- Anzeigen -

Sie sind hier: Home » Recht » Datenschutz und Compliance

Datenübermittlungen in die USA


EU-US Privacy Shield und Datenübermittlungen in die USA
Auf Grundlage des bindenden Beschlusses der Europäischen Kommission kann der EU-US Privacy Shield genutzt werden, um personenbezogene Daten aus der Europäischen Union an bereits zertifizierte Unternehmen in den USA zu transferieren

- Anzeigen -





Nach Aufhebung der Safe Harbor-Entscheidung der Europäischen Kommission 2000/520/EG durch den EuGH im sogenannten Schrems-Urteil (Rechtssache C-362/14) fehlte seit dem 6. Oktober 2015 eine wesentliche Rechtsgrundlage für die Übermittlung personenbezogener Daten aus der Europäischen Union in die USA. Mit der Entscheidung der Europäischen Kommission (2016/1250) vom 12. Juli 2016 steht mit dem "EU-US-Privacy Shield" nunmehr eine neue Rechtsgrundlage für Datenübermittlungen in die USA in Form eines Angemessenheitsbeschlusses zur Verfügung. Aus Sicht der europäischen Datenschutzbehörden bestehen allerdings weiterhin gewichtige Kritikpunkte an diesem Angemessenheitsbeschluss, die im Vorfeld der Zweiten Jährlichen Gemeinsamen Überprüfung im September 2018 ausgeräumt werden sollten.

Entstehung des EU-US Privacy Shield und die Haltung der europäischen Datenschutzbehörden dazu
Nach dem Urteil intensivierten die US-Regierung und die Europäischen Kommission ihre ohnehin bereits begonnen Verhandlungen zur Verbesserung der Safe Harbor-Übereinkunft, um die entstandene Lücke für rechtmäßige Datenübermittlungen in die USA zu schließen.

Der von der Europäischen Kommission veröffentlichte erste Entwurf für eine EU-US Privacy Shield genannte Nachfolgevereinbarung wurde von den in der Artikel-29-Datenschutzgruppe versammelten europäischen Datenschutzbehörden einer umfassenden Prüfung unterzogen. Nachdem insbesondere Fragen der Überwachungstätigkeiten der US-Geheimdienst- und Sicherheitsbehörden und die Rechtsschutzmöglichkeiten für Betroffene im Fokus des EuGH-Urteils standen, hat die Artikel-29-Datenschutzgruppe zunächst einen aus der einschlägigen Rechtsprechung des EuGH und des Europäischen Gerichtshofs für Menschenrechte (EGMR) abgeleiteten Bewertungsmaßstab entwickelt.

Dieses Arbeitspapier (WP237) der Artikel-29-Datenschutzgruppe vom 13. April 2016 zu den "Vier Wesentlichen Garantien" bei der Rechtfertigung von Eingriffen in Datenschutzrechte durch Überwachungsmaßnahmen bei der Übermittlung personenbezogener Daten wurde daher – neben anderen, insbesondere kommerziellen Aspekten - der datenschutzrechtlichen Prüfung des EU-US Privacy Shield zugrunde gelegt.

In ihrer Stellungnahme (WP238) vom 13. April 2016 zum Entwurf des EU-US Privacy Shield hatte die Artikel-29-Datenschutzgruppe eine Vielzahl von Bedenken gegen den ursprünglichen Entwurf des Angemessenheitsbeschlusses erhoben und auf die Notwendigkeit von Klarstellungen hingewiesen – sowohl in Fragen der Überwachungstätigkeiten und Rechtsschutzmöglichkeiten, als auch im Hinblick auf die kommerziellen Aspekte des Entwurfes. In die finale Fassung des EU-US Privacy Shield wurden einige Anregungen der europäischen Datenschutzbehörden aufgenommen.

Die letztlich am 12. Juli 2016 verabschiedete Entscheidung der Europäischen Kommission (2016/1250) zum EU-US-Privacy Shield bildet nunmehr eine neue Rechtsgrundlage für Datenübermittlungen in die USA in Form eines Angemessenheitsbeschlusses nach Artikel 25 Absatz 6 Datenschutzrichtlinie 95/46/EG. Auf der Website der Europäischen Kommission zum EU-US Privacy Shield sind verschiedene Informationsdokumente zu finden, so auch ein Leitfaden.

Seit dem 1. August 2016 können sich US-amerikanische Unternehmen beim dortigen Handelsministerium (Department of Commerce – DoC) registrieren und eine Zertifizierung beantragen. Auf der Website der International Trade Administration (ITA), einer nachgeordneten Behörde des US-Handelsministeriums, ist neben zahlreichen Informationen zum EU-US Privacy Shield eine Liste der US-Unternehmen mit abgeschlossener Zertifizierung zu finden.

