- Anzeigen -

Sie sind hier: Home » Recht » Datenschutz und Compliance

Datenschutzrechte & Überwachungsmaßnahmen


EU-US Privacy Shield und Datenübermittlungen in die USA
Entstehung des EU-US Privacy Shield und die Haltung der europäischen Datenschutzbehörden dazu

- Anzeigen -





Autor: Bundesbeauftragte für den Datenschutz und die Informationsfreiheit

Nach dem Urteil intensivierten die US-Regierung und die Europäischen Kommission ihre ohnehin bereits begonnen Verhandlungen zur Verbesserung der Safe Harbor-Übereinkunft, um die entstandene Lücke für rechtmäßige Datenübermittlungen in die USA zu schließen. Der von der Europäischen Kommission veröffentlichte erste Entwurf für eine EU-US Privacy Shield genannte Nachfolgevereinbarung wurde von den in der Artikel-29-Datenschutzgruppe versammelten europäischen Datenschutzbehörden einer umfassenden Prüfung unterzogen. Nachdem insbesondere Fragen der Überwachungstätigkeiten der US-Geheimdienst- und Sicherheitsbehörden und die Rechtsschutzmöglichkeiten für Betroffene im Fokus des EuGH-Urteils standen, hat die Artikel-29-Datenschutzgruppe zunächst einen aus der einschlägigen Rechtsprechung des EuGH und des Europäischen Gerichtshofs für Menschenrechte (EGMR) abgeleiteten Bewertungsmaßstab entwickelt.

Dieses Arbeitspapier (WP237) der Artikel-29-Datenschutzgruppe vom 13. April 2016 zu den "Vier Wesentlichen Garantien" bei der Rechtfertigung von Eingriffen in Datenschutzrechte durch Überwachungsmaßnahmen bei der Übermittlung personenbezogener Daten wurde daher – neben anderen, insbesondere kommerziellen Aspekten - der datenschutzrechtlichen Prüfung des EU-US Privacy Shield zugrunde gelegt.

In ihrer Stellungnahme (WP238) vom 13. April 2016 zum Entwurf des EU-US Privacy Shield hatte die Artikel-29-Datenschutzgruppe eine Vielzahl von Bedenken gegen den ursprünglichen Entwurf des Angemessenheitsbeschlusses erhoben und auf die Notwendigkeit von Klarstellungen hingewiesen – sowohl in Fragen der Überwachungstätigkeiten und Rechtsschutzmöglichkeiten, als auch im Hinblick auf die kommerziellen Aspekte des Entwurfes. In die finale Fassung des EU-US Privacy Shield wurden einige Anregungen der europäischen Datenschutzbehörden aufgenommen.

Die letztlich am 12. Juli 2016 verabschiedete Entscheidung der Europäischen Kommission (2016/1250) zum EU-US-Privacy Shield bildet nunmehr eine neue Rechtsgrundlage für Datenübermittlungen in die USA in Form eines Angemessenheitsbeschlusses nach Artikel 25 Absatz 6 Datenschutzrichtlinie 95/46/EG. Auf der Website der Europäischen Kommission zum EU-US Privacy Shield sind verschiedene Informationsdokumente zu finden, so auch ein Leitfaden in deutscher Sprache.

Seit dem 1. August 2016 können sich US-amerikanische Unternehmen beim dortigen Handelsministerium (Department of Commerce – DoC) registrieren und eine Zertifizierung beantragen. Auf der Website der International Trade Administration (ITA), einer nachgeordneten Behörde des US-Handelsministeriums, ist neben zahlreichen Informationen zum EU-US Privacy Shield eine Liste der US-Unternehmen mit abgeschlossener Zertifizierung zu finden.

Informationen für europäische Unternehmen und Betroffene
Auf Grundlage des bindenden Beschlusses der Europäischen Kommission kann der EU-US Privacy Shield genutzt werden, um personenbezogene Daten aus der Europäischen Union an bereits zertifizierte Unternehmen in den USA zu transferieren. Die für den Datenexport verantwortlichen europäischen Stellen haben dabei stets darauf zu achten, dass das datenempfangende US-Unternehmen auch tatsächlich auf der Liste des U.S.-Handelsministeriums geführt wird. Es ist ferner sicherzustellen, dass sich die Zertifizierung auch auf die Kategorie von Daten (Beschäftigtendaten "Human Ressources – HR" oder sonstige Daten "non HR") bezieht, die übermittelt werden soll.

