Source: https://www.datenschutz.rlp.de/de/themenfelder-themen/datenuebermittlung-in-drittstaaten/
Timestamp: 2017-03-25 23:43:20
Document Index: 282732415

Matched Legal Cases: ['§ 4', '§ 4', '§ 4', '§ 4', '§ 4', '§ 4', '§ 4']

datenschutz.rlp.de | Datenübermittlung in Drittstaaten | Um die vollständige Funktionalität dieses Internet-Auftritts nutzen zu können, wird JavaScript benötigt. Mehr Informationen hierzu finden Sie in der Datenschutzerklärung.Sie können das Informationsangebot inhaltlich jedoch auch ohne JavaScript nutzen.
Datenübermittlung in DrittstaatenStartseiteDatenübermittlung in Drittstaaten
Das Datenschutzverständnis in Ländern außerhalb der Europäischen Union, insbesondere in den Vereinigten Staaten von Amerika unterscheidet sich von dem in Europa, speziell von dem Datenschutzverständnis in Deutschland erheblich. Dies ist auch auf unterschiedliche geschichtliche Erfahrungen zurückzuführen. Die Safe Harbor-Entscheidung des Europäischen Gerichtshofs hat in diesem Zusammenhang eine Reihe von Fragen aufgeworfen.
Die aus Sicht des LfDI wesentlichen Punkte sind folgende:
Datenexporte in die USADer Europäische Gerichtshof hat die Aufgabe der Datenschutzaufsichtsbehörden betont, die Übermittlung von personenbezogenen Daten aus der Europäischen Union in die USA wirksam zu kontrollieren. Um ein angemessenes Datenschutzniveau (§ 4b Abs. 2 Satz 2 BDSG) bei Übermittlungen von personenbezogenen Daten aus der Europäischen Union in Drittstaaten feststellen zu können, müssen zumindest folgende Garantien für den Datenschutz gegeben sein: Die Zweckbindung der Daten ist grundsätzlich sicherzustellen. Staatliche Zugriffsmöglichkeiten müssen auf ein angemessenes und verfassungskonformes Maß begrenzt bleiben. Den Betroffenen ist ein effektiver Anspruch auf Auskunft und auf Berichtigung bzw. Löschung falscher bzw. unzulässig gespeicherter Daten zu gewähren. Bei Verstößen bedarf es eines effektiven Rechtsschutzes. Formelle und sprachliche Barrieren dürfen nicht dazu führen, dass die Betroffenen ihre Rechte nicht wahrnehmen können.Der LfDI ist der Auffassung, dass in den USA, auch unter Berücksichtigung neuerer Entwicklungen, kein angemessenes Datenschutzniveau besteht (Feststellung des Anwendungsfalles von § 4b Abs. 2 Satz 2 BDSG). Er stützt sich dabei auf Erkenntnisse und Feststellungen des Europäischen Gerichtshofs zu Defiziten in US-Recht und -Praxis, auf Stellungnahmen der EU-Kommission sowie gemeinsame Beschlüsse der unabhängigen Datenschutzbeauftragten von Bund und Ländern.Eine Übermittlung von personenbezogenen Daten in die USA ist daher nur noch ausnahmsweise zulässig (§ 4c BDSG). Solche Übermittlungen bedürfen – abgesehen von den Sonderfällen des § 4c Abs. 1 BDSG – der ausdrücklichen Genehmigung des LfDI.Auf eine Einwilligung der Betroffenen (§ 4c Abs. 1 Satz 1 BDSG) wird sich die verantwortliche Stelle nur in seltenen Fällen stützen können, zumal die freie Widerruflichkeit solcher Einwilligungen keine Basis einer verlässlichen Datenverarbeitung bieten kann. Bei der Übermittlung von Beschäftigtendaten ist die Einwilligung ohnehin keine zulässige Grundlage für eine Datenübermittlung in die USA. Eine Einwilligung zum Transfer von Kundendaten kann unter engen Bedingungen, insbesondere bei vollumfänglicher und detaillierten Aufklärung der Betroffenen über die Gefährdungen ihrer personenbezogenen Daten bei der Übermittlung in einen Staat ohne angemessenes Datenschutzniveau zulässig sein. Die Einhaltung dieser Bedingungen wird der LfDI im Einzelfall prüfen.Eine Datenübermittlung aufgrund der Safe Harbor Entscheidung der EU-Kommission ist nach dem Urteil des Europäischen Gerichtshofs nicht mehr zulässig.Darüber hinaus entfaltet diese Entscheidung auch Auswirkungen auf andere Instrumente zur Legitimation des transatlantischen Datentransfers (§ 4c Abs. 2 BDSG).Das Urteil des Europäischen Gerichtshofs stellt auch die Wirksamkeit der Standard-Vertragsklauseln der EU-Kommission in Frage. Jedenfalls wird der LfDI im Einzelfall prüfen, ob Datenimporteure in den USA ihrer vertraglichen Verpflichtung nachgekommen sind zu garantieren, dass sie keinen Gesetzen unterliegen, die ihnen die Befolgung der Anweisungen des Datenexporteurs oder die Einhaltung ihrer vertraglichen Pflichten unmöglich machen, und nachteilige Gesetzesänderungen in den USA (hier: USA Patriot Act 2001 und seine Folgeregelungen) dem Datenexporteur mitzuteilen. Ebenfalls wird der LfDI prüfen, wie der Datenexporteur hierauf reagiert hat, ob er angemessene Konsequenzen gezogen und insbesondere von seinem vertraglichen Kündigungsrecht Gebrauch gemacht hat.Der LfDI wird auf absehbare Zeit auch keine Genehmigungen für Datenübermittlungen in die USA auf Grundlage von bindenden Unternehmensregelungen (BCR, § 4c Abs. 2 Satz 1 2. Halbsatz BDSG) erteilen können. Es ist schwer vorstellbar, dass verantwortliche Stellen ausreichende Garantien dafür bieten können, dass staatliche Stellen der USA nicht in grundrechtswidriger Weise auf die nach europäischem Recht geschützten Daten zugreifen können. Sofern verantwortliche Stellen der Auffassung sind, solche Garantien etwa durch den Einsatz von Verschlüsselungsverfahren bieten zu können, wird der LfDI dies im Einzelfall prüfen und bewerten.
Folgerungen für Datenexporte in die USAUnternehmen sind aufgerufen, unverzüglich ihre Verfahren zum Datentransfer in die USA datenschutzgerecht zu gestalten.Der LfDI wird Datenübermittlungen in die USA auf Grundlage der Safe Harbor-Entscheidung der EU-Kommission, die vor der Entscheidung des Europäischen Gerichtshofs durchgeführt wurden, nicht sanktionieren.Unternehmen, die weiterhin Daten in die USA exportieren wollen, sollten sich dabei an der Entschließung der Datenschutzkonferenz vom 27. März 2014 „Gewährleistung der Menschenrechte bei der elektronischen Kommunikation“ und an der Orientierungshilfe „Cloud Computing“ vom 9. Oktober 2014 orientieren.
Urteil Rechtssache C-362/14