Source: https://www.datenschutz-recht-banken.de/handlungsempfehlungen-datenschutzpruefungen-safe-harbor/
Timestamp: 2019-02-16 10:27:43+00:00

Document:
Handlungsempfehlungen zu anstehenden Datenschutzprüfungen nach dem EuGH Urteil zu Safe Harbor | Datenschutzrecht Finance Seiler
Handlungsempfehlungen zu anstehenden Datenschutzprüfungen nach dem EuGH Urteil zu Safe Harbor
Kategorie: Datenschutzrecht
Anstehende Datenschutzprüfungen durch Aufsichtsbehörden nach EuGH-Urteil vom 06.10.2015 zu “Safe Harbor” und aktuelle Handlungsempfehlungen
ist ein Beitrag von RA David Seiler in der Zeitschrift Juris Praxisreport Bank- und Kapitalmarktrecht erschienen: juris-PR-BKR 1/2016, Anm. 1
Dargestellt wird, dass es nach der Ungültigkeitsentscheidung des EuGH zu Safe Harbor keine Übergangsfrist gibt, die Art. 29 Arbeitsgruppe gleichwohl der EU-Kommission eine Verhandlungsfrist bis Ende Januar für ein neues Safe Harbor-Abkommen gesetzt hat und die sich daraus ergebenden praktischen Probleme. Weiter wird auf die aktuell unterschiedlichen Positionspapiere der Datenschutzaufsichtsbehörden eingegangen und die Ergebnisse der ersten Datenschutzprüfung durch die Aufsicht in Rheinland-Pfalz vorgestellt. Daraus werden dann Handlungsempfehlungen abgeleitet.
Anfrage an die Bundesregierung zu Datenschutzrecht und Safe Harbor
Als Update, welches in den Beitrag nicht mehr eingearbeitet werden konnte, sei auf die Antwort der Bundesregierung zu einer kleinen Anfrage zu den Auswirkungen der Safe Harbor-Entscheidung des Europäischen Gerichtshofes hingewiesen- BTDr. 18/7134 vom 21.12.2015. (siehe Bericht hierzu) Die Bundesregierung hält nach wie vor die EU-Standardvertragsklausel und verbindliche Unternehmensregelungen (Binding Corportate Rules) für mögliche alternative Rechtsgrundlagen.
Hierzu ist anzumerken, dass die Bundesregierung den Datenschutzaufsichtsbehörden gegenüber nicht weisungsbefugt ist, so dass diese in ihrer Unabhängigkeit nicht an diese Ansicht gebunden sind. Die sich aus der von den Aufsichtsbehörden geäußerten gegenteiligen Auffassung lässt also die Rechtsunsicherheit für betroffene Unternehmen weiter bestehen und die Gefahr von Sanktionen besteht weiterhin.
Erfreulich klar und mit zutreffender Begründung unter Verweis auf § 4c Abs. 1 S. 1 Nr. 1 BDSG stellt die Bundesregierung klar (Ziff. 13 der Antwort), dass weiterhin Einwilligungen der Betroffenen einen zulässige Rechtsgrundlage für Datenübermittlungen in unsichere Drittstaaten, z.B. in die USA, sind.
Der Bundesregierung ist die Entscheidung des New Yorker Bezirksgericht vom Mai 2014 bekannt (Ziff. 13 u. 14 der Antwort), welches Microsoft dazu verurteilt hat in Irland gespeicherte E-Mail-Inhaltsdaten (Hotmail) an US-Sicherheitsbehörden herauszugeben. (U.S. search warrant can acquire foreign cloud, email data, judge rules) Da kein europäisches Unternehmen einem US-Unternehmen oder auch nur einer Tochtergesellschaft eines US-Unternehmens in Europa vor dem Hintergrund dieser Entscheidung guten Gewissens Daten anvertrauen kann, wehrt sich Microsoft gegen dieses Urteil vor Gericht in den USA und bekommt dabei öffentliche Unterstützung von AT&T Inc , Apple Inc, Cisco Systems Inc and Verizon Communications. Die Bundesregierung sieht vor dem Hintergrund dieser Rechtsprechung jedoch keinen Grund zu handeln, sondern will die Entscheidung des Gerichtsverfahrens in den USA abwarten. Diese US-Entscheidung hatte Einfluss auf die Verhandlungen zur EU-Datenschutzgrundverordnung, wonach Unternehmen, die in der EU niedergelassen sind, sich an EU-Datenschutzrecht zu halten haben, auch wenn ihr Hauptsitz in einem Drittstaat ist.
Obwohl der EuGH in seinem Safe Harbor Urteil angemerkt hat, dass die nationalen Datenschutzaufsichtsbehörden ein eigenes Klagerecht gegen Entscheidungen der EU-Kommission haben sollten, wird die Bundesregierung dieses Thema in den nächsten zwei Jahren nicht aufgreifen (und erst nach Inkrafttreten der EU-DSGVO prüfen).