Die Artikel-29-Datenschutzgruppe hat weitere Informationen zum EU-US Privacy Shield für europäische Unternehmen und Betroffene zusammengestellt. Die deutsche Arbeitsübersetzung der Informationsdokumente für europäische Unternehmen und für europäische Büger stehen zur Verfügung. Bitte beachten Sie, dass diese Arbeitsübersetzungen keinen offiziellen, verbindlichen Charakter haben und lediglich dem besseren Verständnis dienen sollen.

Welche Rechte stehen Betroffenen nach dem EU-US Privacy Shield zu?
Sofern personenbezogene Daten auf der Grundlage des Privacy Shield an ein zertifiziertes US-Unternehmen übermittelt wurden, stehen den von der Datenverarbeitung Betroffenen gegenüber dem US-Unternehmen u.a. folgende Rechte zu:

>> Recht auf Information
>> ggf. Recht auf Widerspruch gegen eine Datenverarbeitung
>> Recht auf Auskunft
>> Recht auf Berichtigung unrichtiger Daten
>> ggf. Recht auf Löschung
>> Recht auf Inanspruchnahmen von Beschwerde-/Abhilfeverfahren und
>> Recht auf Einreichung eines Antrags zur Anrufung der sog. Ombudsperson.

Fragen zur Datenverarbeitung durch ein zertifiziertes US-Unternehmen auf der Grundlage des Privacy Shield sollten zunächst direkt an das US-Unternehmen gerichtet werden, das verpflichtet ist, die Anfrage binnen 45 Tagen zu beantworten.

Beschwerdemöglichkeiten
Wenn das US-Unternehmen Ihre Fragen nicht beantwortet oder Ihre Bedenken im Hinblick auf die Verarbeitung Ihrer Daten nicht ausgeräumt hat, besteht die Möglichkeit einer Beschwerde bei einer sogenannten unabhängigen Beschwerdestelle (in der Regel Streitschlichtungsstellen in den USA). Jedes zertifizierte US-Unternehmen muss - unter "Recourse Mechanism" (zu finden ebenfalls unter dem Link "Questions or Complaints" auf dem Unternehmenseintrag in der Privacy Shield Liste) - die jeweils zuständige unabhängige Beschwerdestelle nennen, an die kostenlos Beschwerden gerichtet werden können.

Wenn eine Beschwerde auf diesem Weg nicht vollständig geklärt werden konnte, steht als letzte Instanz noch die Möglichkeit eines Schiedsverfahrens (binding arbitration) in den USA zur Verfügung. Nähere Informationen zum Schiedsverfahren entnehmen Sie dem Leitfaden für Betroffene der Europäischen Kommission oder der Website der International Trade Administration.

Wenn Sie der Meinung sind, dass ein Privacy-Shield-zertifiziertes US-Unternehmen, an das Ihre Daten übermittelt worden sind, gegen seine Pflichten aus dem EU-US Privacy Shield verstoßen oder die Rechte, die Ihnen nach dem Privacy Shield zustehen, verletzt hat, können Sie sich mit Ihrer Beschwerde auch direkt an die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit wenden. Bitte beachten Sie, dass die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit im nicht-öffentlichen Bereich nur für Unternehmen der Post- und Telekommunikationsbranche zuständig ist. Die Zuständigkeit für Unternehmen aller anderen Branchen liegt bei den Datenschutzaufsichtsbehörden der Länder für den nicht-öffentlichen Bereich und wird maßgeblich durch den Sitz des jeweils betroffenen Unternehmens(teils) bestimmt.

Bitte nutzen Sie dafür das von den Datenschutzbehörden der EU-Mitgliedstaaten entwickelte Beschwerdeformular. So wird sichergestellt, dass alle Informationen, die für eine sinnvolle Bearbeitung Ihres Anliegens nötig sind, zur Verfügung stehen.

Für Beschwerden wegen von Ihnen angenommener Zugriffe auf Ihre Daten durch US-amerikanische Geheimdienst- oder Sicherheitsbehörden wurde von den Datenschutzbehörden der EU-Mitgliedstaaten ein gesondertes Formular für die Übermittlung von Anträgen an die US-Ombudsstelle entwickelt.

