49. fordert die Kommission nachdrücklich auf, Vorschläge für Rechtsgrundlagen zu unterbreiten, um
erfolgreiche Pilotvorhaben und vorbereitende Maßnahmen fortzuführen, insbesondere vorbereitende Maß-
nahmen, die sich im zweiten und dritten Jahr befinden, um sie so im Haushaltsplan 2001 zu berücksich-
tigen;
*
**
50. beauftragt seine Präsidentin, diese Entschließung dem Rat und der Kommission zu übermitteln.
14. Grundsätze des sicheren Hafens
A5-0177/2000
Entschließung des Europäischen Parlaments zu dem Entwurf einer Entscheidung der Kommission
über die Angemessenheit der US-Grundsätze des Sicheren Hafens und diesbezügliche häufig
gestellte Fragen (FAQ), vorgelegt vom Handelsministerium der USA (C5-0280/2000 Cdash
2000/2144(COS))
Das Europäische Parlament,
6dash in Kenntnis der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates zum Schutz natürli-
cher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr(1) (im
folgenden „die Richtlinie“ genannt) und insbesondere deren Artikel 25,
6dash in Kenntnis des Entwurfs einer Entscheidung der Kommission (C5-0280/2000),
6dash in Kenntnis der am 16. Mai 2000 von der gemäßArtikel 29 der Richtlinie eingesetzten Datenschutz-
gruppe angenommenen Stellungnahme (WP 32) sowie der früheren diesbezüglichen Stellungnahmen
(WP 12 und WP 27),
6dash in Kenntnis der Stellungnahme des gemäßArtikel 31 dieser Richtlinie eingesetzten Ausschusses vom
31. Mai 2000,
6dash unter Hinweis auf den Beschluß1999/468/EG des Rates vom 28. Juni 1999 zur Festlegung der Moda-
litäten für die Ausübung der der Kommission übertragenen Durchführungsbefugnisse(2) und insbeson-
dere dessen Artikel 8 betreffend Durchführungsmaßnahmen,
6dash gestützt auf Artikel 88 seiner Geschäftsordnung,
6dash in Kenntnis des Berichts des Ausschusses für die Freiheiten und Rechte der Bürger, Justiz und innere
Angelegenheiten (A5-0177/2000),
Die Bedeutung des Datenschutzes im Rahmen der Zuständigkeiten des Union
A. in der Erwägung, daß:
a) die Entwicklung der Informationsgesellschaft und des elektronischen Geschäftsverkehrs sich welt-
weit in einer exponentiellen Zunahme des Datenverkehrs sowie der Risiken im Zusammenhang
mit dem Mißbrauch bei der Verwendung dieser Daten niederschlägt,
b) dieser Mißbrauch nicht nur ein Hemmnis für die Weiterentwicklung des elektronischen Geschäfts-
verkehrs darstellt, da er das Vertrauen der Verbraucher schwächt, sondern oft auch eine Verlet-
zung der Rechte und Freiheiten der Personen und vornehmlich der Vertraulichkeit der Privat-
sphäre,
c) Datenschutz den Schutz der Personen bedeutet, auf die sich die verarbeiteten Daten beziehen;
dieser Schutz zählt zu den von der Union anerkannten Grundrechten (Artikel 8 der Europäischen
Konvention zum Schutze der Menschenrechte und Grundfreiheiten, auf den in Artikel 6 des Ver-
trags über die Europäische Union verwiesen wird, und Artikel 286 des Vertrags zur Gründung derEuropäischen Gemeinschaft),
(1) ABl. L 281 vom 23.11.1995, S. 31.
