Sie sind hier: Home » Recht » Datenschutz und Compliance

Datenübermittlungen in die USA


EU-US Privacy Shield und Datenübermittlungen in die USA
Auf Grundlage des bindenden Beschlusses der Europäischen Kommission kann der EU-US Privacy Shield genutzt werden, um personenbezogene Daten aus der Europäischen Union an bereits zertifizierte Unternehmen in den USA zu transferieren



Nach Aufhebung der Safe Harbor-Entscheidung der Europäischen Kommission 2000/520/EG durch den EuGH im sogenannten Schrems-Urteil (Rechtssache C-362/14) fehlte seit dem 6. Oktober 2015 eine wesentliche Rechtsgrundlage für die Übermittlung personenbezogener Daten aus der Europäischen Union in die USA. Mit der Entscheidung der Europäischen Kommission (2016/1250) vom 12. Juli 2016 steht mit dem "EU-US-Privacy Shield" nunmehr eine neue Rechtsgrundlage für Datenübermittlungen in die USA in Form eines Angemessenheitsbeschlusses zur Verfügung. Aus Sicht der europäischen Datenschutzbehörden bestehen allerdings weiterhin gewichtige Kritikpunkte an diesem Angemessenheitsbeschluss, die im Vorfeld der Zweiten Jährlichen Gemeinsamen Überprüfung im September 2018 ausgeräumt werden sollten.

Entstehung des EU-US Privacy Shield und die Haltung der europäischen Datenschutzbehörden dazu
Nach dem Urteil intensivierten die US-Regierung und die Europäischen Kommission ihre ohnehin bereits begonnen Verhandlungen zur Verbesserung der Safe Harbor-Übereinkunft, um die entstandene Lücke für rechtmäßige Datenübermittlungen in die USA zu schließen.

Der von der Europäischen Kommission veröffentlichte erste Entwurf für eine EU-US Privacy Shield genannte Nachfolgevereinbarung wurde von den in der Artikel-29-Datenschutzgruppe versammelten europäischen Datenschutzbehörden einer umfassenden Prüfung unterzogen. Nachdem insbesondere Fragen der Überwachungstätigkeiten der US-Geheimdienst- und Sicherheitsbehörden und die Rechtsschutzmöglichkeiten für Betroffene im Fokus des EuGH-Urteils standen, hat die Artikel-29-Datenschutzgruppe zunächst einen aus der einschlägigen Rechtsprechung des EuGH und des Europäischen Gerichtshofs für Menschenrechte (EGMR) abgeleiteten Bewertungsmaßstab entwickelt.

Dieses Arbeitspapier (WP237) der Artikel-29-Datenschutzgruppe vom 13. April 2016 zu den "Vier Wesentlichen Garantien" bei der Rechtfertigung von Eingriffen in Datenschutzrechte durch Überwachungsmaßnahmen bei der Übermittlung personenbezogener Daten wurde daher – neben anderen, insbesondere kommerziellen Aspekten - der datenschutzrechtlichen Prüfung des EU-US Privacy Shield zugrunde gelegt.

In ihrer Stellungnahme (WP238) vom 13. April 2016 zum Entwurf des EU-US Privacy Shield hatte die Artikel-29-Datenschutzgruppe eine Vielzahl von Bedenken gegen den ursprünglichen Entwurf des Angemessenheitsbeschlusses erhoben und auf die Notwendigkeit von Klarstellungen hingewiesen – sowohl in Fragen der Überwachungstätigkeiten und Rechtsschutzmöglichkeiten, als auch im Hinblick auf die kommerziellen Aspekte des Entwurfes. In die finale Fassung des EU-US Privacy Shield wurden einige Anregungen der europäischen Datenschutzbehörden aufgenommen.

Die letztlich am 12. Juli 2016 verabschiedete Entscheidung der Europäischen Kommission (2016/1250) zum EU-US-Privacy Shield bildet nunmehr eine neue Rechtsgrundlage für Datenübermittlungen in die USA in Form eines Angemessenheitsbeschlusses nach Artikel 25 Absatz 6 Datenschutzrichtlinie 95/46/EG. Auf der Website der Europäischen Kommission zum EU-US Privacy Shield sind verschiedene Informationsdokumente zu finden, so auch ein Leitfaden.

