Source: https://datenschutzbeauftragter-hamburg.de/2018/09/angemessenheitsbeschluss-fuer-japan-steht-kurz-vor-verabschiedung/
Timestamp: 2019-10-15 09:59:58+00:00

Document:
13. September 2018 /in Datenschutz, Newsletter /von Datenschutzbeauftragter/tma
Gemäß einer aktuellen Pressemitteilung der EU-Kommission vom 05.09.2018 wird für Japan ein sogenanntes Verfahren zur Annahme eines Angemessenheitsbeschlusses eingeleitet. Diese Nachricht nehmen wir zum Anlass, um uns mit der Thematik des „internationalen Datenverkehrs“ etwas ausführlicher zu beschäftigen.
In unserer globalisierten Welt übermitteln viele Unternehmen nicht nur geschäftliche Informationen, sondern unter anderem auch personenbezogene Daten ins außereuropäische Ausland (sog. Drittländer). Das Datenschutzniveau ist außerhalb Europas jedoch sehr uneinheitlich, so dass das erklärte Ziel der DSGVO, der Schutz der personenbezogenen Daten, nicht immer und überall ohne weiteres erreicht werden kann. Unternehmen, die personenbezogene Daten in ein Drittland übermitteln, haben jedoch unabhängig davon, welche Standards im Drittland gelten, dafür zu sorgen, dass ihre Datenverarbeitung den EU-Standards genügt. Die Europäische Kommission macht es sehr anschaulich und sagt, dass der Schutz, den die DSGVO gewährt, mit den Daten „reist“. Was bedeutet diese „Reise“ konkret für Ihr Unternehmen? Welche Vorschriften sind zu beachten, wenn personenbezogene Daten in ein Drittland übermittelt werden und welche Maßnahmen sind gegebenenfalls zu ergreifen? Etwas allgemeiner hatten wir schon einmal hier und hier Artikel zu dieser Thematik veröffentlicht. Was bedeutet schließlich die Nachricht der EU-Kommission, dass sie ein Verfahren zur Annahme eines Angemessenheitsbeschlusses einleitet? Gilt Japan damit bereits jetzt schon als sicheres Drittland?
Bevor die aufgeworfenen Fragen beantwortet werden (können), ist es notwendig, sich kurz mit den allgemeinen Grundsätzen der Datenübermittlung in Drittländer zu befassen. Die DSGVO kennt folgende zulässige Möglichkeiten des Datentransfers in ein Drittland:
Beschluss der EU-Kommission über die Angemessenheit des gebotenen Schutzniveaus (Angemessenheitsbeschluss) gemäß Art. 45 DSGVO,
Geeignete Garantien, die das nicht ausreichende Datenschutzniveau kompensieren sollen gemäß Art. 46 DSGVO, Art. 47 DSGVO,
Rechtshilfeabkommen gemäß Art. 48 DSGVO,
Sonderfälle und Ausnahmen gemäß Art. 49 DSGVO.
Der für Verantwortliche unkomplizierteste und damit der angenehmste Fall ist der sogenannte Angemessenheitsbeschluss der EU-Kommission. Hierbei werden die Datenschutzbestimmungen bestimmter Länder umfassend durch die Kommission geprüft und das Datenschutzsystem des jeweiligen Landes bewertet. Wenn im Ergebnis festgestellt wird, dass das Datenschutzniveau im betreffenden Land den europäischen Datenschutz-Standards im Wesentlichen genügt, so wird nach einem förmlichen Verfahren ein Angemessenheitsbeschluss erlassen. Erst danach ist eine Datenübermittlung in ein Drittland aufgrund eines solchen Angemessenheitsbeschlusses ohne weitere Beschränkungen zulässig. Dabei ist zu beachten, dass gemäß Art. 46 Abs. 5 S. 2 DSGVO Feststellungen der Kommission, die bereits vor Wirksamkeit der DSGVO getroffen wurden, auch weiterhin gelten, solange diese nicht geändert oder aufgehoben werden.