Wie werden Beschwerden bearbeitet?
Für die Bearbeitung von Beschwerden im Falle von Beschäftigtendaten ("HR-Data") ist ein sogenanntes "Informelles Gremium von EU-Datenschutzbehörden (engl. "Informal Panel of EU DPAs") eingerichtet. Das Gremium ist befugt, gegenüber dem zertifizierten US-Unternehmen eine Empfehlung mit verbindlichem Charakter auszusprechen. Das informelle Gremium arbeitet auf Grundlage einer eigenen Geschäftsordnung (eine deutsche Arbeitsübersetzung der Geschäftsordnung findet sich unten).

Für andere personenbezogenen Daten (d.h. nicht Beschäftigtendaten) kann die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit die Beschwerde an die für die Aufsicht über die zertifizierten US-Unternehmen zuständigen US-Behörden weiterleiten (Federal Trade Commission – FTC - US-Wettbewerbsaufsichtsbehörde oder DoC)

Beschwerden mit Blick auf etwaige Zugriffe auf aus Europa übermittelte personenbezogene Daten durch US-amerikanische Geheimdienst- und Sicherheitsbehörden werden zunächst einem eigens dafür eingerichteten Gremium aus Datenschutzaufsichtsbehörden, der sogenannte "EU-Zentralstelle" (engl. "EU Centralised Body") zugeleitet, das auf Grundlage einer eigenen Geschäftsordnung tätig wird. Eine Übersetzung der Geschäftsordnung finden Sie unten. Die EU-Zentralstelle leitet die Beschwerde an eine eigens geschaffene Ombudsperson im US-Außenministerium weiter, die über Möglichkeiten zur Überprüfung der Beschwerde verfügt und nach Abschluss der Überprüfung das Ergebnis an die EU-Zentralstelle mitteilt.

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit wird Sie über das Ergebnis Ihrer Beschwerde informieren.

Aktueller Sachstand zu Datenübermittlungen in die USA
Ungeachtet der erheblichen Verbesserungen des EU-US Privacy Shield im Vergleich zur Vorgängerregelung Safe Harbor bestehen aus Sicht der europäischen Datenschutzbehörden weiterhin gewichtige Kritikpunkte, die in der Verlautbarung der Artikel-29-Datenschutzgruppe vom 26. Juli 2016 aufgeführt sind.

Trotz der fortbestehenden Bedenken hat die Artikel-29-Datenschutzgruppe beschlossen, die Erkenntnisse der ersten jährlichen Überprüfung des Privacy Shield durch die Europäische Kommission und die US-Regierung im Jahre 2017 abzuwarten. Die europäischen Datenschutzbehörden streben bei dieser Überprüfung eine aktive Beteiligung an.

Neben dem EU-US Privacy Shield können Datenübermittlungen in die USA derzeit auch auf die Entscheidungen der Europäischen Kommission zu Standardvertragsklauseln und auf verbindliche Unternehmensregelungen (Binding Corporate Rules – BCR) oder – bei Vorliegen der entsprechenden Voraussetzungen - auf die Ausnahmetatbestände von § 4 c Absatz 1 BDSG gestützt werden.

Die BfDI weist jedoch ausdrücklich darauf hin, dass die Datenschutzaufsichtsbehörden Deutschlands und in Europa derzeit prüfen, inwieweit im Lichte der Entscheidung des EuGH zu Safe Harbor von Standardvertragsklauseln, BCR und den Ausnahmetatbeständen weiterhin Gebrauch gemacht werden kann. Weiterer Aufschluss zu dieser Frage ist von einem im Jahre 2016 in Irland anhängig gemachten Verfahren gegen die Anwendung von Standardvertragsklauseln für Datenübermittlungen in die USA zu erwarten. (BfDI: ra)

eingetragen: 20.08.17
Home & Newsletterlauf: 15.09.17

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Datenschutz und Compliance

  • Unterstützung bei Rechtsunsicherheiten

    Der Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e.V. sieht vor dem Start der europaweiten Datenschutz-Grundverordnung (DSGVO) für Unternehmen keinen Grund zur Panik. "Bei vielen Unternehmen dominiert gerade die Furcht vor Kontrollen und Sanktionen nach dem Stichtag 25. Mai", sagte BvD-Vorstand Thomas Spaeing zur Eröffnung der BvD-Verbandstage 2018 in Berlin. Zwar könne es vereinzelt vor allem bei Unternehmen, die sich noch nicht mit den neuen Anforderungen auseinandersetzten, zu Überprüfungen kommen. Das Gros der Betriebe könnten aber nach dem Wechsel ihre Datenschutz-Prozesse weiter ausbauen. Der BvD steht zur Vorbereitung der Umstellung mit Vertretern von Bundesministerien sowie den Aufsichtsbehörden von Bund und Ländern über den Stichtag 25. Mai hinaus in engem Austausch. Unter anderem nimmt der BvD-Vorstand im Juli an einem weiteren Treffen der Verbände auf Einladung des Bundesinnen- und Bundeswirtschaftsministeriums teil.