Informationen für europäische Unternehmen und Betroffene
Auf Grundlage des bindenden Beschlusses der Europäischen Kommission kann der EU-US Privacy Shield genutzt werden, um personenbezogene Daten aus der Europäischen Union an bereits zertifizierte Unternehmen in den USA zu transferieren. Die für den Datenexport verantwortlichen europäischen Stellen haben dabei stets darauf zu achten, dass das datenempfangende US-Unternehmen auch tatsächlich auf der Liste des U.S.-Handelsministeriums geführt wird. Es ist ferner sicherzustellen, dass sich die Zertifizierung auch auf die Kategorie von Daten (Beschäftigtendaten "Human Ressources – HR" oder sonstige Daten "non HR") bezieht, die übermittelt werden soll.

Die Artikel-29-Datenschutzgruppe hat weitere Informationen zum EU-US Privacy Shield für europäische Unternehmen und Betroffene zusammengestellt. Die deutsche Arbeitsübersetzung der Informationsdokumente für europäische Unternehmen und für europäische Büger stehen zur Verfügung. Bitte beachten Sie, dass diese Arbeitsübersetzungen keinen offiziellen, verbindlichen Charakter haben und lediglich dem besseren Verständnis dienen sollen.

Welche Rechte stehen Betroffenen nach dem EU-US Privacy Shield zu?
Sofern personenbezogene Daten auf der Grundlage des Privacy Shield an ein zertifiziertes US-Unternehmen übermittelt wurden, stehen den von der Datenverarbeitung Betroffenen gegenüber dem US-Unternehmen u.a. folgende Rechte zu:

>> Recht auf Information
>> ggf. Recht auf Widerspruch gegen eine Datenverarbeitung
>> Recht auf Auskunft
>> Recht auf Berichtigung unrichtiger Daten
>> ggf. Recht auf Löschung
>> Recht auf Inanspruchnahmen von Beschwerde-/Abhilfeverfahren und
>> Recht auf Einreichung eines Antrags zur Anrufung der sog. Ombudsperson.

Fragen zur Datenverarbeitung durch ein zertifiziertes US-Unternehmen auf der Grundlage des Privacy Shield sollten zunächst direkt an das US-Unternehmen gerichtet werden, das verpflichtet ist, die Anfrage binnen 45 Tagen zu beantworten.

Beschwerdemöglichkeiten
Wenn das US-Unternehmen Ihre Fragen nicht beantwortet oder Ihre Bedenken im Hinblick auf die Verarbeitung Ihrer Daten nicht ausgeräumt hat, besteht die Möglichkeit einer Beschwerde bei einer sogenannten unabhängigen Beschwerdestellen (in der Regel Streitschlichtungsstellen in den USA). Jedes zertifizierte US-Unternehmen muss - unter "Recourse Mechanism" (zu finden ebenfalls unter dem Link "Questions or Complaints" auf dem Unternehmenseintrag in der Privacy Shield Liste) - die jeweils zuständige unabhängige Beschwerdestelle nennen, an die kostenlos Beschwerden gerichtet werden können.

Wenn eine Beschwerde auf diesem Weg nicht vollständig geklärt werden konnte, steht als letzte Instanz noch die Möglichkeit eines Schiedsverfahrens (binding arbitration) in den USA zur Verfügung. Nähere Informationen zum Schiedsverfahren entnehmen Sie dem Leitfaden für Betroffene der Europäischen Kommission oder der Website der International Trade Administration.

Wenn Sie der Meinung sind, dass ein Privacy Shield-zertifiziertes US-Unternehmen, an das Ihre Daten übermittelt worden sind, gegen seine Pflichten aus dem EU-US Privacy Shield verstoßen oder die Rechte, die Ihnen nach dem Privacy Shield zustehen, verletzt hat, können Sie sich mit Ihrer Beschwerde auch direkt an die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit wenden. Bitte beachten Sie, dass die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit im nicht-öffentlichen Bereich nur für Unternehmen der Post- und Telekommunikationsbranche zuständig ist. Die Zuständigkeit für Unternehmen aller anderen Branchen liegt bei den Datenschutzaufsichtsbehörden der Länder für den nicht-öffentlichen Bereich und wird maßgeblich durch den Sitz des jeweils betroffenen Unternehmens(teils) bestimmt.

Bitte nutzen Sie dafür das von den Datenschutzbehörden der EU-Mitgliedstaaten entwickelte Beschwerdeformular. So wird sichergestellt, dass alle Informationen, die für eine sinnvolle Bearbeitung Ihres Anliegens nötig sind, zur Verfügung stehen.