Das SWIFT-Abkommen (Zahlungsverkehr) und das Fluggastdatenabkommen sieht die Bundesregierung von der EuGH-Entscheidung nicht betroffen, da in diesen beiden Abkomme Klagerecht für die EU-Bürger enthalten seien. Diese Antwort übersieht jedoch den anderen wichtigen Grund, weshalb der EuGH die Safe Harbor Entscheidung für ungültig erklärt hat: die anlasslose Massenüberwachung durch US-Geheimdienste verletzt die Datenschutzgrundrechte der davon betroffenen EU-Bürger. Und diese Überwachung macht vor den Bank- und Passagierdaten nicht halt.
Verhandlungsstand zu Safe Harbor 2.0
Update: Presseberichten ist zu entnehmen, dass zwar die Wirtschafts- und Industrieverbände auf beiden Seite des Atlantiks sich intensiv für eine fristgerechte Neuverhandlung der Safe Harbor Regelungen bis Ende Januar einsetzen und vor den Folgen eines Scheiterns warnen (siehe offenen Brief vom 15.01.2016 an die Präsidenten Obama (USA), Juncker (EU-Kommission) und Tusk (EU-Rat)).
Europäische und US-Wirtschafts- und Industrieverbände haben an die Präsidenten der USA, der Europäischen Kommission und des EU-Rates einen offenen Brief vom 15.0.1.2016 verfasst, in dem sie eine erfolgreiche Neuverhandlung der Safe Harbor-Regelungen bis Ende Januar 2016 fordern. Sie weise auf die enorme wirtschaftliche Bedeutung des transatlantischen Datenaustauschs hin und sehen diesen durch die EuGH-Entscheidung zu Safe Harbor gefährdet. Sie weisen auch auf die Bedeutung dieser Entscheidung für die alternativen Rechtsgrundlagen, die EU-Standardvertragsklauseln und Binding Corportate Rules, hin.
Jedoch scheinen die Verhandlungen dennoch zu stocken und eine längere Hängepartie mit entsprechender Rechtsunsicherheit und drohenden Bußgeldverfahren durch die Datenschutzaufsichtsbehörden ist nicht unwahrscheinlich.
Bei Fragen zum Datenschutzrecht steht Ihnen RA David Seiler gerne zur Verfügung.
Veröffentlicht in: Datenschutzrecht
Über Datenschutzrecht Finance:
Gerade Banken legen aus Compliance- und Image-Gründen - das Vertrauen der Kunden ist Geschäftsgrundlage - besonderen Wert auf die Einhaltung des Bankgeheimnisses und des Datenschutzrechts. Dabei ist ein komplexes Handlungs- und Regelungsumfeld zu beachten. Finanzinstitute sind regelmäßig in Konzernstrukturen organisiert, haben wesentlichen IT-Dienstleistungen outgesourcet, nutzen zahlreichen IT-Dienstleistungen zur Produktion und im Vertrieb und sind oft international aufgestellt. Dies bringt zahlreichen komplexe rechtliche Herausforderungen mit sich, da neben dem orginären Datenschutz im Bundesdatenschutzgesetz, BDSG, und demnächst in der Datenschutzgrundverordnung, DSGVO, auch zahlreiche bank- und bankaufsichtsrechtliche Besonderheiten zu beachten sind.
Datenschutzregelungen in der PSD II und DSGVO
Vortrag zum neuen Datenschutzrecht – DSGVO
Datenschutz im Zahlungsverkehr – Vortrag zu PSD II und DSGVO
Vorträge von RA David Seiler zum Datenschutzrecht
Rechtsanwalt David Seiler ist seit über 20 Jahren Anwalt und hat über 18 Jahre Berufserfahrung als Syndikusanwalt in einer der größten deutschen Bank. Der ist er mit den spezifischen datenschutzrechtlichen Fragen im Bankenbereich in komplexen, teils mehrstufigen Vertriebsstufen, Konzernstrukturen und ausgelagerter IT-Produktion vertraut. Er berät mit Blick auf die datenschutzrechtlichen Anforderungen neuer Produkte, z.B. Zahlungsverkehrsprodukte unter Berücksichtigung des Bankgeheimnisses und der Complianceanforderungen, publiziert, hält Vorträge und (Inhouse-)Schulungen und erstellt Rechtsgutachten.
Datenschutzrecht (13)
Zahlungsverkehrsrecht (2)
© 2016 Datenschutzrecht Finance Seiler

References: EuGH 
 EuGH 
 EuGH 
 Art. 29
 § 4
 EuGH 
 EuGH