Source: https://www.datenschutzstelle.li/index.php?cID=557
Timestamp: 2019-11-21 14:00:31+00:00

Document:
Internationaler Datentransfer :: Datenschutzstelle
Werden personenbezogene Daten nicht nur innerhalb des EU/EWR-Raumes, sondern auch an Drittländer oder internationale Organisationen1 übermittelt, so gelten dafür gemäss der Datenschutz-Grundverordnung (DSGVO) strenge Regeln. Nur so kann das hohe Schutzniveau nicht faktisch unterlaufen werden durch einen Transfer der Daten in ein der DSGVO nicht unterstelltes Drittland. Deshalb dürfen personenbezogene Daten grundsätzlich nur dann an einen Empfänger in einem Drittland übermittelt werden, wenn – nebst der Einhaltung aller sonstigen Regelungen der DSGVO – das Drittland oder der Empfänger selbst ein vergleichbar hohes Datenschutz-Niveau wie dasjenige im EU/EWR-Raum gewährleistet (Art. 44 DSGVO). Um dies sicherzustellen, werden etwa eine Adäquanzbescheinigung der EU-Kommission („sichere Drittländer“) oder sonstige geeignete Garantien für den Datenschutz und die Rechte der Betroffenen (übrige „unsichere Drittländer“) verlangt. Die bekanntesten solchen Instrumente sind:
Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO)
EU-Standarddatenschutzklauseln (Art. 46 DSGVO)
Verbindliche interne Datenschutzvorschriften (Binding Corporate Rules (BCR)) (Art. 47 DSGVO)
Daneben zählt Art. 46 DSGVO noch weitere geeignete Garantien auf (z.B. genehmigte Verhaltensregeln, Zertifizierungen), die jedoch in der Praxis bisher weniger Bedeutung erlangt haben.
Schliesslich kennt die DSGVO einige Ausnahmen für bestimmte Fälle von Datenübermittlungen in Drittländer, wenn weder ein Angemessenheitsbeschluss noch andere geeignete Garantien dafür vorliegen. So darf eine auf einen Einzelfall begrenzte Übermittlung unter bestimmten Umständen und Voraussetzungen dennoch erfolgen, wenn etwa eine Einwilligung der betroffenen Person vorliegt, sie für eine Vertragserfüllung erforderlich ist, ein wichtiges öffentliches Interesse besteht oder sie zur Geltendmachung von Rechtsansprüchen erforderlich ist (Art. 49 DSGVO).
Die Bestimmungen der DSGVO für Datentransfers in Drittländer gelten dabei für jede Übermittlung personenbezogener Daten, unabhängig davon, ob sie von einem Verantwortlichen oder von einem Auftragsverarbeiter vorgenommen wird, ob der Empfänger eine staatliche oder private Stelle ist, und unabhängig davon, ob es sich um eine eigentliche Übermittlung oder nur um eine Offenlegung der Daten via Zugriffsrechte handelt. Und die Regeln gelten auch für die etwaige Weiterübermittlung personenbezogener Daten durch den Empfänger an ein weiteres Drittland.
1Im Folgenden wird der Einfachheit halber nur noch von Drittländern und nicht mehr auch von internationalen Organisationen gesprochen. Es sind aber jeweils beide gemeint.
Die EU-Kommission kann mittels formellem Beschluss feststellen, dass der Datenschutz in einem Drittland, Gebiet oder Sektor oder einer internationalen Organisation1 mit demjenigen im EU/EWR-Raum vergleichbar bzw. ihm angemessen ist (Art. 45 DSGVO). Der Schutz muss dabei nicht identisch ausgestaltet, aber zumindest im Wesentlichen gleichwertig sein bzgl. seiner praktischen Wirksamkeit. Die festgestellte Angemessenheit wird sodann von der EU-Kommission überwacht und regelmässig überprüft (mindestens alle vier Jahre), was allenfalls in einen Widerruf, einer Änderung oder Aussetzung der Entscheidung münden kann.
