- Anzeigen -

Sie sind hier: Home » Recht » Datenschutz und Compliance

Datenübermittlungen in die USA


EU-US Privacy Shield und Datenübermittlungen in die USA
Auf Grundlage des bindenden Beschlusses der Europäischen Kommission kann der EU-US Privacy Shield genutzt werden, um personenbezogene Daten aus der Europäischen Union an bereits zertifizierte Unternehmen in den USA zu transferieren

- Anzeigen -





Nach Aufhebung der Safe Harbor-Entscheidung der Europäischen Kommission 2000/520/EG durch den EuGH im sogenannten Schrems-Urteil (Rechtssache C-362/14) fehlte seit dem 6. Oktober 2015 eine wesentliche Rechtsgrundlage für die Übermittlung personenbezogener Daten aus der Europäischen Union in die USA. Mit der Entscheidung der Europäischen Kommission (2016/1250) vom 12. Juli 2016 steht mit dem "EU-US-Privacy Shield" nunmehr eine neue Rechtsgrundlage für Datenübermittlungen in die USA in Form eines Angemessenheitsbeschlusses zur Verfügung. Aus Sicht der europäischen Datenschutzbehörden bestehen allerdings weiterhin gewichtige Kritikpunkte an diesem Angemessenheitsbeschluss, die im Vorfeld der Zweiten Jährlichen Gemeinsamen Überprüfung im September 2018 ausgeräumt werden sollten.

Entstehung des EU-US Privacy Shield und die Haltung der europäischen Datenschutzbehörden dazu
Nach dem Urteil intensivierten die US-Regierung und die Europäischen Kommission ihre ohnehin bereits begonnen Verhandlungen zur Verbesserung der Safe Harbor-Übereinkunft, um die entstandene Lücke für rechtmäßige Datenübermittlungen in die USA zu schließen.

Der von der Europäischen Kommission veröffentlichte erste Entwurf für eine EU-US Privacy Shield genannte Nachfolgevereinbarung wurde von den in der Artikel-29-Datenschutzgruppe versammelten europäischen Datenschutzbehörden einer umfassenden Prüfung unterzogen. Nachdem insbesondere Fragen der Überwachungstätigkeiten der US-Geheimdienst- und Sicherheitsbehörden und die Rechtsschutzmöglichkeiten für Betroffene im Fokus des EuGH-Urteils standen, hat die Artikel-29-Datenschutzgruppe zunächst einen aus der einschlägigen Rechtsprechung des EuGH und des Europäischen Gerichtshofs für Menschenrechte (EGMR) abgeleiteten Bewertungsmaßstab entwickelt.

Dieses Arbeitspapier (WP237) der Artikel-29-Datenschutzgruppe vom 13. April 2016 zu den "Vier Wesentlichen Garantien" bei der Rechtfertigung von Eingriffen in Datenschutzrechte durch Überwachungsmaßnahmen bei der Übermittlung personenbezogener Daten wurde daher – neben anderen, insbesondere kommerziellen Aspekten - der datenschutzrechtlichen Prüfung des EU-US Privacy Shield zugrunde gelegt.

In ihrer Stellungnahme (WP238) vom 13. April 2016 zum Entwurf des EU-US Privacy Shield hatte die Artikel-29-Datenschutzgruppe eine Vielzahl von Bedenken gegen den ursprünglichen Entwurf des Angemessenheitsbeschlusses erhoben und auf die Notwendigkeit von Klarstellungen hingewiesen – sowohl in Fragen der Überwachungstätigkeiten und Rechtsschutzmöglichkeiten, als auch im Hinblick auf die kommerziellen Aspekte des Entwurfes. In die finale Fassung des EU-US Privacy Shield wurden einige Anregungen der europäischen Datenschutzbehörden aufgenommen.

Die letztlich am 12. Juli 2016 verabschiedete Entscheidung der Europäischen Kommission (2016/1250) zum EU-US-Privacy Shield bildet nunmehr eine neue Rechtsgrundlage für Datenübermittlungen in die USA in Form eines Angemessenheitsbeschlusses nach Artikel 25 Absatz 6 Datenschutzrichtlinie 95/46/EG. Auf der Website der Europäischen Kommission zum EU-US Privacy Shield sind verschiedene Informationsdokumente zu finden, so auch ein Leitfaden.

Seit dem 1. August 2016 können sich US-amerikanische Unternehmen beim dortigen Handelsministerium (Department of Commerce – DoC) registrieren und eine Zertifizierung beantragen. Auf der Website der International Trade Administration (ITA), einer nachgeordneten Behörde des US-Handelsministeriums, ist neben zahlreichen Informationen zum EU-US Privacy Shield eine Liste der US-Unternehmen mit abgeschlossener Zertifizierung zu finden.

