Personenbezogene Daten in Länder außerhalb der EU / des EWR oder an internationale Organisationen zu übermitteln kann zusätzliche Risiken mit sich bringen, da die Empfänger in einigen Fällen keinen (oder zumindest keinen den europäischen Standards entsprechenden) Datenschutzregeln unterliegen. Aus diesem Grund gibt es in Kapitel V der Verordnung (EU) 2018/1725 spezifische Regeln für solche Übermittlungen.
Der EDSB hat die verschiedenen Möglichkeiten, solche Übermittlungen abzusichern, in einem Positionspapier zur Übermittlung personenbezogener Daten an Drittländer und internationale Organisationen durch Organe und Einrichtungen der EU erklärt. Obwohl sich dieses Papier noch auf die alte Verordnung (EG) 45/2001 bezieht, ist die generelle Architektur der möglichen Sicherungsmaßnahmen gleichgeblieben. Vorzugsweise sollten Übermittlungen an Empfänger erfolgen, die als angemessen anerkannten Datenschutzregeln unterliegen. Die zweitbeste Option ist es, solche Übermittlungen entweder über Standardvertragsklauseln abzusichern, oder sie auf internationale Abkommen, die geeignete Garantien bieten, zu stützen. Solche Übermittlungen benötigen keine spezifische Genehmigung durch den EDSB.
Eine weitere Sicherungsmöglichkeit sind 'ad hoc'-Vertragsklauseln zwischen dem übermittelnden EU-Organ, -Einrichtung oder Agentur (EUI) und dem Empfänger. Eine zusätzliche Möglichkeit sind Bestimmungen, die in Verwaltungsvereinbarungen zwischen Behörden oder öffentlichen Stellen aufzunehmen sind und durchsetzbare und wirksame Rechte für die betroffenen Personen beinhalten. Wenn die EUI eine dieser beiden Möglichkeiten nutzen möchten, müssen sie vorab eine Genehmigung durch den EDSB erhalten (siehe Artikel 48(3), sowie 58(3)(e) und (f) der Verordnung (EU) 2018/1725).
Zu guter Letzt gibt es Ausnahmeregelungen für bestimmte Situationen (siehe Artikel 50 der Verordnung (EU) 2018/1725; der Europäische Datenschutzausschuss hat die gleichwertigen Regeln in der DSGVO in seiner Stellungnahme 2/2018 analysiert).
Die EUI können sich nicht auf Artikel 48(3) der Verordnung stützen, ohne den EDSB konsultiert und eine Genehmigung erhalten zu haben. Diese Genehmigungen sind das Nachfolgeinstrument zu Genehmigungen nach Artikel 9(7) der alten Verordnung (EG) 45/2001. Genehmigungen, die der EDSB nach diesem Artikel der alten Verordnung erteilt hat, bleiben gültig, bis sie geändert, ersetzt, oder widerrufen werden (siehe Artikel 48(4) der Verordnung (EU) 2018/1725).
Der EDSB veröffentlicht diese Genehmigungen, die Sie untenstehend finden.
In its Decision published on 13 July 2023, the EDPS finds that the use of Cisco Webex videoconferencing and related services by the Court of Justice of the European Union (the Court) meets the data protection standards under Regulation 2018/1725 applicable to EU institutions, bodies, offices and agencies.
EDPS Decision authorising until 30 June 2024 the use of the administrative arrangement between the Single European Sky ATM Research 3 Joint Undertaking (‘SESAR’) and the European Organisation for the Safety of Air Navigation (‘Eurocontrol’) in the context of Eurocontrol’s in-kind contributions to SESAR
Second EDPS Decision temporarily and conditionally authorising the use of contractual clauses between the Court of Justice of the EU and Cisco Systems Inc. US for transfers of personal data in the Court's use of Cisco Webex and related services.
EDPS Decision on the request for prior authorisation of the Working Arrangement establishing Operational Cooperation between the European Border and Coast Guard Agency and the Directorate for Territorial Surveillance of the Republic of Niger
EDPS Decision authorising temporarily the use of ad hoc contractual clauses between the Court of Justice of the EU and Cisco for transfers of personal data in the Court's use of Cisco Webex and related services