Seit dem 1. August 2016 können sich US-amerikanische Unternehmen beim dortigen Handelsministerium (Department of Commerce – DoC) registrieren und eine Zertifizierung beantragen. Auf der Website der International Trade Administration (ITA), einer nachgeordneten Behörde des US-Handelsministeriums, ist neben zahlreichen Informationen zum EU-US Privacy Shield eine Liste der US-Unternehmen mit abgeschlossener Zertifizierung zu finden.

Informationen für europäische Unternehmen und Betroffene
Auf Grundlage des bindenden Beschlusses der Europäischen Kommission kann der EU-US Privacy Shield genutzt werden, um personenbezogene Daten aus der Europäischen Union an bereits zertifizierte Unternehmen in den USA zu transferieren. Die für den Datenexport verantwortlichen europäischen Stellen haben dabei stets darauf zu achten, dass das datenempfangende US-Unternehmen auch tatsächlich auf der Liste des U.S.-Handelsministeriums geführt wird. Es ist ferner sicherzustellen, dass sich die Zertifizierung auch auf die Kategorie von Daten (Beschäftigtendaten "Human Ressources – HR" oder sonstige Daten "non HR") bezieht, die übermittelt werden soll.

Die Artikel-29-Datenschutzgruppe hat weitere Informationen zum EU-US Privacy Shield für europäische Unternehmen und Betroffene zusammengestellt. Die deutsche Arbeitsübersetzung der Informationsdokumente für europäische Unternehmen und für europäische Büger stehen zur Verfügung. Bitte beachten Sie, dass diese Arbeitsübersetzungen keinen offiziellen, verbindlichen Charakter haben und lediglich dem besseren Verständnis dienen sollen.

Welche Rechte stehen Betroffenen nach dem EU-US Privacy Shield zu?
Sofern personenbezogene Daten auf der Grundlage des Privacy Shield an ein zertifiziertes US-Unternehmen übermittelt wurden, stehen den von der Datenverarbeitung Betroffenen gegenüber dem US-Unternehmen u.a. folgende Rechte zu:

>> Recht auf Information
>> ggf. Recht auf Widerspruch gegen eine Datenverarbeitung
>> Recht auf Auskunft
>> Recht auf Berichtigung unrichtiger Daten
>> ggf. Recht auf Löschung
>> Recht auf Inanspruchnahmen von Beschwerde-/Abhilfeverfahren und
>> Recht auf Einreichung eines Antrags zur Anrufung der sog. Ombudsperson.

Fragen zur Datenverarbeitung durch ein zertifiziertes US-Unternehmen auf der Grundlage des Privacy Shield sollten zunächst direkt an das US-Unternehmen gerichtet werden, das verpflichtet ist, die Anfrage binnen 45 Tagen zu beantworten.

Beschwerdemöglichkeiten
Wenn das US-Unternehmen Ihre Fragen nicht beantwortet oder Ihre Bedenken im Hinblick auf die Verarbeitung Ihrer Daten nicht ausgeräumt hat, besteht die Möglichkeit einer Beschwerde bei einer sogenannten unabhängigen Beschwerdestellen (in der Regel Streitschlichtungsstellen in den USA). Jedes zertifizierte US-Unternehmen muss - unter "Recourse Mechanism" (zu finden ebenfalls unter dem Link "Questions or Complaints" auf dem Unternehmenseintrag in der Privacy Shield Liste) - die jeweils zuständige unabhängige Beschwerdestelle nennen, an die kostenlos Beschwerden gerichtet werden können.

Wenn eine Beschwerde auf diesem Weg nicht vollständig geklärt werden konnte, steht als letzte Instanz noch die Möglichkeit eines Schiedsverfahrens (binding arbitration) in den USA zur Verfügung. Nähere Informationen zum Schiedsverfahren entnehmen Sie dem Leitfaden für Betroffene der Europäischen Kommission oder der Website der International Trade Administration.

