BERICHT DER KOMMISSION AN DAS EUROPÄISCHE PARLAMENT UND DEN RAT

Erster Bericht zur jährlichen Überprüfung der Funktionsweise des EU-US-Datenschutzschilds

1.ERSTE JÄHRLICHE ÜBERPRÜFUNG – ZWECK, VORBEREITUNG UND VORGEHENSWEISE

Mit Beschluss vom 12. Juli 2016 („Angemessenheitsbeschluss“) stellte die Kommission fest, dass die Vereinigten Staaten ein angemessenes Schutzniveau für personenbezogene Daten, die im Rahmen des EU-US-Datenschutzschilds aus der Europäischen Union an Organisationen in den Vereinigten Staaten übermittelt werden, gewährleisten.

Der EU-US-Datenschutzschild spiegelt die Grundsätze und Anforderungen wider, die der Europäische Gerichtshof in seiner Schrems-Rechtsprechung dargelegt hatte, mit der die vorherige „Safe Harbor“-Regelung aufgehoben wurde. Er enthält im Vergleich zur Safe-Harbor-Regelung einige Neuerungen, durch die der Schutz personenbezogener Daten bei ihrer Übermittlung in die USA verbessert wird. Dazu zählen strengere Auflagen für gemäß dem Datenschutzschild registrierte Unternehmen beispielsweise im Hinblick auf die zeitliche Begrenzung der Aufbewahrung (Grundsatz der Vorratsdatenspeicherung) oder die Voraussetzungen, unter denen Daten an Dritte, die nicht am Datenschutzschild teilnehmen, weitergegeben werden dürfen (Grundsatz der Verantwortlichkeit für die Weitergabe). Ferner sieht er eine regelmäßigere und strengere Kontrolle durch das US-Handelsministerium vor und verbessert die Rechtsschutzmöglichkeiten für natürliche Personen aus der EU beträchtlich. Zudem fußt der Datenschutzschild auf spezifischen schriftlichen Erklärungen und Garantien der US-Regierung, wonach der behördliche Zugriff auf gemäß dem Datenschutzschild übermittelte personenbezogene Daten aus Gründen der nationalen Sicherheit, der Strafverfolgung oder anderer im öffentlichen Interesse liegender Ziele klaren Beschränkungen und Garantien unterliegt. Zu diesem Zweck wurde mit der Ombudsperson ein neues Rechtsschutzinstrument geschaffen.

Die Kommission hatte sich verpflichtet, diesen Angemessenheitsbeschluss jährlich zu überprüfen, und überprüft deshalb alljährlich die Funktionsweise des Datenschutzschilds. Die erste jährliche Überprüfung der Funktionsweise des EU-US-Datenschutzschilds wird mit diesem Bericht abgeschlossen. Die Überprüfung erstreckt sich auf sämtliche Elemente des Datenschutzschilds: die Anwendung, Verwaltung, Überwachung und Durchsetzung des Rechtsrahmens durch die zuständigen US-Behörden und -Einrichtungen, aber auch den Zugang von US-Behörden zu gemäß dem Datenschutzschild übermittelte personenbezogenen Daten aus im öffentlichen Interesse liegenden Gründen wie insbesondere der nationalen Sicherheit. In den Bericht aufgenommen wurden auch ein Dialog zum Thema „automatisierte Beschlussverfahren“ und eine Bewertung der Entwicklungen, die das US-Rechtssystem im vergangenen Jahr genommen hat und die sich auf die Funktionsweise des Datenschutzschilds auswirken könnten.

Der EU-US-Datenschutzschild trat am 1. August 2016 in Kraft. Da das Berichtsjahr das erste Jahr ist, in dem der Datenschutzschild zur Anwendung gelangte, hat sich die Kommission in ihrer jährlichen Überprüfung vor allem vergewissert, dass sämtliche in der Regelung vorgesehenen Instrumente und Verfahren – bei denen es sich vielfach um Neuerungen handelt – vollständig umgesetzt wurden und wie im Angemessenheitsbeschluss vorgesehen funktionieren. Ferner hat die Kommission besonders darauf geachtet, ob und wie die verschiedenen an der Anwendung der Regelung beteiligten US-Behörden ihren schriftlichen Erklärungen und Verpflichtungen sowohl im Hinblick auf die Handhabung und Kontrolle der gewerblichen Regelungen des Datenschutzschilds als auch im Hinblick auf den behördlichen Zugriff auf personenbezogene Daten nachgekommen sind. Der Regierungswechsel im Januar 2017 verlieh diesem Aspekt besondere Relevanz.