Datentransfers in Drittländer, die über ein von der EU-Kommission als angemessen anerkanntes Schutzniveau verfügen, sind denjenigen innerhalb des EU/EWR-Raumes gleichgestellt und unterliegen danach keinen weiteren besonderen Anforderungen mehr. Nach wie vor gültig sind jedoch sämtliche anderen Anforderungen bezüglich der Verarbeitung personenbezogener Daten gemäss DSGVO!
Für folgende Drittländer hat die EU-Kommission bisher einen Angemessenheitsbeschluss erlassen (Stand Oktober 2019):
Andorra (de/en)
Argentinien (de/en)
Kanada (de/en)
Färöer-Inseln (de/en)
Guernsey (de/en)
Israel (de/en)
Isle of Man (de/en)
Jersey (de/en)
Neuseeland (de/en)
Schweiz (de/en)
Uruguay (de/en)
Vereinigte Staaten von Amerika (EU-U.S. Privacy Shield) (de/en)
Die inhaltliche Reichweite der verschiedenen Angemessenheitsbeschlüsse kann jedoch von Land zu Land sehr unterschiedlich sein. Kanada und die USA (EU-U.S. Privacy Shield) verfügen beispielsweise nur über sektorielle Angemessenheitsbeschlüsse. Auch Datenübermittlungen zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschliesslich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, durch zuständige Behörden sind nicht von einem Angemessenheitsbeschluss nach DSGVO gedeckt, sondern fallen unter den Anwendungsbereich der dafür vorgesehenen der Richtlinie (EU) 2016/680. Es ist daher im konkreten Fall stets zu prüfen, ob die vorgesehene Datenübermittlung vom betreffenden Angemessenheitsbeschluss überhaupt erfasst ist.
Viele Betriebe in Liechtenstein arbeiten mit Dienstleistern in der Schweiz zusammen. Da die EU-Kommission einen Angemessenheitsbeschluss für die Schweiz erlassen hat, sind Datenübermittlungen in die Schweiz unproblematisch und genehmigungsfrei möglich.
1Im Folgenden wird der Einfachheit halber nur noch von Drittländern und nicht mehr auch von Gebieten oder Sektoren oder internationalen Organisationen gesprochen. Es sind aber jeweils alle gemeint.
Der so genannte EU-U.S. Privacy Shield (de/en) entspricht einem sektoriellen Angemessenheitsbeschluss der EU-Kommission zum Datentransfer an Empfänger in den USA. Der darin vorgesehene Mechanismus sieht vor, dass sich Unternehmen und Organisationen in den USA freiwillig – bezogen auf bestimmte Datenkategorien und Verarbeitungszwecke – speziellen datenschutzrechtlichen Regeln unterstellen und beim U.S.-Handelsministerium zertifizieren lassen können. Fast 5000 U.S.-Unternehmen und Organisationen haben dies bis heute getan (Stand Oktober 2019, Liste zertifizierter Einheiten).
Folglich ist damit nicht jeder Datentransfer in die USA als unbedenklich eingestuft worden, sondern lediglich die Übermittlung personenbezogener Daten an solche U.S.-Unternehmen oder Organisationen, die über eine gültige EU-U.S. Privacy Shield-Zertifizierung verfügen. Ausserdem ist die Übermittlung nur im Rahmen der in der Zertifizierung genannten Datenkategorien und Zwecke sowie unter Einhaltung der übrigen Bestimmungen der DSGVO ohne weiteres zulässig.1 Sind jedoch etwa andere Datenkategorien oder Verarbeitungszwecke vom Datentransfer betroffen, muss dafür ein anderes Instrument aus der DSGVO gewählt werden.
Durch den EU-U.S. Privacy Shield sollen insbesondere die Betroffenenrechte gestärkt werden.2 Es wurde jedoch von Beginn an kritisiert, dass das von ihm garantierte Schutzniveau für personenbezogene Daten aus Europa – trotz verschiedener Nachbesserungen – nicht adäquat sei. Insbesondere Fragen der Aufsicht und Kontrolle, der Datenweiterleitung an Dritte (einschliesslich des Zugriffs durch Geheimdienste), der Verarbeitung von Beschäftigtendaten sowie der Rezertifizierung stehen dabei im Vordergrund. Entsprechend attestiert ihm auch der letzte jährliche Überprüfungsbericht der EU-Kommission zwar Fortschritte, endet aber mit weiteren Empfehlungen zur Verbesserung seiner Funktionsweise.