(2) ABl. L 184 vom 17.7.1999, S. 23.C 121/152 DE 24.4.2001 Amtsblatt der Europäischen Gemeinschaften
Mittwoch, 5. Juli 2000
d) dieser Schutz in der Richtlinie nach dem Vorbild des Übereinkommens Nr. 108 (1981) des Euro-
parates sowie den Leitlinien der OECD (1980) und der UNO (1990) durch die Festlegung spezi-
fischer Rechte der betroffenen Personen sowie der daraus entstehenden Verpflichtungen für Perso-
nen gewährleistet wird, die Daten verarbeiten bzw. diese Verarbeitung überwachen,
e) dieser Schutz nichtig wäre, wenn er sich nur auf das Hoheitsgebiet der Union beschränken würde
und nicht 6dash wie in der Richtlinie vorgesehen 6dash ein angemessenes Schutzniveau auch in Dritt-
staaten gewährleistet würde, in die Daten übermittelt werden,
f) ein angemessener Schutz personenbezogener Daten in allen Ländern, in die eine Datenübertra-
gung zulässig ist, auch erforderlich ist, um zu vermeiden, daßverschiedene Schutzniveaus entge-
gen der Bestimmungen der GATS-Übereinkommen Verzerrungen bei der Verwendung der Daten
und eine Verlagerung ihrer Verarbeitung begünstigen,
g) es der Kommission obliegt, sich im Namen der Unionsbürger und der Mitgliedstaaten zu verge-
wissern, daßin den Drittstaaten ein „angemessener“ Schutz besteht,
Die Rolle der Kommission und die Modalitäten und Kriterien, die diese bei der Beurteilung der „Ange-
messenheit“ des von Drittstaaten gewährleisteten Schutzniveaus befolgen muß
B. in der Überzeugung, daß
a) die Kommission bei der Bewertung der „Angemessenheit“ des in Drittstaaten gewährleisteten
Schutzniveaus den unterschiedlichen Entwicklungsstand in bezug auf Recht, Wirtschaft und Tech-nologie in dem Drittstaat gegenüber dem europäischen Standard berücksichtigen sollte,
b) ein „angemessener“ Schutz nicht automatisch bedeutet, daßim Drittstaat gleichwertige Rechtsvor-
schriften wie in der Union gelten, sondern daßunabhängig von der Art des im Drittstaat gelten-den Rechtsschutzes der Inhaber der Daten wirksam geschützt werden muß,
c) der Schutz im Drittstaat als wirksam gilt, wenn dessen Wirksamkeit anhand objektiver Daten
gemessen werden kann, etwa ob es möglich ist, die Inhaber der Verpflichtungen, die Art der ver-
arbeiteten Daten, deren Verwendungsmöglichkeiten sowie die Instrumente zur Gewährleistung des
Schutzes festzustellen,
d) in diesem Zusammenhang der vom Drittstaat gewährleistete Schutz mindestens folgenden Grund-
sätzen entsprechen muß, die von den Kontrollstellen der Mitgliedstaaten der Union festgelegt wur-den (Stellungnahme WP 12 vom Juni 1998):
1. Der Grundsatz der Beschränkung der Zweckbestimmung: Daten sind für einen spezifischen
Zweck zu verarbeiten und dementsprechend nur insofern zu verwenden oder weiter zu über-
mitteln, als dies mit der Zweckbestimmung der Übermittlung nicht unvereinbar ist. Ausnah-
men sind lediglich in den in einer demokratischen Gesellschaft aus einem der in Artikel 13
der Richtlinie aufgeführten Gründe notwendigen Fälle möglich.
2. Der Grundsatz der Datenqualität und -verhältnismäßigkeit: Daten müssen sachlich richtig
und, wenn nötig, auf dem neuesten Stand sein. Die Daten sollten angemessen, relevant und
im Hinblick auf die Zweckbestimmung, für die sie übertragen oder weiterverarbeitet werden,
nicht exzessiv seien.
3. Der Grundsatz der Transparenz: Natürliche Personen müssen Informationen über die Zweck-
bestimmung der Verarbeitung und die Identität des im Drittland des für die VerarbeitungVerantwortlichen sowie andere Informationen erhalten, sofern dies aus Billigkeitsgründen
erforderlich ist. Ausnahmen sind lediglich im Einklang mit Artikel 11 Absatz 2(
1) und Artikel
13 der Richtlinie möglich.