Wenn Sie der Meinung sind, dass ein Privacy Shield-zertifiziertes US-Unternehmen, an das Ihre Daten übermittelt worden sind, gegen seine Pflichten aus dem EU-US Privacy Shield verstoßen oder die Rechte, die Ihnen nach dem Privacy Shield zustehen, verletzt hat, können Sie sich mit Ihrer Beschwerde auch direkt an die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit wenden. Bitte beachten Sie, dass die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit im nicht-öffentlichen Bereich nur für Unternehmen der Post- und Telekommunikationsbranche zuständig ist. Die Zuständigkeit für Unternehmen aller anderen Branchen liegt bei den Datenschutzaufsichtsbehörden der Länder für den nicht-öffentlichen Bereich und wird maßgeblich durch den Sitz des jeweils betroffenen Unternehmens(teils) bestimmt.

Bitte nutzen Sie dafür das von den Datenschutzbehörden der EU-Mitgliedstaaten entwickelte Beschwerdeformular. So wird sichergestellt, dass alle Informationen, die für eine sinnvolle Bearbeitung Ihres Anliegens nötig sind, zur Verfügung stehen.

Für Beschwerden wegen von Ihnen angenommener Zugriffe auf Ihre Daten durch US-amerikanische Geheimdienst- oder Sicherheitsbehörden wurde von den Datenschutzbehörden der EU-Mitgliedstaaten ein gesondertes Formular für die Übermittlung von Anträgen an die US-Ombudsstelle entwickelt.

Wie werden Beschwerden bearbeitet?
Für die Bearbeitung von Beschwerden im Falle von Beschäftigtendaten ("HR-Data") ist ein sogenanntes "Informelles Gremium von EU-Datenschutzbehörden (engl. "Informal Panel of EU DPAs") eingerichtet. Das Gremium ist befugt, gegenüber dem zertifizierten US-Unternehmen eine Empfehlung mit verbindlichem Charakter auszusprechen. Das informelle Gremium arbeitet auf Grundlage einer eigenen Geschäftsordnung (eine deutsche Arbeitsübersetzung der Geschäftsordnung findet sich unten).

Für andere personenbezogenen Daten (d.h. nicht Beschäftigtendaten) kann die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit die Beschwerde an die für die Aufsicht über die zertifizierten US-Unternehmen zuständigen US-Behörden weiterleiten (Federal Trade Commission – FTC - US-Wettbewerbsaufsichtsbehörde oder DoC)

Beschwerden mit Blick auf etwaige Zugriffe auf aus Europa übermittelte personenbezogene Daten durch US-amerikanische Geheimdienst- und Sicherheitsbehörden werden zunächst einem eigens dafür eingerichteten Gremium aus Datenschutzaufsichtsbehörden, der sogenannte "EU-Zentralstelle" (engl. "EU Centralised Body") zugeleitet, das auf Grundlage einer eigenen Geschäftsordnung tätig wird. Eine Übersetzung der Geschäftsordnung finden Sie unten. Die EU-Zentralstelle leitet die Beschwerde an eine eigens geschaffene Ombudsperson im US-Außenministerium weiter, die über Möglichkeiten zur Überprüfung der Beschwerde verfügt und nach Abschluss der Überprüfung das Ergebnis an die EU-Zentralstelle mitteilt.

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit wird Sie über das Ergebnis Ihrer Beschwerde informieren.

Aktueller Sachstand zu Datenübermittlungen in die USA
Ungeachtet der erheblichen Verbesserungen des EU-US Privacy Shield im Vergleich zur Vorgängerregelung Safe Harbor bestehen aus Sicht der europäischen Datenschutzbehörden weiterhin gewichtige Kritikpunkte, die in dem Bericht der Artikel 29-Datenschutzgruppe zur Ersten Jährlichen Gemeinsamen Überprüfung des Privacy Shield durch die Europäische Kommission und die US-Regierung aufgeführt sind. Diese Kritikpunkte sollten aus Sicht der europäischen Datenschutzbehörden im Vorfeld der Zweiten Jährlichen Gemeinsamen Überprüfung im September 2018 ausgeräumt werden.