Derzeit ist ausserdem wieder ein Verfahren vor dem Europäischen Gerichtshof hängig, welches den EU-U.S. Privacy Shield – genauso wie bereits das Vorgängermodell Safe Harbor – möglicherweise für ungültig erklären könnte (Rechtssache C-311/18). Die Zukunft dieses Angemessenheitsbeschlusses sowie die darauf gründende Rechtssicherheit sind daher nach wie vor ungewiss.
1Weitere Informationen für europäische Unternehmen, die Daten an ein zertifiziertes U.S.-Unternehmen übermitteln wollen, finden sich im WP 245 der Artikel 29-Datenschutzgruppe mit "Fragen und Antworten" (FAQs) zum EU-U.S. Privacy Shield, auf dem Factsheet der EU-Kommission zum dazu sowie auf der entsprechenden Webseite des U.S.-Handelsministeriums.
2Weitere Informationen zu den Betroffenenrechten gemäss EU-U.S. Privacy Shield finden sich im entsprechenden Leitfaden und auf dem Factsheet der EU-Kommission dazu sowie auf der entsprechenden Webseite des U.S.-Handelsministeriums.
Geeignete Garantien (insb. Standarddatenschutzklauseln)
Wenn kein Angemessenheitsbeschluss der EU-Kommission existiert, können sich Verantwortliche auch auf andere geeignete Garantien berufen, um einen rechtmässigen Datentransfer in ein Drittland durchzuführen. Solche Garantien müssen gemäss Art. 46 DSGVO nicht nur einen adäquaten Datenschutz gewährleisten, sondern auch durchsetzbare Rechte und wirksame Rechtsbehelfe für die Betroffenen zur Verfügung stellen.
Geeignete Garantien können einerseits vorab pauschal als Regelwerk von der EU-Kommission und den Aufsichtsbehörden genehmigt werden, wodurch sie danach im konkreten Anwendungsfall keiner speziellen Genehmigung mehr bedürfen (z.B. verbindliche interne Datenschutzvorschriften, Standarddatenschutzklauseln, genehmigte Verhaltensregeln oder Zertifizierungen). Andererseits können geeignete Garantien auch stets individuell erbracht und von den Aufsichtsbehörden im Einzelfall genehmigt werden (z.B. spezifische Vertragsklauseln, Bestimmungen in Verwaltungsvereinbarungen).
Ein solches pauschal vorab genehmigtes Regelwerk sind die sogenannten Standarddatenschutzklauseln (früher: Standardvertragsklauseln). Damit verpflichtet sich der Vertragspartner im Ausland, die in den Klauseln enthaltenen Verpflichtungen in Bezug auf den Datenschutz einzuhalten. Auch hiervon gibt es zwei Varianten: So genannte EU-Standarddatenschutzklauseln, die von der EU-Kommission erlassen und zur Verfügung gestellt werden und unverändert von jedem Verantwortlichen oder Auftragsverarbeiter übernommen werden können, sowie besondere Standarddatenschutzklauseln, die zunächst von einer Aufsichtsbehörde angenommen und danach noch durch die EU-Kommission genehmigt werden müssen.
Noch auf Grundlage der alten EU-Datenschutzrichtlinie (Richtlinie 95/46/EG) hat die EU-Kommission zwei verschiedene Sets an EU-Standarddatenschutzklauseln erlassen, die sich in ihrer Ausgestaltung leicht unterscheiden und zwischen denen Verantwortliche je nach Bedarf wählen können:
Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer (Set I) (de/en)
Alternative Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer (Set II) (de/en)
Des Weiteren hat die EU-Kommission Standarddatenschutzklauseln für die Übermittlung personenbezogener Daten an einen Auftragsverarbeiter in einem Drittland erlassen:
Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern (de/en)
Diese EU-Standarddatenschutzklauseln (wie auch alle weiteren unter der alten EU-Datenschutzrichtlinie erteilten Genehmigungen) bleiben bis zu einer gegenteiligen Beschlussfassung durch die EU-Kommission (oder der erteilenden Aufsichtsbehörde) auch nach Inkrafttreten der DSGVO gültig. Sie dürfen von jedem Verantwortlichen und Auftragsverarbeiter ohne weitere Genehmigung verwendet werden. Die Klauseln dürfen in ein Vertragswerk eingebaut oder um weitere Bestimmungen ergänzt, aber keinesfalls inhaltlich verändert werden. Andernfalls wären sie wieder genehmigungspflichtig. Die EU-Standarddatenschutzklauseln eignen sich deshalb insbesondere für kleine und mittlere Unternehmen bzw. Organisationen.