4. Der Grundsatz der Sicherheit: Der für die Verarbeitung Verantwortliche hat geeignete techni-
sche und organisatorische Sicherheitsmaßnahmen für die Risiken der Verarbeitung zu treffen.
Alle unter der Verantwortung des für die Verarbeitung Verantwortlichen tätigen Personen,
darunter auch Verarbeiter, dürfen Daten nur auf Anweisung des Verantwortlichen verarbei-
ten.
(1) Artikel 11 Absatz 2 sieht vor, daßfür den Fall, daßdie Daten nicht bei der betroffenen Person erhoben wurden, die
betroffene Person nicht informiert zu werden braucht, wenn dies unmöglich ist, unverhältnismäßigen Aufwand
erfordert oder die Speicherung oder Weitergabe durch Gesetz ausdrücklich vorgesehen ist.24.4.2001 DE C 121/153 Amtsblatt der Europäischen Gemeinschaften
Mittwoch, 5. Juli 2000
5. Das Recht auf Zugriff, Berichtigung und Widerspruch: Die betroffene Person mußdas Recht
haben, eine Kopie aller sie betreffender Daten zu erhalten, die verarbeitet werden, sowie das
Recht auf Berichtigung dieser Daten, wenn diese sich als unrichtig erweisen. In bestimmten
Situationen mußsie auch Widerspruch gegen die Verarbeitung der sie betreffenden Daten
einlegen können. Ausnahmen sind lediglich im Einklang mit Artikel 13 der Richtlinie mög-lich.
6. Beschränkungen der Weiterübermittlung personenbezogener Daten durch den Empfänger der
ersten Übermittlung: Die Weiterübermittlung ist lediglich zulässig, wenn für die weiteren Em-
pfänger Vorschriften gelten, die ein angemessenes Schutzniveau gewährleisten. Ausnahmen
sind lediglich im Einklang mit Artikel 26 Absatz 1 der Richtlinie möglich,
C. in der Erwägung, daßes, was die Garantien für die tatsächliche Anwendung anbelangt, auß erdem
erforderlich ist, folgende Zielsetzungen zu gewährleisten, zumal wenn die Vorschriften über die Ver-arbeitung von Daten, die Gegenstand einer Auswertung sind, auf einem System auf der Grundlage derSelbstkontrolle basieren:
6dash Das Instrument mußüber Mechanismen verfügen, die ein gutes allgemeines Befolgungsniveau
wirksam gewährleisten. Ein System abschreckender Strafmaßnahmen ist eine Möglichkeit, dies zu
erreichen. Zwingende externe Prüfungen sind ein weiteres Mittel,
6dash das Instrument mußUnterstützung und Hilfe für einzelne betroffene Personen bieten, die ein
Problem im Zusammenhang mit der Verarbeitung ihrer personenbezogenen Daten haben. Ein
leicht zugängliches, neutrales und unabhängiges Gremium zur Anhörung von Beschwerden
betroffener Personen und zur Schlichtung bei Verstößen gegen den Kodex muß deshalb eingerich-
tet werden.
