Entscheidung der Kommission

vom 26. Juli 2000

gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des von den Grundsätzen des "sicheren Hafens" und der diesbezüglichen "Häufig gestellten Fragen" (FAQ) gewährleisteten Schutzes, vorgelegt vom Handelsministerium der USA

(Bekannt gegeben unter Aktenzeichen K(2000) 2441)

(Text von Bedeutung für den EWR)

(2000/520/EG)

DIE KOMMISSION DER EUROPÄISCHEN GEMEINSCHAFTEN -

gestützt auf den Vertrag zur Gründung der Europäischen Gemeinschaft,

gestützt auf die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr(1), insbesondere auf Artikel 25 Absatz 6,

in Erwägung nachstehender Gründe:

(1) Gemäß der Richtlinie 95/46/EG haben die Mitgliedstaaten vorzusehen, dass die Übermittlung personenbezogener Daten in ein Drittland nur zulässig ist, wenn dieses Drittland ein angemessenes Schutzniveau gewährleistet und die einzelstaatlichen Rechtsvorschriften zur Umsetzung anderer Bestimmungen der Richtlinie vor der Übermittlung beachtet werden.

(2) Die Kommission kann feststellen, dass ein Drittland ein angemessenes Schutzniveau gewährleistet. In diesem Fall können personenbezogene Daten aus den Mitgliedstaaten übermittelt werden, ohne dass zusätzliche Garantien erforderlich sind.

(3) Gemäß der Richtlinie 95/46/EG sollte die Angemessenheit des Schutzniveaus unter Berücksichtigung aller Umstände beurteilt werden, die bei einer Datenübermittlung oder einer Kategorie von Datenübermittlungen eine Rolle spielen, und im Hinblick auf die gegebenen Bedingungen. Die durch die Richtlinie eingesetzte Datenschutzgruppe(2) hat Leitlinien für solche Bewertungen erstellt(3).

(4) Angesichts der verschiedenen Ansätze von Drittländern im Bereich Datenschutz sollte die Beurteilung der Angemessenheit und die Durchsetzung jeder Entscheidung gemäß Artikel 25 Absatz 6 der Richtlinie 95/46/EG in einer Form erfolgen, die gegen Drittländer bzw. unter Drittländern, in denen gleiche Bedingungen vorherrschen, nicht willkürlich oder ungerechtfertigt diskriminierend wirkt und unter Berücksichtigung der bestehenden internationalen Verpflichtungen der Gemeinschaft kein verstecktes Handelshemmnis darstellt.

(5) Das durch diese Entscheidung anerkannte angemessene Schutzniveau für die Übermittlung von Daten aus der Gemeinschaft in die Vereinigten Staaten sollte erreicht sein, wenn die Organisationen die "Grundsätze des 'sicheren Hafens' zum Datenschutz" für den Schutz personenbezogener Daten, die aus einem Mitgliedstaat in die Vereinigten Staaten übermittelt werden (im folgenden "die Grundsätze" genannt) sowie die "Häufig gestellten Fragen" ("Frequently Asked Questions", im folgenden "FAQ" genannt) beachten, die Leitlinien für die Umsetzung der von der Regierung der Vereinigten Staaten von Amerika am 21. Juli 2000 veröffentlichten Grundsätze darstellen. Die Organisationen müssen ferner ihre Geschäftsbedingungen zum Datenschutz offen legen und der Zuständigkeit der Federal Trade Commission (FTC) gemäß Abschnitt 5 des Federal Trade Commission Act, der unlautere und irreführende Handlungen und Praktiken, die im Handel erfolgen oder die den Handel beeinträchtigen, verbietet, bzw. der Zuständigkeit anderer gesetzlicher Organe unterliegen, die die Einhaltung der entsprechend den FAQ umgesetzten Grundsätze effektiv gewährleisten.

(6) Bereiche und/oder Datenverarbeitungen, die nicht der Zuständigkeit einer der in Anhang VII dieser Entscheidung genannten staatlichen Einrichtungen innerhalb der Vereinigten Staaten unterliegen, fallen nicht in den Geltungsbereich dieser Entscheidung.

(7) Um die ordnungsgemäße Anwendung dieser Entscheidung zu gewährleisten, müssen Organisationen, die den Grundsätzen und den FAQ beitreten, von den interessierten Kreisen, wie etwa den betroffenen Personen, Datenexporteuren und Datenschutzbehörden, erkannt werden können. Das US-Handelsministerium bzw. die von ihm benannte Stelle sollte es zu diesem Zweck übernehmen, eine Liste der Organisationen zu führen und der Öffentlichkeit zugänglich zu machen, die selbst bescheinigen, dass sie den entsprechend den FAQ umgesetzten Grundsätzen beigetreten sind und in die Zuständigkeit zumindest eines der in Anhang VII dieser Entscheidung genannten staatlichen Organe fallen.

(8) Im Interesse der Transparenz und um die Fähigkeit der zuständigen Behörden in den Mitgliedstaaten zu erhalten, den Schutz von Personen bei der Verarbeitung ihrer personenbezogenen Daten zu gewährleisten, ist es ungeachtet der Feststellung des angemessenen Schutzniveaus notwendig, in dieser Entscheidung die besonderen Umstände zu nennen, unter denen die Aussetzung bestimmter Datenübermittlungen gerechtfertigt sein sollte.

(9) Der durch die Grundsätze und die FAQ geschaffene "sichere Hafen" wird möglicherweise im Licht der Erfahrungen mit Entwicklungen beim Datenschutz in einem Umfeld, in dem die Technik die Übermittlung und Verarbeitung personenbezogener Daten immer einfacher macht, und im Licht von Berichten der für die Durchsetzung zuständigen Behörden über die Anwendung gegebenenfalls überprüft werden müssen.

(10) Die durch Artikel 29 der Richtlinie 95/46/EG eingesetzte Gruppe für den Schutz von Personen bei der Verarbeitung personenbezogener Daten hat zu dem Schutzniveau, das durch die Grundsätze über den sicheren Hafen in den Vereinigten Staaten geschaffen wird, Stellungnahmen abgegeben, die bei der Ausarbeitung der vorliegenden Entscheidung berücksichtigt wurden(4).

(11) Die in dieser Entscheidung geregelten Maßnahmen entsprechen der Stellungnahme des gemäß Artikel 31 der Richtlinie 95/46/EG eingesetzten Ausschusses -

HAT FOLGENDE ENTSCHEIDUNG ERLASSEN:

Artikel 1

(1) Es wird davon ausgegangen, dass die dieser Entscheidung als Anhang I beigefügten "Grundsätze des 'sicheren Hafens' zum Datenschutz", im Folgenden "die Grundsätze" genannt, die gemäß den in den vom US-Handelsministerium am 21. Juli 2000 herausgegebenen, dieser Entscheidung als Anhang II beigefügten, "Häufig gestellten Fragen" (FAQ) enthaltenen Leitlinien umgesetzt werden, für alle unter die Richtlinie 95/46/EG fallenden Tätigkeiten ein im Sinne des Artikels 25 Absatz 2 dieser Richtlinie angemessenes Schutzniveau für personenbezogene Daten gewährleisten, die von der Europäischen Union an in den Vereinigten Staaten niedergelassene Organisationen übermittelt werden, unter Berücksichtigung folgender vom US-Handelsministerium veröffentlichter Dokumente:

a) die "sicherer Hafen Durchsetzungsmechanismen" (Anhang III),

b) ein Memorandum über Entschädigungen für die Verletzung der Privatsphäre und ausdrückliche Ermächtigungen gemäß dem US-Recht (Anhang IV),

c) ein Schreiben der Federal Trade Commission (Anhang V),

d) ein Schreiben des US-Verkehrsministeriums (Anhang VI).

(2) Im Hinblick auf jede Datenübermittlung müssen folgende Voraussetzungen erfuellt sein:

a) Die Organisation, die die Daten erhält, hat sich eindeutig und öffentlich verpflichtet, die Grundsätze einzuhalten, die entsprechend den FAQ umgesetzt wurden; und

b) die Organisation unterliegt den gesetzlichen Befugnissen einer in Anhang VII dieser Entscheidung aufgeführten staatlichen Einrichtung in den Vereinigten Staaten, die berechtigt ist, im Fall der Nichtbeachtung der Grundsätze, die entsprechend den FAQ umgesetzt wurden, Beschwerden zu prüfen und Abhilfe wegen unlauterer und irreführender Praktiken sowie Schadenersatz für Privatpersonen zu erwirken, und zwar ungeachtet des Landes, in dem sie ihren Wohnsitz haben, oder ihrer Nationalität.

(3) Die Voraussetzungen des Absatzes 2 gelten ab dem Zeitpunkt als erfuellt, zu dem die Organisation, die ihren Beitritt zu den entsprechend den FAQ umgesetzten Grundsätzen bescheinigt, dem Handelsministerium der USA (oder der von ihm benannten Stelle) die öffentliche Bekanntgabe ihrer Verpflichtung nach Absatz 2 Buchstabe a) und die Identität der staatlichen Einrichtung nach Absatz 2 Buchstabe b) mitteilt.

Artikel 2

Die vorliegende Entscheidung betrifft nur die Angemessenheit des Schutzes, der in den Vereinigten Staaten nach den entsprechend den FAQ umgesetzten Grundsätzen gewährt wird, um die Anforderungen des Artikels 25 Absatz 1 der Richtlinie 95/46/EG zu erfuellen. Die Anwendung anderer Bestimmungen der Richtlinie, die sich auf die Verarbeitung personenbezogener Daten in den Mitgliedstaaten beziehen, einschließlich Artikel 4, bleiben von dieser Entscheidung unberührt.

Artikel 3

(1) Ungeachtet ihrer Befugnisse, tätig zu werden, um die Einhaltung einzelstaatlicher Vorschriften, die gemäß anderen Bestimmungen als denjenigen des Artikels 25 der Richtlinie 95/46/EG erlassen wurden, zu gewährleisten, können die zuständigen Behörden in den Mitgliedstaaten ihre bestehenden Befugnisse ausüben, zum Schutz von Privatpersonen bei der Verarbeitung ihrer personenbezogenen Daten die Datenübermittlung an eine Organisation auszusetzen, die den Grundsätzen, die entsprechend den FAQ umgesetzt wurden, beigetreten ist, wenn

a) die in Anhang VII dieser Entscheidung erwähnte staatliche Einrichtung in den Vereinigten Staaten oder eine unabhängige Instanz im Sinne von Buchstabe a) des in Anhang I dieser Entscheidung erwähnten Durchsetzungsgrundsatzes feststellt, dass die betreffende Organisation die Grundsätze, die entsprechend den FAQ umgesetzt wurden, verletzt oder

b) eine hohe Wahrscheinlichkeit besteht, dass die Grundsätze verletzt werden; wenn Grund zur Annahme besteht, dass die jeweilige Durchsetzungsinstanz nicht rechtzeitig angemessene Maßnahmen ergreift bzw. ergreifen wird, um den Fall zu lösen; wenn die fortgesetzte Datenübermittlung für die betroffenen Personen das unmittelbar bevorstehende Risiko eines schweren Schadens schaffen würde, und wenn die zuständigen Behörden in den Mitgliedstaaten die Organisation unter den gegebenen Umständen in angemessener Weise unterrichtet und ihr Gelegenheit zu Stellungnahme gegeben haben.

Die Aussetzung ist zu beenden, sobald sichergestellt ist, dass die Grundsätze, die entsprechend den FAQ umgesetzt wurden, befolgt werden, und die zuständigen Behörden in der EU davon in Kenntnis gesetzt sind.

(2) Die Mitgliedstaaten informieren die Kommission unverzüglich, wenn Maßnahmen gemäß Absatz 1 ergriffen wurden.

(3) Die Mitgliedstaaten und die Kommission informieren einander auch über Fälle, bei denen die Maßnahmen der für die Einhaltung der entsprechend den FAQ umgesetzten Grundsätze in den Vereinigten Staaten verantwortlichen Einrichtungen nicht ausreichen, um die Einhaltung zu gewährleisten.

(4) Ergeben die Informationen nach den Absätzen 1, 2 und 3, dass eine der für die Einhaltung der entsprechend den FAQ umgesetzten Grundsätze in den Vereinigten Staaten verantwortlichen Einrichtungen ihrer Aufgabe nicht wirkungsvoll nachkommt, so informiert die Kommission das Handelsministerium der USA und schlägt, wenn nötig, gemäß dem Verfahren nach Artikel 31 der Richtlinie im Hinblick auf eine Aufhebung, Aussetzung oder Beschränkung des Geltungsbereichs dieser Entscheidung entsprechende Maßnahmen vor.

Artikel 4

(1) Diese Entscheidung kann jederzeit im Licht der Erfahrungen mit ihrer Anwendung angepasst werden und/oder dann, wenn das durch die Grundsätze und die FAQ gewährte Schutzniveau in die Rechtsvorschriften der USA übernommen wird.

In jedem Fall nimmt die Kommission drei Jahre, nachdem sie die Mitgliedstaaten von dieser Entscheidung in Kenntnis gesetzt hat, anhand der verfügbaren Informationen eine Bewertung ihrer Umsetzung vor und unterrichtet den nach Artikel 31 der Richtlinie 95/46/EG eingesetzten Ausschuss über sämtliche relevanten Feststellungen, einschließlich aller Erkenntnisse, die die Beurteilung der Vereinbarung in Artikel 1 als zur Gewährleistung des Datenschutzes angemessen im Sinne von Artikel 25 der Richtlinie 95/46/EG berühren könnten, sowie etwaiger Belege dafür, dass die vorliegende Entscheidung in diskriminierender Weise angewandt wird.

(2) Die Kommission legt erforderlichenfalls gemäß dem Verfahren nach Artikel 31 der Richtlinie Vorschläge für Maßnahmen vor.

Artikel 5

Die Mitgliedstaaten ergreifen binnen 90 Tagen, nachdem sie von der Entscheidung in Kenntnis gesetzt worden sind, alle für ihre Umsetzung erforderlichen Maßnahmen.

Artikel 6

Diese Entscheidung ist an alle Mitgliedstaaten gerichtet.

Brüssel, den 26. Juli 2000

Für die Kommission

Frederik Bolkestein

Mitglied der Kommission

(1) ABl. L 281 vom 23.11.1995, S. 31.

