Was proaktive Kontrollen der Unternehmen auf Einhaltung der mit dem Datenschutzschild verbundenen Anforderungen anbelangt, so hat das Handelsministerium im April 2019 ein System eingeführt, nach dem es 30 Unternehmen pro Monat kontrolliert. Die Kommission begrüßt die Tatsache, dass das Handelsministerium regelmäßig und systematisch proaktive Stichprobenkontrollen auf Einhaltung der Vorschriften durchführt, was für eine bessere Einhaltung der Regelung insgesamt und die Aufdeckung von Fällen, die Durchsetzungsmaßnahmen der Wettbewerbsbehörde erfordern, sehr wichtig ist. Sie stellt jedoch fest, dass sich diese stichprobenartigen Kontrollen im Allgemeinen auf formelle Anforderungen beschränken, die beispielsweise mangelnde Auskünfte durch benannte Kontaktstellen oder den Umstand betreffen, dass die Datenschutzbestimmungen eines Unternehmens nicht online zugänglich sind. Obwohl es sich dabei natürlich um wichtige Aspekte im Hinblick auf die Einhaltung der Anforderungen des Datenschutzschilds handelt, sollten sich solche Kontrollen unter umfassender Nutzung der dem Handelsministerium im Rahmen der Regelung zur Verfügung stehenden Instrumente auch auf materiell-rechtliche Verpflichtungen erstrecken, wie die Einhaltung des Grundsatzes der Verantwortlichkeit für die Weitergabe. Die Anforderungen für die Weitergabe wurden im Datenschutzschild deutlich gestärkt, da fehlende Garantien in solchen Situationen den durch die Regelung garantierten Rechtsschutz unterminieren würden. Während die stichprobenartigen Kontrollen regelmäßig und systematisch fortgesetzt werden sollten, ist die Einhaltung dieser eher materiell-rechtlichen Anforderungen auch für die Kontinuität des Datenschutzschilds von entscheidender Bedeutung, und sie sollten einer strengen Überwachung und Durchsetzung durch die US-Behörden unterliegen.

Mit Blick auf den Prozess der erneuten Zertifizierung stellte sich bei der dritten jährlichen Überprüfung heraus, dass das Handelsministerium Unternehmen, die das Verfahren für eine erneute Zertifizierung noch nicht abgeschlossen haben, bei Ablauf der Frist für die (erneute) Zertifizierung auf der Grundlage eines internen Verfahrens üblicherweise einen „Übergangszeitraum“ von beträchtlicher Länge gewährt. Während dieses Zeitraums (etwa dreieinhalb Monate, in einigen Fällen sogar länger und abhängig davon, wann das Handelsministerium feststellt, dass der Prozess der erneuten Zertifizierung nicht abgeschlossen wurde) werden die Unternehmen in der Unternehmensliste des Datenschutzschilds weiter als „aktiv“ geführt. Solange ein Unternehmen als offizieller Teilnehmer am Datenschutzschild geführt wird, gelten die damit verbundenen Verpflichtungen verbindlich und sind uneingeschränkt durchsetzbar. Doch derart lange Zeiträume, in denen die Frist für die erneute Zertifizierung eines Unternehmens überschritten ist, während das Unternehmen weiter als aktiver Teilnehmer des Datenschutzschilds geführt wird, schaden der Transparenz und der Verständlichkeit der Datenschutzschild-Liste sowohl für Unternehmen als auch für natürliche Personen in der EU. Zudem besteht damit für die teilnehmenden Unternehmen kein Anreiz, die Pflicht zur jährlich erneuten Zertifizierung strikt zu erfüllen.

Die Kommission berücksichtigte bei ihrer Bewertung auch weitere Entwicklungen im vergangenen Jahr, einschließlich der beim Gerichtshof der Europäischen Union anhängigen Rechtssachen, die den Datenschutzschild betreffen. In diesem Zusammenhang bot die Überprüfung der Kommission die Möglichkeit, bei den US-Behörden Klarstellungen zu bestimmten spezifischen Aspekten des US-Rechtsrahmens für die Erhebung von Auslandsaufklärungsdaten einzuholen, die in der Rechtssache Schrems II thematisiert wurden. Sobald der Gerichtshof die anhängigen Rechtssachen entschieden hat, muss die Kommission die Lage jedoch gegebenenfalls neu bewerten.

