Source: http://www.hannoverit.de/wir-helfen/safe-harbor/
Timestamp: 2017-07-24 00:43:11
Document Index: 349972109

Matched Legal Cases: ['EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG']

Safe Harbor - Hannover IT
Das „Safe Harbor“ Urteil des Europäischen Gerichtshofs vom 7.10.2015 sorgt für Unsicherheit.
Mit dieser Seite wollen wir einerseits Fragen zum Thema klären und Ihnen andererseits Unternehmen aus der Region an die Hand geben, die Sie bei der Prüfung und Umsetzung der aus diesem Sachverhalt resultierenden Anforderungen unterstützen kann.
Diese Unternehmen unterstützen Sie bei der Anpassung an das „Safe Harbor“ – Urteil des EuGH
BeratungUmsetzungDeutsche Cloud
raqcuisine Dirk Schaare
+49 511 1659 0920
+49 511 9649 9310
+49 511 9666 869
+49 173 6355 279
+49 511 2203 696
+49 511 6262 6116
+49 511 9694 9860 0
+49 5066 6956 080
+49 5139 973949-0
Dieter Bentzen
+49 511 8573 315
+49 511 8540 463
Was hat der EuGH entschieden? Welche Konsequenzen hat das?
Der EuGH hat die „Safe-Harbor-Entscheidung“ der Kommission für ungültig erklärt. An dem Safe-Harbor-Programm teilnehmende US-Unternehmen bieten daher nicht mehr einen „sicheren Hafen“ für personenbezogene Daten. Ein weiterer Grund, um sicherzustellen, dass derartige Datenkategorien ausschließlich von Cloud-Anbietern mit Datenverarbeitungsstandorten in der EU und dem EWR verarbeitet werden.
Der Europäische Gerichtshof (EuGH) hat am 6. Oktober 2015 entschieden, dass die Safe-Harbor-Entscheidung der EU-Kommission aus dem Jahr 2000 ungültig ist. Diese Kommissionsentscheidung bildete eine von mehreren möglichen Grundlagen, um personenbezogene Daten aus der EU in die USA zu übermitteln. Das Urteil entfaltet sofortige Wirkung.
Safe Harbor – Die Hintergründe
Mit dem Ziel, europäische Datenschutzstandards zu wahren, unterliegen sämtliche Übermittlungen personenbezogener Daten an Destinationen außerhalb von EU und EWR besonderen gesetzlichen Anforderungen. Hiernach bedarf es vor allem eines „angemessenen Datenschutzniveaus“ auf Seiten des jeweiligen Datenempfängers in einem Drittstaat.
Ein angemessenes Datenschutzniveau hat die EU-Kommission zwar für verschiedene Drittstaaten (u.a. die Schweiz, Argentinien, Neuseeland) anerkannt – hingegen nicht für die USA, die datenschutzrechtlich damit als „unsicherer Drittstaat“ gelten. Übermittlungen personenbezogener Daten in die USA sind demzufolge grundsätzlich unzulässig.
Da ein solches Ergebnis nicht praxistauglich ist, hat das US-Handelsministerium aufgrund der hohen wirtschaftlichen Bedeutung von transatlantischen Datenübermittlungen – nach langen Verhandlungen zur Jahrtausendwende – mit der EU-Kommission Safe Harbor – Die Hintergründe die Grundsätze eines „sicheren Hafens“ entwickelt. Hiernach war auf Seiten eines Datenempfängers in den USA ein angemessenes Schutzniveau gewährleistet, wenn sich dieser, unter anderem, freiwillig den Safe-Harbor-Grundsätzen unterwirft.
In den 15 Jahren seiner Gültigkeit wurde das Safe-Harbor-Abkommen bereits vielfach kritisiert, insbesondere von den Aufsichtsbehörden für den Datenschutz. Bemängelt wurden vor allem der Selbstzertifizierungsmechanismus, fehlender Rechtsschutz sowie eine nicht vorhandene Durchsetzung durch US-amerikanische Kontrollbehörden. Zuletzt geriet Safe Harbor gerade im Zuge der NSA-Spähaffäre immer wieder in die Schlagzeilen.