  • Neue Herausforderungen beim Datenschutz

    Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit legt seinen 26. Tätigkeitsbericht Datenschutz für die Jahre 2016/2017 vor Im Vorfeld der ab Mai 2018 europaweit geltenden Datenschutzgrundverordnung (DSGVO) werfen die gesetzlichen Neuerungen längst ihre Schatten voraus. Datenschutzaufsichtsbehörden, aber auch die gesamte öffentliche Verwaltung sowie die Unternehmen in Europa stellen sich intensiv auf diesen Wandel ein. Diese Umstellung und Neujustierung war auch für die Behörde des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI) in den letzten beiden Jahren ein bestimmender Faktor.

  • DSGVO-Compliance: Hat LDSG viele Mängel?

    Die Landesregierung von Schleswig-Holstein hat zu Beginn des Jahres einen Gesetzentwurf für ein neues Landesdatenschutzgesetz (LDSG), das für alle öffentlichen Stellen im Land gelten wird, und zur Änderung anderer Vorschriften vorgelegt. Damit soll die europäische Datenschutzreform - die EU-Datenschutz-Grundverordnung und die EU-Richtlinie für den Datenschutz bei der Verhütung und Verfolgung von Straftaten - umgesetzt werden. Leider ist der Entwurf laut ULD mit vielen Mängeln behaftet. Einige davon verstoßen sogar gegen EU-Recht. Die EU-Datenschutz-Grundverordnung gewährt allen Datenschutzaufsichtsbehörden, also auch dem Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein (ULD), eine Reihe von "Abhilfebefugnissen", wenn gegen Datenschutzrecht verstoßen wird. Dazu gehören z. B. die Verwarnung oder die Anweisung, personenbezogene Daten auf eine bestimmte Weise zu verarbeiten. Diese Befugnisse schränkt der Entwurf für ein neues Landesdatenschutzgesetz nun aber in europarechtswidriger Weise ein. Er sieht nämlich vor, dass das ULD in Zukunft vor der Ausübung der Abhilfebefugnisse gegenüber öffentlichen Stellen seine Erkenntnisse zunächst der jeweiligen Fach- oder Rechtsaufsichtsbehörde mitteilen und dieser Gelegenheit zur Stellungnahme geben muss.

  • Anordnung des HmbBfDI hat Bestand

    Das Klageverfahren der Google LLC vor dem Verwaltungsgericht Hamburg gegen die bereits 2014 durch den Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI) erlassene Anordnung auf Beachtung des Datenschutzes bei der Verarbeitung der Nutzerdaten wurde nunmehr durch Gerichtsbeschluss eingestellt. Dadurch konnte ein europaweit koordiniertes Verfahren zu einem für die Betroffenen guten Ausgang gebracht werden. Aus Anlass der Neuformulierung der Datenschutzerklärung durch Google im Jahr 2012 beauftragte die europäische Art.-29-Datenschutzgruppe eine Task-Force unter Leitung der Französischen Datenschutzaufsichtsbehörde CNIL. Diese hatte die Aufgabe, die Rechtmäßigkeit der Datenverarbeitung durch das Unternehmen zu untersuchen und die datenschutzrechtlichen Anforderungen nach Maßgabe der jeweiligen nationalen Gesetze durchzusetzen. An dieser Task- Force war neben den Aufsichtsbehörden Großbritanniens, Italiens, der Niederlande und Spaniens auch der HmbBfDI beteiligt, da Google ihren deutschen Sitz in Hamburg hat.

  • Schutz der Privatsphäre

    Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) bemängelt eine veröffentlichte Studie zu den hypothetischen Auswirkungen der geplanten E-Privacy-Verordnung. Die Studie des WIK Instituts konzentriert sich einseitig auf die vermeintlich negativen Folgen für das Online-Werbegeschäft und ignoriert dabei potenzielle Chancen, die sich für die Branche aufgrund der Änderungen ergeben könnten.