Im Vorfeld der dritten jährlichen Überprüfung hatte die Kommission die einschlägigen Interessenträger konsultiert (insbesondere die für den Datenschutzschild zertifizierten Unternehmen über ihre jeweiligen Branchenverbände sowie nichtstaatliche Organisationen, die auf dem Gebiet der Grundrechte und insbesondere der digitalen Rechte und des Schutzes der Privatsphäre tätig sind). Zusätzlich zur Einholung schriftlicher Stellungnahmen traf die Kommission am 9. September 2019 mit Industrie- und Wirtschaftsverbänden und am 11. September 2019 mit nichtstaatlichen Organisationen zusammen.

Aufseiten der USA nahmen Vertreter des Handelsministeriums, des Außenministeriums, der Wettbewerbsbehörde, des Verkehrsministeriums, des Büros des Direktors der nationalen Nachrichtendienste, des Justizministeriums sowie Mitglieder der Stelle zur Überwachung des Schutzes der Privatsphäre und der bürgerlichen Freiheiten an der Überprüfung teil, außerdem die neu ernannte (ständige – siehe unten) Ombudsperson und der Generalinspekteur der Nachrichtendienste. Ferner legten Vertreter zweier unabhängiger Streitbeilegungsdienste für den Datenschutzschild und Vertreter der American Arbitration Association, die das Schiedspanel für den Datenschutzschild verwaltet, in den einschlägigen Überprüfungssitzungen Informationen vor. Und schließlich flossen auch Präsentationen von für den Datenschutzschild zertifizierten Organisationen über die Schritte, die von Unternehmen unternommen werden, um den Anforderungen der Regelung zu genügen, in die jährliche Überprüfung ein.

Die dritte jährliche Überprüfung fand am 12. und 13. September 2019 in Washington DC statt. Eröffnet wurde sie von der für Justiz und Verbraucher zuständigen Generaldirektorin Tiina Astola, US-Handelsminister Wilbur Ross, dem Leiter der Wettbewerbsbehörde Joseph Simons und dem stellvertretenden Vorsitzenden des Europäischen Datenschutzausschusses Ventsislav Karadjov. Für die EU nahmen Vertreter der Generaldirektion Justiz und Verbraucher der Europäischen Kommission an der Überprüfung teil. Zu den Teilnehmern zählten ferner acht vom Europäischen Datenschutzausschuss benannte Vertreter.

Wenngleich die Aufgabe der Ombudsperson für den Datenschutzschild vom geschäftsführenden Under Secretary of State wahrgenommen wurde und der Ombudsmechanismus daher voll funktionsfähig war, betonte die Kommission ferner, dass es notwendig sei, die Position der Ombudsperson für den Datenschutzschild dauerhaft zu besetzen, und forderte die US-Regierung insbesondere auf, bis zum 28. Februar 2019 einen Kandidaten für diese Stelle zu benennen.

Insbesondere hatten die Maßnahmen, die getroffen wurden, um die Empfehlungen der Kommission aus der ersten jährlichen Überprüfung umzusetzen, einige Aspekte der Funktionsweise des Datenschutzschilds in der Praxis verbessert. So hatte das Handelsministerium neue Mechanismen zur Ermittlung potenzieller Probleme bei der Einhaltung der Vorschriften eingeführt, die Wettbewerbsbehörde (Federal Trade Commission) hatte sich bei der Überwachung der Einhaltung der Vorschriften und deren Durchsetzung für ein proaktiveres Vorgehen entschieden, und der Bericht der Stelle zur Überwachung des Schutzes der Privatsphäre und der bürgerlichen Freiheiten Privacy and Civil Liberties and Oversight Board über die Umsetzung der Presidential Policy Directive 28 war inzwischen veröffentlicht worden. Da einige dieser Schritte erst kurz vor der zweiten jährlichen Überprüfung eingeleitet worden waren und bestimmte Prozesse noch andauerten, kam die Kommission jedoch zu dem Schluss, dass weitere Entwicklungen im Zusammenhang mit diesen Prozessen und Mechanismen einer sorgfältigen Überwachung bedürfen.

Die zweite jährliche Überprüfung wurde im Oktober 2018 in Brüssel durchgeführt, und im Dezember 2018 verabschiedete die Kommission ihren Bericht an das Europäische Parlament und den Rat, dem wiederum eine Arbeitsunterlage der Kommissionsdienststellen (SWD(2018) 487 final) beigefügt war. Die in Verbindung mit der zweiten jährlichen Überprüfung gesammelten Informationen bestätigten die Feststellungen der Kommission im Angemessenheitsbeschluss sowohl im Hinblick auf die „gewerblichen Aspekte“ der Regelung (also Fragen, die die Einhaltung der Anforderungen des Datenschutzschilds durch zertifizierte Unternehmen sowie die Verwaltung, Überwachung und Durchsetzung solcher Auflagen betreffen) als auch in Bezug auf den Zugriff staatlicher Stellen auf gemäß dem Datenschutzschild übermittelte personenbezogene Daten.