(2) Die Web-Anschrift der Datenschutzgruppe lautet: http://www.europa.eu.int/comm/internal_market/en/media/dataprot/wpdocs/index.htm.

(3) WP 12: Übermittlungen personenbezogener Daten an Drittländer: Anwendung von Artikel 25 und 26 der Datenschutzrichtlinie der EU, von der Arbeitsgruppe am 24. Juli 1998 angenommen.

(4) WP 15: Stellungnahme 1/99 zum Stand des Datenschutzes in den Vereinigten Staaten und zu den derzeitigen Verhandlungen zwischen der Europäischen Kommission und der amerikanischen Regierung;

WP 19: Stellungnahme 2/99 zur Angemessenheit der "Internationalen Grundsätze des sicheren Hafens", ausgegeben vom US-Handelsministerium am 19. April 1999;

WP 21: Stellungnahme 4/99 zu den "Häufig gestellten Fragen" (Frequently Asked Questions), vorgelegt vom US-Handelsministerium im Zusammenhang mit den vorgeschlagenen "Grundsätzen des sicheren Hafens";

WP 23: Arbeitsunterlage zum gegenwärtigen Stand der Diskussion zwischen der Europäischen Kommission und der Regierung der Vereinigten Staaten über die "Internationalen Grundsätze des sicheren Hafens";

WP 27: Stellungnahme 7/99 zum Datenschutzniveau, das die Grundsätze des sicheren Hafens in ihrer veröffentlichten Form, die dazu gehörigen häufig gestellten Fragen (FAQ) und andere vom US-Handelsministerium am 15./16. November 1999 veröffentlichte Dokumente gewährleisten;

WP 31: Stellungnahme 3/2000 zum Dialog EU-USA betreffend die Vereinbarung über den sicheren Hafen;

WP 32: Stellungnahme 4/2000 über das Datenschutzniveau, das die Grundsätze des sicheren Hafens bieten.

ANHANG I

GRUNDSÄTZE DES "SICHEREN HAFENS" ZUM DATENSCHUTZ

vorgelegt vom amerikanischen Handelsministerium am 21. Juli 2000

Die umfassende Rechtsvorschrift der Europäischen Union zum Schutz personenbezogener Daten, die Datenschutzrichtlinie (nachstehend "die Richtlinie" genannt), trat am 25. Oktober 1998 in Kraft. Sie legt fest, dass personenbezogene Daten nur in Nicht-EU-Länder übermittelt werden können, die einen "angemessenen" Schutz der Privatsphäre gewährleisten. Die Vereinigten Staaten und die Europäische Union haben beide das Ziel, den Datenschutz für ihre Staatsbürger zu verstärken, wobei die Vereinigten Staaten jedoch einen anderen Ansatz verfolgen als die Europäische Gemeinschaft. Die USA verwenden einen sektoralen Ansatz, der auf einer Mischung von Rechtsvorschriften, Verordnungen und Selbstregulierung basiert. Angesichts dieser Unterschiede fühlen sich viele US-Organisationen verunsichert bezüglich der Auswirkung des seitens der EU geforderten "Angemessenheits-Standards" für die Übermittlung personenbezogener Daten aus der Europäischen Union in die Vereinigten Staaten.

Um diese Unsicherheit auszuräumen und einen berechenbareren Rahmen für solche Datenübermittlungen zu schaffen, legt das Handelsministerium unter seiner gesetzlichen Autorität, internationalen Handel zu pflegen, zu fördern und zu entwickeln, dieses Papier und so genannte "Häufig gestellte Fragen" - FAQs ("die Grundsätze") vor. Die Grundsätze wurden in Absprache mit der Industrie und der breiten Öffentlichkeit entwickelt, um den Handel zwischen der Europäischen Union und den Vereinigten Staaten zu erleichtern. Sie sind ausschließlich für den Gebrauch durch US-Organisationen bestimmt, die personenbezogene Daten aus der Europäischen Union erhalten, um sich für den "sicheren Hafen" und die daraus erwachsende Vermutung der "Angemessenheit" des Datenschutzes zu qualifizieren. Da die Grundsätze ausschließlich für diesen spezifischen Zweck erarbeitet wurden, können sie für andere Zwecke ungeeignet sein. Die Grundsätze können nicht benutzt werden als Ersatz für nationale Rechtsvorschriften über die Verarbeitung personenbezogener Daten in den Mitgliedstaaten, mit denen die Richtlinie umgesetzt wird.

Die Entscheidung der einzelnen Organisationen, sich für den "sicheren Hafen" zu qualifizieren, ist vollkommen freiwillig, und die Organisationen können sich für das Konzept des "sicheren Hafens" auf verschiedene Arten qualifizieren. Organisationen, die sich dazu entschließen, den Grundsätzen beizutreten, müssen die Grundsätze einhalten, um die Vorteile des "sicheren Hafens" erhalten und behalten zu können, und sie müssen diese Absicht öffentlich bekannt machen. Wenn sich eine Organisation beispielsweise einem vom Privatsektor entwickelten Datenschutzprogramm anschließt, das sich an diese Grundsätze hält, qualifiziert sie sich für den "sicheren Hafen". Darüber hinaus können sich Organisationen auch qualifizieren, wenn sie eigene Maßnahmen zum Schutz personenbezogener Daten entwickeln, sofern diese den Grundsätzen entsprechen. Verstößt eine Organisation, deren Datenschutzmaßnahmen ganz oder teilweise auf Selbstregulierung beruhen, gegen diese Selbstregulierung, muss dieser Verstoß auch gemäß Abschnitt 5 des Federal Trade Commission Act zur Verhinderung unlauterer und irreführender Praktiken oder ähnlichen Rechtsvorschriften verfolgbar sein (der Anhang enthält die Liste der von der EU anerkannten staatlichen Einrichtungen in den Vereinigten Staaten). Zudem können Organisationen, die Gesetzen, Regulierungs-, Verwaltungs- oder anderen Rechtsvorschriften (oder Regeln) unterliegen, die wirksam personenbezogene Daten schützen, ebenfalls in den Genuss der Vorteile des "sicheren Hafens" gelangen. In allen Fällen gelten die Vorteile des Konzepts des "sicheren Hafens" ab dem Tag, an dem die Organisation, die sich für die Grundsätze des sicheren Hafens qualifizieren möchte, gegenüber dem Handelsministerium (oder einer von ihm benannten Stelle) gemäß den in den FAQ zur Selbstzertifizierung dargelegten Leitlinien erklärt, dass sie den Grundsätzen beitritt.

Die Geltung dieser Grundsätze kann begrenzt werden a) insoweit, als Erfordernissen der nationalen Sicherheit, des öffentlichen Interesses oder der Durchführung von Gesetzen Rechnung getragen werden muss, b) durch Gesetzesrecht, staatliche Regulierungsvorschriften oder Fallrecht, die unvereinbare Verpflichtungen oder ausdrückliche Ermächtigungen schaffen, vorausgesetzt, die Organisation kann in Wahrnehmung dieser Ermächtigungen nachweisen, dass die Nichteinhaltung der Grundsätze sich auf das Ausmaß beschränkte, das die Einhaltung übergeordneter berechtiger Interessen aufgrund eben dieser Ermächtigung erforderte, oder c) wenn die Richtlinie oder das nationale Recht Ausnahmeregelungen vorsieht, sofern diese Ausnahmeregelungen unter vergleichbaren Voraussetzungen getroffen werden. Im Hinblick auf das Ziel eines wirksameren Schutzes der Privatsphäre sollen die Organisationen die Grundsätze in vollem Umfang und in transparenter Weise anwenden, unter anderem indem sie angeben, in welchen Fällen Abweichungen von den Grundsätzen, die nach b) zulässig sind, bei ihren Datenschutzmaßnahmen regelmäßig Anwendung finden werden. Aus demselben Grund wird, wenn die Wahlmöglichkeit nach den Grundsätzen und/oder nach dem US-Recht besteht, von den Organisationen erwartet, dass sie sich, sofern möglich, für das höhere Schutzniveau entscheiden.

Organisationen können aus praktischen oder anderen Gründen die Grundsätze auf alle Datenverarbeitungsverfahren anwenden, die Verpflichtung zur Anwendung der Grundsätze entsteht jedoch erst mit dem Beitritt zum "sicheren Hafen". Bei manuell verarbeiteten Daten ist die Einhaltung der Grundsätze zur Qualifizierung für den "sicheren Hafen" nicht erforderlich. Organisationen, die vom "sicheren Hafen" profitieren wollen, um manuell verarbeitete Daten aus der EU zu erhalten, müssen die Grundsätze auf alle Daten anwenden, die nach ihrem Beitritt übermittelt werden. Eine Organisation, die die Vorteile des sicheren Hafens auf Personaldaten ausdehnen will, die im Rahmen eines Beschäftigungsverhältnisses aus der EU übermittelt werden, muss darauf hinweisen, wenn sie sich dem US-Handelsministerium (oder einer von diesem benannten Stelle) gegenüber auf die Grundsätze verpflichtet, und sie muss die in der FAQ zur Selbstzertifizierung beschriebenen Anforderungen erfuellen. Organisationen können auch die in Artikel 26 der Richtlinie geforderten Garantien bieten, wenn sie in schriftlichen Vereinbarungen mit Stellen, die Daten aus der EU übermitteln, die Grundsätze für die materiellen Datenschutzvorschriften anwenden, sobald die weiteren Vorschriften für derartige Musterverträge von der Kommission und den Mitgliedstaaten genehmigt sind.

Für Fragen der Auslegung und der Einhaltung der Grundsätze des "sicheren Hafens" (einschließlich der FAQ) und der einschlägigen Geschäftsbedingungen für den Datenschutz einzelner dem "sicheren Hafen" angehöriger Organisationen gilt das US-Recht; es gilt nicht, wenn sich eine Organisation zur Zusammenarbeit mit europäischen Datenschutzbehörden verpflichtet hat. Sofern nicht anderweitig festgelegt, finden die Grundsätze des "sicheren Hafens" in sämtlichen Teilen, einschließlich der FAQ, in allen Fällen, in denen sie relevant sind, Anwendung.

Personenbezogene Daten sind in beliebiger Form aufgezeichnete Daten über eine identifizierte oder identifizierbare Person, die unter die Richtlinie fallen und aus der Europäischen Union an eine US-Organisation übermittelt werden.

INFORMATIONSPFLICHT

Die Organisation muss Privatpersonen darüber informieren, zu welchem Zweck sie die Daten über sie erhebt und verwendet, wie sie die Organisation bei eventuellen Nachfragen oder Beschwerden kontaktieren können, an welche Kategorien von Dritten die Daten weitergegeben werden und welche Mittel und Wege sie den Privatpersonen zur Verfügung stellt, um die Verwendung und Weitergabe der Daten einzuschränken. Diese Angaben sind den Betroffenen unmissverständlich und deutlich erkennbar zu machen, wenn sie erstmalig gebeten werden, der Organisation personenbezogene Daten zu liefern, oder so bald wie möglich danach, auf jeden Fall aber bevor die Organisation die Daten zu anderen Zwecken verwendet als denen, für die sie von der übermittelnden Organisation ursprünglich erhoben oder verarbeitet wurden, oder bevor sie die Daten erstmalig an einen Dritten weitergibt(1).

WAHLMÖGLICHKEIT

Die Organisation muss Privatpersonen die Möglichkeit geben zu wählen ("opt out"), ob ihre personenbezogenen Daten a) an Dritte(2) weitergegeben werden sollen oder b) für einen Zweck verwendet werden sollen, der mit dem ursprünglichen oder dem nachträglich von der betreffenden Person genehmigten Erhebungszweck unvereinbar ist. Der betroffenen Person muss die Ausübung ihres Wahlrechts durch leicht erkennbare und verständliche, leicht zugängliche und kostengünstige Verfahren ermöglicht werden.

Bei sensiblen Daten (wie z. B. Angaben über den Gesundheitszustand, über Rassen- oder ethnische Zugehörigkeit, über politische, religiöse oder philosophische Überzeugungen, über die Mitgliedschaft in einer Gewerkschaft oder über das Sexualleben) benötigen die Organisationen die ausdrückliche Zustimmung ("opt in") der betroffenen Personen, wenn die Daten an Dritte weitergegeben oder für einen anderen als den ursprünglichen Erhebungszweck oder den Zweck verwendet werden sollen, dem die betroffene Person nachträglich durch Ausübung des Wahlrechts zugestimmt hat. In jedem Fall sollen die Organisationen alle ihnen von Dritten übermittelten Informationen als sensibel behandeln, die der Übermittler als sensibel einstuft und behandelt.

WEITERGABE

Eine Organisation darf Daten nur dann an Dritte weitergeben, wenn sie die Grundsätze der Informationspflicht und der Wahlmöglichkeit anwendet. Möchte eine Organisation Daten an einen Dritten weitergeben, der in ihrem Auftrag und auf ihre Anweisung tätig ist (vergleiche Fußnote), kann sie dies tun, sofern der Dritte entweder dem "sicheren Hafen" angehört oder der Richtlinie unterliegt, oder von einer anderen Feststellung angemessenen Schutzniveaus erfasst wird oder sich schriftlich in einer Vereinbarung mit der Organisation dazu verpflichtet, zumindest das Maß an Schutz personenbezogener Daten zu gewährleisten, das in den entsprechenden Grundsätzen des "sicheren Hafens" gefordert wird. Eine Organisation, die diese Forderungen erfuellt, kann nicht haftbar gemacht werden (sofern sie nichts anderes vereinbart hat), wenn ein Dritter, an den sie Daten übermittelt hat, Beschränkungen der Verarbeitung dieser Daten missachtet oder sie in einer Weise verarbeitet, die seinen Erklärungen widerspricht, es sei denn, die Organisation wusste oder konnte wissen, dass der Dritte die Daten in unzulässiger Weise verarbeiten würde, und hat keine angemessenen Schritte unternommen, um das zu unterbinden.

SICHERHEIT

Organisationen, die personenbezogene Daten erstellen, verwalten, verwenden oder verbreiten, müssen angemessene Sicherheitsvorkehrungen treffen, um sie vor Verlust, Missbrauch und unbefugtem Zugriff, Weitergabe, Änderung und Zerstörung zu schützen.

