Bereits am 17. Juli haben wir über die Entscheidung des EuGHs zum Thema „Privacy-Shield“ berichtet. Mit der Entscheidung vom 16.07.2020 wurde das „Privacy-Shield“ für unwirksam erklärt und damit dem Datenverkehr zwischen der EU und der USA einen Riegel vorgeschoben.
Aus dieser Entscheidung ergibt sich also ein Verbot der Datenverarbeitung in die USA. Für viele Unternehmen ein Schock. Was das genau bedeutet, welche Umstellungen vorgenommen werden müssen und welche Risiken sich durch diese Entscheidung auftun können Sie hier nachlesen.
Notwendigerweise muss man verstehen, welche Grundlagen bei der Datenverarbeitung außerhalb der EU gelten:
Zur Erinnerung:
Im Datenschutz geht es nach Art. 4 Nr. 1. DSGVO immer um Daten mit Personenbezug. Daten, mit denen kein Bezug zu einer Person hergestellt werden kann, fallen also nicht in den Anwendungsbereich der DSGVO. Andersherum: Daten, durch die eine Person identifiziert werden kann, oder die sich auf eine konkrete Person beziehen, sind i.d.R. personenbezogen.
Zudem dürfen Daten nur dann weitergegeben werden, wenn auch auf der Seite des Datenempfängers der Datenschutz gewährleistet wird.
Außerhalb der EU / des EWG wird erst einmal davon ausgegangen, dass sich die Daten in Gefahr befinden. Eine Datenübermittlung ist daher per se unzulässig, bis die Sicherheit nachgewiesen wird – und genau darum geht es!
1. Verbot der Datenverarbeitung ausserhalb der EU
Die DSGVO verbietet das Verarbeiten von personenbezogenen Daten und regelt sowohl den Erlaubnistatbestand als auch die Verarbeitung außerhalb der EU. Per Grundsatz ist die Verarbeitung außerhalb der EU verboten, es sei denn in den sog. „Drittländern“ herrscht ein angemessenes Datenschutzniveau (vgl. Art. 44 bis 49 DSGVO).
Zu diesen sog. „Drittländern“ gehört auch die USA, um die es in diesem Fall geht!
Ein angemessenes Schutzniveau konnte bislang in folgenden Fällen angenommen werden:
a. Angemessenheitsbeschluss existiert
Unter anderem die Schweiz, Neuseeland, Andorra, Färoer Inseln, Guernsey, Japan und Kanada wurden von der EU in die Liste der Länder mit angemessenem Datenschutzniveau eingetragen. Die genaue Liste kann auf einer Webseite der EU abgerufen werden.[1]
b. Privacy-Shield-Zertifikat
Unternehmen in den USA konnten sich für das Privacy-Shield-Abkommen zertifizieren lassen. Ca. 5.000 Unternehmen in den USA haben diese Zertifizierung erfolgreich erhalten, indem sie sich verpflichteten die Datenschutzregeln der EU zu beachten.
c. „Standard Contractual Clauses“
Es handelt sich um vorgefertigte Vertragsvorlagen (Standardvertragsklauseln), welche die Vertragspartner (im Drittland) zur Einhaltung des Europäischen Datenschutzniveaus verpflichtet und Datentransfers dadurch erlauben, wenn die Vertragsinhalte vollumfänglich, unverändert und nachweisbar vereinbart werden.
d. Erforderlicher Datentransfer
Beispielsweise für einen Flug in die USA: Die Notwendigkeit der Datenweitergabe ist für den Betroffenen erkennbar und darf erfolgen.
e. Binding Corporate Rules
Auch hier geht es um einen Vertrag zwischen den beiden datenverarbeitenden Stellen. Hier handelt es sich jedoch um selbst auferlegte verbindliche Datenschutzregeln, die durch die Aufsichtsbehörde überprüft und genehmigt werden müssen.
f. Die gute alte Einwilligung
Dies ist immer die entweder erste oder letzte Reaktion, wenn entweder keine Alternative bleibt oder mangels Wissens die Umständlichkeit der Einwilligung nicht bewusst ist. Zudem ist die Einwilligung umstritten, wenn es beispielsweise um die Datenverarbeitung im Beschäftigungsverhältnis geht.