Die erste jährliche Überprüfung fand im September 2017 in Washington DC statt; im Oktober 2017 nahm die Kommission den Bericht an das Europäische Parlament und den Rat an, dem eine Arbeitsunterlage der Kommissionsdienststellen (SWD(2017) 344 final) beigefügt war. Die Kommission gelangte zu dem Schluss, dass die USA weiterhin ein angemessenes Schutzniveau für personenbezogene Daten, die im Rahmen des Datenschutzschilds von der EU in die USA übermittelt werden, gewährleisten, sprach jedoch zehn Empfehlungen zur Verbesserung der Funktionsweise des Datenschutzschilds in der Praxis aus.

In ihrem Beschluss vom 12. Juli 2016 („Angemessenheitsbeschluss“) stellte die Kommission fest, dass die Vereinigten Staaten ein angemessenes Schutzniveau für personenbezogene Daten, die im Rahmen des EU-US-Datenschutzschilds aus der Europäischen Union an Organisationen in den Vereinigten Staaten übermittelt werden, gewährleisten. Der Angemessenheitsbeschluss sieht insbesondere vor, dass die Kommission eine jährliche Überprüfung zur Bewertung aller Aspekte durchführt, die die Funktionsweise des Datenschutzschilds betreffen, und auf deren Grundlage einen öffentlich zugänglichen Bericht erstellt, der dem Europäischen Parlament und dem Rat vorgelegt wird.

Was die Fahndung des Handelsministeriums nach falschen Angaben zur Teilnahme am Datenschutzschild anbelangt, stellte die Kommission fest, dass das Handelsministerium seine vierteljährlichen Kontrollen fortgesetzt hatte, bei denen eine beträchtliche Zahl von Fällen aufgedeckt wurde, in denen falsche Angaben gemacht wurden, die zum Teil auch an die Wettbewerbsbehörde weitergeleitet wurden. Diese Suche beschränkt sich bisher allerdings nur auf Unternehmen, die in irgendeiner Weise bereits im Rahmen des Datenschutzschilds zertifiziert waren oder eine Zertifizierung beantragt hatten (die aber z. B. noch keine erneute Zertifizierung erhalten hatten). Wichtig ist, dass auch Unternehmen ins Visier genommen werden, die noch nie eine Zertifizierung im Rahmen des Datenschutzschilds beantragt haben. Von allen falschen Behauptungen sind die von Unternehmen, die nie eine Zertifizierung beantragt haben, potenziell am gefährlichsten. Dies gilt im Hinblick auf den Schutz der Daten natürlicher Personen, da Unternehmen, die nie eine Zertifizierung beantragt haben, auch keine der Schutzgarantien des Datenschutzschilds in ihre Geschäftspraxis übernommen haben. Und dies gilt auch aus der Sicht der Privatwirtschaft, da die Wettbewerbsbedingungen zwischen Unternehmen verfälscht werden, wenn Organisationen, die sich nicht an die Anforderungen der Regelung halten, die Vorteile einer Zertifizierung genießen können.

Die Kommission vermerkte positiv, dass eine wachsende Zahl von betroffenen Personen aus der EU von ihren Rechten im Rahmen des Datenschutzschilds Gebrauch macht und dass die einschlägigen Rechtsschutzinstrumente gut funktionieren. Die Zahl der bei unabhängigen Beschwerdestellen eingereichten Beschwerden hat zugenommen, wobei die Beschwerden zur Zufriedenheit der betroffenen natürlichen Personen aus der EU geklärt wurden. Zudem wurden Anfragen natürlicher Personen aus der EU durch die teilnehmenden Unternehmen in angemessener Weise bearbeitet.