Verbindliche interne Datenschutzvorschriften (Binding Corporate Rules (BCR))
Wenn kein Angemessenheitsbeschluss der EU-Kommission vorliegt, muss die Übermittlung personenbezogener Daten in Drittländer auf andere geeignete Garantien gestützt werden. Art. 46 DSGVO sieht hierfür verschiedene Instrumente vor, so auch die verbindlichen internen Datenschutzvorschriften (Binding Corporate Rules (BCR)), welche in Art. 47 DSGVO noch weiter spezifiziert werden.
Diese verbindlichen internen Datenschutzvorschriften sollen es insbesondere international ausgerichteten Unternehmensgruppen wie etwa multinationalen Konzernen (oder Gruppen von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben1) erleichtern, ihren meist regelmässigen Datenaustausch mit gruppeninternen Empfängern in Drittstaaten genehmigungsfrei durchzuführen. Andernfalls wären sie gezwungen, eine schnell unübersichtliche Zahl an spezifischen und relativ unflexiblen Standarddatenschutzklauseln selbst mit gruppeninternen Unternehmen und Organisationseinheiten abzuschliessen.
Art. 47 Abs. 1 DSGVO hält die Voraussetzungen an die Genehmigung verbindlicher interner Datenschutzvorschriften fest. So müssen sie:
rechtlich bindend für alle betroffenen Mitglieder der Unternehmensgruppe sein,
den betroffenen Personen ausdrücklich durchsetzbare Rechte übertragen sowie
mindestens die in Art. 47 Abs. 2 DSGVO festgelegten inhaltlichen Anforderungen erfüllen.
Davon abgesehen können die verbindlichen internen Datenschutzvorschriften bedarfsabhängig ausgestaltet und in ihrem Anwendungsbereich auch nur auf bestimmte Gruppenmitglieder oder bestimmte Datenverarbeitungen beschränkt werden.
Eine Unternehmensgruppe kann die Genehmigung verbindlicher interner Datenschutzvorschriften bei ihrer zuständigen Aufsichtsbehörde anmelden, welche in der Folge auch federführend im relativ aufwändigen, internationalen Genehmigungsverfahren ist. Derzeit gibt es europaweit bereits deutlich über hundert genehmigte verbindliche interne Datenschutzvorschriften, insbesondere von grossen internationalen Konzernen (Stand Oktober 2019).2 Viele davon wurden schon vor Inkrafttreten der DSGVO auf Basis der alten EU-Datenschutzrichtlinie (Richtlinie 95/46/EG) sowie insbesondere der Arbeit der Artikel-29-Datenschutzgruppe genehmigt, doch gelten sie weiter fort unter der Auflage, dass sie an die Bestimmungen der DSGVO angepasst werden.
Weitere Ausführungen zum Thema verbindliche interne Datenschutzvorschriften (BCR) finden Sie hier.
1Hierbei geht es vor allem um wirtschaftlich eng verbundene, nicht konkurrierende Unternehmen. Selbständige Unternehmen mit nur teilweiser gemeinsamer wirtschaftlicher Zusammenarbeit oder bloss aus derselben Branche kommen dafür eher nicht in Frage. Für letztere kämen aber z.B. die Verhaltensregeln nach Art. 40 DSGVO in Frage.
2Liste genehmigter BCR bis zum 25. Mai 2018

References: Art. 46
 Art. 46
 Art. 46
 Art. 47

Art. 47
 Art. 47
 Art. 40