2. Sachverhalt / Worum geht es?
Schlussendlich nutzen viel Unternehmen die Dienste von Google, Facebook, Zoom und vor allem Microsoft. Gerade die Nutzung von Microsoft Teams hat nach dem Ausbruch von CoVID-19 mehr und mehr zugenommen. Die Zulässigkeit hing in der Vergangenheit vom gültigen „Privacy-Shield“ ab. Ebenso wurden Standardvertragsklauseln eingesetzt.
Die Entscheidung des EuGHs führt jetzt dazu, dass diese beiden Rechtsgrundlagen wegfallen oder zumindest die Standardvertragsklauseln im Einzelfall zu prüfen sind.
Daten von EU-Bürgen geniessen in den USA keinen Schutz
Die Legitimationen durch das „Privacy-Shield“ oder die Standardvertragsklauseln wäre nur dann zulässig, wenn dadurch in den USA ein angemessenes Datenschutzniveau gewährleistet würde oder der Dienstleister in den USA ein entsprechendes Datenschutzniveau herstellt.
Der EuGH hat nichts weiter getan als die lange bekannte Wahrheit auszusprechen und die nötigen Konsequenzen zu ziehen.
Es sieht in den USA nämlich tatsächlich so aus:
FBI und NSA (generell US-Behörden) stehen nicht weiter reglementierte Prüfungsrechte (auch ohne richterlichen Beschluss) auf Datenbestände (von EU-Bürgern) zu. Gegen dieses Vorgehen kann sich ein Bürger innerhalb der EU nicht wirksam wehren.
Das EuGH ist hier zurecht der Ansicht, dass die Voraussetzungen durch das „Privacy-Shields“ nicht erfüllt werden und dadurch den Kern der EU-Grundrechte verletzt.
3. Praxisbezug
Für die Unternehmen innerhalb der EU bedeutet dies, dass man sich mal wieder in einem rechtlichen Bereich bewegt, für den es keine konkrete Regelung gibt. Die Verarbeitung von personenbezogenen Daten ist also nicht möglich, da es keine Legitimation mehr gibt.
a. Was also tun?
Lagern Sie Daten nicht in den USA
Nicht umsonst hat z.B. Microsoft Server innerhalb der EU gelagert. Fragen Sie bei Ihren Anbietern an, ob Server innerhalb der EU angeboten werden können. Auch hier gibt es sicherlich noch die ein oder andere Unsicherheit (FISA und CloudAct). Angesichts der derzeit anhaltenden Situation eine eher sichere Möglichkeit.
US-Dienstleister ausschliessen
Setzen Sie EU-Dienstleister ein bzw. fragen Sie die EU-Server an. Dokumentieren Sie diesen Vorgang vor allem dann, wenn Sie US-Dienstleister einsetzen. Im Bedarfsfall können Sie hier zumindest nachweisen, dass Sie sich um alternativen bemüht haben.
Datenschutzhinweise anpassen
Passen Sie die Datenschutzhinweise jetzt an und aktualisieren Sie die Rechtsgrundlage der Datenübermittlung, nachdem Sie mit dem Dienstleister die Legitimation angepasst haben (siehe Einleitung). Vermeiden Sie unbedingt eine evtl. drohende Abmahnung aufgrund mangelnder Legitimation.
Bestehende Verträge anpassen
siehe „Datenschutzhinweise anpassen“.
US-Subunternehmen unter die Lupe nehmen
Setzt einer Ihrer Auftragsverarbeiter ein US-Unternehmen als Unterauftragnehmer ein, sorgen Sie dafür, dass der Auftragsverarbeiter dieses Unternehmen nicht mehr für Ihre Datenverarbeitungen einsetzt.
b. Abwarten und aussitzen?
Oder wie der Brite zu sagen pflegt, „Keep Calm an Carry on“?
Wer auf Risiko spielen möchte kann auch abwarten wie sich die Dienstleister, die EU-Kommission und / oder die Datenschutzbehörden äußern, mit der Situation umgehen und welche Entscheidungen diese treffen.
Meinungen und Stellungnahmen zum Urteil
Gibt es schon Aussagen der Aufsichtsbehörden?
Tatsächlich haben sich bereits erste Aufsichtsbehörden geäußert. Unserer Ansicht nach, bringen diese jedoch eher Unruhe in die aktuelle Situation.
