Source: http://br-news.ch/update-safe-harbor-ist-auch-in-der-schweiz-nicht-mehr-ausreichend-zusaetzliche-massnahmen-notwendig/
Timestamp: 2017-06-25 07:13:20
Document Index: 220820358

Matched Legal Cases: ['EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG']

Safe Harbour : Bühlmann Rechtsanwälte AG – News
Der Eidgenössische Datenschutzbeauftragte (EDÖB) hat mit Mitteilung vom 22. Oktober 2015 festgehalten, dass das CH-USA Safe Harbor-Regelwerk für den Datenaustausch mit US-Unternehmen nicht mehr ausreichend ist. Der EDÖB verlangt von allen Unternehmen, welche Daten in die USA transferieren und sich dabei ausschliesslich auf Safe Harbor abstützen, zusätzliche datenschutzrechtliche Massnahmen. Diese Massnahmen müssen gemäss EDÖB bis Ende Januar 2016 umgesetzt werden. Im nachfolgenden wird beschrieben, was Safe Harbor ist, welche Massnahmen vom EDÖB verlangt werden und inwiefern Unternehmen nun aktiv werden müssen.
Auswirkungen des EuGH-Urteils auf die Schweiz
Viel wurde in den letzten Tagen über das Safe Harbor-Urteil des Europäischen Gerichtshofes (EuGH) und dessen Implikationen für Datenbearbeiter in der Schweiz diskutiert (eine Zusammenfassung des Urteils finden Sie in unseren Beitrag „EuGH erklärt Safe Harbor-Regelung mit USA für ungültig“ vom 8. Oktober 2015 (BR-News vom 8. Oktober 2015).
Bei Safe Harbor geht es um eine Rahmenvereinbarung zwischen den USA und der EU, in welcher verschiedene Prinzipien zur Bearbeitung von Personendaten festgelegt wurden. Die Safe Harbor-Zertifizierung erlaubte den erleichterten Transfer von Personendaten aus der EU zum zertifizierten US-Unternehmen. Die Schweiz hat mit den USA ein vergleichbares Safe Harbor-Regelwerk wie die EU abgeschlossen. Es war daher umstritten, ob das EuGH-Urteil Auswirkungen auf die Schweiz haben wird.
Der EDÖB hat diese Frage in einer Mitteilung vom 22. Oktober 2015 geklärt und Stellung zur weiteren Gültigkeit des CH-USA Safe Harbor-Regelwerk genommen. Gemäss EDÖB bildet das CH-USA Safe Harbor-Regelwerk für den Transfer von Personendaten aus der Schweiz in die USA keine ausreichende Rechtsgrundlage mehr. Der EDÖB empfiehlt folgende datenschutzrechtliche Massnahmen
Obwohl der EDÖB offensichtlich durch die Mitteilung der Working Party 29 zu einer eigenen Stellungnahme veranlasst wurde, geht er einen eigenen (Mittel) Weg. Bedauerlicherweise sind die Stellungnahme des EDÖB sowie die darin geforderten Massnahmen ihrerseits nicht vollständig klar und mit Unsicherheiten behaftet.
Der EDÖB verlangt in seiner Mitteilung vom 22. Oktober 2015, dass beim Datenaustausch mit US-Unternehmen vertragliche Garantien im Sinne des Datenschutzgesetzes zu vereinbaren sind. Bei diesen vertraglichen Garantien sind insbesondere folgende Punkte zu berücksichtigen:
Der EDÖB verlangt von den betroffenen Unternehmen, die notwendigen vertraglichen Anpassungen bis Ende Januar 2016 vorzunehmen.
In seither verfassten Newslettern durch andere Datenschutzexperten wird insbesondere darüber gestritten, ob der erste der vorangehend dargestellten Bullet Points dazu führt, dass die Unternehmen eine entsprechende aktive Information der betroffenen Personen nachholen müssen und falls ja, wie diese Information auszusehen hätte. Die Verankerung der Informationspflicht in einem Datentransfervertrag alleine hilft ja den betroffenen Personen nichts. Damit sie, wie dies der EDÖB verlangt, ihre Rechte wahrnehmen können, müssen die betroffenen Personen direkt informiert werden.
Klar ist dagegen aufgrund der Stellungnahme des EDÖB, dass auch diejenigen Unternehmen, welche bereits heute mit US-Unternehmen Daten austauschen (z.B. Personendaten auf von US-Unternehmen betriebenen Servern speichern oder mit US-Cloudanbietern zusammenarbeiten), zu Massnahmen gezwungen sind, sofern der Datenaustausch ausschliesslich gestützt auf Safe Harbor erfolgte.
Was müssen Unternehmungen nun konkret tun? Unsere Empfehlungen
Um voreilige Massnahmen zu vermeiden, empfehlen wir folgendes, schrittweises Vorgehen:
Falls die vorangehenden Abklärungen zeigen, dass Personendaten ausschliesslich gestützt auf das Safe Harbor-Regelwerk ausgetauscht wurden, sind vertragliche Garantien zu vereinbaren.
Falls die Abklärungen zeigen, dass der Personendaten bereits heute aufgrund einer vertraglichen Vereinbarung ausgetauscht wurden, ist zu prüfen, ob diese vertraglichen Garantien den obgenannten Anforderungen des EDÖB genügen.
Zu prüfen ist schliesslich, ob und auf welche Weise die betroffenen Personen über den Datenaustausch in die USA informiert wurden. Der EDÖB verlangt – allerdings unklar – , dass die betroffenen Personen klar und umfassend darüber informiert werden, dass die US-Behörden auf die Personendaten zugreifen können. Wir gehen davon aus, dass während der Phase, in welcher die Unternehmen den bisherigen Datenaustausch mit den USA prüfen, der EDÖB allenfalls noch Klarstellungen publizieren wird. Gleichwohl sollte die Frage der bisherigen Information der betroffenen Personen in der Überprüfungsphase miteinbezogen werden.
Bei neuen Projekten, die zu einem Transfer von Personendaten in die USA führen, müssen die Massnahmen gemäss EDÖB bereits zu Beginn des Projektes berücksichtigt werden.
Ansprechpartner: Lukas Bühlmann oder Michael Reinle
Dies könnte Sie auch interessierenEuGH erklärt Safe Harbor-Regelung mit USA für ungültigUpdate: Privacy Shield verabschiedetErmittlungsbefugnisse des deutschen Bundeskriminalamtes teilweise verfassungswidrig – Vergleich zur Revision des Nachrichtendienstgesetzes in der SchweizFAQ: Auswirkungen des EuGH-Urteils zum Safe-Harbor-Abkommen (Schweiz & Deutschland)Google Street View: Beschwerde ans CH-Bundesgericht und strenge Anforderungen in ÖsterreichUpdate: Google stellt Formular zur Beantragung des Löschens von Suchergebnissen zur Verfügung