DATENINTEGRITÄT

In Übereinstimmung mit den Grundsätzen müssen personenbezogene Daten für den beabsichtigten Verwendungszweck erheblich sein. Eine Organisation darf personenbezogene Daten nicht in einer Weise verarbeiten, die mit dem ursprünglichen Erhebungszweck oder mit dem Zweck unvereinbar ist, dem der Betroffene nachträglich zugestimmt hat. In dem für diese Zwecke notwendigen Umfang muss die Organisation durch angemessene Maßnahmen gewährleisten, dass die Daten für den vorgesehenen Zweck hinreichend zuverlässig, genau, vollständig und aktuell sind.

AUSKUNFTSRECHT

Privatpersonen müssen Zugang zu den personenbezogenen Daten haben, die eine Organisation über sie besitzt, und sie müssen die Möglichkeit haben, diese zu korrigieren, zu ändern oder zu löschen, wenn sie falsch sind, es sei denn, die Belastung oder die Kosten für die Gewährung des Zugangs würden in dem jeweiligen Fall in einem Missverhältnis zu den Nachteilen für den Betroffenen stehen, oder Rechte anderer Personen als des Betroffenen würden verletzt.

DURCHSETZUNG

Für einen effektiven Schutz der Privatsphäre müssen Mechanismen geschaffen werden, die die Einhaltung der Grundsätze des sicheren Hafens gewährleisten, Rechtsbehelfe für Betroffene vorsehen, bei deren Daten die Grundsätze nicht eingehalten wurden, sowie Sanktionen für die Organisation, die die Grundsätze nicht befolgt. Diese Mechanismen müssen mindestens Folgendes umfassen: a) leicht zugängliche, erschwingliche und von unabhängigen Stellen durchgeführte Verfahren, nach denen Beschwerden, die betroffene Personen unter Berufung auf die Grundsätze erhoben haben, behandelt werden und nach denen Schadenersatz geleistet wird, wenn das geltende Recht oder private Regelungen dies vorsehen; b) Kontrollmaßnahmen, um zu überprüfen, ob die Bescheinigungen und Behauptungen der Unternehmen über ihre Datenschutzmaßnahmen der Wahrheit entsprechen und ob diese Maßnahmen wie angegeben durchgeführt werden; c) Verpflichtungen zur Lösung von Problemen, die daraus resultieren, dass Organisationen die Einhaltung der Grundsätze zwar erklärt, sich aber trotzdem nicht daran gehalten haben, sowie entsprechende Sanktionen für diese Organisationen. Die Sanktionen müssen hinreichend streng sein, um sicherzustellen, dass die Organisationen die Grundsätze einhalten.

(1) Die Übermittlung solcher Daten an einen Dritten ist nicht mitteilungspflichtig bzw. unterliegt nicht dem Grundsatz der Wahlmöglichkeit, wenn dieser im Auftrag oder auf Anweisung der Organisation tätig ist. Der Grundsatz der Weitergabe gilt jedoch auch in solchen Fällen.

(2) Die Übermittlung solcher Daten an einen Dritten ist nicht mitteilungspflichtig bzw. unterliegt nicht dem Grundsatz der Wahlmöglichkeit, wenn dieser im Auftrag oder auf Anweisung der Organisation tätig ist. Der Grundsatz der Weitergabe gilt jedoch auch in solchen Fällen.

Anlage

Liste der von der Europäischen Union anerkannten US-Behörden

Die Europäische Union erkennt an, dass die nachfolgend genannten Behörden befugt sind, Beschwerden zu prüfen und Unterlassung wegen unfairer oder betrügerischer Praktiken zu erwirken sowie Schadenersatz bei Verletzung der gemäß den FAQ umgesetzten Grundsätze:

- die Federal Trade Commission aufgrund ihrer Befugnisse nach Abschnitt 5 des Federal Trade Commission Act;

- das US-Verkehrsministerium aufgrund seiner Befugnisse nach Titel 49 des United States Code, Abschnitt 41712.

ANHANG II

HÄUFIG GESTELLTE FRAGEN (FAQ)

FAQ 1 - Sensible Daten

F: Muss eine Organisation für die Verarbeitung sensibler Daten stets die Zustimmung der betroffenen Person einholen?

A: Nein, die Zustimmung ist nicht erforderlich, wenn die Verarbeitung: 1. im lebenswichtigen Interesse der betroffenen Person oder einer anderen Person liegt; 2. zur Geltendmachung von Rechtsansprüchen oder für die Rechtsverteidigung notwendig ist; 3. für eine medizinische Behandlung oder Diagnose erforderlich ist; 4. durch eine politisch, philosophisch, religiös oder gewerkschaftlich ausgerichtete Stiftung, Vereinigung oder sonstige Körperschaft, die keinen Erwerbszweck verfolgt, im Rahmen rechtmäßiger Tätigkeiten und unter der Voraussetzung, dass sich die Verarbeitung ausschließlich auf die Mitglieder der Organisation oder Personen, die im Zusammenhang mit deren Tätigkeitszweck regelmäßige Kontakte mit ihr unterhalten, beziehen und die Daten nicht ohne Einwilligung der betroffenen Person an Dritte weitergegeben werden; 5. zur Erfuellung der arbeitsrechtlichen Pflichten der Organisation notwendig ist; 6. sich auf Daten bezieht, die von der Person nachweislich veröffentlicht worden sind.

FAQ 2 - Ausnahmen für den journalistischen Bereich

F: Die Pressefreiheit ist durch die amerikanische Verfassung geschützt, und die Richtlinie sieht Ausnahmen für den Fall vor, dass personenbezogene Daten zu journalistischen Zwecken verarbeitet werden. Gelten also die Grundsätze des "sicheren Hafens" auch für personenbezogene Daten, die zu journalistischen Zwecken beschafft, gepflegt oder verbreitet werden?

A: Wenn die im Ersten Zusatz zur Verfassung der Vereinigten Staaten verankerte Pressefreiheit mit dem Recht auf Schutz der Privatsphäre kollidiert, wird, soweit es um die Tätigkeit natürlicher oder juristischer Personen in den USA geht, die Interessenabwägung vom Ersten Verfassungsgrundsatz beherrscht. Die Grundsätze vom "sicheren Hafen" gelten nicht für personenbezogene Daten, die zur Veröffentlichung, zur Verbreitung über Rundfunk und Fernsehen oder für andere Formen öffentlicher Kommunikation gesammelt werden, unabhängig davon, ob sie tatsächlich genutzt werden oder nicht, ebenso nicht für früher veröffentlichtes Material, das aus Medienarchiven stammt.

FAQ 3 - Hilfsweise Haftung

F: Sind Internetdienstanbieter (Internet service providers, ISP), Telekommunikationsunternehmen und andere Organisationen nach den Grundsätzen des "sicheren Hafens" haftbar, wenn sie im Namen einer anderen Organisation Daten, die gegen die für sie geltenden Bestimmungen verstoßen, lediglich übermitteln, weiterleiten oder zwischenspeichern?

A: Nein. Wie auch die Richtlinie selbst begründen die Grundsätze des "sicheren Hafens" keine hilfsweise Haftung. Soweit eine Organisation personenbezogene Daten Dritter nur weiterleitet und weder Mittel noch Zweck ihrer Verarbeitung bestimmt, ist sie nicht haftbar.

FAQ 4 - Investmentbanken und Wirtschaftsprüfer

F: Bei der Tätigkeit von Investmentbanken und Wirtschaftsprüfern kann es vorkommen, dass personenbezogene Daten ohne Wissen und Einwilligung des Betroffenen verarbeitet werden. Unter welchen Voraussetzungen ist das mit den Grundsätzen des "sicheren Hafens" - Informationspflicht, Wahlrecht und Auskunftsrecht (notice, choice and access) - vereinbar?

A: Investmentbanken oder Wirtschaftsprüfer können personenbezogene Daten ohne Wissen des Betroffenen nur verarbeiten, soweit und solange das aufgrund gesetzlicher oder im öffentlichen Interesse liegender Erfordernisse notwendig ist, und können das auch in anderen Fällen, wenn die Anwendung der Grundsätze ihren legitimen Interessen zuwiderlaufen würde. Legitim sind u. a. die Kontrolle von Unternehmen auf Erfuellung ihrer gesetzlichen Pflichten, die Prüfung ihrer Rechnungslegung und die Wahrung der Vertraulichkeit von Information betreffend mögliche Übernahmen, Fusionen und Joint Ventures sowie ähnliche Vorgänge, die von Investmentbanken oder Wirtschaftsprüfern abgewickelt werden.

FAQ 5(1) - Die Rolle der Datenschutzbehörden

F: Wie können Organisationen, die sich zur Zusammenarbeit mit Datenschutzbehörden in der Europäischen Union verpflichten, diese Verpflichtung eingehen und wie wird sie umgesetzt?

A: Nach den Grundsätzen des "sicheren Hafens" müssen in den USA ansässige Organisationen, die personenbezogene Daten aus der EU erhalten, mit geeigneten Mitteln dafür sorgen, dass diese Grundsätze gewahrt werden. Wie im Durchsetzungsgrundsatz beschrieben, gehören diesen Mitteln unter anderem a) Rechtsbehelfe für Personen, über die die Organisationen Daten besitzen, b) Verfahren, mit denen sie überprüfen, ob ihre Aussagen und Zusicherungen betreffend ihre Datenschutzpraxis den Tatsachen entsprechen, c) die Pflicht der Organisationen, Abhilfe zu schaffen, falls es zu Problemen kommt, weil die Grundsätze des "sicheren Hafens" bei ihnen nicht gewahrt werden, sowie Sanktionen für Verstöße gegen diese Grundsätze. Dem Durchsetzungsprinzip (Buchstaben a) und c)) des "sicheren Hafens" können Organisationen dadurch entsprechen, dass sie sich gemäß dieser FAQ zur Zusammenarbeit mit den Datenschutzbehörden in der Europäischen Union verpflichten.

Eine Organisation kann sich zur Zusammenarbeit mit den Datenschutzbehörden verpflichten, indem sie in der Mitteilung, mit der sie das US-Handelsministerium von der Übernahme des Konzepts des "sicheren Hafens" in Kenntnis setzt, Folgendes erklärt (siehe FAQ 6 - Selbstzertifizierung):

1. dass sie den Bestimmungen der Buchstaben a) und c) des Durchsetzungsprinzips entsprechen will, indem sie sich zur Zusammenarbeit mit den entsprechenden Datenschutzbehörden verpflichtet;

2. dass sie mit den entsprechenden Datenschutzbehörden bei der Behandlung von Beschwerden zusammenarbeiten will, die unter Berufung auf die Grundsätze des "sicheren Hafens" erhoben werden;

3. dass sie sich an die Empfehlung der entsprechenden Datenschutzbehörden hält, wenn diese der Organisation aufgeben, spezifische Maßnahmen zu treffen, um den Grundsätzen des "sicheren Hafens" zu entsprechen; hierzu gehören auch Rechtsmittel und Entschädigungsleistungen zu Gunsten von Personen, die infolge Nichteinhaltung der Grundsätze Nachteile erlitten haben; ferner, dass sie den entsprechenden Datenschutzbehörden schriftlich die Durchführung dieser Maßnahmen bestätigt.

Die Kooperation der Datenschutzbehörden erfolgt über Information und Beratung:

- Die Beratung übernimmt ein informelles Gremium, in dem europäische Datenschutzbehörden vertreten sind, sodass u. a. ein einheitlicher schlüssiger Ansatz gewährleistet wird.

- Das Gremium berät die betreffenden US-amerikanischen Organisationen bei ungeklärten Beschwerden von Einzelpersonen über den Umgang mit personenbezogenen Daten, die aus der EU im Rahmen des "sicheren Hafens" übermittelt wurden. Diese Beratung soll gewährleisten, dass die Grundsätze des sicheren Hafens korrekt angewendet werden; sie schließt die Rechtsmittel für die betroffene(n) Einzelperson(en) ein, die die Datenschutzbehörden für angemessen erachten.

- Das Gremium erbringt derartige Beratungsleistungen auf Anfrage der betreffenden US-Organisationen und/oder auf direkt eingegangene Beschwerden von Einzelpersonen gegen Organisationen, die sich auf die Grundsätze des "sicheren Hafens" und zur Zusammenarbeit mit den Datenschutzbehörden verpflichtet haben. Dabei ermutigt es die betroffenen Einzelpersonen zunächst, die verfügbaren internen Verfahren zur Behandlung von Beschwerden, die die Organisation bereitstellt, zu nutzen, und unterstützt sie erforderlichenfalls dabei.

- Das Gremium gibt erst dann eine Empfehlung ab, wenn beide Parteien hinreichend Gelegenheit zur Stellungnahme oder zum Vorlegen von Beweisen hatten. Es wird sich bemühen, die Empfehlung so rasch zur Verfügung zu stellen, wie ein ordnungsgemäßes Vorgehen dies erlaubt. Grundsätzlich wird das Gremium sich bemühen, die Beratung binnen sechzig Tagen nach Eingang einer Beschwerde oder dem Ersuchen einer Organisation anzubieten, und falls möglich noch rascher.

- Soweit es ihm angemessen erscheint, veröffentlicht das Gremium die Ergebnisse der Beschwerdeprüfungen.

- Die Beratung ist weder für das Gremium selbst noch für eine der beteiligten Datenschutzbehörden mit irgendeiner Form der Haftung verbunden.

Organisationen, die sich für diese Form der Streitbeilegung entscheiden, müssen sich verpflichten, den Empfehlungen der Datenschutzbehörden zu folgen. Kommt die Organisation den Empfehlungen des Gremiums nicht binnen 25 Tagen nach und hat keine befriedigende Erklärung für die Verzögerung gegeben, so teilt das Gremium seine Absicht mit, die Angelegenheit an die US-Federal-Trade-Commission oder eine andere Stelle zu verweisen, die Zuständigkeit bzw. Durchsetzungsgewalt in Fällen von Irreführung oder unrichtiger Erklärung besitzt. Oder es teilt mit, dass es zu dem Schluss gelangt ist, dass eine gravierende Verletzung der Kooperationsvereinbarung vorliegt, und diese mithin null und nichtig ist. In diesem Fall unterrichtet das Gremium das US-Handelsministerium (oder eine von ihm benannte Stelle), sodass das Verzeichnis der dem "sicheren Hafen" angehörenden Organisationen entsprechend geändert werden kann. Jede Unterlassung der Zusammenarbeit und jeder Verstoß gegen die Grundsätze des "sicheren Hafens" können als Irreführung gemäß Abschnitt 5 des US-FTC-Acts oder anderen vergleichbaren Gesetzen rechtlich verfolgt werden.