Im Hinblick auf die Durchsetzung stellte die Kommission fest, dass die Wettbewerbsbehörde seit dem letzten Jahr, u. a. als Ergebnis der angekündigten Sweeps von Amts wegen, sieben Durchsetzungsmaßnahmen abgeschlossen hat, die Verstöße gegen den Datenschutzschild betrafen. In allen sieben Fällen ging es um falsche Angaben zur Teilnahme an der Regelung. Zwei der Fälle betrafen zudem Verstöße gegen eher materiell-rechtliche Anforderungen des Datenschutzschilds, wie das Versäumnis, durch Selbstkontrolle oder durch die Kontrolle einer externen Stelle zu überprüfen, ob die Behauptungen des Unternehmens bezüglich seiner Verfahren im Zusammenhang mit dem Datenschutzschild der Wahrheit entsprechen und ob diese Verfahren umgesetzt werden. Die Kommission begrüßt die Durchsetzungsmaßnahmen, die die Wettbewerbsbehörde im dritten Jahr seit Inkrafttreten des Datenschutzschilds getroffen hat. Gleichzeitig hätte die Kommission angesichts der Ankündigung der Behörde im letzten Jahr und der während der zweiten jährlichen Überprüfung gegebenen Zusicherungen ein konsequenteres Vorgehen bei Durchsetzungsmaßnahmen erwartet, die erhebliche Verstöße gegen Grundsätze des Datenschutzschilds betreffen.

In diesem Zusammenhang nahm die Kommission die bei der dritten jährlichen Überprüfung gegebene Erläuterung zur Kenntnis, dass eine Reihe noch andauernder Untersuchungen mehr Zeit erfordern, da die Wettbewerbsbehörde die gesamte Bandbreite potenzieller Verstöße prüft. Die von der Wettbewerbsbehörde bereitgestellten Informationen reichten jedoch nicht aus, um die Fortschritte bei der Durchsetzung angemessen bewerten zu können. Wenngleich solche Informationen aus legitimen Erwägungen, die die Geheimhaltung betreffen, gegebenenfalls Beschränkungen unterliegen, erscheint es nicht gerechtfertigt, dass die Wettbewerbsbehörde nicht zumindest in zusammengefasster und anonymer Form mehr Angaben zu den von Amts wegen durchgeführten Sweeps machen kann. Dieses Vorgehen entspricht nicht dem Geist der Zusammenarbeit zwischen den Behörden, der die Grundlage des Datenschutzschilds bildet, und die Wettbewerbsbehörde sollte nach Möglichkeiten suchen, aussagekräftige Informationen über ihre Durchsetzungsmaßnahmen an die Kommission und die Datenschutzbehörden in der EU weiterzugeben, die zusammen mit ihr für die Durchsetzung der Regelung zuständig sind.

Die Frage, wie im Rahmen des Datenschutzschilds mit Personaldaten zu verfahren ist, wurde bei der Überprüfung erneut erörtert. Wie von Interessenträgern bestätigt wurde, wäre die Erstellung gemeinsamer Leitlinien durch das Handelsministerium, die Wettbewerbsbehörde sowie die Datenschutzbehörden in der EU mit einem echten Zusatznutzen verbunden. In diesem Zusammenhang stellt die Kommission fest, dass es vor Kurzem Kontakte gegeben hat, die zwar zum besseren Verständnis der Probleme beigetragen, aber bislang zu keinen konkreten Ergebnissen geführt haben.

2.2.Abfrage und Nutzung personenbezogener Daten durch staatliche Stellen der USA

Was bestimmte Aspekte der Abfrage und Nutzung personenbezogener Daten durch staatliche Stellen der USA betrifft, so sollte mit der dritten jährlichen Überprüfung in erster Linie bestätigt werden, dass sämtliche Beschränkungen und Garantien, auf die sich der Angemessenheitsbeschluss stützt, weiterhin bestehen. Des Weiteren bot die dritte jährliche Überprüfung Gelegenheit, sich mit neuen Entwicklungen auseinanderzusetzen und bestimmte Aspekte des Rechtsrahmens sowie der verschiedenen Überwachungsmechanismen und Rechtsbehelfe, insbesondere in Bezug auf die Bearbeitung und Beilegung von Beschwerden durch die Ombudsperson, zu präzisieren.

Während hinsichtlich der Erhebung von Auslandsaufklärungsdaten nach Section 702 des Gesetzes über die Auslandsaufklärung (Foreign Intelligence Surveillance Act) keine neuen rechtlichen Entwicklungen festzustellen waren, begrüßte die Kommission die Klarstellungen, die sie von den US-Behörden darüber erhalten hat, wie die Erhebung von Aufklärungsdaten im Rahmen der Aufklärungsprogramme, die nach Section 702 des Gesetzes über die Auslandsaufklärung durchgeführt werden (d. h. Prism und Upstream), zielgenau ausgerichtet wird. Diese Klarstellungen bestätigten die Feststellungen der Kommission im Angemessenheitsbeschluss, dass zur zielgenauen Ausrichtung der Erhebung von Auslandsaufklärungsdaten nach Section 702 des Gesetzes über die Auslandsaufklärung stets Selektoren verwendet werden und dass die Auswahl der Selektoren gesetzlich geregelt ist und der unabhängigen richterlichen und gesetzgeberischen Überwachung unterliegt.