Folgen des Safe-Harbor-Urteils des EuGH
Das jetzige EuGH-Urteil hat zur Folge, dass personenbezogene Daten auf Basis von Safe Harbor nicht mehr in die USA übermittelt und dort gespeichert werden dürfen. Da die Kommissionsentscheidung für ungültig erklärt wurde, ist auf Seiten eines an dem Safe-Harbor-Programm teilnehmenden US-Unternehmens ein angemessenes Datenschutzniveau nicht mehr gewährleistet.
Zudem können Datenschutzbehörden nun prüfen, ob bei Datenübermittlungen in die USA die Anforderungen des Unionsrechts an den Schutz dieser Daten eingehalten werden. Die hierzu ohnehin „strenge“ Sichtweise der deutschen Datenschutzbehörden ist seit Jahren bekannt.
Als zulässige Alternativen für Datenübermittlungen in die USA verbleiben – neben einer Einwilligung – derzeit die EU-Standardvertragsklauseln sowie verbindliche Unternehmensregelungen (Binding Corporate Rules), die weiterhin ein angemessenes Datenschutzniveau bewerkstelligen können.
Die Implementation dieser Rechtsinstrumente kann aber kostenintensiv sein und in Teilen zudem der aufsichtsbehördlichen Genehmigung bedürfen. Da derzeit auch die Auswirkungen des Safe-Harbor-Urteils auf diese Rechtsinstrumente diskutiert werden, ist die weitere Entwicklung – dabei insbesondere Stellungnahmen von Aufsichtsbehörden – aufmerksam zu beobachten.
Das Safe-Harbor-Urteil des EuGH ist für Unternehmen von Bedeutung, die (auch) auf US-amerikanische IT-Ressourcen zurückgreifen. Es sollte zunächst analysiert werden, welche Daten und welche Leistungen eines US-Anbieters überhaupt unter Safe Harbor fallen. Sodann ist rechtlich zu prüfen, ob die Daten noch auf Basis anderer Rechtsinstrumente – wie zum Beispiel der EU-Standardvertragsklauseln – an diesen Anbieter übermittelt werden können. Auf Basis dieser Ergebnisse sind schließlich Lösungen für eine datenschutzrechtliche Compliance zu entwickeln und die Entscheidungen für die Anbieter- und Standortwahl zu treffen.
Für Unternehmen ist das Safe-Harbor-Urteil hierbei ein weiterer Grund, verstärkt auf die Nutzung von Cloud-Ressourcen in der EU zu setzen. Eine datenschutzrechtliche Compliance ist aber ein komplexes Thema und hängt von den konkreten Umständen der Datenverarbeitung ab. Daher bedarf es stets einer genauen rechtlichen Betrachtung der jeweiligen Datenverarbeitungsszenarien eines Unternehmens.
Was ist das EU-US-Privacy-Shield?
Laut dem neuen EU-US-Privacy-Shield, auf das sich EU-Kommission und USA verständigt haben, soll das US-Handelsministerium die amerikanischen Unternehmen überwachen, die Daten aus Europa verarbeiten. Eine Ombudsperson soll Beschwerden von EU-Bürgern entgegennehmen, wenn ihre persönlichen Daten für Geheimdienstzwecke genutzt werden. Einmal im Jahr sollen die EU und die USA gegenseitig prüfen, ob die getroffenen Vereinbarungen eingehalten werden.
Das neue Abkommen ist ohne Frage ein Schritt in Richtung mehr Rechtssicherheit für Unternehmen. Doch es ist noch zu unkonkret und unausgegoren: Der genaue Text des Abkommens steht noch aus – er soll in den kommenden Wochen austariert werden. Mit Blick auf die Ombudsperson ist es wenig realistisch, dass sie – wenn sie denn Beschwerden erhält – effektiven Rechtsschutz gewährleisten kann. Unternehmen müssen außerdem fürchten, dass das neue Abkommen im Fall einer Klage wieder vom Europäischen Gerichtshof (EuGH) gekippt wird. Denn schon jetzt monieren Datenschützer, dass das neue Abkommen den Anforderungen aus dem EuGH-Urteil nicht gerecht wird.