Source: https://www.mll-news.com/faq-auswirkungen-des-eugh-urteils-zum-safe-harbor-abkommen-schweiz-deutschland/
Timestamp: 2020-01-22 06:21:09
Document Index: 125681566

Matched Legal Cases: ['EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG']

FAQ: Auswirkungen des EuGH-Urteils zum Safe-Harbor-Abkommen (Schweiz & Deutschland) - MLL-News
1 Was wurde im Safe Harbor-Urteil des EuGH vom 6. Oktober 2014 entschieden?
2 Berührt mich das EuGH-Urteil überhaupt?
Schweiz Die Schweiz hat mit den USA ein vergleichbares Safe Harbor-Regelwerk wie die EU abgeschlossen. Bereits kurz nach dem Urteil des EuGH wurde in der Schweiz in Fachkreisen heftig diskutiert, ob das Urteil Einfluss auf das CH-USA Safe Harbor-Regelwerk haben wird. Während einzelne Autoren der Meinung waren, dass der Entscheid keinen Einfluss haben werde und alles beim Alten bleibt, waren andere Autoren – auch mit Blick auf die Urteilsbegründung des EuGH skeptischer (eine Zusammenfassung des Urteils finden Sie in unserem Beitrag „EuGH erklärt Safe Harbor-Regelung mit USA für ungültig“ vom 8. Oktober 2015 (BR-News vom 8. Oktober 2015).
Deutschland Der EuGH hat das Safe Harbor-Regelwerk für den Datenaustausch mit den USA für ungültig erklärt. Ab sofort legitimiert das Safe Harbor-Regelwerk die Übermittlung von Daten in die USA nicht mehr. Alle europäischen Unternehmen, die Daten in die USA übermitteln und sich bis am 6. Oktober 2015 ausschliesslich auf Safe Harbor verlassen haben, müssen zusätzliche Massnahmen treffen.
3 Welche zusätzlichen Massnahmen werden verlangt?
Schweiz Der EDÖB empfiehlt, beim Datenaustausch mit US-Unternehmen vertragliche Garantien (z.B. die EU-Standardklauseln oder seinen eigenen Standard-Outsourcing-Vertrag zu verwenden). Bei diesen vertraglichen Garantien ist folgendes zu beachten:
Deutschland Für Deutschland (und andere EU-Länder) ist insbesondere die Mitteilung der Artikel 29 Working Party entscheidend. Bei der Working Party handelt es sich um ein Expertengremium, das sich aus Vertretern von nationalen Datenschutzbehörden sowie der Europäischen Kommission zusammensetzt. Deren Mitteilungen sind zwar nicht rechtlich bindend, haben aber dennoch Einfluss auf die Entscheide der nationalen Behörden. Mit Mitteilung vom 16. Oktober 2015 hat die Working Party zum Safe Harbor-Urteil des EuGH Stellung genommen. Betreffend Massnahmen, welche von Unternehmen beim Datenaustausch mit den USA getroffen werden müssen, hat die Working Party keine allzu detaillierten Ausführungen gemacht. Sie empfiehlt, dass Unternehmen aus der EU bis auf weiteres Daten nur noch gestützt auf zusätzliche vertragliche Vereinbarungen (EU-Standardvertragsklauseln, Binding Corporate Rules) in die USA transferieren sollen.
4 Wir transferieren keine Personendaten in die USA. Muss ich trotzdem etwas unternehmen?
Schweiz Dies ist denkbar. Wenn Sie z.B. Daten zuerst nach Deutschland transferieren und ihnen bekannt ist, dass dieselben Daten von dort weiter in die USA transferiert werden, müssen Sie dafür sorgen, dass der Bearbeiter in Deutschland dieselben Massnahmen trifft, welche Sie bei einem direkten Transfer in die USA einhalten müssten. Die Schutzmassnahmen für Datentransfers ins Ausland sollen nicht durch einen Weiterexport umgangen werden.
Deutschland Die Ausführungen betreffend die Schweiz gelten auch für Deutschland.
5 Wir transferieren Personendaten nur an unsere Muttergesellschaft in den USA. Sind wir damit von den Safe Harbor-Entscheidungen betroffen?
Schweiz Ja. Die Bekanntgabe von Personendaten an die Muttergesellschaft in den USA gilt als Datentransfer ins Ausland. Das schweizerische Datenschutzrecht kennt kein Konzernprivileg. Dies stellt insbesondere Tochtergesellschaften von amerikanischen Unternehmensgruppen immer wieder vor Probleme. Häufig werden in solchen Unternehmensgruppen gewisse interne Dienstleistungen in den USA zentralisiert (z.B. Basis-HR-Funktionen). Dies führt in allen Fällen zu Datentransfers in die USA, welche nun nicht mehr ausschliesslich auf Safe Harbor abgestützt werden können.
