäischen Partner auf diese Daten zugreifen.

Nachdem der EU-US-Datenschutzschild für ungültig erklärt worden war, gab es noch die Möglichkeit von Übermittlungen mit so genannten Standardvertragsklauseln (SCC). Mit dieser neuen Entscheidung in Baden-Württemberg wird jedoch auch die Verwendung von Standardvertragsklauseln, die Unternehmen und Organisationen in der Vergangenheit als Ausweichmöglichkeit genutzt haben, für unzulässig erklärt.