Informationen für europäische Unternehmen und Betroffene
Auf Grundlage des bindenden Beschlusses der Europäischen Kommission kann der EU-US Privacy Shield genutzt werden, um personenbezogene Daten aus der Europäischen Union an bereits zertifizierte Unternehmen in den USA zu transferieren. Die für den Datenexport verantwortlichen europäischen Stellen haben dabei stets darauf zu achten, dass das datenempfangende US-Unternehmen auch tatsächlich auf der Liste des U.S.-Handelsministeriums geführt wird. Es ist ferner sicherzustellen, dass sich die Zertifizierung auch auf die Kategorie von Daten (Beschäftigtendaten "Human Ressources – HR" oder sonstige Daten "non HR") bezieht, die übermittelt werden soll.

Die Artikel-29-Datenschutzgruppe hat weitere Informationen zum EU-US Privacy Shield für europäische Unternehmen und Betroffene zusammengestellt. Die deutsche Arbeitsübersetzung der Informationsdokumente für europäische Unternehmen und für europäische Büger stehen zur Verfügung. Bitte beachten Sie, dass diese Arbeitsübersetzungen keinen offiziellen, verbindlichen Charakter haben und lediglich dem besseren Verständnis dienen sollen.

Welche Rechte stehen Betroffenen nach dem EU-US Privacy Shield zu?
Sofern personenbezogene Daten auf der Grundlage des Privacy Shield an ein zertifiziertes US-Unternehmen übermittelt wurden, stehen den von der Datenverarbeitung Betroffenen gegenüber dem US-Unternehmen u.a. folgende Rechte zu:

>> Recht auf Information
>> ggf. Recht auf Widerspruch gegen eine Datenverarbeitung
>> Recht auf Auskunft
>> Recht auf Berichtigung unrichtiger Daten
>> ggf. Recht auf Löschung
>> Recht auf Inanspruchnahmen von Beschwerde-/Abhilfeverfahren und
>> Recht auf Einreichung eines Antrags zur Anrufung der sog. Ombudsperson.

Fragen zur Datenverarbeitung durch ein zertifiziertes US-Unternehmen auf der Grundlage des Privacy Shield sollten zunächst direkt an das US-Unternehmen gerichtet werden, das verpflichtet ist, die Anfrage binnen 45 Tagen zu beantworten.

Beschwerdemöglichkeiten
Wenn das US-Unternehmen Ihre Fragen nicht beantwortet oder Ihre Bedenken im Hinblick auf die Verarbeitung Ihrer Daten nicht ausgeräumt hat, besteht die Möglichkeit einer Beschwerde bei einer sogenannten unabhängigen Beschwerdestellen (in der Regel Streitschlichtungsstellen in den USA). Jedes zertifizierte US-Unternehmen muss - unter "Recourse Mechanism" (zu finden ebenfalls unter dem Link "Questions or Complaints" auf dem Unternehmenseintrag in der Privacy Shield Liste) - die jeweils zuständige unabhängige Beschwerdestelle nennen, an die kostenlos Beschwerden gerichtet werden können.

Wenn eine Beschwerde auf diesem Weg nicht vollständig geklärt werden konnte, steht als letzte Instanz noch die Möglichkeit eines Schiedsverfahrens (binding arbitration) in den USA zur Verfügung. Nähere Informationen zum Schiedsverfahren entnehmen Sie dem Leitfaden für Betroffene der Europäischen Kommission oder der Website der International Trade Administration.

Wenn Sie der Meinung sind, dass ein Privacy Shield-zertifiziertes US-Unternehmen, an das Ihre Daten übermittelt worden sind, gegen seine Pflichten aus dem EU-US Privacy Shield verstoßen oder die Rechte, die Ihnen nach dem Privacy Shield zustehen, verletzt hat, können Sie sich mit Ihrer Beschwerde auch direkt an die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit wenden. Bitte beachten Sie, dass die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit im nicht-öffentlichen Bereich nur für Unternehmen der Post- und Telekommunikationsbranche zuständig ist. Die Zuständigkeit für Unternehmen aller anderen Branchen liegt bei den Datenschutzaufsichtsbehörden der Länder für den nicht-öffentlichen Bereich und wird maßgeblich durch den Sitz des jeweils betroffenen Unternehmens(teils) bestimmt.