Deutschland Auch wenn dies von einzelnen Unternehmen und auch Autoren immer wieder gefordert wird, gibt es in Deutschland ebenfalls kein Konzernprivileg. Es gelten daher dieselben Ausführungen wie für die Schweiz.
6 Wir transferieren Personendaten zu einem US-amerikanischen Cloud-Anbieter, bearbeiten aber die Daten in der Cloud selber. Müssen wir etwas unternehmen?
Schweiz Ja. Selbst wenn der Cloud-Anbieter vertraglich zusichern würde, dass er nicht auf die Daten zugreift, würde bereits die faktische Möglichkeit des Zugriffs zur Qualifikation als Datentransfer in die USA genügen. Zudem übernehmen die Cloud-Anbieter regelmässig Support- und Wartungsdienstleistungen, bei denen sie jeweils Zugriff auf die Daten erhalten.
Deutschland Die Ausführungen zur Schweiz gelten auch für Deutschland.
7 Wir arbeiten mit einem US-amerikanischen Cloud-Anbieter zusammen und wissen überhaupt nicht, wo genau die von uns in die Cloud transferierten Personendaten gespeichert sind. Was sollen wir tun?
Schweiz Dann müssen Sie sich spätestens jetzt erkundigen. Im Zweifelsfalle, z.B. wenn die Speicherung der Daten automatisiert erfolgen und auch der Anbieter nur beschränkt Einfluss auf die Lokalität des Speicherortes haben sollte, müssen Sie Massnahmen im Sinne der Antwort zu Frage 3 treffen.
Deutschland Es gilt dasselbe wie in der Schweiz. Im Gegensatz zur Schweiz sollten Sie jedoch die Massnahmen unverzüglich einleiten.
8 Wir transferieren bereits seit mehreren Jahren Personendaten in die USA. Müssen wir die entsprechenden Datentransfers auch prüfen und evtl. Anpassungen vornehmen? Oder werden von den Safe Harbor-Entscheidungen nur zukünftige Datentransfer-Projekte tangiert?
Schweiz Sie müssen zusätzliche Massnahmen ergreifen. Der EDÖB hat in seinen Mitteilungen vom 22. / 28. Oktober 2015 deutlich gemacht, dass sich die Nicht-Anwendbarkeit von Safe Harbor auch auf bestehende Datentransfer-Verhältnisse bezieht. Sie müssen daher, wenn die Datentransfers in die USA bis anhin ausschliesslich gestützt auf Safe Harbor erfolgten, für diese Transfers ebenfalls zusätzliche Massnahmen treffen.
Deutschland Die Ausführungen zur Schweiz können für Deutschland übernommen werden.
9 Was ist, wenn nicht wir selbst, sondern auf unserer Webseite installierte Social-Plugins, Analysetools oder Cookies von Drittanbietern die Personendaten in die USA transferieren?
Schweiz Der EDÖB hat sich in zahlreichen Newslettern mit Social-Plugins, Analysetools und damit auch Cookies befasst. Gemäss EDÖB ist der Einsatz solcher Plugins und Tools datenschutzrechtlich problematisch, aber durchaus erlaubt, wenn die Grundsätze der Datenbearbeitung berücksichtigt werden. Der EDÖB hat insbesondere festgehalten, dass nicht nur der Anbieter der Analysetools, Plugins oder Cookies für den Datenschutz verantwortlich ist, sondern eben auch derjenige, der solche Tools für seine Webseite verwendet. Sie können daher Ihre datenschutzrechtliche Verantwortung nicht an Google oder Facebook abgeben.
Deutschland Betreffend Social Plugins wurde in Deutschland weit vor der Safe Harbor-Entscheidung des EuGH um die datenschutzrechtlich korrekte Einbindung gestritten. Implementiert werden sollte die sog. 2-Click-Lösung. Das Safe Harbor-Urteil könnte allenfalls die Frage der datenschutzrechtlich korrekten Einbindung von Plugins verschärfen. Es stellt sich die Frage, ob der erste Klick unter den veränderten Umständen als rechtsgenügende Einwilligung in den Datentransfer in die USA qualifiziert werden kann. Es müsste zumindest vor der Einwilligung, d.h. vor diesem ersten Klick deutlich und umfassend darüber informiert werden, dass damit eine Zustimmung zum Datentransfer in die USA erfolgt und dass daher die Behörden in den USA Zugriff auf diese Daten erhalten können.