Rheinland-Pfälzischer Landesbeauftragte – Prof. Dr. Dieter Kugelmann
Hr. Prof. Dr. Kugelmann war scheinbar bereits auf das Urteil vorbereitet und konnte bereits am Folgetag ein umfangreiches FAQ zum Thema bereithalten.[2]
Die Aufsichtsbehörde weist darauf hin, dass durch den Wegfall von Privacy Shield eine andere Rechtsgrundlage zur Datenübermittlung in die USA notwendig ist. Diese neue Regelung sei unmittelbar umzusetzen und es gibt keine Übergangsfrist.
Aber auch die Anwendung der EU-Standardvertragsklauseln sind bei Cloud-Anbietern nicht möglich:
„Die Sicherheitsgesetze in den USA, wie der Foreign Intelligence Surveillance Act (FISA) 702, der den US-Sicherheitsbehörden ohne richterlichen Beschluss erlaubt, Zugriff auf personenbezogene Daten zu nehmen, gilt vorrangig gegenüber Telekommunikationsunternehmen. Für Datenübermittlungen an solche Unternehmen können die Standardvertragsklauseln in der Regel nicht verwendet werden.“
Dabei ist das Problem nicht nur auf Cloud-Anbieter beschränkt. Setzen andere Unternehmen Dienstleistungen von Telekommunikationsanbietern, wie etwa Cloud-Dienste, ein, dann „..besteht die Möglichkeit, dass die US-Sicherheitsbehörden auf diesem Wege doch Zugriff auf die Daten erhalten.“
Die Aufsichtsbehörde sieht die Unternehmen in der Pflicht zu prüfen, welchen Gesetzen der Datenverarbeiter im Drittland unterliegt und ob diese Gesetze das Sicherheitsniveau beeinträchtigen. Wenn das Sicherheitsniveau nicht gewährleistet werden kann, so ist die Datenübermittlung auszusetzen, weil ansonsten ein Verstoß gegen das Datenschutzrecht vorliegt.
Berliner Datenschutzbeauftragte – Maja Smoltczyk
Auch Fr. Smoltczyk hat aus unserer Sicht ein Negativbeispiel herausgegeben, wenn es um die Beruhigung und Sondierung der Situation geht[3]:
Zitat: „Verantwortliche, die – insbesondere bei der Nutzung von Cloud-Diensten – personenbezogene Daten in die USA übermitteln, sind nun angehalten, umgehend zu Dienstleistern in der Europäischen Union oder in einem Land mit angemessenem Datenschutzniveau zu wechseln.“
Der Bundesbeauftragte – Prof. Ulrich Kelber
Auch der Bundesbeauftragte für den Datenschutz hat sich mit einer ersten Pressemittelung zum aktuellen Urteil geäußert. Während die ersten beiden genannten Landesdatenschutzbeauftragten bedauerlicherweise eher Öl ins Feuer gießen und die bestehende Unsicherheit für die Unternehmen durch ihre Aussagen eher verschlimmern, stimmt Prof. Kelber etwas versöhnlichere Töne an[4]:
„Der EuGH macht deutlich, dass internationaler Datenverkehr weiter möglich ist. Dabei müssen aber die Grundrechte der europäischen Bürgerinnen und Bürger beachtet werden. Für den Datenaustausch mit den USA müssen jetzt besondere Schutzmaßnahmen ergriffen werden. Unternehmen und Behörden können Daten nicht mehr auf der Grundlage des Privacy Shield übermitteln, das der EuGH für unwirksam erklärt hat. Bei der Umstellung werden wir selbstverständlich intensiv beraten.“
Und weiter: „Sowohl Unternehmen und Behörden als auch die Aufsichtsbehörden haben jetzt die komplexe Aufgabe, das Urteil praktisch anzuwenden.“
Weitere Meinungen anderer Vereinigungen
Natürlich haben auch der Bundesverbandes IT-Sicherheit e.V. und der Bundesverband Informationswirtschaft, Telekommunikation und neue Medien e.V. eine Position zum aktuellen Urteil veröffentlicht [5],[6].
Aus der Stellungnahme des Bitkom e.V.: „Daten ausschließlich in Europa zu verarbeiten, ist einerseits technisch kaum umsetzbar und würde andererseits einen massiven Wettbewerbsnachteil für europäische Unternehmen bedeuten.“
4. Lösungsansatz: Standardvertragsklauseln?
Prüfen Sie unbedingt das Vorliegen der Standardvertragsklauseln und schließen diese bei Nichtvorliegen mit dem entsprechenden Dienstleister ab.