Die Kommission nahm ferner zur Kenntnis, dass einige der Befugnisse, die Section 501 des Gesetzes über die Auslandsaufklärung in der durch den USA FREEDOM Act von 2015 geänderten Fassung gewährt, am 15. Dezember 2019 außer Kraft treten werden. Da die Erhebung nach Section 501 des Gesetzes über die Auslandsaufklärung im Zusammenhang mit dem Datenschutzschild von Bedeutung ist und daher von der Kommission im Angemessenheitsbeschluss bewertet wurde, kommt es darauf an, dass im Falle der Wiedereinführung die bestehenden Beschränkungen und Garantien, wie das Verbot der Sammelerhebung, erhalten bleiben.

Hinsichtlich der Presidential Policy Directive 28 bestätigten die US-Behörden ausdrücklich, dass sie in vollem Umfang in Kraft bleibt und keine Änderungen vorgenommen wurden. An den Verfahren zur Umsetzung der Presidential Policy Directive 28 innerhalb der einzelnen Nachrichtendienste hat sich ebenfalls nichts geändert. Ferner nahm die Kommission die Erläuterungen der US-Behörden zur Kenntnis, in denen klargestellt wird, dass die Bestimmungen der Presidential Policy Directive 28 über die Sammelerhebung, einschließlich der Bestimmung über die vorübergehende Sammlung, nicht für die Erhebung von Auslandsaufklärungsdaten innerhalb der USA (beispielsweise die Erhebung von Daten bei einem zertifizierten Unternehmen, das im Rahmen des Datenschutzschilds aus der EU übermittelte Daten verarbeitet) gelten – z. B. für die Erhebung nach Section 702 des Gesetzes über die Auslandsaufklärung im Rahmen der Programme Prism oder Upstream –, da es sich hierbei stets um eine gezielte Erhebung handelt.

Im Hinblick auf die Stelle zur Überwachung des Schutzes der Privatsphäre und der bürgerlichen Freiheiten, die als wichtiges Kontrollgremium für den Bereich der staatlichen Überwachung fungiert, begrüßte die Kommission die Tatsache, dass die Stelle mit der jüngsten Bestätigung von zwei weiteren Mitgliedern durch den US-Senat erstmals seit 2016 mit fünf Mitgliedern voll besetzt ist. Die Kommission stellte ferner fest, dass sich die Mitarbeiterzahl der Stelle seit der letzten jährlichen Überprüfung verdoppelt und dass sie ein ehrgeiziges Arbeitsprogramm beschlossen hat, das aus zehn derzeit laufenden Kontrollprojekten besteht, von denen einige für die regelmäßige Überprüfung des Datenschutzschilds durch die Kommission von besonderer Relevanz sind.

Was den Ombudsmechanismus für den Datenschutzschild anbelangt, so kündigte der US-Präsident am 18. Januar 2019 die Nominierung von Keith Krach als Under Secretary of State an, der gleichzeitig die Funktion der Ombudsperson bekleidet. Am 20. Juni 2019 wurde Keith Krach vom Senat bestätigt. Die Kommission begrüßt die Ernennung von Keith Krach als Ombudsperson für den Datenschutzschild, mit der die dauerhafte Besetzung dieser Position sichergestellt ist.

Die erste an die Ombudsperson gerichtete Beschwerde, die kurz vor der letzten jährlichen Überprüfung über die kroatische Datenschutzbehörde eingereicht worden war, wurde letztlich für unzulässig befunden, da sie sich auf Vorgänge bezog, die abgeschlossen waren, bevor der Datenschutzschild beschlossen wurde. Dennoch bot die Beschwerde Gelegenheit, die Funktionsweise der entsprechenden Verfahren in der Praxis zu erproben. Sowohl die an der jährlichen Überprüfung beteiligten Vertreter des Europäischen Datenschutzausschusses als auch die Ombudsperson bestätigten, dass alle relevanten Schritte des Verfahrens eingeleitet und in zufriedenstellender Weise abgeschlossen worden waren. Die Kommission begrüßt die erfolgreiche Bearbeitung dieser ersten Anfrage als wichtigen Hinweis darauf, dass der Ombudsmechanismus seine Aufgaben ordnungsgemäß erfüllen kann.