Für Beschwerden wegen von Ihnen angenommener Zugriffe auf Ihre Daten durch US-amerikanische Geheimdienst- oder Sicherheitsbehörden wurde von den Datenschutzbehörden der EU-Mitgliedstaaten ein gesondertes Formular für die Übermittlung von Anträgen an die US-Ombudsstelle entwickelt.

Wie werden Beschwerden bearbeitet?
Für die Bearbeitung von Beschwerden im Falle von Beschäftigtendaten ("HR-Data") ist ein sogenanntes "Informelles Gremium von EU-Datenschutzbehörden (engl. "Informal Panel of EU DPAs") eingerichtet. Das Gremium ist befugt, gegenüber dem zertifizierten US-Unternehmen eine Empfehlung mit verbindlichem Charakter auszusprechen. Das informelle Gremium arbeitet auf Grundlage einer eigenen Geschäftsordnung (eine deutsche Arbeitsübersetzung der Geschäftsordnung findet sich unten).

Für andere personenbezogenen Daten (d.h. nicht Beschäftigtendaten) kann die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit die Beschwerde an die für die Aufsicht über die zertifizierten US-Unternehmen zuständigen US-Behörden weiterleiten (Federal Trade Commission – FTC - US-Wettbewerbsaufsichtsbehörde oder DoC)

Beschwerden mit Blick auf etwaige Zugriffe auf aus Europa übermittelte personenbezogene Daten durch US-amerikanische Geheimdienst- und Sicherheitsbehörden werden zunächst einem eigens dafür eingerichteten Gremium aus Datenschutzaufsichtsbehörden, der sogenannte "EU-Zentralstelle" (engl. "EU Centralised Body") zugeleitet, das auf Grundlage einer eigenen Geschäftsordnung tätig wird. Eine Übersetzung der Geschäftsordnung finden Sie unten. Die EU-Zentralstelle leitet die Beschwerde an eine eigens geschaffene Ombudsperson im US-Außenministerium weiter, die über Möglichkeiten zur Überprüfung der Beschwerde verfügt und nach Abschluss der Überprüfung das Ergebnis an die EU-Zentralstelle mitteilt.

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit wird Sie über das Ergebnis Ihrer Beschwerde informieren.

Aktueller Sachstand zu Datenübermittlungen in die USA
Ungeachtet der erheblichen Verbesserungen des EU-US Privacy Shield im Vergleich zur Vorgängerregelung Safe Harbor bestehen aus Sicht der europäischen Datenschutzbehörden weiterhin gewichtige Kritikpunkte, die in dem Bericht der Artikel 29-Datenschutzgruppe zur Ersten Jährlichen Gemeinsamen Überprüfung des Privacy Shield durch die Europäische Kommission und die US-Regierung aufgeführt sind. Diese Kritikpunkte sollten aus Sicht der europäischen Datenschutzbehörden im Vorfeld der Zweiten Jährlichen Gemeinsamen Überprüfung im September 2018 ausgeräumt werden.

Neben dem EU-US Privacy Shield können Datenübermittlungen in die USA derzeit auch auf die Entscheidungen der Europäischen Kommission zu Standardvertragsklauseln und auf verbindliche Unternehmensregelungen (Binding Corporate Rules – BCR) oder – bei Vorliegen der entsprechenden Voraussetzungen - auf die Ausnahmetatbestände von § 4 c Absatz 1 BDSG bzw. Art. 49 DSGVO gestützt werden.

Die BfDI weist jedoch ausdrücklich darauf hin, dass die Datenschutzaufsichtsbehörden Deutschlands und in Europa derzeit prüfen, inwieweit im Lichte der Entscheidung des EuGH zu Safe Harbor von Standardvertragsklauseln, BCR und den Ausnahmetatbeständen weiterhin Gebrauch gemacht werden kann. Weiterer Aufschluss zu dieser Frage ist von einem im Jahre 2016 in Irland anhängig gemachten Verfahren gegen die Anwendung von Standardvertragsklauseln für Datenübermittlungen in die USA zu erwarten.
(BfDI: ra)

eingetragen: 19.05.18
Newsletterlauf: 08.06.18

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Datenschutz und Compliance

  • Plötzlich im Homeoffice - und der Datenschutz?

    Aufgrund der Corona-Pandemie sollen alle Menschen ihre direkten Kontakte einschränken. Das bedeutet auch, dass die meisten nun zu Hause bleiben. Wann immer es geht, schicken Unternehmen und Behörden ihre Mitarbeiterinnen und Mitarbeiter ins Homeoffice. Auf was muss man achten, um auch zu Hause die Datenschutzanforderungen zu erfüllen?Marit Hansen, die Landesbeauftragte für Datenschutz Schleswig-Holstein, berichtet von zahlreichen Anfragen zum Thema Homeoffice: "Für viele Mitarbeiterinnen und Mitarbeiter heißt es gerade: Ab sofort Homeoffice! Viele Unternehmen und Behörden kannten dies bisher gar nicht oder nur in Ausnahmefällen. Deswegen wird vielerorts gerade improvisiert, um den Betrieb am Laufen zu halten und dabei die Bedürfnisse aller Beschäftigten möglichst gut zu erfüllen."