10 Was passiert, wenn wir uns nicht an die Safe Harbor-Entscheidung halten, obwohl Massnahmen notwendig wären?
Schweiz Sie verletzen gemäss EDÖB das Datenschutzgesetz. Der Datentransfer in die USA ohne ausreichende Schutzmassnahmen stellt eine Verletzung des Datenschutzgesetzes dar. Werden keine zusätzlichen Massnahmen implementiert, kann der EDÖB eine Untersuchung einleiten und Empfehlungen abgeben. Diese sind nicht rechtlich verbindlich. Wenn sich jedoch das Unternehmen nicht daran hält, kann der EDÖB ein Verfahren anstrengen.
Deutschland Eine unzulässige Übermittlung personenbezogener Daten in Drittländer kann mit einem Ordnungsgeld oder mit einer Unterlassungsverfügung sanktioniert werden. Aktuell ist noch unklar, mit welcher Intensität die deutschen Datenschutzbehörden bei der Kontrolle der Übertragung personenbezogener Daten in die USA vorgehen werden.
11 Wie schnell müssen wir allfällige Massnahmen implementieren?
Schweiz Falls notwendig, müssen Sie bis Ende Januar 2016 zusätzliche Massnahmen implementieren.
Deutschland Das Safe Harbor-Urteil des EuGH gilt sofort ohne Übergangsfrist. Allerdings dürften auch die deutschen Behörden den Unternehmen eine gewisse Anpassungsfrist zugestehen.
12 Wir verwenden für Datentransfers in die USA bereits seit längerem die entsprechenden EU Standardklauseln bzw. den Outsourcing Mustervertrag des EDÖB. Können wir uns damit zurücklehnen?
Schweiz Der EDÖB hat in seinen Mitteilungen vom 22. / 28. Oktober 2015 festgehalten, dass bei den vertraglichen Garantien gewisse besondere Regelungen zu berücksichtigen sind. Es handelt sich dabei um die folgenden beiden Empfehlungen:
Deutschland Gemäss der Artikel 29 Working Party genügen bis auf Weiteres die EU Standardklauseln oder konzernweite Data Privacy Policies – sofern diese die Voraussetzungen des deutschen Datenschutzrechtes einhalten. Weitere Massnahmen werden bis anhin nicht verlangt.
13 Wir haben einen zu wenig aktuellen Überblick über unsere Datentransfers ins Ausland und insbesondere in die USA. Wie sollen wir bei der Überprüfung und Implementierung von Massnahmen vorgehen?
Schweiz Wir empfehlen Ihnen folgendes Vorgehen:
Deutschland Die für die Schweiz vorgeschlagene Vorgehensweise dürfte auch für deutsche Unternehmen sachgerecht sein.
14 Wenn wir Massnahmen ergreifen und unsere Datentransfers in die USA auf vertragliche Garantien abstützen, sind wir für die nächste Zeit von weiteren Massnahmen sicher?
Schweiz Leider nicht ganz. Der EDÖB scheut sich bis anhin, klare Aussagen zu machen, und schiebt in seiner Mitteilung vom 28. Oktober 2015 den Ball quasi an die EU zurück. Ob die EU-Standardklauseln sowie entsprechende konzernweite Data Privacy Policies auch zukünftig für den Datentransfer in die USA genügen, wird damit auch für schweizerische Unternehmen auf der EU-Ebene mitbeeinflusst.
Deutschland Auch hier gilt leider nein. Die Article 29 Working Party wollte sich in ihrer Mitteilung vom 16. Oktober 2015 nicht auf zukünftige Entwicklungen festlegen. Sie hofft, dass bis Ende Januar 2016 mit den USA eine Einigung über ein neues Datentransfer-Abkommen erzielt werden kann. Dies erscheint jedoch nicht realistisch.Zu den EU-Standardklauseln nimmt die Working Party nur schwammig Stellung. Gemäss Working Party seien diese für Datentransfers in die USA bis auf Weiteres ausreichend, doch könne nicht ausgeschlossen werden, dass nationale Gerichte auf Klage von betroffenen Personen hin anders entscheiden. Die Working Party werde zudem diese Datentransfer-Tools weiter analysieren.
15 Was gilt eigentlich mit dem Datentransfer in andere Länder? Betreffen das EuGH-Urteil und auch die Mitteilung des EDÖB auch solche Transfers?