Bitte nutzen Sie dafür das von den Datenschutzbehörden der EU-Mitgliedstaaten entwickelte Beschwerdeformular. So wird sichergestellt, dass alle Informationen, die für eine sinnvolle Bearbeitung Ihres Anliegens nötig sind, zur Verfügung stehen.

Für Beschwerden wegen von Ihnen angenommener Zugriffe auf Ihre Daten durch US-amerikanische Geheimdienst- oder Sicherheitsbehörden wurde von den Datenschutzbehörden der EU-Mitgliedstaaten ein gesondertes Formular für die Übermittlung von Anträgen an die US-Ombudsstelle entwickelt.

Wie werden Beschwerden bearbeitet?
Für die Bearbeitung von Beschwerden im Falle von Beschäftigtendaten ("HR-Data") ist ein sogenanntes "Informelles Gremium von EU-Datenschutzbehörden (engl. "Informal Panel of EU DPAs") eingerichtet. Das Gremium ist befugt, gegenüber dem zertifizierten US-Unternehmen eine Empfehlung mit verbindlichem Charakter auszusprechen. Das informelle Gremium arbeitet auf Grundlage einer eigenen Geschäftsordnung (eine deutsche Arbeitsübersetzung der Geschäftsordnung findet sich unten).

Für andere personenbezogenen Daten (d.h. nicht Beschäftigtendaten) kann die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit die Beschwerde an die für die Aufsicht über die zertifizierten US-Unternehmen zuständigen US-Behörden weiterleiten (Federal Trade Commission – FTC - US-Wettbewerbsaufsichtsbehörde oder DoC)

Beschwerden mit Blick auf etwaige Zugriffe auf aus Europa übermittelte personenbezogene Daten durch US-amerikanische Geheimdienst- und Sicherheitsbehörden werden zunächst einem eigens dafür eingerichteten Gremium aus Datenschutzaufsichtsbehörden, der sogenannte "EU-Zentralstelle" (engl. "EU Centralised Body") zugeleitet, das auf Grundlage einer eigenen Geschäftsordnung tätig wird. Eine Übersetzung der Geschäftsordnung finden Sie unten. Die EU-Zentralstelle leitet die Beschwerde an eine eigens geschaffene Ombudsperson im US-Außenministerium weiter, die über Möglichkeiten zur Überprüfung der Beschwerde verfügt und nach Abschluss der Überprüfung das Ergebnis an die EU-Zentralstelle mitteilt.

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit wird Sie über das Ergebnis Ihrer Beschwerde informieren.

Aktueller Sachstand zu Datenübermittlungen in die USA
Ungeachtet der erheblichen Verbesserungen des EU-US Privacy Shield im Vergleich zur Vorgängerregelung Safe Harbor bestehen aus Sicht der europäischen Datenschutzbehörden weiterhin gewichtige Kritikpunkte, die in dem Bericht der Artikel 29-Datenschutzgruppe zur Ersten Jährlichen Gemeinsamen Überprüfung des Privacy Shield durch die Europäische Kommission und die US-Regierung aufgeführt sind. Diese Kritikpunkte sollten aus Sicht der europäischen Datenschutzbehörden im Vorfeld der Zweiten Jährlichen Gemeinsamen Überprüfung im September 2018 ausgeräumt werden.

Neben dem EU-US Privacy Shield können Datenübermittlungen in die USA derzeit auch auf die Entscheidungen der Europäischen Kommission zu Standardvertragsklauseln und auf verbindliche Unternehmensregelungen (Binding Corporate Rules – BCR) oder – bei Vorliegen der entsprechenden Voraussetzungen - auf die Ausnahmetatbestände von § 4 c Absatz 1 BDSG bzw. Art. 49 DSGVO gestützt werden.

Die BfDI weist jedoch ausdrücklich darauf hin, dass die Datenschutzaufsichtsbehörden Deutschlands und in Europa derzeit prüfen, inwieweit im Lichte der Entscheidung des EuGH zu Safe Harbor von Standardvertragsklauseln, BCR und den Ausnahmetatbeständen weiterhin Gebrauch gemacht werden kann. Weiterer Aufschluss zu dieser Frage ist von einem im Jahre 2016 in Irland anhängig gemachten Verfahren gegen die Anwendung von Standardvertragsklauseln für Datenübermittlungen in die USA zu erwarten.
(BfDI: ra)