Organisationen, die sich für die Zusammenarbeit gemäß der Vereinbarung zum "sicheren Hafen" entscheiden, zahlen eine Jahresgebühr, die dazu bestimmt ist, die laufenden Kosten des Gremiums der Datenschutzbehörden zu decken; ferner können sie zur Begleichung der Kosten für alle erforderlichen Übersetzungen herangezogen werden, die sich aus der Beratungstätigkeit des Gremiums im Zusammenhang mit Beschwerden gegenüber den Organisationen ergeben. Die Jahresgebühr beträgt höchstens 500 USD und ist für kleinere Organisationen geringer.

Die Option der Zusammenarbeit mit den Datenschutzbehörden steht den Organisationen, die der Vereinbarung zum "sicheren Hafen" beitreten, für drei Jahre offen. Die Datenschutzbehörden werden die Vereinbarung vor Ablauf dieses Zeitraums überprüfen, falls sich zu viele US-amerikanische Organisationen für diese Option entscheiden.

FAQ 6 - Selbstzertifizierung

F: Wie zertifiziert eine Organisation, dass sie die Grundsätze des "sicheren Hafens" als verbindlich anerkennt?

A: In den Genuss der Vorteile des "sicheren Hafens" kommt eine Organisation ab dem Tag, an dem sie dem US-Handelsministerium (oder einer von diesem benannten Stelle) gegenüber erklärt, dass sie entsprechend den nachstehenden Leitlinien den Grundsätzen des "sicheren Hafens" beitritt (Selbstzertifizierung).

Um sich selbst zu zertifizieren, muss die Organisation dem US-Handelsministerium (oder einer von diesem benannten Stelle) ein von einem leitenden Mitarbeiter im Namen der Organisation unterzeichnetes Schreiben vorlegen, das mindestens folgende Angaben enthält:

1. Name der Organisation, Postanschrift, E-Mail-Adresse, Telefon- und Faxnummer;

2. Beschreibung der Tätigkeit der Organisation im Zusammenhang mit personenbezogenen Daten aus der EU; und

3. Beschreibung der Geschäftsbedingungen für den Datenschutz der Organisation, die folgende Angaben umfassen muss: a) Ort, an dem diese Beschreibung von der Öffentlichkeit eingesehen werden kann; b) Tag, an dem diese Vorkehrungen in Kraft gesetzt wurden; c) Kontaktstelle, die für die Bearbeitung von Beschwerden, Auskunftsersuchen und anderen Angelegenheiten des sicheren Hafens zuständig ist; d) die gesetzliche Aufsichtsbehörde, die über Beschwerden gegen die Organisation wegen unlauteren oder irreführenden Geschäftsgebarens und wegen Verletzung von datenschutzrechtlichen Vorschriften entscheidungsbefugt ist (und im Anhang zu den Grundsätzen aufgeführt ist); e) die Bezeichnungen aller Datenschutzprogramme, an denen die Organisation teilnimmt; f) die Art der anlassunabhängigen Kontrolle (z. B. intern oder extern)(2) und g) das unabhängige Schiedsverfahren zur Behandlung ungelöster Beschwerdefälle.

Wenn die Organisation wünscht, dass ihr die Vorteile des sicheren Hafens auch bei Personaldaten zuteil werden, die zur Verwendung im Rahmen von Beschäftigungsverhältnissen aus der EU übermittelt werden, muss es eine gesetzliche Aufsichtsbehörde geben, die über Beschwerden gegen die Organisation hinsichtlich Arbeitnehmerdaten beschwerdebefugt ist; diese Stelle muss im Anhang zu den Grundsätzen genannt sein. Darüber hinaus muss die Organisation darauf in der Selbstzertifizierung hinweisen und sich bereit erklären, gemäß FAQ 9 und 5, soweit anwendbar, mit der (den) Datenschutzbehörde(n) in der EU zusammenzuarbeiten und den Empfehlungen dieser Behörden nachzukommen.

Das Ministerium (oder die von ihm benannte Stelle) führt eine Liste aller Organisationen, die sich selbst zertifizieren und denen damit die Vorteile des "sicheren Hafens" zustehen. Die Liste wird nach den jährlich eingehenden Selbstzertifizierungsschreiben und den nach FAQ 11 eingegangenen Mitteilungen aktualisiert. Das Selbstzertifizierungsschreiben ist mindestens jährlich neu vorzulegen, andernfalls wird die Organisation von der Liste gestrichen und verliert damit ihren Status als "sicherer Hafen". Die Liste und die von den Organisationen vorgelegten Selbstzertifizierungsschreiben werden der Öffentlichkeit zugänglich gemacht. Alle Organisationen, die sich selbst zertifizieren, müssen in ihren relevanten veröffentlichten Geschäftsbedingungen zum Datenschutz auch erklären, dass sie sich an die Grundsätze des "sicheren Hafens" halten.

Die Verpflichtung auf die Grundsätze des "sicheren Hafens" gilt ohne zeitliche Begrenzung für Daten, die der Organisation übermittelt wurden, während sie den Status eines "sicheren Hafens" hatte. Diese Daten unterliegen den Grundsätzen des "sicheren Hafens" so lange, wie die Organisation sie speichert, verarbeitet oder weitergibt, und das auch dann noch, wenn sie aus welchem Grund auch immer den "sicheren Hafen" verlässt.

Eine Organisation, die aufgrund einer Fusion oder einer Übernahme ihren Status als selbstständige rechtliche Einheit verliert, muss dies dem Handelsministerium (oder einer von ihm benannten Stelle) vorher mitteilen. In dieser Mitteilung sollte auch darauf hingewiesen werden, ob die übernehmende Einheit bzw. die Einheit, die aus der Fusion hervorgeht, 1. weiterhin nach dem Gesetz, unter dem die Fusion oder Übernahme stattfand, an die Grundsätze des "sicheren Hafens" gebunden ist oder 2. entscheidet, ihren Beitritt zu den Grundsätzen des "sicheren Hafens" selbst zu zertifizieren, bzw. andere Garantien, beispielsweise durch schriftliche Vereinbarungen, schafft, die die Einhaltung der Grundsätze des "sicheren Hafens" gewährleisten. Ist weder 1. noch 2. der Fall, müssen alle Daten, die im Rahmen des "sicheren Hafens" gesammelt wurden, unverzüglich gelöscht werden.

Eine Organisation muss die Grundsätze des "sicheren Hafens" nicht unterschiedslos auf alle personenbezogenen Daten anwenden, sie muss sie aber auf alle nach ihrer Verpflichtung auf diese Grundsätze aus der EU empfangenen personenbezogenen Daten anwenden.

Macht eine Organisation gegenüber der Öffentlichkeit unzutreffende Angaben über ihre Anwendung der Grundsätze des "sicheren Hafens", kann die Federal Trade Commission oder eine andere zuständige staatliche Stelle gegen sie vorgehen. Unzutreffende Angaben gegenüber dem US-Handelsministerium oder einer von ihm benannten Stelle können nach dem False Statements Act (18 U.S.C. § 1001) strafrechtlich verfolgt werden.

FAQ 7 - Anlassunabhängige Kontrolle

F: Nach welchen Verfahren prüfen Organisationen, dass der von ihnen zugesicherte Datenschutz tatsächlich besteht und dass ihre Datenschutzpolitik tatsächlich umgesetzt worden ist und den Grundsätzen des "sicheren Hafens" entspricht?

A: Die nach dem Durchsetzungsgrundsatz erforderliche anlassunabhängige Kontrolle kann eine Organisation entweder selbst durchführen oder von einer externen Stelle durchführen lassen.

Die Selbstkontrolle umfasst eine Erklärung darüber, dass die Organisation feststellt, dass ihre veröffentlichten Geschäftsbedingungen zum Datenschutz betreffend personenbezogene Daten aus der EU sachgerecht, umfassend, an auffälliger Stelle bekannt gemacht, vollständig umgesetzt und für jedermann zugänglich sind. Sie muss ferner feststellen, dass ihre Geschäftsbedingungen zum Datenschutz den Grundsätzen des "sicheren Hafens" entsprechen, dass betroffene Personen über interne Beschwerdeverfahren und Beschwerdeverfahren bei unabhängigen Schiedsstellen informiert werden, dass sie ihre Beschäftigten systematisch in der Praxis des Datenschutzes unterweist und Verstöße gegen die Datenschutzregeln sanktioniert und dass es bei ihr interne Verfahren gibt, nach denen die Einhaltung der Datenschutzvorschriften regelmäßig und objektiv überprüft wird. Die Selbstkontrolle sollte mindestens einmal jährlich stattfinden, eine Erklärung über ihre Durchführung ist von einem leitenden Angestellten oder einem bevollmächtigten Vertreter der Organisation zu unterzeichnen. Sie ist vorzulegen auf Verlangen von Einzelpersonen, im Rahmen einer Untersuchung oder bei einer Beschwerde wegen Nichteinhaltung von Datenschutzvorschriften.

Organisationen sollten die Umsetzung ihrer nach den Grundsätzen des "sicheren Hafens" konzipierten Geschäftsbedingungen zum Datenschutz dokumentieren und im Fall einer Untersuchung oder einer Beschwerde wegen Verletzung der Datenschutzvorschriften ihre Unterlagen der unabhängigen Schiedsstelle übergeben, die für die Prüfung von Beschwerden zuständig ist, oder der gesetzlichen Aufsichtsbehörde, die bei unlauterem und irreführendem Geschäftsgebaren entscheidungsbefugt ist.

Bei externer anlassunabhängiger Kontrolle ist nachzuweisen, dass die Geschäftsbedingungen zum Datenschutz der Organisation für den Schutz personenbezogener Daten aus der EU den Grundsätzen des "sicheren Hafens" entsprechen, dass diese Regeln eingehalten werden und dass betroffene Personen über die Beschwerdewege informiert werden, die ihnen offen stehen. Dazu können ohne Einschränkung Buchprüfungen und Zufallskontrollen durchgeführt sowie "Köder" und jede Art von technischen Hilfsmitteln eingesetzt werden. Die externe Kontrolle sollte mindestens einmal jährlich stattfinden, eine Erklärung über ihre Durchführung ist von einem leitenden Angestellten oder einem bevollmächtigten Vertreter der Organisation zu unterzeichnen. Sie ist vorzulegen auf Verlangen von Einzelpersonen, im Rahmen einer Untersuchung oder bei einer Beschwerde wegen Nichteinhaltung von Datenschutzvorschriften.

FAQ 8 - Auskunftsrecht

Auskunftsrecht

Personen müssen Zugang zu Daten haben, die eine Organisation über sie gespeichert hat, und diese Daten berichtigen, ergänzen oder löschen lassen können, wenn sie unrichtig sind. Der Zugang kann jedoch verwehrt werden, wenn seine Gewährung mit Kosten oder Arbeit verbunden ist, die im Einzelfall in keinem Verhältnis zum Nachteil für die Privatsphäre des Betroffenen stehen, oder wenn legitime Rechte Dritter verletzt würden.

F 1: Gibt es ein absolutes Auskunftsrecht?

A 1: Nein. Nach den Grundsätzen des "sicheren Hafens" ist das Auskunftsrecht zwar grundlegend für den Schutz der Privatsphäre und ermöglicht es dem Einzelnen, die Richtigkeit von Daten zu überprüfen, die über ihn gespeichert sind. Die Pflicht einer Organisation, Personen Zugang zu den sie betreffenden personenbezogenen Daten zu gewähren, hat jedoch Grenzen, die sich nach dem Grundsatz der Verhältnismäßigkeit und der Zumutbarkeit bestimmen, und muss in bestimmten Fällen abgemildert werden. In der Begründung zu den Datenschutzleitlinien der OECD von 1980 wird schon klar gesagt, dass das Auskunftsrecht nicht absolut ist. Die Organisation ist nicht verpflichtet, so gründlich zu recherchieren, wie es etwa im Rahmen einer gerichtlichen Untersuchung erforderlich wäre, und muss auch nicht Zugang zu allen verschiedenen Speicherformen gewähren, in denen Daten über den Betroffenen gespeichert sind.

Verlangt jemand Zugang zu den über ihn gespeicherten Daten, sollte sich die angesprochene Organisation zunächst fragen, welche Gründe die Person dazu veranlassen. Ist beispielsweise eine Anfrage vage formuliert oder betrifft sie einen sehr weiten Bereich, so kann die Organisation mit der Person in Dialog treten, um die Gründe für die Anfrage besser zu verstehen und die gewünschten Daten zu ermitteln. Die Organisation kann sich danach erkundigen, mit welchen Teilen der Organisation die Person Kontakt hatte und/oder um welche Art von Daten (oder deren Nutzung) es geht. Wer Zugang zu den ihn betreffenden Daten verlangt, muss das allerdings nicht begründen.

Bei der Beurteilung der Zumutbarkeit sind die Kosten und die Arbeit zu berücksichtigen, die die Gewährung des Zugangs erfordert, sie sind aber nicht entscheidend. Bilden die Daten etwa die Grundlage für Entscheidungen, die für die Person von großer Tragweite sind (z. B. die Gewährung oder Versagung erheblicher Vorteile wie eine Versicherung, einen Kredit oder einen Arbeitsplatz), dann ist es der Organisation zumutbar, über diese Daten Auskunft zu geben, selbst wenn das einen relativ hohen Kosten- und Arbeitsaufwand erfordert.

Wenn die angeforderten Daten nicht sensibel sind oder nicht für Entscheidungen verwendet werden, die für die Person von großer Tragweite sind (z. B. nichtsensible Marketingdaten, nach denen entschieden wird, ob die Person einen Katalog zugesandt bekommt), aber leicht zugänglich sind und kostengünstig zur Verfügung gestellt werden können, muss die Organisation Zugang zu den Daten gewähren, die sie über die Person speichert. Diese Daten können von der Person selbst erhoben, im Verlauf eines Geschäftsvorgangs gesammelt oder von anderen erlangt worden sein.