Im Vorfeld ihres Berichts haben die Kommissionsdienststellen Informationen und Rückmeldungen zur Funktionsweise des Datenschutzschilds eingeholt und dabei alle einschlägigen Interessenträger konsultiert, darunter die zertifizierten Unternehmen (über ihre jeweiligen Branchenverbände) und auf dem Gebiet der Grundrechte und insbesondere der digitalen Rechte und des Schutzes der Privatsphäre tätige Nichtregierungs-Organisationen (NRO). Ferner wurden die mit der Anwendung der Regelung befassten US-Behörden konsultiert und haben zusammen mit ihren Antworten einschlägige Schriftstücke und Materialien vorgelegt.

Die erste gemeinsame jährliche Überprüfung fand am 18./19. September 2017 in Washington statt. Sie wurde von Věra Jourová, dem für Justiz, Verbraucher und Gleichberechtigung der Geschlechter zuständigen Kommissionsmitglied, und US-Handels-Staatssekretär Wilbur Ross eröffnet. Für die EU nahmen Vertreter der Generaldirektion Justiz und Verbraucher der EU-Kommission teil. Ferner gehörten der EU-Delegation acht von der Datenschutzgruppe nach Artikel 29 (dem beratenden Gremium der Datenschutzbehörden der Mitgliedstaaten und des Europäischen Datenschutzbeauftragten) benannte Vertreter an.

Auf Seiten der USA nahmen Vertreter des Handelsministeriums (DoC), der Wettbewerbsbehörde (Federal Trade Commission, FTC), des Verkehrsministeriums, des Außenministeriums, des Amts des Nachrichtendienstkoordinators (Director of National Intelligence) sowie die geschäftsführende Ombudsperson des Datenschutzschilds, ein Mitglied des Privacy and Civil Liberties Oversight Board (PCLOB) und Vertreter des Amtes des Generalinspekteurs der Nachrichtendienste teil. Ferner übermittelten Vertreter von unabhängigen Schlichtungsorganisationen des Datenschutzschilds, die das Schiedsforum zum Datenschutzschild verwaltende American Arbitration Association und einige beim Datenschutzschild zertifizierte Unternehmen Rückmeldungen zur jährlichen Überprüfung.

Darüber hinaus wurden öffentlich erhältliche Informationen wie Gerichtsentscheidungen, Durchführungsvorschriften und -verfahren der zuständigen US-Behörden, Berichte und Studien von NRO, von zertifizierten Unternehmen veröffentlichte Transparenzberichte sowie Presseartikel und andere Medienberichte verwendet.

2.FESTSTELLUNGEN, SCHLUSSFOLGERUNGEN UND EMPFEHLUNGEN

Die US-Behörden haben die erforderlichen Strukturen und Verfahren geschaffen, damit der Datenschutzschild ordnungsgemäß funktioniert. Das Zertifizierungsverfahren wurde insgesamt in zufrieden stellender Weise gehandhabt. Mehr als 2400 Unternehmen wurden inzwischen zertifiziert. Die US-Behörden haben die erforderlichen Beschwerde- und Durchsetzungsinstrumente und -verfahren zur Wahrung der Rechte natürlicher Personen geschaffen. Dazu gehören auch neue zusätzliche Rechtsschutzinstrumente für natürliche Personen aus der EU wie das Schiedsforum und die Ombudsperson. Nach dem Regierungswechsel im Januar 2017 wurde eine geschäftsführende Ombudsperson benannt; eine dauerhafte Ernennung steht noch aus. Die Zusammenarbeit mit den europäischen Datenschutzbehörden wurde intensiviert. Was die Sammlung und Nutzung personenbezogener Daten durch staatliche Stellen der USA aus Gründen der nationalen Sicherheit anbelangt, so sind die einschlägigen Schutzvorkehrungen weiterhin vorhanden. Dazu zählt insbesondere die 2014 erlassene Presidential Policy Directive 28 mit Einschränkungen und Garantien, die für die Sammlung und Nutzung personenbezogener Daten durch staatliche Stellen für Zwecke der nationalen Sicherheit unabhängig von der Staatsangehörigkeit der Betroffenen gelten. Zu beachten ist ferner, dass § 702 des Gesetzes über die Auslandsaufklärung (Foreign Intelligence Surveillance Act, FISA) am 31. Dezember 2017 außer Kraft tritt und der Kongress momentan Änderungsvorschläge erörtert.

Die ausführlichen Feststellungen zur Funktionsweise des Datenschutzschilds im ersten Jahr seit seinem Inkrafttreten enthält das diesem Bericht beiliegende Arbeitspapier der Kommissionsdienststellen zur jährlichen Überprüfung der Funktionsweise des EU-US-Datenschutzschilds (SWD(2017) 344 final).