eingetragen: 19.05.18
Newsletterlauf: 08.06.18

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Datenschutz und Compliance

  • Verzögerung durch den Gesetzgeber

    Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Professor Ulrich Kelber, fordert von der Bundesregierung die vollständige Umsetzung der Richtlinie 2016/680 (JI-Richtlinie) in nationales Recht. Sie regelt den durch Behörden einzuhaltenden Datenschutz bei der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung. Gemäß Richtlinie müssen die Datenschutzaufsichtsbehörden in nationalen Gesetzen zwingend eine Anordnungskompetenz gegenüber diesen Behörden erhalten. BfDI Ulrich Kelber kritisiert die Verzögerung durch den Gesetzgeber: "Die EU-Mitgliedsstaaten haben sich verpflichtet, alle notwendigen Gesetze bis zum 6. Mai 2018 zu erlassen. Deutschland überschreitet diese Frist heute um 1.000 Tage. Ich kann Datenschutzverstöße bei Bundespolizei und Zollfahndung nur beanstanden. Ohne nationale Gesetze fehlen mir wirksame Durchsetzungsbefugnisse. Das untergräbt die demokratische Legitimation der Datenschutzaufsicht und der Strafverfolgungsbehörden gleichzeitig. Hier muss der Gesetzgeber sofort handeln."

  • Diskussion: Betriebliche Datenschutzbeauftragte

    Zum Europäischen Datenschutztag plädiert der BvD dafür, Datenschutz bei der Digitalisierung als Wettbewerbsvorteil zu verstehen. Dazu gehört auch ein neues Verständnis von der Rolle der Datenschutzbeauftragten. Anlässlich des Europäischen Datenschutztags (28. Januar 2021) plädiert der Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e.V. dafür, das Thema Datenschutz bei digitalen Technologien als Wettbewerbsvorteil auszubauen. Dabei befürwortet der BvD den in der neuen Datenstrategie der Bundesregierung formulierte Grundhaltung, dass Datenschutz sogar zum "Innovationstreiber" und "maßgeblich für den Erfolg einer digitalen Technologie sein kann, weil es das Vertrauen in diese erhöht."

  • Überarbeitete Standarddatenschutzklauseln

    Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Professor Ulrich Kelber, ist sehr zufrieden mit dem Ergebnis des Europäischen Datenschutzausschusses (EDSA) zu Standarddatenschutzklauseln (SDK). Die europäischen Datenschutzaufsichtsbehörden und der Europäische Datenschutzbeauftragte (EDPS) hatten in der Sitzung vom 14. Januar gemeinsame Stellungnahmen zu den Entwürfen der Europäischen Kommission von SDK beschlossen.

  • Rechtswidrige Videoüberwachung

    Die Landesbeauftragte für den Datenschutz (LfD) Niedersachsen hat eine Geldbuße über 10,4 Millionen Euro gegenüber der notebooksbilliger.de AG ausgesprochen. Das Unternehmen hatte (so die Überzeugung des LfD Niedersachsen) über mindestens zwei Jahre seine Beschäftigten per Video überwacht, ohne dass dafür eine Rechtsgrundlage vorlag. Die unzulässigen Kameras erfassten unter anderem Arbeitsplätze, Verkaufsräume, Lager und Aufenthaltsbereiche.

  • Einbindung des Datenschutzbeauftragten

    Die SPD-Bundesvorsitzende Saskia Esken kritisierte bei der Herbstkonferenz des Berufsverbands der Datenschutzbeauftragten Deutschlands (BvD) e.V. die im letzten Jahr in Kraft getretene Erhöhung der Benenngrenze für Datenschutzbeauftragte. Es sei laut Esken "dumm", das Datenschutz-Know-how in Deutschland aus den Unternehmen abzuziehen, "auch wirtschaftlich dumm". Das in diesem Zusammenhang oft genannte Argument des Bürokratieabbaus sei unsinnig. Es bestünden die Verpflichtungen, die sich aus der Datenschutz-Grundverordnung (DSGVO) ergeben, doch weiterhin in vollem Umfang. Nur würde dann Unternehmen das Fachwissen fehlen, diesen Anforderungen gerecht zu werden. Zum Auftakt der Konferenz hatte der BvD-Vorstandsvorsitzende Thomas Spaeing darauf hingewiesen, dass die unsinnige Debatte um die Benennung von Datenschutzbeauftragten im Zusammenhang mit der anstehenden Evaluation des Bundesdatenschutzgesetzes (BDSG) wieder aufzukeimen drohe. Spaeing appelliert an die Politik, bei der Evaluierung von DSGVO und BDSG den Mut aufzubringen, sich statt Scheinargumenten pragmatischen und visionären Lösungen zuzuwenden, die einen wirklichen Mehrwert für den Mittelstand bieten.