6dash das Instrument mußfür den Fall der Verletzung von Vorschriften eine angemessene Entschädi-
gung gewährleisten. Die betroffene Person mußdie Möglichkeit haben, das Problem zu beseitigen
und ggf. Schadensersatz zu erhalten,
Das Datenschutzsystem in den Vereinigten Staaten
D. unter Hinweis darauf, daßin den Vereinigten Staaten:
a) bislang noch kein allgemein anwendbarer Rechtsschutz von Daten im Privatsektor besteht und
fast alle Daten derzeit ohne besondere Garantien für einen Rechtsschutz verarbeitet werden;
b) im Kongreßimmer noch zahlreiche Legislativvorschläge unerledigt sind und der Präsident der
Vereinigten Staaten selbst vor kurzem auf die Notwendigkeit weiterer Rechtsakte verwiesen hat;
auch die Federal Trade Commission hat sich im dritten Bericht an den Kongreßüber die Funk-
tionsweise des Systems der Selbstkontrolle im elektronischen Geschäftsverkehr in diesem Sinne
geäußert,
c) in jedem Fall die von der OECD angenommenen Leitlinien (die die USA 1980 unterzeichnet
haben und zu denen sie sich auf der OECD-Konferenz von Ottawa im September 1998 bekannt
haben) im Bereich des Schutzes personenbezogener Datenangewandt werden müssen,
Art und Geltungsbereich der Durchsetzbarkeit des Sicheren Hafens
E. in der Erwägung, daßdas Department of Commerce (US-Wirtschaftsministerium) eine Weiterentwick-
lung der Rechtsvorschriften nicht fördert, sondern hingegen beabsichtigt, den Unternehmen Grund-sätze des Sicheren Hafens (sowie „Frequently Asked Questions“, die diese Grundsätze betreffen) vorzu-schlagen, wobei
a) diese Grundsätze nur für personenbezogene Daten aus der Europäischen Union gelten und den
Unternehmen, die Daten aus der Europäischen Union erhalten wollen, als freiwilliger „Standard“
nahegelegt werden, jedoch für Unternehmen, die sich für deren Einhaltung entscheiden, verbind-lich sind; sie sind bei privaten Streitschlichtungsstellen und Regierungsstellen einklagbar und
begründen einen Anspruch auf Wiedergutmachung für unfaire oder betrügerische Praktiken,
b) sie nur die Unternehmen betreffen, die in den Zuständigkeitsbereich der Federal Trade Commis-
sion (US-Kartellamt) und des US-Verkehrsministeriums fallen (die Unternehmen des Bank- und
Telekommunikationssektors beispielsweise sind also ausgenommen),C 121/154 DE 24.4.2001 Amtsblatt der Europäischen Gemeinschaften
Mittwoch, 5. Juli 2000
c) sie Ausnahmeregelungen (FAQ 15) unterliegen in bezug auf öffentliche Register und öffentlich
verfügbare Daten (z.B.: Kataster, Telefonnummern, Steuererklärungen, Wählerverzeichnisse), die
durch die gemeinschaftlichen Rechtsvorschriften geschützt werden,
d) sie unklare Definitionen verwenden, wie jene von „Organisationen“ (was sich sowohl auf Unter-
nehmen als auch auf Firmenzusammenschlüsse beziehen kann) und von „ausdrücklichen Geneh-migungen“ (die eine Ausnahme von den Grundsätzen begründen),
e) sie kein persönliches und wirksames Beschwerderecht bei einer öffentlichen Stelle vorsehen (FAQ
11),
f) sie keine eindeutige Feststellung ermöglichen, ob die Wiedergutmachung persönlicher Schäden
infolge eventueller Verstöße gegen die Grundsätze des sicheren Hafens möglich sein wird,
1. stellt einleitend und unabhängig von der Frage des ihm vorgelegten Entwurfs einer Entscheidung
folgendes fest:
a) nimmt mit Besorgnis zur Kenntnis, daßfast zwei Jahre nach dem Inkrafttreten der Richtlinie die Daten
der Unionsbürger ohne effiziente Kontrolle durch die Kommission und die Mitgliedstaaten in Dritt-
länder übermittelt werden;
b) fragt sich, wieviel Mißbrauch in der Zwischenzeit möglicherweise zum Schaden der Unionsbürger
