Datenübermittlungen in die USA

EU-US Privacy Shield und Datenübermittlungen in die USA
Auf Grundlage des bindenden Beschlusses der Europäischen Kommission kann der EU-US Privacy Shield genutzt werden, um personenbezogene Daten aus der Europäischen Union an bereits zertifizierte Unternehmen in den USA zu transferieren

Nach Aufhebung der Safe Harbor-Entscheidung der Europäischen Kommission 2000/520/EG durch den EuGH im sogenannten Schrems-Urteil (Rechtssache C-362/14) fehlte seit dem 6. Oktober 2015 eine wesentliche Rechtsgrundlage für die Übermittlung personenbezogener Daten aus der Europäischen Union in die USA. Mit der Entscheidung der Europäischen Kommission (2016/1250) vom 12. Juli 2016 steht mit dem "EU-US-Privacy Shield" nunmehr eine neue Rechtsgrundlage für Datenübermittlungen in die USA in Form eines Angemessenheitsbeschlusses zur Verfügung. Aus Sicht der europäischen Datenschutzbehörden bestehen allerdings weiterhin gewichtige Kritikpunkte an diesem Angemessenheitsbeschluss, die im Vorfeld der Zweiten Jährlichen Gemeinsamen Überprüfung im September 2018 ausgeräumt werden sollten.

Entstehung des EU-US Privacy Shield und die Haltung der europäischen Datenschutzbehörden dazu
Nach dem Urteil intensivierten die US-Regierung und die Europäischen Kommission ihre ohnehin bereits begonnen Verhandlungen zur Verbesserung der Safe Harbor-Übereinkunft, um die entstandene Lücke für rechtmäßige Datenübermittlungen in die USA zu schließen.

Der von der Europäischen Kommission veröffentlichte erste Entwurf für eine EU-US Privacy Shield genannte Nachfolgevereinbarung wurde von den in der Artikel-29-Datenschutzgruppe versammelten europäischen Datenschutzbehörden einer umfassenden Prüfung unterzogen. Nachdem insbesondere Fragen der Überwachungstätigkeiten der US-Geheimdienst- und Sicherheitsbehörden und die Rechtsschutzmöglichkeiten für Betroffene im Fokus des EuGH-Urteils standen, hat die Artikel-29-Datenschutzgruppe zunächst einen aus der einschlägigen Rechtsprechung des EuGH und des Europäischen Gerichtshofs für Menschenrechte (EGMR) abgeleiteten Bewertungsmaßstab entwickelt.

Dieses Arbeitspapier (WP237) der Artikel-29-Datenschutzgruppe vom 13. April 2016 zu den "Vier Wesentlichen Garantien" bei der Rechtfertigung von Eingriffen in Datenschutzrechte durch Überwachungsmaßnahmen bei der Übermittlung personenbezogener Daten wurde daher – neben anderen, insbesondere kommerziellen Aspekten - der datenschutzrechtlichen Prüfung des EU-US Privacy Shield zugrunde gelegt.

In ihrer Stellungnahme (WP238) vom 13. April 2016 zum Entwurf des EU-US Privacy Shield hatte die Artikel-29-Datenschutzgruppe eine Vielzahl von Bedenken gegen den ursprünglichen Entwurf des Angemessenheitsbeschlusses erhoben und auf die Notwendigkeit von Klarstellungen hingewiesen – sowohl in Fragen der Überwachungstätigkeiten und Rechtsschutzmöglichkeiten, als auch im Hinblick auf die kommerziellen Aspekte des Entwurfes. In die finale Fassung des EU-US Privacy Shield wurden einige Anregungen der europäischen Datenschutzbehörden aufgenommen.

Die letztlich am 12. Juli 2016 verabschiedete Entscheidung der Europäischen Kommission (2016/1250) zum EU-US-Privacy Shield bildet nunmehr eine neue Rechtsgrundlage für Datenübermittlungen in die USA in Form eines Angemessenheitsbeschlusses nach Artikel 25 Absatz 6 Datenschutzrichtlinie 95/46/EG. Auf der Website der Europäischen Kommission zum EU-US Privacy Shield sind verschiedene Informationsdokumente zu finden, so auch ein Leitfaden.

Seit dem 1. August 2016 können sich US-amerikanische Unternehmen beim dortigen Handelsministerium (Department of Commerce – DoC) registrieren und eine Zertifizierung beantragen. Auf der Website der International Trade Administration (ITA), einer nachgeordneten Behörde des US-Handelsministeriums, ist neben zahlreichen Informationen zum EU-US Privacy Shield eine Liste der US-Unternehmen mit abgeschlossener Zertifizierung zu finden.

Informationen für europäische Unternehmen und Betroffene
Auf Grundlage des bindenden Beschlusses der Europäischen Kommission kann der EU-US Privacy Shield genutzt werden, um personenbezogene Daten aus der Europäischen Union an bereits zertifizierte Unternehmen in den USA zu transferieren. Die für den Datenexport verantwortlichen europäischen Stellen haben dabei stets darauf zu achten, dass das datenempfangende US-Unternehmen auch tatsächlich auf der Liste des U.S.-Handelsministeriums geführt wird. Es ist ferner sicherzustellen, dass sich die Zertifizierung auch auf die Kategorie von Daten (Beschäftigtendaten "Human Ressources – HR" oder sonstige Daten "non HR") bezieht, die übermittelt werden soll.

Die Artikel-29-Datenschutzgruppe hat weitere Informationen zum EU-US Privacy Shield für europäische Unternehmen und Betroffene zusammengestellt. Die deutsche Arbeitsübersetzung der Informationsdokumente für europäische Unternehmen und für europäische Büger stehen zur Verfügung. Bitte beachten Sie, dass diese Arbeitsübersetzungen keinen offiziellen, verbindlichen Charakter haben und lediglich dem besseren Verständnis dienen sollen.

Welche Rechte stehen Betroffenen nach dem EU-US Privacy Shield zu?
Sofern personenbezogene Daten auf der Grundlage des Privacy Shield an ein zertifiziertes US-Unternehmen übermittelt wurden, stehen den von der Datenverarbeitung Betroffenen gegenüber dem US-Unternehmen u.a. folgende Rechte zu:

>> Recht auf Information
>> ggf. Recht auf Widerspruch gegen eine Datenverarbeitung
>> Recht auf Auskunft
>> Recht auf Berichtigung unrichtiger Daten
>> ggf. Recht auf Löschung
>> Recht auf Inanspruchnahmen von Beschwerde-/Abhilfeverfahren und
>> Recht auf Einreichung eines Antrags zur Anrufung der sog. Ombudsperson.

Fragen zur Datenverarbeitung durch ein zertifiziertes US-Unternehmen auf der Grundlage des Privacy Shield sollten zunächst direkt an das US-Unternehmen gerichtet werden, das verpflichtet ist, die Anfrage binnen 45 Tagen zu beantworten.

Beschwerdemöglichkeiten
Wenn das US-Unternehmen Ihre Fragen nicht beantwortet oder Ihre Bedenken im Hinblick auf die Verarbeitung Ihrer Daten nicht ausgeräumt hat, besteht die Möglichkeit einer Beschwerde bei einer sogenannten unabhängigen Beschwerdestellen (in der Regel Streitschlichtungsstellen in den USA). Jedes zertifizierte US-Unternehmen muss - unter "Recourse Mechanism" (zu finden ebenfalls unter dem Link "Questions or Complaints" auf dem Unternehmenseintrag in der Privacy Shield Liste) - die jeweils zuständige unabhängige Beschwerdestelle nennen, an die kostenlos Beschwerden gerichtet werden können.

Wenn eine Beschwerde auf diesem Weg nicht vollständig geklärt werden konnte, steht als letzte Instanz noch die Möglichkeit eines Schiedsverfahrens (binding arbitration) in den USA zur Verfügung. Nähere Informationen zum Schiedsverfahren entnehmen Sie dem Leitfaden für Betroffene der Europäischen Kommission oder der Website der International Trade Administration.

Wenn Sie der Meinung sind, dass ein Privacy Shield-zertifiziertes US-Unternehmen, an das Ihre Daten übermittelt worden sind, gegen seine Pflichten aus dem EU-US Privacy Shield verstoßen oder die Rechte, die Ihnen nach dem Privacy Shield zustehen, verletzt hat, können Sie sich mit Ihrer Beschwerde auch direkt an die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit wenden. Bitte beachten Sie, dass die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit im nicht-öffentlichen Bereich nur für Unternehmen der Post- und Telekommunikationsbranche zuständig ist. Die Zuständigkeit für Unternehmen aller anderen Branchen liegt bei den Datenschutzaufsichtsbehörden der Länder für den nicht-öffentlichen Bereich und wird maßgeblich durch den Sitz des jeweils betroffenen Unternehmens(teils) bestimmt.

Bitte nutzen Sie dafür das von den Datenschutzbehörden der EU-Mitgliedstaaten entwickelte Beschwerdeformular. So wird sichergestellt, dass alle Informationen, die für eine sinnvolle Bearbeitung Ihres Anliegens nötig sind, zur Verfügung stehen.

Für Beschwerden wegen von Ihnen angenommener Zugriffe auf Ihre Daten durch US-amerikanische Geheimdienst- oder Sicherheitsbehörden wurde von den Datenschutzbehörden der EU-Mitgliedstaaten ein gesondertes Formular für die Übermittlung von Anträgen an die US-Ombudsstelle entwickelt.

Wie werden Beschwerden bearbeitet?
Für die Bearbeitung von Beschwerden im Falle von Beschäftigtendaten ("HR-Data") ist ein sogenanntes "Informelles Gremium von EU-Datenschutzbehörden (engl. "Informal Panel of EU DPAs") eingerichtet. Das Gremium ist befugt, gegenüber dem zertifizierten US-Unternehmen eine Empfehlung mit verbindlichem Charakter auszusprechen. Das informelle Gremium arbeitet auf Grundlage einer eigenen Geschäftsordnung (eine deutsche Arbeitsübersetzung der Geschäftsordnung findet sich unten).

Für andere personenbezogenen Daten (d.h. nicht Beschäftigtendaten) kann die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit die Beschwerde an die für die Aufsicht über die zertifizierten US-Unternehmen zuständigen US-Behörden weiterleiten (Federal Trade Commission – FTC - US-Wettbewerbsaufsichtsbehörde oder DoC)

Beschwerden mit Blick auf etwaige Zugriffe auf aus Europa übermittelte personenbezogene Daten durch US-amerikanische Geheimdienst- und Sicherheitsbehörden werden zunächst einem eigens dafür eingerichteten Gremium aus Datenschutzaufsichtsbehörden, der sogenannte "EU-Zentralstelle" (engl. "EU Centralised Body") zugeleitet, das auf Grundlage einer eigenen Geschäftsordnung tätig wird. Eine Übersetzung der Geschäftsordnung finden Sie unten. Die EU-Zentralstelle leitet die Beschwerde an eine eigens geschaffene Ombudsperson im US-Außenministerium weiter, die über Möglichkeiten zur Überprüfung der Beschwerde verfügt und nach Abschluss der Überprüfung das Ergebnis an die EU-Zentralstelle mitteilt.

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit wird Sie über das Ergebnis Ihrer Beschwerde informieren.

Aktueller Sachstand zu Datenübermittlungen in die USA
Ungeachtet der erheblichen Verbesserungen des EU-US Privacy Shield im Vergleich zur Vorgängerregelung Safe Harbor bestehen aus Sicht der europäischen Datenschutzbehörden weiterhin gewichtige Kritikpunkte, die in dem Bericht der Artikel 29-Datenschutzgruppe zur Ersten Jährlichen Gemeinsamen Überprüfung des Privacy Shield durch die Europäische Kommission und die US-Regierung aufgeführt sind. Diese Kritikpunkte sollten aus Sicht der europäischen Datenschutzbehörden im Vorfeld der Zweiten Jährlichen Gemeinsamen Überprüfung im September 2018 ausgeräumt werden.

Neben dem EU-US Privacy Shield können Datenübermittlungen in die USA derzeit auch auf die Entscheidungen der Europäischen Kommission zu Standardvertragsklauseln und auf verbindliche Unternehmensregelungen (Binding Corporate Rules – BCR) oder – bei Vorliegen der entsprechenden Voraussetzungen - auf die Ausnahmetatbestände von § 4 c Absatz 1 BDSG bzw. Art. 49 DSGVO gestützt werden.

Die BfDI weist jedoch ausdrücklich darauf hin, dass die Datenschutzaufsichtsbehörden Deutschlands und in Europa derzeit prüfen, inwieweit im Lichte der Entscheidung des EuGH zu Safe Harbor von Standardvertragsklauseln, BCR und den Ausnahmetatbeständen weiterhin Gebrauch gemacht werden kann. Weiterer Aufschluss zu dieser Frage ist von einem im Jahre 2016 in Irland anhängig gemachten Verfahren gegen die Anwendung von Standardvertragsklauseln für Datenübermittlungen in die USA zu erwarten.
(BfDI: ra)

eingetragen: 19.05.18
Newsletterlauf: 08.06.18

Meldungen: Datenschutz und Compliance