Sollte eine Aufsichtsbehörde die Nutzung der Standardvertragsklauseln bemängeln und gegen Sie vorgehen haben Sie zugegeben wohl eher die schlechteren Karten, denn auch diese Regelung zur Datenübermittlung in die USA wankt. Allerdings hat der EuGH die Standartvertragsklausen nicht gekippt.
Damit haben Sie die Datenübermittlung zumindest auf ein rechtsgültiges Instrument ausgerichtet. Sie diskutieren weiterhin darüber, ob das Schutzniveau ausreichend ist und die Vorgaben zum Datenschutz durchsetzbar sind, aber ohne die Standardvertragsklauseln haben Sie gar nichts auf der Hand.
Fazit: Die Rechtsunsicherheit ist gegeben und kann nicht aufgelöst werden, jedoch ist es sinniger sich auf die Standardvertragsklauseln zu berufen als auf ein durch das EuGH in Gänze gekipptes „Privacy-Shield“.
Problemfall: Auftragsverarbeiter mit Subunternehmern in den USA.
Standardvertragsklauseln dürfen nur zwischen dem Verantwortlichen und dem Datenempfänger geschlossen werden. Der Vertragspartner des Verantwortlichen hat also keine Möglichkeit die Standardvertragsklauseln auf seine Unterauftragnehmer anzuwenden.
Ein Beispiel: Sie beauftragen einen Dienstleister in Deutschland welcher seine Daten wiederum auf einem Server in den USA speichert (z.B. im Sinne einer redundanten Datenbevorratung). So kann der in Deutschland ansässige Dienstleister keine Standardvertragsklauseln mit dem US-Anbieter abschließen, die Ihre Auftragsverarbeitung abdeckt.
Hier sehen wir das zweite große Übel. Einziger Lichtblick: Die Standardvertragsklauseln befinden sich derzeit in der Überarbeitung. Bleibt zu hoffen, dass auch die Aufsichtsbehörden hier nicht weiter mit Negativmeldungen nach vorne preschen.
5. Ist Abwarten also eine Möglichkeit?
Wir kennen solche Situationen bereits aus 2015. Damals wurde das Safe-Harbor abkommen aufgehoben. Wir befanden uns seinerzeit ebenfalls ca. sechs Monate lang in einem Rechtsvakuum bis die EU-Kommission mit dem jetzt gekippten „Privacy-Shield“ eine Lösung präsentierte.
Natürlich hoffen wir alle, dass die USA endlich die Gesetzgebung überdenkt, vor dem Hintergrund der momentanen Situation in den vereinigten Staaten und vor allem seines derzeitigen Präsidenten wird dies wohl nur eine Hoffnung bleiben. Wetten würde da sicher keiner drauf.
Wir hoffen hier auf eine schnelle Alternative seitens der Politik aber vor allem auch seitens der amerikanischen Wirtschaft, welche durchaus in der Lage wäre Druck auf die eigene Politik auszuüben.
Die Cloud-Anbieter wären ggf. auch in der Lage durch technisch und organisatorische Maßnahmen ein entsprechendes Datenschutzniveau herzustellen, allerdings würden die Unternehmen dann ein Problem der EU zu einem eigenen machen, nämlich durch einen Verstoß gegen FISA und Cloud-Act.
Alle wissen, und darauf hat auch der Bitkom e.V. hingewiesen, dass die großen und umfangreichen Cloud-Lösungen aus den USA kommen und die USA damit ein zu großer Player ist um die Datenübertragungen „einfach so“ abzubrechen. Auch „mal eben“ in ein europäisches DSGVO konformes System zu wechseln ist nicht möglich. Es gibt vereinzelte beachtliche und hoch sichere Lösungen in Deutschland und der EU, aber Lösungen mit einer solchen Verzahnung und Komplexität, wie sie z.B. von Google und Microsoft geliefert werden, hat die EU nicht zu bieten.
Auch alle Landesdatenschutzbeauftragte, die jetzt den Hardliner-Kurs fahren sind sich dieses Sachverhalts hoffentlich bewusst. Zumindest sollten Sie es wissen, wir sind uns da aber momentan auf Grund der veröffentlichten Aussagen auch nicht so sicher.
Wichtig ist an dieser Stelle: Abwarten ist nicht die Lösung und hat mit Risikobereitschaft zu tun!
Was sind mögliche Rechtsfolgen?
Einer der für Sie wichtigsten Hinweise ist folgender Sachverhalt:
Aufsichtsbehörden, Kunden, Lieferanten, Mitarbeiter (…) oder Nutzer können Sie zur Einstellung des Datentransfers in die USA auffordern oder Schadensersatz verlangen.
Wir sehen die Risiken an mehreren Stellen auf die Unternehmen zukommen. Wie bereits erwähnt können Aufsichtsbehörden Bußgelder verhängen und gegen die Verarbeitung in Ihrem Unternehmen vorgehen. Zudem können Betroffene, Mitbewerber oder andere Organisationen durch Abmahnungen oder Schadensersatzforderungen finanzielle Schäden einbringen.
Um die Folgen dieser Vorgänge zu mindern empfehlen wir wie weiter oben erwähnt vorzugehen.
6. Zur Vollständigkeit – was ist mit anderen Drittländern?
Diese Einschätzung und das zu Grunde liegende EuGH-Urteil bezieht sich auf den Wegfall des „Privacy Shield“ als Rechtsgrundlage zur Datenübermittlung.
Bei anderen Drittländern war Privacy-Shield nicht als Legitimation möglich. Hier musste auch vorher schon eine andere Legitimation – z.B. auf die Standardvertragsklauseln – zurückgegriffen werden.
Das Urteil hat aber auch Auswirkungen auf die Verträge mit Anbietern in anderen Drittländern!
Prüfung der Standardvertragsklauseln
Das Urteil gibt vor, dass der tatsächliche Schutz der personenbezogenen Daten individuell pro Vertragsverhältnis zu überprüfen ist. Kann der Schutz personenbezogener Daten durch die Anwendung der Klauseln effektiv gewährleistet werden? Diese Frage wird auch bei anderen Drittländern zu stellen sein.
Unterauftragnehmer in den USA
Setzt der Vertragspartner im Drittland zur Datenverarbeitung einen Unterauftragnehmer in den USA ein, wir auch diese Datenverarbeitung kritisch zu hinterfragen sein.
7. Fundstellen aus dem EuGH-Urteil
Das Urteil ist auf der Internetseite der EU vollständig abrufbar.[7]
Wir beschränken uns hier auf ein paar wenige, aber wichtige Fundstellen.
Randziffer 126 des EuGH-Urteils
„Demnach gibt es zwar Situationen, in denen der Empfänger einer solchen Übermittlung in Anbetracht der Rechtslage und der Praxis im betreffenden Drittland den erforderlichen Datenschutz allein auf der Grundlage der Standarddatenschutzklauseln garantieren kann, aber auch Situationen, in denen die in diesen Klauseln enthaltenen Regelungen möglicherweise kein ausreichendes Mittel darstellen, um in der Praxis den effektiven Schutz der in das betreffende Drittland übermittelten personenbezogenen Daten zu gewährleisten. So verhält es sich etwa, wenn das Recht dieses Drittlands dessen Behörden bezüglicher dieser Daten Eingriffe in die Rechte der betroffenen Personen erlaubt.“
Randziffer 142 des EuGH-Urteils
„Demzufolge sind der in der Union ansässige Verantwortliche und der Empfänger der Übermittlung personenbezogener Daten verpflichtet, vorab zu prüfen, ob im betreffenden Drittland das vom Unionsrecht verlangte Schutzniveau eingehalten wird. Der Empfänger der Übermittlung ist nach Klausel 5 Buchst. b des Anhangs des SDK-Beschlusses gegebenenfalls verpflichtet, dem Verantwortlichen mitzuteilen, dass er die Klauseln nicht einhalten kann, woraufhin der Verantwortliche die Datenübermittlung aussetzen und/oder vom Vertrag zurücktreten muss.“
Randziffer 143 des EuGH-Urteils
„Teilt der Empfänger der in ein Drittland erfolgenden Übermittlung personenbezogener Daten dem Verantwortlichen gemäß Klausel 5 Buchst. b des Anhangs des SDK-Beschlusses mit, dass das Recht des betreffenden Drittlands es ihm nicht erlaube, die Standarddatenschutzklauseln in diesem Anhang einzuhalten, folgt aus dessen Klausel 12, dass die bereits in dieses Drittland übermittelten Daten und deren Kopien sämtlich zurückgeschickt oder zerstört werden müssen. In jedem Fall sieht Klausel 6 des Anhangs eine Sanktion für den Verstoß gegen die Standarddatenschutzklauseln vor, indem sie der betroffenen Person einen Schadensersatzanspruch verschafft.“
Randziffer 146 des EuGH-Urteils
„…Insoweit muss, wie sich aus der Antwort auf die achte Frage ergibt, die zuständige Aufsichtsbehörde, sofern kein gültiger Angemessenheitsbeschluss der Kommission vorliegt, gemäß Art. 58 Abs. 2 Buchst. f und j der DSGVO eine solche Übermittlung aussetzen oder verbieten, wenn sie im Licht aller Umstände der Übermittlung der Auffassung ist, dass die Klauseln in diesem Drittland nicht eingehalten werden oder nicht eingehalten werden können und dass der nach dem Unionsrecht erforderliche Schutz der übermittelten Daten nicht mit anderen Mitteln gewährleistet werden kann, es sei denn, der in der Union ansässige Verantwortliche bzw. sein dort ansässiger Auftragsverarbeiter hat die Übermittlung selbst ausgesetzt oder beendet.“
8. Fazit
Es herrscht wieder einmal Rechtsunsicherheit, die USA als Big-Player wird sich kaum bewegen. Der aufgebaute Druck auf die Wirtschaft beiderseits ist entsprechend hoch, so dass jetzt wieder die Politik gefragt ist. Wir werden mit an Sicherheit grenzender Wahrscheinlichkeit erneut auf ein Abkommen ausweichen, um den Datentransfer zu legitimieren.
Für die Unternehmen in der EU, als Abnehmer von Cloud-Leistung aus den USA, gibt es derzeit keine ersichtliche Möglichkeit die Datenübermittlung rechtskonform und risikolos zu bewerkstelligen.
Wir hoffen, dass die Aufsichtsbehörden hier an einem Strang ziehen und eine sowohl für die Betroffenen als auch für die Unternehmen, tragbare Lösung erarbeiten. Auch wenn der Schutz personenbezogener Daten wichtig ist, darf dies nicht dazu führen, dass die Unternehmen in der EU in die digitale Steinzeit zurückversetzt werden, denn dies würde dazu führen, dass die Unternehmen in der EU den Anschluss an die aktuelle Entwicklung verlieren und damit wirtschaftlich massiv benachteiligt wären.
In der digitalen Welt sind wir von den Lösungen aus den USA abhängig und solange Begriffe wie „GAIA-X“ nur Vorschläge und Ideen sind, ist eine US-unabhängige Cloud nicht realistisch. Selbst wenn ein europäisches Unternehmen Cloud-Leistungen der US-Anbieter bereitstellt, wird spätestens für Themen der Fehlerbehebung und anderer Support-Leistungen eine Beauftragung der Hersteller notwendig werden und damit ist am Ende der Kette immer eine (Unter-)Auftragsverarbeitung in der USA zu erwarten.
Wie bereits angesprochen haben wir im Jahr 2015 eine ähnliche Situation auch überstanden.
Ihre Datenschutzbeauftragten der CompliPro GmbH
René Floitgraf & Sascha Kurth
[1] https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
[2] https://www.datenschutz.rlp.de/de/themenfelder-themen/datenuebermittlung-in-drittlaender/
[3] https://www.datenschutz-berlin.de/fileadmin/user_upload/pdf/pressemitteilungen/2020/20200717-PM-Nach_SchremsII_Digitale_Eigenstaendigkeit.pdf
[4] https://www.bfdi.bund.de/DE/Infothek/Pressemitteilungen/2020/17_Schrems-II-Urteil.html?nn=5217132
[5] https://www.bitkom.org/Presse/Presseinformation/Bitkom-zum-EuGH-Urteil-ueber-den-internationalen-Datenaustausch
[6] https://www.teletrust.de/fileadmin/user_upload/200720-TeleTrusT-Stellungnahme_zu_EuGH-Urteil_Privacy_Shield.pdf
[7] http://curia.europa.eu/juris/celex.jsf?celex=62018CC0311&lang1=de&type=TXT&ancre=