Wegen seines grundlegenden Charakters sollen Organisationen das Auskunftsrecht nie ohne Not beschränken. Müssen z. B. bestimmte Daten geschützt werden und lassen sie sich leicht von den Daten trennen, zu denen Zugang verlangt wird, sollte die Organisation die geschützten Daten unkenntlich machen und die übrigen zur Verfügung stellen. Beschließt eine Organisation in einem bestimmten Fall, keinen Zugang zu gewähren, sollte sie der Person, die um Zugang ersucht hat, ihre Entscheidung begründen und ihr eine Kontaktstelle nennen, die weitere Auskünfte erteilt.

F 2: Was sind vertrauliche Geschäftsdaten und dürfen Organisationen den Zugang zu personenbezogenen Daten verwehren, um vertrauliche Geschäftsdaten zu schützen?

A 2: Vertrauliche Geschäftsdaten (in den Federal Rules of Civil Procedure on discovery als "confidential commercial information" bezeichnet) sind Daten, die ihr Inhaber durch besondere Vorkehrungen vor unbefugtem Zugriff geschützt hat, weil ihre Kenntnis Konkurrenten Vorteile verschaffen würde. Ein spezielles Rechnerprogramm, das eine Organisation verwendet, etwa ein Modellierungsprogramm, oder die Einzelheiten dieses Programms können vertrauliche Geschäftsdaten sein. Können vertrauliche Geschäftsdaten leicht von den Daten getrennt werden, zu denen Zugang verlangt wird, sollte die Organisation die vertraulichen Daten unkenntlich machen und die nichtvertraulichen zur Verfügung stellen. Eine Organisation kann den Zugang zu personenbezogenen Daten verwehren oder einschränken, wenn dadurch eigene vertrauliche Geschäftsdaten, wie z. B. von der Organisation erarbeitete Marketingkonzepte und Klassifikationen, offenbart würden oder aber Geschäftsdaten anderer, die einer vertraglichen Geheimhaltungspflicht unterliegen, sofern eine Geheimhaltungsverpflichtung in solchen Fällen üblich oder vorgeschrieben ist.

F 3: Kann eine Organisation, die personenbezogene Daten in ihren Datenbanken gespeichert hat, Personen lediglich mitteilen, welche Daten über sie gespeichert sind, oder muss sie ihnen Zugang zu den Datenbanken gewähren?

A 3: Es genügt eine Mitteilung über die gespeicherten Daten, der Person muss kein Zugang zu den Datenbanken der Organisation gewährt werden.

F 4: Muss eine Organisation ihre Datenbanken erforderlichenfalls umstrukturieren, um Auskunft gewähren zu können?

A 4: Die Organisation muss nur Auskunft über die von ihr gespeicherten personenbezogenen Daten geben. Das Auskunftsrecht begründet keine Pflicht, Dateien mit personenbezogenen Daten aufzubewahren, zu pflegen oder erforderlichenfalls umzustrukturieren.

F 5: Den vorstehenden Antworten ist zu entnehmen, dass Personen der Zugang zu sie betreffenden Daten in bestimmten Fällen verwehrt werden kann. In welchen anderen Fällen ist das noch möglich?

A 5: Das ist nur in wenigen Fällen möglich und muss in jedem Fall konkret begründet werden. Eine Organisation kann den Zugang zu personenbezogenen Daten insoweit verwehren, als ihre Bekanntgabe wesentliche öffentliche Belange gefährden würde wie die nationale Sicherheit, die Verteidigung oder die öffentliche Sicherheit. Außerdem kann der Zugang verwehrt werden, wenn personenbezogene Daten ausschließlich für wissenschaftliche oder statistische Zwecke verarbeitet werden sollen. Weitere Gründe für die Verweigerung oder Beschränkung des Zugangs sind:

a) Beeinträchtigung von Rechtsvollzug oder Vollstreckung, einschließlich der Verhütung, Untersuchung oder Aufdeckung von Straftaten, oder des Rechts auf einen fairen Prozess;

b) Beeinträchtigung eines zivilrechtlichen Verfahrens, einschließlich der Abwehr, Untersuchung und Verfolgung von Rechtsansprüchen, oder des Rechts auf einen fairen Prozess;

c) die personenbezogenen Daten haben Bezüge zu anderen Personen, die nicht unkenntlich gemacht werden können;

d) gesetzliche oder andere berufliche Rechte und Pflichten werden verletzt;

e) es kommt zum Bruch der notwendigen Vertraulichkeit künftiger oder laufender Verhandlungen, z. B. über die Übernahme börsennotierter Organisationen;

f) die Sicherheitsprüfung von Arbeitnehmern oder ein Beschwerdeverfahren wird beeinträchtigt;

g) die Vertraulichkeit, die bei der Neubesetzung von Stellen oder bei der Umorganisation von Organisationen für eine gewisse Zeit gewahrt werden muss, wird gefährdet;

h) die Vertraulichkeit ist gefährdet, die bei der Überwachung, bei der Prüfung und bei sonstigen gesetzlich vorgeschriebenen Ordnungsfunktionen im Zusammenhang mit der ordnungsgemäßen Wirtschaftsführung erforderlich ist;

i) die Gewährung des Zugangs ist mit unverhältnismäßigen Kosten oder Arbeit verbunden, oder sie führt zur Beeinträchtigung der Rechte oder der berechtigten Interessen anderer.

Eine Organisation, die sich auf einen dieser Ausnahmefälle beruft, muss nachweisen, dass er tatsächlich vorliegt (was in der Regel der Fall ist). Wie bereits gesagt, sollen der anfragenden Person die Gründe für eine Zugangsverweigerung oder -beschränkung mitgeteilt werden, und es soll ihr eine Anlaufstelle für weitere Fragen genannt werden.

F 6: Kann eine Organisation eine Gebühr erheben, um die Kosten für die Auskunftserteilung zu decken?

A 6: Ja, die OECD-Leitlinien gestehen Organisationen das Recht zu, eine Gebühr zu erheben. Sie darf aber nicht überhöht sein. Organisationen dürfen also eine angemessene Gebühr in Rechnung stellen. Eine Gebühr kann sinnvoll sein, um wiederholten oder belästigenden Anfragen vorzubeugen.

Organisationen, die öffentlich zugängliche Information gegen Entgelt anbieten, können ihre üblichen Gebühren erheben. Alternativ können Personen Zugang zu sie betreffenden Daten von der Organisation verlangen, die sie ursprünglich erhoben hat.

Der Zugang darf nicht aus Kostengründen verwehrt werden, wenn die Personen, die den Zugang verlangen, bereit sind, diese Kosten zu übernehmen.

F 7: Ist eine Organisation verpflichtet, Zugang zu personenbezogenen Daten zu gewähren, die sie aus öffentlichen Datenbeständen gewonnen hat?

A 7: Zunächst eine Begriffsklärung: öffentliche Datenbestände sind Datenbestände, die von Ämtern aller Ebenen geführt werden und der Öffentlichkeit zur Einsichtnahme offen stehen. Das Auskunftsrecht gilt für solche Daten nur, wenn sie mit anderen personenbezogenen Daten kombiniert sind. Das Auskunftsrecht gilt nicht, wenn lediglich kleine Mengen von Daten aus nichtöffentlichen Quellen verwendet wurden, um die öffentlichen Daten zu indexieren oder zu ordnen. Die Bestimmungen der einschlägigen Rechtsvorschriften über die Einsichtnahme in Datenbestände sind einzuhalten. Sind Daten aus öffentlichen Beständen mit anderen als den genannten Datenmengen aus nichtöffentlichen Quellen kombiniert, muss die Organisation Zugang zu allen personenbezogenen Daten gewähren, sofern nicht einer der genannten Ausnahmefälle vorliegt.

F 8: Gilt das Auskunftsrecht für öffentlich verfügbare personenbezogene Daten?

A 8: Wie bei Daten, die aus öffentlichen Beständen gewonnen wurden (siehe F 7), ist das Auskunftsrecht nicht auf Daten anzuwenden, die bereits der Öffentlichkeit zur Verfügung stehen, sofern sie mit nicht öffentlich verfügbaren Daten kombiniert sind.

F 9: Wie kann sich eine Organisation vor wiederholten oder belästigenden Auskunftsbegehren schützen?

A 9: Eine Organisation muss solchen Auskunftsbegehren nicht entsprechen. Deshalb kann sie für Auskünfte eine angemessene Gebühr erheben oder die Zahl der Anfragen einer Person innerhalb eines bestimmten Zeitraums angemessen begrenzen. Bei der Festlegung dieser Grenze sind Faktoren zu berücksichtigen wie die Häufigkeit, mit der Daten aktualisiert werden, der Zweck, für den die Daten verwendet werden, und die Art der Daten.

F 10: Wie kann sich eine Organisation vor Auskunftserschleichung schützen?

A 10: Eine Organisation muss nur Auskunft erteilen, wenn die anfragende Person ihre Identität zweifelsfrei nachweist.

F 11: Gibt es eine Frist, innerhalb deren Auskunft erteilt werden muss?

A 11: Ja, eine Organisation soll ohne übermäßige Verzögerung und innerhalb angemessener Frist Auskunft erteilen. Wie in der Begründung der OECD-Datenschutzleitlinien von 1980 dargelegt wird, kann diese Forderung auf verschiedene Weise erfuellt werden. So kann eine Organisation, die Daten verarbeitet, von der Pflicht zur sofortigen Auskunftserteilung befreit werden, wenn sie erfasste Personen regelmäßig informiert.

FAQ 9 - Personaldaten

F 1: Gilt der Grundsatz des "sicheren Hafens", wenn personenbezogene Daten, die im Rahmen eines Beschäftigungsverhältnisses erhoben wurden, aus der EU in die Vereinigten Staaten übermittelt werden?

A 1: Ja. Übermittelt eine in der EU ansässige Organisation im Rahmen des Beschäftigungsverhältnisses erhobene personenbezogene Daten über ihre (früheren oder derzeitigen) Beschäftigten an eine Mutterorganisation, eine verbundene Organisation oder eine nicht verbundene Dienstleistungsorganisation in den USA, die sich auf die Grundsätze des "sicheren Hafens" verpflichtet hat, so fällt diese Übermittlung in den Anwendungsbereich der Grundsätze des "sicheren Hafens". In einem solchen Fall gelten für die Erhebung der Daten und ihre Verarbeitung vor der Übermittlung die Rechtsvorschriften des EU-Mitgliedstaats, aus dem sie stammen; sämtliche nach diesen Rechtsvorschriften geltenden Bedingungen und Beschränkungen der Übermittlung müssen beachtet werden.

Die Grundsätze des "sicheren Hafens" gelten nur für die Übermittlung von und den Zugriff auf Daten über identifizierte Einzelpersonen. Statistische Informationen, die auf aggregierten, anonymisierten oder pseudonymisierten Beschäftigungsdaten beruhen, sind unter dem Datenschutzaspekt unbedenklich.

F 2: Wie sind die Grundsätze der Informationspflicht und des Wahlrechts auf solche Daten anzuwenden?

A 2: Eine Organisation in den USA, die unter Anwendung der Grundsätze des "sicheren Hafens" Personaldaten aus der EU empfangen hat, darf diese Dritten nur offen legen und diese nur für andere Zwecke nutzen, wenn das mit den Grundsätzen der Informationspflicht und der Wahlmöglichkeit vereinbar ist. Will beispielsweise eine Organisation in den USA Personaldaten einer Organisation in der EU für Zwecke wie Direktmarketing nutzen, muss sie zuvor den betroffenen Personen die Wahlmöglichkeit geben, es sei denn, diese haben bereits der Nutzung der Daten für die jeweiligen Zwecke zugestimmt. Macht ein Beschäftigter von seinem Recht Gebrauch, die Erlaubnis zu versagen, darf das keine Minderung seiner Berufschancen und keine Sanktionen gegen ihn zur Folge haben.

Es ist darauf hinzuweisen, dass auf Grund einiger allgemein gültiger Bedingungen für die Übermittlung von Daten durch bestimmte Mitgliedstaaten die Nutzung der Daten für andere Zwecke auch nach der Übermittlung in Länder außerhalb der EU ausgeschlossen werden kann; solche Bedingungen müssen eingehalten werden.

Außerdem ist den individuellen Datenschutzbedürfnissen der Arbeitnehmer angemessen Rechnung zu tragen. Auf Wunsch könnte etwa der Zugriff auf bestimmte Daten beschränkt werden oder Daten könnten anonymisiert oder Codes/Pseudonymen zugeordnet werden, wenn der tatsächliche Name für den vorgesehenen Zweck nicht benötigt wird.

Wo es um Beförderungen, Ernennungen und ähnliche Personalentscheidungen geht, ist die Organisation in dem Maß und so lange von der Pflicht zur Information und zur Beachtung der Wahlmöglichkeit befreit, wie es zur Wahrung ihrer legitimen Interessen notwendig ist.

F 3: Wie ist der Grundsatz des Auskunftsrechts anzuwenden?

A 3: In den Antworten auf die FAQs zum Auskunftsrecht wird ausgeführt, aus welchen Gründen der Zugang zu Personaldaten beschränkt oder verwehrt werden kann. Selbstverständlich müssen Arbeitgeber aus der Europäischen Union Arbeitnehmern aus der EU nach den Rechtsvorschriften ihres Landes Zugang zu Personaldaten gewähren, unabhängig davon, wo diese Daten verarbeitet oder gespeichert werden. Nach den Grundsätzen des "sicheren Hafens" muss eine Organisation, die solche Daten in den USA verarbeitet, diesen Zugang direkt oder unter Einschaltung des EU-Arbeitgebers gewährleisten.

F 4: Welche Möglichkeiten der Rechtsdurchsetzung hat der Arbeitnehmer nach den Grundsätzen des "sicheren Hafens"?

