Im März 2022 hatten sich die EU und die USA im Grundsatz auf ein neues Datenschutzabkommen und damit auf einen Nachfolger des vom Europäischen Gerichtshof (EuGH) gekippten "EU-US Privacy Shield" geeinigt.

Der EuGH hatte im Juli 2020 mit Urteil (C-311/18 "Schrems II") klargestellt, dass personenbezogene Daten von EU Bürgern nur an Drittländer übermittelt werden dürfen, soweit sie in diesem Drittland einen im Wesentlichen gleichwertigen Schutz genießen wie in der EU. Für die USA hat der EuGH ein solches angemessenes Schutzniveau verneint. Die Richter bemängelten vor allem die weitreichenden Zugriffsmöglichkeiten von US-Geheimdiensten auf Daten von Europäern. Für Unternehmen gibt es seit dem große Rechtsunsicherheit beim Datentransfer zwischen der EU und den USA. Datenübermittlungen in die USA, die bisher auf das EU-US Privacy Shield gestützt wurden, müssen seit der EuGH-Entscheidung durch eine Schutzmaßnahme nach Art. 46 DS-GVO abgesichert werden.

Hierzu gehört etwa auch der vom DDV empfohlene Einsatz von EU Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer, die nach der EuGH-Entscheidung etwas angepasst wurden und damit weiterhin Gültigkeit besitzen. Eine der beiden Klauseln bezieht sich auf die Verwendung zwischen Verantwortlichen und Auftragsverarbeitern (besonders bei der Einbindung von Auftragsverarbeitern in Drittländern geeignet), die andere Klausel betrifft die Übermittlung personenbezogener Daten in Drittländer. 

US-Präsident Biden hat nun am 7. Oktober 2022 ein Dekret (Executive Order) unterzeichnet, das den Umgang europäischer Daten in datenschutzkonformer Weise gewährleisten soll. Mit dem geplanten Datenschutzabkommen, an dessen Ausarbeitung auch die EU-Kommission bereits mitgewirkt haben soll, wird ein sog. Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 DS-GVO angestrebt, der die rechtssichere Übertragung europäischer personenbezogener Daten in die USA wieder ermöglichen würde. Angemessenheitsentscheidungen werden mittels des so genannten "Ausschussverfahrens" getroffen und dauern regelmäßig mehrere Monate. Dabei müssen der Europäische Datenschutzausschuss (EDSA) sowie die EU-Staaten und das Europaparlament einbezogen werden.

Es bleibt abzuwarten, wie sich das Vorhaben entwickelt und ob es ein echter Neustart für das Privacy Shield ist oder doch nur der Ausgangspunkt für "Schrems III" beim EuGH.