getrieben wurde;
c) fordert die Mitgliedstaaten und die Kommission auf, die Unionsbürger über die Risiken aufzuklären,
die mit der Übermittlung von Daten in Länder verbunden sind, in denen deren Schutz nicht gewähr-
leistet ist bzw. die Prüfung der Angemessenheit des Schutzniveaus durch die Kommission noch nicht
abgeschlossen ist;
d) hält es für ein schwerwiegendes Versäumnis der Kommission, daßsie nicht noch vor dem Inkrafttreten
der Richtlinie die Standardvertragsklauseln festgelegt hat, auf deren Grundlage die Unionsbürger bei
den Justizbehörden der Drittstaaten Klage erheben können;
e) legt den 30. September 2000 als Termin für die Vorlage eines Vorschlags für die Standardklauseln an
den in Artikel 31 der Richtlinie vorgesehenen Ausschußfest;
f) behält es sich im Fall der Nichteinhaltung dieses Termins vor, die Verfahren einzuleiten, die im Vertrag
für die Nichterfüllung vorgesehen sind;
Der dem Europäischen Parlament vorgelegte Entscheidungsentwurf
2. weist darauf hin, daßder Entwurf einer Entscheidung keine Feststellung in bezug auf die gegenwär-
tige Situation in den Vereinigten Staaten beinhaltet, sondern auf einem Entwurf von Grundsätzen des
sicheren Hafens (und den diesbezüglichen Erläuterungen) beruht, die das US-Department of Commerce
als Leitlinie für die Unternehmen veröffentlichen wird, die die Anforderung eines angemessenen Schutzes
gemäßder Richtlinie erfüllen wollen;
3. weist die Kommission auf die Gefahr hin, daßder Briefwechsel zwischen der Kommission und dem
US-Department of Commerce betreffend die Umsetzung des Systems des sicheren Hafens von den europäi-
schen und/oder amerikanischen Justizbehörden als internationales Abkommen ausgelegt werden könnte,das unter Verstoßgegen Artikel 300 EGV und die Verpflichtung zur Einholung der Zustimmung des Par-
laments geschlossen wurde (Urteil des Gerichtshofes vom 9. August 1994: Französische Republik gegen
Kommission 6dash Abkommen Kommission/Vereinigte Staaten über Wettbewerbsgesetze. Rechtssache
C-327/91)(
1);
4. bedauert, daßim Laufe der beiden letzten Jahre keine Konsultation der europäischen Unternehmen
zu dem Risiko einer Diskriminierung gegenüber den Unternehmen in den USA stattgefunden hat, für die
im Bereich des Datenschutzes weniger strenge Auflagen gelten als für europäische Unternehmen;
5. bedauert, daßdie Kommission im Gegensatz zu den Konsultationen der nichtstaatlichen Organisatio-
nen für Verbraucherschutz durch die US-Behörden keine solchen Konsultationen mit europäischen Nicht-
regierungsorganisationen eingeleitet hat;
6. betont nachdrücklich, wie wichtig es ist, das höchstmögliche Verbraucherschutzniveau zu bieten, und
fordert die Kommission in diesem Zusammenhang auf, eine ständige Überwachung der Grundsätze des
sicheren Hafens zu gewährleisten und zu unterstützen;
(1) Slg. 1994 I-3641.24.4.2001 DE C 121/155 Amtsblatt der Europäischen Gemeinschaften
Mittwoch, 5. Juli 2000
7. fragt sich, wie in den USA zwei verschiedene Schutzsysteme nebeneinander bestehen können, je
nachdem, ob es sich um europäische Dateninhaber handelt oder nicht, und ob ein solches Doppelsystem
mit der in den diesbezüglichen internationalen Abkommen (OECD) vorgesehenen Nichtdiskriminierungs-
klausel aus Gründen der Staatsangehörigkeit vereinbar ist;
8. ist der Meinung, daßsich die Lage in den USA in bezug auf den Schutz der Privatsphäre in den
nächsten Jahren vermutlich rasch weiterentwickeln wird, daßwahrscheinlich neue Rechtsvorschriften erlas-
sen werden, mit denen höhere Schutzstandards eingeführt werden könnten, als in den Grundsätzen des