A 4: Soweit Personaldaten nur im Rahmen des Beschäftigungsverhältnisses verwendet werden, bleibt gegenüber dem Arbeitnehmer in erster Linie die in der EU ansässige Organisation verantwortlich. Folglich ist ein europäischer Arbeitnehmer, der gegen die Verwendung der ihn betreffenden Daten Beschwerde erhoben hat, (organisationsintern, bei einer externen Stelle oder nach einem tarifvertraglich vorgesehenen Verfahren) und mit dem Ergebnis nicht zufrieden ist, an den zuständigen Datenschutzbeauftragten oder die für arbeitsrechtliche Fragen zuständige Behörde des Landes zu verweisen, in dem er beschäftigt ist. Das gilt auch, wenn der als unzulässig betrachtete Umgang mit ihn betreffenden Daten in den Vereinigten Staaten stattgefunden hat, hierfür die US-Organisation, die die Informationen von dem Arbeitgeber erhalten hat, und nicht der Arbeitgeber verantwortlich ist und somit ein Verstoß gegen die Grundsätze des "sicheren Hafens" vorliegt und nicht ein Verstoß gegen nationale Rechtsvorschriften, die zur Umsetzung der Datenschutzrichtlinie erlassen wurden. So lässt sich am ehesten klären, wie die einander überschneidenden Bestimmungen des Arbeitsrechts, der Tarifverträge und des Datenschutzrechts miteinander in Einklang zu bringen sind.

Eine auf die Grundsätze des "sicheren Hafens" verpflichtete amerikanische Organisation, die Personaldaten, die im Rahmen eines Beschäftigungsverhältnisses aus der Europäischen Union übermittelt wurden, benutzt und wünscht, dass auf solche Übermittlungen die Grundsätze des "sicheren Hafens" angewandt werden, muss sich also verpflichten, gegebenenfalls bei Untersuchungen der in der EU jeweils zuständigen Behörden mitzuwirken und deren Empfehlungen zu befolgen. Die Datenschutzbehörden, die einer Zusammenarbeit in diesem Sinne zustimmen, setzen die Europäische Kommission und das amerikanische Handelsministerium davon in Kenntnis. In den Fällen, in denen eine auf die Grundsätze des "sicheren Hafens" verpflichtete amerikanische Organisation Personaldaten aus einem Mitgliedstaat, dessen Datenschutzbehörde einer Zusammenarbeit nicht zugestimmt hat, übermitteln will, gilt FAQ 5(3).

FAQ 10 - Datenverarbeitung im Auftrag (Artikel 17 der Datenschutzrichtlinie)

F: Wenn Daten aus der EU in den USA im Auftrag verarbeitet werden sollen, muss dafür ein Vertrag geschlossen werden unabhängig davon, ob der Auftragsverarbeiter der Vereinbarung zum sicheren Hafen beigetreten ist oder nicht?

A: Ja. Werden Daten lediglich zur Verarbeitung im Auftrag übermittelt, muss der in Europa für die Verarbeitung Verantwortliche darüber stets einen Vertrag schließen, gleich ob die Verarbeitung in oder außerhalb der EU stattfindet. Der Vertrag soll die Interessen des für die Verarbeitung Verantwortlichen schützen, also der natürlichen oder juristischen Person, die Mittel und Zweck der Verarbeitung bestimmt und die gegenüber der (den) betroffenen Person(en) voll verantwortlich bleibt. Im Vertrag wird festgehalten, welche Arbeiten genau auszuführen sind und mit welchen Vorkehrungen für die Sicherheit der Daten zu sorgen ist.

Eine amerikanische Organisation, die der Vereinbarung zum "sicheren Hafen" beigetreten ist und personenbezogene Daten aus der EU zur Verarbeitung im Auftrag übermittelt bekommt, braucht bei diesen Daten die Grundsätze nicht anzuwenden, denn die Verantwortung dafür gegenüber der betroffenen Person liegt nach den geltenden EU-Rechtsvorschriften (die strenger sein können als die Grundsätze des "sicheren Hafens") weiterhin bei dem für die Verarbeitung Verantwortlichen.

Da die dem "sicheren Hafen" angehörenden Organisationen einen angemessenen Schutz gewähren, ist bei reinen Verarbeitungsverträgen mit dem "sicheren Hafen" angehörenden Organisationen keine vorherige Genehmigung erforderlich (oder die Genehmigung wird von dem jeweiligen Mitgliedstaat automatisch erteilt), wie sie bei Verträgen mit Empfängern, die sich nicht auf die Grundsätze des sicheren Hafens verpflichtet haben bzw. nicht auf andere Weise einen angemessenen Schutz bieten, erforderlich wäre.

FAQ 11 - Schiedsverfahren und Durchsetzungsprinzip

F: Wie sind die im Durchsetzungsprinzip enthaltenen Anforderungen an die Behandlung von Beschwerden in die Praxis umzusetzen und was geschieht, wenn eine Organisation fortgesetzt gegen die Grundsätze des "sicheren Hafens" verstößt?

A: Im Durchsetzungsprinzip ist festgelegt, wie den Grundsätzen des sicheren Hafens Geltung zu verschaffen ist. Wie Punkt b) des Durchsetzungsgrundsatzes zu entsprechen ist, wird in FAQ 7 (Kontrolle) ausgeführt. Diese FAQ 11 befasst sich mit den Punkten a) und c), die beide die Forderung nach unabhängigen Schiedsstellen enthalten. Das Beschwerdeverfahren kann auf verschiedene Weise ausgestaltet werden, es muss aber die im Durchsetzungsgrundsatz genannten Anforderungen erfuellen. Organisationen können diese Forderungen des Durchsetzungsgrundsatzes wie folgt erfuellen: 1. indem sie von der Privatwirtschaft entwickelte Datenschutzprogramme befolgen, in deren Regeln die Grundsätze des "sicheren Hafens" integriert sind und die wirksame Durchsetzungsmechanismen vorsehen, wie sie im Durchsetzungsgrundsatz beschrieben sind; 2. indem sie sich gesetzlich oder durch Rechtsverordnung vorgesehenen Kontrollorganen unterwerfen, die Beschwerden von Einzelpersonen nachgehen und Streitigkeiten schlichten; 3. indem sie sich verpflichten, mit den Datenschutzbehörden in der Europäischen Union oder mit deren bevollmächtigten Vertretern zusammenzuarbeiten. Die hier angeführten Möglichkeiten sind Beispiele, es handelt sich nicht um eine abschließende Aufzählung. Die Privatwirtschaft kann auch andere Durchsetzungsmechanismen einführen, sie müssen nur die Forderungen erfuellen, die im Durchsetzungsgrundsatz und in den FAQ niedergelegt sind. Zu beachten ist, dass die Forderungen des Durchsetzungsgrundsatzes die Forderung ergänzen, die im dritten Absatz der Einführung zu den Grundsätzen des sicheren Hafens formuliert ist. Danach müssen auch bei Selbstregulierung Verstöße gegen die Grundsätze gemäß Abschnitt 5 des Federal Trade Commission Act oder einem ähnlichen Gesetz verfolgbar sein.

Anrufung unabhängiger Beschwerdestellen:

Die Verbraucher sollen dazu angehalten werden, Beschwerden zunächst an die Organisation zu richten, die ihre Daten verarbeitet, ehe sie eine unabhängige Beschwerdestelle anrufen. Die Unabhängigkeit einer Beschwerdestelle ist an verschiedenen Merkmalen erkennbar wie transparente Besetzung und Finanzierung oder nachweisbare einschlägige Tätigkeit. Wie im Durchsetzungsgrundsatz gefordert, müssen einem Beschwerdeführer erschwingliche Rechtsbehelfe ohne weiteres zur Verfügung stehen. Eine Beschwerdestelle muss jede von einer Einzelperson vorgetragene Beschwerde prüfen, es sei denn, sie ist offensichtlich unbegründet oder nicht ernsthaft. Der Betreiber der Beschwerdestelle kann allerdings Kriterien für die Zulässigkeit von Beschwerden festlegen. Diese Kriterien sollen transparent und einsichtig sein (z. B. Ausschluss von Beschwerden, die nicht unter das jeweilige Datenschutzprogramm fallen oder die in die Zuständigkeit einer anderen Stelle fallen) und sollen nicht zu einer Lockerung der Pflicht führen, berechtigten Beschwerden nachzugehen. Beschwerdestellen sollen Beschwerdeführer auch umfassend und in leicht zugänglicher Form über den Ablauf des Verfahrens informieren. Zu diesen Informationen gehören auch Angaben über die Datenschutzpraxis der Beschwerdestelle im Einklang mit den Grundsätzen des sicheren Hafens(4). Ferner sind die Stellen gehalten, sich an der Erarbeitung von Hilfsmitteln, die das Verfahren vereinfachen, wie z. B. Standardformularen für Beschwerden, zu beteiligen.

Rechtsbehelfe und Sanktionen:

Die Inanspruchnahme eines Rechtsbehelfs soll dazu führen, dass die Organisation, gegen die sich die Beschwerde richtet, die Folgen ihres Verstoßes gegen die Grundsätze soweit möglich abstellt oder rückgängig macht und die den Beschwerdeführer betreffenden Daten künftig entweder im Einklang mit den Grundsätzen des sicheren Hafens schützt oder nicht mehr verarbeitet. Sanktionen müssen so empfindlich sein, dass sie die Einhaltung der Grundsätze gewährleisten. Den Beschwerdestellen stehen Sanktionen von abgestufter Strenge zur Verfügung, mit denen sie gegen Verstöße von unterschiedlicher Schwere angemessen vorgehen können. Als Sanktionen kommen in Frage die öffentliche Bekanntmachung des Verstoßes, in bestimmten Fällen die Anordnung der Löschung der betreffenden Daten(5), der vorübergehende oder dauernde Entzug der Zugehörigkeit zur Zuständigkeit einer Beschwerdestelle, Entschädigungen für Personen, denen durch die Nichteinhaltung der Grundsätze ein Schaden entstanden ist, und Auflagen. Beschwerdestellen und Selbstregulierungsorgane des privaten Sektors müssen bei Missachtung ihrer Entscheidungen die Gerichte anrufen oder die zuständige entscheidungsbefugte Behörde verständigen und das US-Handelsministerium (oder eine von ihm beauftragte Stelle) unterrichten.

Befassung der FTC:

Die FTC will Beschwerden wegen Verletzung der Grundsätze des sicheren Hafens, die Selbstregulierungsorgane für den Datenschutz wie BBBOnline und TRUSTe und EU-Mitgliedstaaten an sie verweisen, vorrangig behandeln, und feststellen, ob gegen Abschnitt 5 des FTC Act verstoßen wurde, der unlautere und irreführende Geschäftspraktiken verbietet. Hat die FTC Grund zu der Annahme, dass ein solcher Verstoß vorliegt, kann sie eine behördliche Anordnung erwirken, die die beanstandete Praxis untersagt, oder sie kann vor einem Bezirksgericht klagen. Entscheidet das Gericht in ihrem Sinne, kann ein Bundesgericht eine Anordnung mit gleicher Wirkung erlassen. Gegen die Missachtung einer behördlichen Unterlassungsanordnung kann die FTC Geldstrafen verhängen, gegen die Missachtung der Anordnung eines Bundesgerichts kann sie zivil- und strafrechtlich vorgehen. Die FTC unterrichtet das Handelsministerium über von ihr unternommene Schritte. Andere Behörden sind angehalten, dem Handelsministerium das abschließende Ergebnis in solchen Fällen und sonstige Entscheidungen über die Beachtung der Grundsätze des sicheren Hafens mitzuteilen.

Fortgesetzte Missachtung der Grundsätze des "sicheren Hafens":

Missachtet eine Organisation fortgesetzt die Grundsätze, verliert sie ihren Status als "sicheren Hafen" und die damit verbundenen Vorteile. Eine fortgesetzte Missachtung liegt vor, wenn sich eine Organisation, die sich gegenüber dem US-Handelsministerium oder einer von ihm beauftragten Stelle selbst zertifiziert hat, weigert, der endgültigen Entscheidung eines staatlichen Kontrollorgans oder eines Selbstregulierungsorgans zu folgen, oder wenn von einer solchen Stelle festgestellt wird, dass die Organisation so häufig gegen die Grundsätze verstößt, die es einzuhalten vorgibt, dass diese Behauptung nicht mehr glaubwürdig ist. In diesen Fällen muss die Organisation das dem Handelsministerium oder einer von ihm beauftragte Stelle unverzüglich mitteilen. Die Unterlassung dieser Mitteilung kann nach dem False Statements Act strafrechtlich verfolgt werden (18 U.S.C § 1001).

Jede Mitteilung über die fortgesetzte Missachtung der Grundsätze des "sicheren Hafens" wird in das öffentliche Verzeichnis der dem "sicheren Hafen" beigetretenen Organisationen aufgenommen, das das US-Handelsministerium (oder eine von ihm beauftragte Stelle) führt, unabhängig davon, ob die Mitteilung durch die Organisation selbst, durch ein Selbstregulierungsorgan oder ein staatliches Kontrollorgan erfolgt. Das geschieht jedoch erst, nachdem die 30-tägige Frist abgelaufen ist, in der die betroffene Organisation Gelegenheit hat zu reagieren. Aus der öffentlichen Liste des US-Handelsministeriums oder einer von ihm beauftragten Stelle lässt sich also ersehen, welche Organisationen als "sicherer Hafen" anerkannt sind und welche diese Anerkennung verloren haben.

Eine Organisation, die sich einer Selbstregulierungsorganisation anschließt, um sich erneut als sicherer Hafen zu qualifizieren, muss dieser Selbstregulierungsorganisation ihre frühere Teilnahme am "sicheren Hafen" vollständig offenbaren.

FAQ 12 - Wahlmöglichkeit - Zeitpunkt des Widerspruchs

F: Hat eine Einzelperson im Rahmen des Grundsatzes der Wahlmöglichkeit lediglich zu Beginn des Kontakts eine Wahlmöglichkeit oder jederzeit?

A: Allgemein soll der Grundsatz der Wahlmöglichkeit gewährleisten, dass personenbezogene Daten in einer Weise genutzt und weitergegeben werden, die mit den Erwartungen und Entscheidungen des Betroffenen übereinstimmt. Dementsprechend sollte der Betroffene zu jeder Zeit entscheiden können, ob seine personenbezogenen Daten für das Direktmarketing verwendet werden dürfen oder nicht; hierfür können die Organisationen aber eine angemessene Frist festlegen, die sie zur effektiven Berücksichtigung eines Widerspruchs benötigen. Daneben kann die Organisation hinreichende Informationen anfordern, die die Identität der Person bestätigen, die Widerspruch einlegt. In den Vereinigten Staaten können Betroffene von der Wahlmöglichkeit Gebrauch machen, indem sie auf ein zentrales "Widerspruchsprogramm" zurückgreifen, wie der Mail Preference Service der Direct Marketing Association. Organisationen, die an dem Mail Preference Service teilnehmen, sollten Verbraucher, die keine kommerziellen Informationen erhalten möchten, auf diesen Dienst hinweisen. Auf jeden Fall sollte den Betroffenen ein leicht zugänglicher und erschwinglicher Mechanismus zur Verfügung gestellt werden, um diese Möglichkeit nutzen zu können.