Die Angemessenheitsbeschlüsse der EU-Kommission kommen, wie bereits erwähnt wurde, nicht etwa per Abstimmung der Kommissionsmitglieder (aktuell 28 EU-Kommissare) zustande, sondern durchlaufen ein mehrstufiges Annahmeverfahren, bei dem zunächst eine Stellungnahme des Europäischen Datenschutzausschusses und des Ausschusses aus Vertretern der EU-Mitgliedstaaten eingeholt wird. Danach wird der Ausschuss des EU-Parlaments für bürgerliche Freiheiten, Justiz und Inneres unterrichtet. Erst wenn dieses Verfahren abgeschlossen ist, wird ein Angemessenheitsbeschluss angenommen und wird damit zu geltendem EU-Recht. Die EU-Kommission hat ein solches Verfahren für Japan eingeleitet. Mit hoher Wahrscheinlichkeit wird Japan also demnächst zu den sicheren Drittländern gehören, sobald der Angemessenheitsbeschluss erlassen wurde. Bis dahin bleibt Japan vorerst ein nicht sicheres Drittland.
Im vorliegenden Zusammenhang möchten wir noch darauf hinweisen, dass nach dem Austritt Großbritanniens (UK) aus der EU (Brexit) das Vereinigte Königreich ab dem 30.03.2019 (00:00 Uhr CET) laut einer Mitteilung der EU-Kommission zum Drittland wird. Das hätte zur Folge, dass eine bisher zulässige Übermittlung personenbezogener Daten nach UK ab dem 30.03.2019 unzulässig wäre. Ebenso wäre zu überprüfen, inwiefern bereits bestehende Verarbeitungen in UK weiterhin durchgeführt werden dürfen. Hier zeichnet sich jedoch ab, dass die Lösung des Problems ebenfalls in einem Angemessenheitsbeschluss der EU-Kommission liegen könnte, denn die britische Regierung plant, das UK-Datenschutzrecht an die DSGVO anzupassen. Damit steht erfreulicherweise fest, dass UK keinen datenschutzrechtlichen Alleingang plant, sondern mit der EU trotz Brexit auch im Datenschutz weiterhin in enger Kooperation zusammenarbeiten möchte. Über aktuelle Entwicklungen in diesem Zusammenhang halten wir Sie natürlich auf dem Laufenden.
Wenn in der DSGVO von „geeigneten Garantien“ die Rede ist, dann ist damit insbesondere folgendes gemeint:
Bisher als „Standardvertragsklauseln“ bekannt, sind die Standarddatenschutzklauseln keine einzelnen Vertragsklauseln, wie der Name es suggerieren könnte, sondern ein komplexes vertragliches Regelwerk, welches von der EU-Kommission erlassen wird und von Unternehmen genutzt werden kann, um mit den Geschäftspartnern im außereuropäischen Ausland datenschutzrechtliche Fragen rechtskonform zu regeln und damit ein angemessenes Datenschutzniveau zu erreichen. Zu beachten ist dabei, dass dieses Vertragswerk inhaltlich nicht geändert werden darf. Es sind lediglich durch die Vertragsparteien einige „Lücken“ zu füllen (zum Beispiel der Zweck der Verarbeitung und die verarbeiteten Datenkategorien), die restlichen Regelungen jedoch dürfen weder inhaltlich angepasst, noch umformuliert werden.
Die unternehmensinternen Datenschutzvorschriften sind in Art. 4 Nr. 20 DSGVO legaldefiniert als „Maßnahmen zum Schutz personenbezogener Daten, zu deren Einhaltung sich ein im Hoheitsgebiet eines Mitgliedstaats niedergelassener Verantwortlicher oder Auftragsverarbeiter verpflichtet im Hinblick auf Datenübermittlungen oder eine Kategorie von Datenübermittlungen personenbezogener Daten an einen Verantwortlichen oder Auftragsverarbeiter derselben Unternehmensgruppe oder derselben Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, in einem oder mehreren Drittländern“. Übersetzt heißt dies, dass Konzerne oder Unternehmensgruppen mit einer gemeinsamen wirtschaftlichen Tätigkeit eigene Vorschriften entwickeln können, die für alle beteiligten Unternehmen verbindlich gelten. Diese müssen von der zuständigen Datenschutzaufsichtsbehörde genehmigt werden.