sicheren Hafens gefordert sind, und daßdie Regelung über den sicheren Hafen daher angepaß t werden
muß, um diesen Entwicklungen nicht hinterherzuhinken;
9. weist darauf hin, daßdiese Grundsätze und die diesbezüglichen Erklärungen als angemessener Schutz
gemäßArtikel 25 der Richtlinie betrachtet werden könnten, gesetzt den Fall, daßsie veröffentlicht und von
den einzelnen Unternehmen angewandt werden, sofern sie wie folgt abgeändert würden:
6dash Anerkennung des Rechts von Einzelpersonen, bei einer unabhängigen öffentlichen Stelle Beschwerde
einzulegen, die jede Beschwerde über eine vermeintliche Verletzung der Grundsätze prüfen muß;
6dash Verpflichtung der beigetretenen Unternehmen, den materiellen und immateriellen Schaden wiedergut-
zumachen, den die betroffene Person im Fall eines Verstoßes gegen die Grundsätze erlitten hat, sowie
Verpflichtung dieser Unternehmen, die auf unrechtmäßige Weise eingegangenen oder verarbeiteten
personenbezogenen Daten zu löschen;
6dash ungehinderter Zugang zu den Informationen darüber, wie durchgesetzt werden kann, daßDaten
gelöscht bzw. Schäden wiedergutgemacht werden;
6dash erste Überprüfung des einwandfreien Funktionierens des Systems durch die Kommission binnen sechs
Monaten nach dessen Inkrafttreten und Übermittlung eines Berichts über die Ergebnisse der Prüfung
und über die festgestellten Probleme an die Arbeitsgruppe gemäßArtikel 29, den Ausschußgemäß
Artikel 31 der Richtlinie sowie an den zuständigen Ausschußdes Europäischen Parlaments;
10. fordert die Kommission auf sicherzustellen, daßdie Anwendung des System des sicheren Hafens
genau überwacht wird, insbesondere 6dash aber nicht nur 6dash im Hinblick auf die in den Ziffern 8 und 9
genannten Punkte, und der Arbeitsgruppe gemäßArtikel 29 und dem AusschußgemäßArtikel 31 der
Richtlinie sowie dem zuständigen Ausschußdes Europäischen Parlaments regelmäß ige Berichte vorzulegen;
11. ist der Auffassung, daßder freie Datenverkehr nicht zugelassen werden kann, solange nicht alle
Elemente des Systems des sicheren Hafens funktionsfähig sind und die US-Behörden der Kommission mit-geteilt haben, daßdiese Voraussetzungen erfüllt sind;
12. fordert die Kommission und die Mitgliedstaaten auf:
6dash die europäischen Bürger (über das Amtsblatt und über Internet) in angemessener Weise über den
„sicheren Hafen“ zu informieren und dabei zu verdeutlichen, daßweiterhin Unterschiede zwischendem „sicheren Hafen“ und den europäischen Rechtsvorschriften über die Verarbeitung personenbezo-gener Daten bestehen können;
6dash einen Hilfsdienst (Servicenummer, Schalter) in den nationalen Kontrollstellen und in den Dienststellen
der Kommission einzurichten, um eventuelle Anwendungsprobleme zu lösen (z.B. Übersetzung der
Beschwerden, Formulare usw.);
6dash die Entscheidung im Lichte der Erfahrungen und möglicher künftiger rechtlicher Entwicklungen unver-
züglich zu überprüfen;
13. fordert nachdrücklich, daßdie Kommission diese Entschließ ung ihrem Übermittlungsschreiben an
die Behörden der Vereinigten Staaten als Anhang beifügt und somit eindeutig der Besorgnis des Europäi-
schen Parlaments darüber Ausdruck verleiht, daßEinzelpersonen kein Recht auf Anrufung der Gerichtehaben und keine Einigung bezüglich der Verpflichtung der Unternehmen zur Zahlung einer Entschädigung
für unrechtmäßig verarbeitete Daten erzielt werden konnte;
*
**
14. beauftragt seine Präsidentin, diese Entschließung der Kommission sowie den Parlamenten und Regie-
rungen der Mitgliedstaaten zu übermitteln.C 121/156 DE 24.4.2001 Amtsblatt der Europäischen Gemeinschaften
Mittwoch, 5. Juli 2000