Gleichermaßen kann eine Organisation Daten für bestimmte Zwecke des Direktmarketing verwenden, wenn es unmöglich ist, dem Betroffenen vor Nutzung der Daten eine Widerspruchsmöglichkeit einzuräumen, sofern die Organisation dem Betroffenen unmittelbar danach (und auf Verlangen jederzeit) die Möglichkeit einräumt, den Erhalt weiterer Direktwerbung (ohne Kosten für den Verbraucher) abzulehnen, und die Organisation den Wünschen des Betroffenen nachkommt.

FAQ 13 - Reisedaten

F: Wann dürfen Flugreservierungsdaten und andere Reisedaten wie Daten über Vielflieger, über Hotelreservierungen und über spezielle Bedürfnisse wie religiös begründete besondere Speisewünsche oder die Notwendigkeit pflegerischer Betreuung an Organisationen außerhalb der EU weitergegeben werden?

A: Solche Daten dürfen in bestimmten Fällen weitergegeben werden. Nach Artikel 26 der Richtlinie dürfen personenbezogene Daten in ein Drittland übermittelt werden, das kein angemessenes Schutzniveau im Sinne des Artikels 25 Absatz 2 gewährleistet, wenn 1. die Übermittlung für die Erfuellung eines Vertrags wie der Vielflieger-Vereinbarung notwendig ist und 2. die betroffene Person ohne jeden Zweifel ihre Einwilligung gegeben hat. US-Organisationen, die sich den Grundsätzen des "sicheren Hafens" angeschlossen haben, gewährleisten einen angemessenen Schutz personenbezogener Daten und können deshalb solche Daten aus der EU empfangen, ohne dass diese Voraussetzungen oder die in Artikel 26 der Datenschutzrichtlinie genannten Voraussetzungen erfuellt sein müssen. Da das Konzept des "sicheren Hafens" besondere Regeln für den Umgang mit sensiblen Daten vorsieht, können auch solche Daten (die etwa für die pflegerische Betreuung eines Kunden benötigt werden) an Organisationen übermittelt werden, die am "sicheren Hafen" teilnehmen. Allerdings ist die übermittelnde Organisation stets dem Recht des EU-Mitgliedstaats unterworfen, in dem sie tätig ist, und das kann unter anderem bedeuten, dass sie im Umgang mit sensiblen Daten besondere Vorschriften zu beachten hat.

FAQ 14 - Arzneimittel und Medizinprodukte

F 1: Wenn in der EU erhobene personenbezogene Daten für Zwecke der pharmazeutischen Forschung oder für andere Zwecke in die USA übermittelt werden, gilt dann das Recht der Mitgliedstaaten oder gelten die Grundsätze des sicheren Hafens?

A 1: Das Recht der Mitgliedstaaten gilt für die Erhebung der personenbezogenen Daten und für ihre Verarbeitung vor der Übermittlung in die USA. Die Grundsätze des sicheren Hafens gelten, nachdem die Daten in die USA übermittelt worden sind. Daten, die für die pharmazeutische Forschung oder sonstige Zwecke benutzt werden, sollten gegebenenfalls anonymisiert werden.

F 2: In medizinischen und pharmazeutischen Studien gewonnene personenbezogene Daten sind oft sehr wertvoll für künftige Forschungsarbeiten. Darf eine dem "sicheren Hafen" beigetretene US-Organisation, die personenbezogene Daten im Rahmen eines Forschungsvorhabens erhoben hat, diese Daten für ein anderes Forschungsvorhaben verwenden?

A 2: Ja, wenn das dem Betroffenen schon zu Anfang ordnungsgemäß mitgeteilt und wenn ihm eine Wahlmöglichkeit eingeräumt wurde. Eine Mitteilung muss Angaben über die künftige Verwendung der Daten enthalten wie Angaben über regelmäßige Folgeuntersuchungen, ähnliche Forschungsvorhaben, für die sie verwendet werden sollen, oder ihre kommerzielle Nutzung. Es versteht sich, dass dabei nicht jede künftige Verwendung der Daten angegeben werden kann. Die Verwendung für einen anderen Forschungszweck kann sich aus neuen Erkenntnissen über die ursprünglichen Daten, aus neuen medizinischen Entdeckungen und Fortschritten sowie aus Entwicklungen im Gesundheitswesen und in der Gesetzgebung ergeben. Gegebenenfalls ist in der Mitteilung darauf hinzuweisen, dass personenbezogene Daten für künftige medizinische und pharmazeutische Forschungsarbeiten verwendet werden können, die nicht vorauszusehen sind. Entspricht die neue Verwendung nicht dem allgemeinen Forschungszweck, für den die Daten ursprünglich erhoben wurden oder in den der Betroffene später eingewilligt hat, muss erneut seine Einwilligung eingeholt werden.

F 3: Was geschieht mit den Daten eines Teilnehmers, der sich auf eigenen Wunsch oder auf Wunsch der Trägerorganisation aus einem klinischen Versuch zurückzieht?

A 3: Ein Teilnehmer kann sich jederzeit aus einem klinischen Versuch zurückziehen oder dazu aufgefordert werden. Daten über ihn, die vor seinem Rückzug erhoben wurden, können jedoch weiterhin verarbeitet werden wie die übrigen im Rahmen des Versuchs erhobenen Daten, wenn er darauf hingewiesen wurde, als er seine Bereitschaft zur Teilnahme erklärte.

F 4: Hersteller von Arzneimitteln und Medizinprodukten dürfen in klinischen Versuchen in der EU gewonnene personenbezogene Daten zur Überprüfung an Aufsichtsbehörden in den USA übermitteln. Dürfen sie die Daten auch an andere Stellen übermitteln wie Organisationen und Wissenschaftler?

A 4: Ja, unter Beachtung der Grundsätze der Informationspflicht und der Wahlmöglichkeit.

F 5: Zur Wahrung der Objektivität dürfen bei klinischen Versuchen die Teilnehmer und oft auch die Forscher selbst nicht erfahren, wer wie behandelt wird, denn das würde die Aussagefähigkeit der Ergebnisse in Frage stellen. Können die Teilnehmer an solchen sogenannten Blindversuchen Zugang zu Daten über ihre Behandlung während des Versuchs verlangen?

A 5: Nein, den Teilnehmern muss kein Zugang gewährt werden, wenn ihnen diese Beschränkung vor ihrer Teilnahme erklärt wurde und die Offenlegung der Daten den Nutzen der Forschungsarbeit gefährden würde. Wer sich dennoch zur Teilnahme an dem Versuch entschließt, muss hinnehmen, dass die ihn betreffenden Daten unter Verschluss gehalten werden. Nach Abschluss des Versuchs und Auswertung der Ergebnisse müssen die Teilnehmer allerdings auf Verlangen Zugang zu ihren Daten erhalten. Dafür sollten sie sich in erster Linie an den Arzt oder an anderes medizinisches Personal wenden, von dem sie während des Versuchs behandelt wurden, hilfsweise an die Organisation, in deren Auftrag der Versuch durchgeführt wurde.

F 6: Muss ein Hersteller von Arzneimitteln oder Medizinprodukten die in den Grundsätzen des "sicheren Hafens" verankerten Grundsätze der Informationspflicht, der Wahlmöglichkeit, der Weiterübermittlung und des Auskunftsrechts beachten, wenn er Maßnahmen zur Überwachung der Sicherheit und Wirksamkeit seiner Produkte trifft und u. a. über Zwischenfälle berichtet und laufend Daten über Patienten/Versuchspersonen erhebt, die bestimmte Arzneimittel oder Medizinprodukte (z. B. Herzschrittmacher) nutzen?

A 6: Nein, soweit die Grundsätze des "sicheren Hafens" mit gesetzlichen Pflichten kollidieren. Das gilt sowohl für Berichte von Dienstleistern des Gesundheitswesens an Arzneimittel- und Medizinprodukthersteller als auch für Berichte von Arzneimittel- und Medizinproduktherstellern an Behörden wie die amerikanische Food and Drug Administration.

F 7: Forschungsdaten werden stets an der Quelle verschlüsselt, damit aus ihnen nicht die Identität einzelner Personen zu ersehen ist. Den Pharmaorganisationen, also den Projektträgern, wird der Schlüssel nicht ausgehändigt, er verbleibt beim Forscher, so dass er unter bestimmten Umständen (z. B. wenn eine nachträgliche Überwachung notwendig ist) einzelne Versuchspersonen identifizieren kann. Ist die Übermittlung derart verschlüsselter Daten von der EU in die USA als Übermittlung personenbezogener Daten anzusehen, die den Grundsätzen des sicheren Hafens unterliegt?

A 7: Nein, das gilt nicht als Übermittlung personenbezogener Daten, die den Grundsätzen des "sicheren Hafens" unterliegt.

FAQ 15 - Daten aus öffentlichen Registern und öffentlich zugängliche Daten

F: Gelten die Grundsätze der Informationspflicht, der Wahlmöglichkeit und der Weiterübermittlung für Daten aus öffentlichen Registern beziehungsweise öffentlich verfügbaren Daten?

A: Die Grundsätze der Informationspflicht, der Wahlmöglichkeit und der Weiterübermittlung sind nicht auf Daten in öffentlichen Registern anzuwenden, wenn diese nicht mit nichtöffentlichen Daten kombiniert sind und solange die von der zuständigen Behörde festgelegten Bedingungen für ihre Abfrage beachtet werden.

Im Allgemeinen gelten die Grundsätze der Informationspflicht, der Wahlmöglichkeit und der Weiterübermittlung auch nicht für öffentlich verfügbare Daten, es sei denn, der europäische Übermittler weist darauf hin, dass diese Daten Beschränkungen unterliegen, aufgrund deren die Organisation die genannten Grundsätze im Hinblick auf die von ihr geplanten Verwendung anwenden muss. Organisationen haften nicht dafür, wie diese Daten von denen genutzt werden, die sie aus veröffentlichtem Material entnommen haben.

Wird festgestellt, dass eine Organisation unter Missachtung der obigen Grundsätze absichtlich personenbezogene Daten offengelegt hat, sodass diese Ausnahme von der Regel für die Organisation selbst oder aber für andere von Nutzen ist, verliert sie ihren Status als "sicherer Hafen" und die damit verbundenen Vorteile.

(1) Die Einbeziehung dieser FAQ in das Paket hängt von der Zustimmung der Datenschutzbehörden ab. Diese haben den vorliegenden Text in der Arbeitsgruppe nach Artikel 29 erörtert, und eine Mehrheit hat sich positiv dazu geäußert. Endgültig wollen sie sich aber erst im Rahmen einer Gesamtstellungnahme äußern, die die Arbeitsgruppe nach Artikel 29 zu dem Gesamtpaket abgeben wird.

(2) Siehe FAQ 7 zum Thema anlassunabhängige Kontrolle.

(3) Die Vereinbarung nach FAQ 5 ist auf drei Jahre begrenzt. Die Artikel-29-Datenschutzgruppe wird aufgefordert zu erörtern, wie eine dauerhafte Lösung für Personaldaten herbeigeführt werden kann.

(4) Beschwerdestellen sind nicht verpflichtet, sich an das Durchsetzungsprinzip zu halten. Sie können auch im Fall widerstreitender Verpflichtungen oder wenn dies ausdrücklich genehmigt wird, bei der Ausübung ihrer spezifischen Aufgaben von den Grundsätzen abweichen.

(5) Beschwerdestellen können Sanktionen nach eigenem Ermessen verhängen. Die Sensibilität der Daten ist ein maßgebendes Kriterium, wenn zu entscheiden ist, ob Daten zu löschen sind oder ob eine Organisation mit der Erhebung, Nutzung oder Weitergabe von Daten die Grundsätze in eklatanter Weise verletzt hat.

ANHANG ΙΙΙ

Grundsätze des sicheren Hafens: Überblick über die Möglichkeiten der Durchsetzung

Befugnisse des Bundes und der Bundesstaaten im Zusammenhang mit unfairen und irreführenden Praktiken und Datenschutz

Im Folgenden werden die Befugnisse der Federal Trade Commission (FTC) gemäß Abschnitt 5 des Federal Trade Commission Act (U.S.C., Band 15, §§ 41-58) beschrieben, aufgrund deren die FTC berechtigt ist, gegen Personen und Einrichtungen vorzugehen, die ihren Behauptungen und/oder Verpflichtungen, personenbezogene Daten zu schützen, zuwiderhandeln. Ferner werden die Bereiche genannt, in denen die Befugnisse nicht gelten, und die Möglichkeiten anderer Bundes- oder einzelstaatlicher Stellen beschrieben, in den Fällen tätig zu werden, in denen die FTC keine Befugnisse hat(1).

Die Befugnisse der FTC gegen unfaire und irreführende Praktiken

Nach Abschnitt 5 des Federal Trade Commission Act sind unfaire und irreführende Handlungen oder Praktiken im Handel oder mit Bezug auf den Handel rechtswidrig, vergleiche U.S.C., Band 15, § 45(a)(1). Gemäß Abschnitt 5 erhält die FTC die unbeschränkte Zuständigkeit, solche Handlungen und Praktiken zu verhindern, vergleiche U.S.C., Band 15, § 45(a)(2). Dementsprechend kann die FTC nach einer formalen Anhörung eine Unterlassungsanordnung aussprechen, um dem rechtswidrigen Verhalten Einhalt zu gebieten, vergleiche U.S.C., Band 15, § 45(b). Wenn das öffentliche Interesse es erfordert, kann die FTC vor einem Bezirksgericht der Vereinigten Staaten auf einstweilige Unterlassung klagen oder eine einstweilige oder endgültige gerichtliche Verfügung erwirken, vergleiche U.S.C., Band 15, § 53(b). Handelt es sich um weit verbreitete unfaire oder irreführende Handlungen oder Praktiken, oder hat die FTC bereits eine Unterlassungsanordnung ausgesprochen, kann sie eine Verwaltungsvorschrift bezüglich dieser Handlungen oder Praktiken veröffentlichen, vergleiche U.S.C., Band 15, § 57a.