Genehmigte Verhaltensregeln sind im Unterschied zu den BCR nicht von einzelnen Konzernen, sondern von ganzen Branchen-Verbänden und anderen Vereinigungen, die die Interessen von Verantwortlichen des jeweiligen Industriezweigs bzw. Dienstleistungssektors vertreten, ausgearbeitete Regelungen, die ohne eine weitere Genehmigung der Aufsichtsbehörde im Einzelfall als geeignete Garantien genutzt werden können, soweit sie von einer Aufsichtsbehörde insgesamt genehmigt wurden und von dem Europäischen Datenschutzausschuss veröffentlicht wurden. Aktuell sind uns solche genehmigten Verhaltensregeln, die den Anforderungen der Artt. 40, 46 DSGVO entsprechen würden, nicht bekannt.
Im Rahmen eines Zertifizierungsverfahrens gemäß Art. 42 DSGVO können sich Unternehmen gemäß Art. 46 Abs. 2 lit. f DSGVO von einer akkreditierten Stelle zertifizieren lassen, um die rechtskonforme Datenverarbeitung auch in Bezug auf Datenübermittlung in Drittländer nachzuweisen. Dieser Nachweis (Zertifizierung) würde als eine geeignete Garantie im Sinne der DSGVO gelten. Aktuell gibt es allerdings noch keine offiziell akkreditierten Zertifizierungsstellen. Sobald ein entsprechendes Verfahren angeboten wird und entsprechende akkreditierten Zertifizierungsstellen geschaffen werden, werden wir darüber berichten.
Als Verantwortlicher können Sie in einem internationalen Gerichtsverfahren oder im Rahmen eines ausländischen Verwaltungsverfahrens aufgefordert werden, personenbezogene Daten zu übermitteln. Nach Art. 48 DSGVO ist eine zulässige Datenübermittlung in diesen Fällen nur dann möglich, wenn zwischen der EU und dem ersuchenden Drittland ein sogenanntes Rechtshilfeabkommen existiert. Die Angemessenheitsbeschlüsse der EU-Kommission und die geeigneten Garantien reichen hier für eine Datenübermittlung nicht aus!
Gemäß Art. 49 Abs. 1 DSGVO können, soweit die oben dargestellten Alternativen nicht bestehen, personenbezogene Daten in folgenden Ausnahmefällen an ein Drittland zulässigerweise übermittelt werden:
Als ein Auffangtatbestand dient der Art. 49 Abs. 1 U-Abs. 2 DSGVO, der zwecks Wahrung zwingender Interessen des Verantwortlichen eine Übermittlung in ein Drittland unter sehr engen Voraussetzungen für zulässig erklärt.
Wenn Sie keine geeigneten Garantien bieten können, ist an die Ausnahmen des Art. 49 DSGVO zu denken. Jedoch gerade bei den Ausnahmen ist zu berücksichtigen, dass die Aufsichtsbehörden die Ausnahmetatbestände bei einer Prüfung tendenziell eher restriktiv auslegen werden.
Schlagworte: Aufsichtsbehörden, Datenübermittlung, Gesetzgebung, US-Datenaustausch
https://datenschutzbeauftragter-hamburg.de/wp-content/uploads/2016/03/binary.jpg 480 830 Datenschutzbeauftragter/tma /wp-content/uploads/2016/06/datenschutz_hamburg_logo.png Datenschutzbeauftragter/tma2018-09-13 15:56:262019-05-31 14:23:53Datenübermittlung in Drittländer im Kontext der DSGVO

References: Art. 45
 Art. 46
 Art. 47
 Art. 48
 Art. 49
 Art. 46
 Art. 4
 Art. 42
 Art. 46
 Art. 48
 Art. 49
 Art. 49
 Art. 49