  • Datenschutz in Zeiten der Corona-Pandemie?

    Marit Hansen, die Landesbeauftragte für Datenschutz Schleswig-Holstein, hat diese Woche ihren Tätigkeitsbericht für das Jahr 2019 vorgelegt: Auf knapp 150 Seiten werden die Themen Datenschutz und Informationsfreiheit beleuchtet, Empfehlungen gegeben und Verbesserungen eingefordert. Interessante Fälle dienen als mahnendes Beispiel, wie es die Verantwortlichen nicht machen sollen. Datenschutz in Zeiten der Corona-Pandemie? "Ja, besonders in Krisenzeiten ist Datenschutz wichtig", sagt Hansen. "Fast täglich melden sich Menschen bei uns, die Angst um ihre Daten haben. Sie fühlen sich nicht gut genug informiert, um verstehen zu können, wie der Staat, Firmen oder ihr Arbeitgeber mit den Daten umgehen, die dort mit der Begründung "Corona" gesammelt und ausgewertet werden. Auch befürchten sie, dass ihre Daten nicht ausreichend gegen einen unbefugten Zugriff geschützt sind und missbraucht werden könnten. Deswegen informieren wir regelmäßig über unsere Webseite."

  • Datenschutz und Infektionsschutz

    Angesichts der Corona-Krise soll das Infektionsschutzgesetz zügig der neuen Lage angepasst werden. In der nun vom Bundeskabinett beschlossenen Fassung sind Einschränkungen des Grundrechts auf Datenschutz geplant. Beispielsweise sieht der Gesetzentwurf keine festen Regeln für die Löschung von Daten vor, die bei Reisenden nach dem Infektionsschutzgesetz erhoben werden. Daneben soll das Bundesministerium für Gesundheit (BMG) laut dem Entwurf dazu verpflichtet werden, dem Deutschen Bundestag spätestens zum 31. März 2021 einen Bericht mit den Erkenntnissen aus der derzeitigen Pandemie vorzulegen. Dieser sollte notwendige Verbesserungen darlegen. Angesichts der Einschränkungen der informationellen Selbstbestimmung die der Gesetzentwurf vorsieht, sollte über die Auswirkungen dieser Regelungen ebenfalls berichtet werden.

  • Einschränkungen einer Datenweitergabe

    Der Europäische Datenschutzausschuss (EDSA) hat am 19. Februar Leitlinien für den internationalen Datentransfer zwischen Behörden und von Behörden zu internationalen Organisationen beschlossen. Der Ausschuss stellt damit klar, dass auch staatliche Stellen ihre internationalen Datentransfers absichern müssen. Die Richtlinien legen spezifische Schutzmaßnahmen fest, wenn Behörden personenbezogene Daten an Partnerbehörden in Drittländern oder an internationale Organisationen übermitteln. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Professor Ulrich Kelber begrüßte die Einigung: In der Datenschutzrichtlinie waren keine spezifischen Schutzmaßnahmen vorgesehen. Der EDSA macht heute eindeutig, dass der Datenschutz bei internationalen Datentransfers zwischen Behörden rechtlich bindend und durchsetzbar geregelt sein muss.

  • Stärkung des Grundrechts auf Datenschutz

    Am 18. Februar hat der Europäische Datenschutzausschuss (EDSA) einen gemeinsamen Antwortbeitrag zur Evaluierung der Datenschutz-Grundverordnung (DSGVO) beschlossen. Die Europäische Kommission hatte den EDSA um einen Beitrag zum Evaluierungsverfahren gebeten. Der Ausschuss betont in seiner Antwort die Bedeutung der DSGVO für den Schutz und die Stärkung des Grundrechts auf Datenschutz innerhalb der EU. Dazu sagte der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Professor Ulrich Kelber: "Meine Kollegen und ich halten groß angelegte gesetzliche Änderungen an der DSGVO für verfrüht. Wir sehen aber Bedarf für Verbesserungen bei der praktischen Umsetzung. Das gilt insbesondere im Bereich der Zusammenarbeit der Datenschutzaufsichtsbehörden in grenzüberschreitenden Verfahren. Unterschiede in den nationalen Verwaltungsverfahren dürfen nicht dazu führen, dass die Effektivität der Durchsetzung der DSGVO gegenüber Unternehmen, die Datenschutzverstöße begangen haben, beeinträchtigt wird."