Jeder Verstoß gegen eine Anordnung der FTC wird mit einer Strafe von bis zu 11000 USD geahndet(2), wobei jeder Tag eines fortgesetzten Verstoßes einen weiteren Verstoß darstellt, vergleiche U.S.C., Band 15, § 45 (1). Gleichermaßen wird jeder wissentliche Verstoß gegen eine FTC-Vorschrift mit einer Strafe von jeweils 11000 USD geahndet, U.S.C., Band 15 § 45(m). Durchsetzungsmaßnahmen können entweder vom Justizministerium oder, wenn dieses es ablehnt, von der FTC ergriffen werden, U.S.C., Band 15, § 56.

Befugnisse der FTC und Datenschutz

In Ausübung der Befugnisse, die der FTC gemäß Abschnitt 5 gewährt werden, liegt nach Ansicht der FTC eine irreführende Praxis vor, wenn den Verbrauchern falsche Angaben über den Grund der Datenerhebung und über den Verwendungszweck der Informationen gemacht werden(3). So klagte die FTC im Jahr 1998 gegen das Unternehmen GeoCities, das - entgegen seiner Darstellung und ohne vorherige Genehmigung - Daten, die es auf seiner Website gesammelt hatte, für Werbezwecke an Dritte weitergegeben hat(4). Die FTC hat ferner erklärt, dass die Erhebung personenbezogener Daten von Kindern sowie der Verkauf und die Weitergabe dieser Daten ohne Genehmigung der Eltern wahrscheinlich als unfaire Praxis angesehen werden kann(5).

In einem Schreiben an Herrn John Mogg, Generaldirektor bei der Europäischen Kommission, hat der Vorsitzende der FTC, Herr Pitofsky, darauf hingewiesen, dass die Datenschutzbefugnisse der FTC nicht greifen, wenn keine falsche Erklärung (bzw. überhaupt keine Erklärung) über den Verwendungszweck der Daten abgegeben wurde, vergleiche Schreiben des FTC-Vorsitzenden Pitofsky an John Mogg vom 23. September 1998. Unternehmen, die jedoch von den vorgeschlagenen Grundsätzen des sicheren Hafens Gebrauch machen wollen, müssen zertifizieren, dass sie die Daten, die sie erheben, gemäß den vorgegebenen Leitlinien schützen. Zertifiziert ein Unternehmen, dass es personenbezogene Daten schützt, und tut dies in der Folge nicht, wäre dies eine falsche Erklärung und eine irreführende Praxis im Sinne von Abschnitt 5.

Da die Rechtsbefugnisse der FTC für unfaire und irreführende Handlungen und Praktiken im oder mit Bezug auf den Handel gelten, hat die FTC keinerlei Befugnisse im Hinblick auf die Erhebung und Verwendung personenbezogener Daten für nichtgewerbliche Zwecke, wie zum Beispiel bei der Mittelbeschaffung für wohltätige Zwecke, vergleiche Pitofsky-Schreiben, Seite 3. Die Verwendung personenbezogener Daten in jeder wie auch immer gearteten geschäftlichen Transaktion rechtfertigt jedoch ein Tätigwerden der FTC. Verkauft beispielsweise ein Arbeitgeber personenbezogene Daten seiner Mitarbeiter an einen Direktvermarkter, so fällt diese Handlung in den Geltungsbereich von Abschnitt 5 FTCA.

Ausnahmeregelungen des Abschnitts 5

Gemäß Abschnitt 5 fallen folgende Unternehmen nicht unter die Befugnisse der FTC im Hinblick auf unfaire oder irreführende Handlungen und Praktiken:

- Finanzinstitute, einschließlich Banken, Spar- und Darlehenskassen, sowie Kreditgenossenschaften,

- Betreiber öffentlicher Telekommunikationsnetze und zwischenstaatlich tätige Transportunternehmen,

- Luftverkehrsunternehmen und

- Vieh- und Fleischhändler bzw. Fleischwarenproduzenten.

Vergleiche U.S.C., Band 15, § 45(a)(2). Die einzelnen Ausnahmefälle sowie die Stelle, die die entsprechenden rechtlichen Befugnisse ausübt, werden im Folgenden näher beschrieben.

Finanzinstitute(6)

Die erste Ausnahme betrifft Banken sowie Spar- und Darlehenskassen gemäß Abschnitt 18(f)(3)[U.S.C., Band 15, § 57a(f)(3)] und Bundeskreditgenossenschaften gemäß Abschnitt 18(f)(4) [U.S.C., Band 15, § 57a(f)(4)](7). Für diese Finanzinstitute gelten stattdessen die Vorschriften des Federal Reserve Board, des Office of Thrift Supervision(8) und des National Credit Union Administration Board, vergleiche U.S.C., Band 15, § 57a(f). Diese Regulierungsbehörden sind angehalten, Verordnungen zu erlassen, die notwendig sind, um unfaire und irreführende Praktiken dieser Finanzinstitute zu verhindern(9) und eine Anlaufstelle einzurichten, die sich mit Verbraucherbeschwerden befasst, vergleiche U.S.C. Band 15, § 57a(f)(1). Die Durchsetzungsbefugnisse gegenüber Banken und Spar- und Darlehenskassen sind in Abschnitt 8 des Federal Deposit Insurance Act (U.S.C., Band 12, § 1818) festgeschrieben und gegenüber Bundeskreditgenossenschaften in den Abschnitten 120 und 206 des Federal Credit Union Act (U.S.C., Band 15, §§ 57a(f)(2)-(4)).

Auch wenn die Versicherungswirtschaft nicht ausdrücklich in den Ausnahmeregelungen des Abschnitts 5 genannt ist, obliegt die Regulierung des Versicherungsgeschäfts gemäß dem McCarran-Ferguson Act (U.S.C., Band 15, § 1011 et seq.) im Allgemeinen den einzelnen Bundesstaaten(10). Gemäß Abschnitt 2(b) des McCarran-Ferguson Act darf kein Bundesgesetz eine einzelstaatliche Regelung aufheben, beeinträchtigen oder ersetzen, es sei denn, ein solches Gesetz bezieht sich ausdrücklich auf das Versicherungsgeschäft, vergleiche U.S.C., Band 15, § 1012(b). Die Bestimmungen des FTCA gelten allerdings für die Versicherungswirtschaft in dem Umfang, in dem das Geschäft nicht durch einzelstaatliche Gesetze geregelt ist, vergleiche a.a.O. Es sei außerdem darauf hingewiesen, dass der McCarran-Ferguson Act nur im Hinblick auf die Versicherungswirtschaft den einzelstaatlichen Regelungen nachgeht. Die FTC hat also noch Restbefugnisse, wenn sich Versicherungsgesellschaften bei versicherungsfremden Geschäften in unfairer oder irreführender Weise verhalten. Dies wäre beispielsweise der Fall, wenn Versicherer persönliche Daten ihrer Versicherten an Direktvermarkter versicherungsfremder Produkte verkaufen(11).

T'ransportunternehmen

Die zweite Ausnahmeregelung des Abschnitts 5 betrifft die Transportunternehmen, die den Gesetzen zur Regulierung des Handels unterliegen, vergleiche U.S.C., Band 15, § 45(a)(2). In diesem Fall beziehen sich die Gesetze zur Regulierung des Handels auf Untertitel IV des Titels 49 des United States Code und auf den Communications Act von 1934 (U.S.C., Band 47, § 151 et seq.), vergleiche U.S.C. Band 15, § 44.

U.S.C., Band 49 Untertitel IV (zwischenstaatlicher Verkehr) umfasst Schienenverkehrsunternehmen, Straßenverkehrsunternehmen, Schifffahrtsunternehmen, Makler, Spediteure und Unternehmen im Leitungsverkehr, U.S.C., Band 49, § 10101 et seq. Diese Transportunternehmen unterliegen der Regulierung durch den Surface Transportation Board, einer unabhängigen Behörde innerhalb des Verkehrsministeriums, vergleiche U.S.C., Band 49, §§ 10501, 13501 und 15301. Jedem Transportunternehmen ist es untersagt, Daten über die Art, Bestimmung und sonstige Aspekte der Ladung, die zum Nachteil des Versenders benutzt werden können, weiterzugeben, vergleiche U.S.C., Band 49, §§ 11904, 14908 und 16103. Es sei darauf hingewiesen, dass diese Bestimmungen für Daten über die Ladung des Versenders gelten und daher augenscheinlich nicht für Daten zur Person des Versenders, die in keinerlei Bezug zur Ladung stehen.

Der Communications Act sieht die Regulierung des inländischen und ausländischen Nachrichtenverkehrs über Kabel und Funk durch die Federal Communications Commission (FCC) vor, vergleiche U.S.C., Band 47, §§ 151 und 152. Außer den Betreibern öffentlicher Telekommunikationsnetze unterliegen auch Fernseh- und Radiosender sowie Kabelnetzbetreiber, die nicht zu den Betreibern öffentlicher Telekommunikationsnetze gehören, dem Communications Act. An sich fallen letztere nicht unter die Ausnahmeregelung des Abschnitts 5 FTCA. Daher hat die FTC rechtliche Befugnisse, gegen diese Unternehmen wegen unfairer und irreführender Praktiken vorzugehen, während die FCC eine konkurrierende Zuständigkeit hat, ihre unabhängigen Befugnisse in diesem Bereich wie nachfolgend beschrieben durchzusetzen.

Nach dem Communications Act ist jeder Betreiber eines öffentlichen Telekommunikationsnetzes einschließlich Ortsvermittlungsstellen verpflichtet, netzwerkbezogene Daten der Kunden vertraulich zu behandeln(12), vergleiche U.S.C., Band 47, § 222(a). Zusätzlich zu dieser generellen Datenschutzbefugnis wurde der Communications Act durch den Cable Communications Policy Act von 1984 (der sogenannte Cable Act) geändert (U.S.C., Band 47, § 521 et seq.), um insbesondere Betreibern von Kabelnetzen aufzuerlegen, die persönlich identifizierbaren Daten der Kabelnetzkunden zu schützen, vergleiche U.S.C., Band 47, § 551(13). Der Cable Act beschränkt die Erhebung personenbezogener Daten durch die Betreiber der Netzwerke und verpflichtet sie, ihre Kunden über die Art der erhobenen Daten sowie über deren Verwendungszweck zu unterrichten. Der Cable Act gibt den Kunden das Recht, auf die Daten, die sie betreffen, zuzugreifen und verpflichtet die Betreiber der Kabelnetze, die Daten zu vernichten, sobald sie nicht mehr benötigt werden.

Der Communications Act ermächtigt die FCC, diese beiden Datenschutzbestimmungen durchzusetzen, und zwar entweder auf eigene Initiative oder als Reaktion auf eine Beschwerde von außen(14), vergleiche U.S.C., Band 47, §§ 205, 403; a.a.O., § 208. Stellt die FCC fest, dass der Betreiber eines öffentlichen Telekommunikationsnetzes (auch der Betreiber eines Kabelnetzes) die Datenschutzbestimmungen der Abschnitte 222 bzw. 551 verletzt hat, hat sie drei Handlungsmöglichkeiten: Nach einer Anhörung und der Feststellung des Verstoßes kann die FCC den Betreiber anweisen, finanzielle Entschädigungen zu zahlen(15), vergleiche U.S.C., Band 47, § 209. Als Alternative kann die FCC gegen den Betreiber eine Unterlassungsanordnung bezüglich der rechtswidrigen Praxis bzw. Unterlassung aussprechen, vergleiche U.S.C., Band 47, § 205(a). Schließlich kann die FCC den Betreiber auffordern, die gegebenenfalls von der FCC erlassenen Vorschriften und vorgeschriebenen Praktiken einzuhalten bzw. zu befolgen, vergleiche a.a.O.

Privatpersonen, die der Ansicht sind, dass der Betreiber eines öffentlichen Telekommunikationsnetzes oder eines Kabelnetzes gegen die Bestimmungen des Communications Act oder des Cable Act verstoßen hat, können entweder bei der FCC Beschwerde einlegen oder ihr Anliegen bei einem Bundesbezirksgericht vorbringen, vergleiche U.S.C., Band 47, § 207. Ein Beschwerdeführer, der vor einem Bundesbezirksgericht ein Verfahren gegen den Betreiber eines öffentlichen Telekommunikationsnetzes gewonnen hat, der im Sinne von Abschnitt 222 des Communications Act gegen Datenschutzbestimmungen verstoßen hat, hat ein Anrecht auf den Ersatz des tatsächlichen Schadens und der Anwaltsgebühren, vergleiche U.S.C., Band 47, § 206. Ein Beschwerdeführer, der unter Abschnitt 551 des Cable Act wegen Verletzung des Datenschutzes klagt, kann neben dem Ersatz des tatsächlichen Schadens und der Erstattung der Anwaltsgebühren auch poenalen Schadenersatz und eine angemessene Prozesskostenerstattung erhalten, vergleiche U.S.C., Band 47 § 551(f).

Die FCC hat ausführliche Vorschriften zur Umsetzung von Abschnitt 222 erlassen, vergleiche CFR Band 47, 64.2001-2009. Die Vorschriften beinhalten bestimmte Garantien um netzwerkbezogene Daten der Kunden vor nichtautorisiertem Zugriff zu schützen. Die Regelungen verpflichten die Betreiber öffentlicher Telekommunikationsnetze,

- Softwareprogramme zu entwickeln und anzuwenden, die kennzeichnen, ob der Kunde über die Verarbeitung seiner Daten informiert wurde bzw. seine Zustimmung gegeben hat, wenn die Datei des Kunden zum ersten Mal auf dem Bildschirm erscheint;

- ein elektronisches Aufzeichnungssystem zu führen, mit dem Zugriffe auf das Konto des Kunden zurückverfolgt werden können, um u. a. feststellen zu können, wer, wann und zu welchem Zweck die Datei geöffnet hat;

- ihre Mitarbeiter anzuhalten, nur mit Genehmigung die netzwerkbezogenen Daten der Kunden zu verwenden, und entsprechende Disziplinarmaßnahmen einzuführen;

- ein Überw