Die US-Behörden erläuterten zudem, wie die Ombudsperson mit anderen unabhängigen Kontrollgremien zusammenarbeiten und bei Verstößen Abhilfe schaffen wird. Sie bestätigten insbesondere, dass der unabhängige Generalinspekteur der Nachrichtendienste systematisch über sämtliche bei der Ombudsperson eingehenden Beschwerden informiert wird und anschließend eine eigene Bewertung vornimmt. Ferner erklärten sie, dass im Fall von Beschwerden, die bei der Ombudsperson eingehen und bei denen ein Verstoß gegen Verfahren für eine zielgenaue Erfassung nach Section 702 des Gesetzes über die Auslandsaufklärung festgestellt wird, ein solcher Verstoß dem Gericht für die Überwachung der Auslandsgeheimdienste (Foreign Intelligence Surveillance Court) gemeldet wird, der dann eine unabhängige Überprüfung vornimmt und den jeweiligen Nachrichtendienst erforderlichenfalls anweist, Abhilfe zu schaffen. Diese Abhilfemaßnahmen können von individuellen bis zu strukturellen Maßnahmen reichen, d. h. von der Löschung rechtswidrig erhobener Daten bis zu einer Änderung der Erhebungspraxis, die sich auch auf Leitlinien und Mitarbeiterschulungen erstrecken kann.

Abschließend wurde bestätigt, dass in Fällen, in denen bei der Prüfung einer bei der Ombudsperson eingegangenen Beschwerde ein Verstoß gegen Rechtsvorschriften der USA (einschließlich Verstößen gegen Executive Orders, Presidential Policies und die Vorschriften und Verfahren der Nachrichtendienste, wie z. B. die vom Gericht für die Überwachung der Auslandsgeheimdienste gebilligten Verfahren zur zielgenauen Erfassung und Minimierung) festgestellt wird, alle rechtswidrig erhobenen Daten aus sämtlichen staatlichen Datenbanken gelöscht und alle Verweise auf diese Daten aus Aufklärungsberichten entfernt werden. Folglich ist es natürlichen Personen in der EU möglich, die Löschung ihrer personenbezogenen Daten zu erwirken, sofern diese von Nachrichtendiensten der USA rechtswidrig erhoben und verarbeitet wurden.

Die Kommission begrüßt diese zusätzlichen Erläuterungen, die verdeutlichen, wie die Zusammenarbeit zwischen den verschiedenen unabhängigen Kontrollgremien die Effizienz des Ombudsmechanismus stärkt. Wichtig war auch klarzustellen, dass natürliche Personen in der EU ihr Recht auf Löschung, das ein wesentliches Element Bestandteil des Rechts auf Schutz personenbezogener Daten ist, in der Praxis ausüben können.

3.FAZIT

Die in Verbindung mit der dritten jährlichen Überprüfung gesammelten Informationen bestätigen die Feststellungen der Kommission im Angemessenheitsbeschluss sowohl im Hinblick auf die gewerblichen Aspekte des Datenschutzschilds als auch in Bezug auf den Zugriff staatlicher Stellen auf im Rahmen des Datenschutzschilds übermittelte personenbezogene Daten. In diesem Zusammenhang stellte die Kommission eine Reihe von Verbesserungen in der Funktionsweise der Regelung sowie bei der Besetzung wichtiger Kontrollgremien fest.

Doch in Anbetracht einiger Probleme, die in der täglichen Praxis auftraten oder im Zusammenhang mit der praktischen Umsetzung der Regelung an Bedeutung gewannen, kommt die Kommission zu dem Schluss, dass eine Reihe konkreter Schritte eingeleitet werden muss, um das wirksame Funktionieren des Datenschutzschilds in der Praxis besser zu gewährleisten:

1.Das Handelsministerium sollte die unterschiedlichen Fristen, die Unternehmen für die Abwicklung des Prozesses der erneuten Zertifizierung eingeräumt werden, verkürzen. Ein Zeitraum von insgesamt maximal 30 Tagen dürfte Unternehmen ausreichend Zeit für eine erneute Zertifizierung, einschließlich der Klärung von Problemen, die bei der erneuten Zertifizierung festgestellt werden, bieten und gleichzeitig die Wirksamkeit dieses Prozesses sicherstellen. Ist bei Ablauf der Frist die erneute Zertifizierung noch nicht abgeschlossen, sollte das Handelsministerium unverzüglich ein Mahnschreiben verschicken.