Neben dem EU-US Privacy Shield können Datenübermittlungen in die USA derzeit auch auf die Entscheidungen der Europäischen Kommission zu Standardvertragsklauseln und auf verbindliche Unternehmensregelungen (Binding Corporate Rules – BCR) oder – bei Vorliegen der entsprechenden Voraussetzungen - auf die Ausnahmetatbestände von § 4 c Absatz 1 BDSG bzw. Art. 49 DSGVO gestützt werden.

Die BfDI weist jedoch ausdrücklich darauf hin, dass die Datenschutzaufsichtsbehörden Deutschlands und in Europa derzeit prüfen, inwieweit im Lichte der Entscheidung des EuGH zu Safe Harbor von Standardvertragsklauseln, BCR und den Ausnahmetatbeständen weiterhin Gebrauch gemacht werden kann. Weiterer Aufschluss zu dieser Frage ist von einem im Jahre 2016 in Irland anhängig gemachten Verfahren gegen die Anwendung von Standardvertragsklauseln für Datenübermittlungen in die USA zu erwarten.
(BfDI: ra)

eingetragen: 19.05.18
Newsletterlauf: 08.06.18


Meldungen: Datenschutz und Compliance

  • BvD fordert praxisnahe Reform der DSGVO

    Der Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e.V. fordert in einem aktuellen Positionspapier eine umfassende Reform der Datenschutz-Grundverordnung (DSGVO). Ziel ist eine moderne, risikobasierte Weiterentwicklung, die Bürokratie reduziert, Unternehmen mehr Rechtssicherheit bietet und zugleich den Schutz für Betroffene erhöht. Der Verband appelliert an die Bundesregierung, sich in Brüssel aktiv für praxisnahe Nachbesserungen starkzumachen - gerade im Interesse kleiner und mittlerer Unternehmen "Die DSGVO ist ein Meilenstein des Grundrechtsschutzes, aber sie braucht ein Update, das den digitalen Realitäten gerecht wird", sagt Thomas Spaeing, Vorstandsvorsitzender des BvD. "Datenschutzbeauftragte sind die Brückenbauer zwischen Regulierung und unternehmerischer Praxis. Wenn wir die Digitalisierung in Europa sicher und rechtskonform gestalten wollen, müssen wir ihre Rolle gezielt stärken - gerade im Mittelstand", führt er weiter aus.

  • Digitale Aufsicht im Praxistest

    Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat erstmals eine automatisierte Webseitenprüfung durchgeführt und dabei Verstöße bei der Einbindung von YouTube-Videos auf Webseiten des Bundes identifiziert.

  • BfDI verhängt Geldbußen gegen Vodafone

    Die BfDI, Prof. Dr. Louisa Specht-Riemenschneider, hat der Vodafone GmbH zwei Geldbußen in einer Gesamthöhe von 45 Millionen Euro auferlegt. Durch böswillig handelnde Mitarbeitende in Partneragenturen, die im Auftrag von Vodafone Verträge an Kunden vermitteln, war es unter anderem zu Betrugsfällen durch fingierte Verträge oder Vertragsänderungen zulasten von Kunden gekommen.

  • Auslegung der Digitalrechtsakte

    Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Prof. Dr. Louisa Specht-Riemenschneider, führte in Brüssel den wichtigen Dialog zur praxistauglichen und innovationsfreundlichen Auslegung der Digitalrechtsakte.

  • Pilotprojekt KI-Reallabor

    Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Prof. Dr. Louisa Specht-Riemenschneider, hat gemeinsam mit der Hessischen Ministerin für Digitalisierung und Innovation, Prof. Dr. Kristina Sinemus, und dem Präsidenten der Bundesnetzagentur, Klaus Müller, ein Pilotprojekt zur Simulation eines KI-Reallabors gestartet.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen