Source: https://www.haerting.de/neuigkeit/faq-safe-harbor
Timestamp: 2018-08-20 18:08:32
Document Index: 98771514

Matched Legal Cases: ['EuG', 'EuG', 'Art. 29', '§ 4', 'Art. 1', 'Art. 29', 'EuG', 'EuG', 'Art. 26']

Safe Harbor ist passé. Das hat der Europäische Gerichtshof (EuGH) am 6.10.2015 entschieden. Damit ist die Übermittlung personenbezogener Daten in die USA, die allein auf die Geltung der Safe-Harbor-Regeln gestützt werden, illegal. Inzwischen ist der Nachfolger scharf geschaltet: das Privacy Shield. Alle wesentlichen Fragen zum EuGH-Urteil, seinen Folgen und dem Safe-Harbor-Nachfolger "Privacy Shield" haben Martin Schirmbacher und Daniel Schätzle in FAQ zu Safe Harbor beantwortet. Als Hilfestellung für europäische Unternehmen hat der Zusammenschluss europäischer Datenschutzbehörden (Art. 29 Gruppe) am 13. Dezember einen kleinen Leitfaden zum Privacy Shield veröffentlicht.
Wie gehen U.S.-Dienstleister mit dem Urteil und dem Privacy Shield um?
Möglichkeit 1: Sitz innerhalb der EU oder in einem sicheren Drittland
Es kann natürlich ein deutscher Dienstleister eingesetzt werden, der eine Speicherung der Daten in Deutschland zusichert. Das gleiche gilt für alle Dienstleister mit Sitz innerhalb der EU bzw. des EWR. Für deren Mitgliedstaaten wird ein angemessenes Datenschutzniveau angenommen. Hinzu kommen noch Staaten, die als sichere Drittländer anerkannt sind. Immerhin denkbar ist, dass U.S.-Dienstleister in Zukunft lokale Datenverarbeitung durch eine EU-Gesellschaft anbieten.
Möglichkeit 2: Abschluss von EU-Standardvertragsklauseln
Ein angemessenes Datenschutzniveau kann auch dadurch sichergestellt werden, dass sich der Dienstleister vertraglich den wesentlichen Regelungen der EU zum Datenschutz unterwirft. Die EU hat zu diesem Zweck drei Standardvertragswerke entwickelt, derer sich die Unternehmen bedienen können. Wichtig ist, dass von den Standardwerken nicht abgewichen wird. Anderenfalls entfällt die Privilegierung und ein sicheres Datenschutzniveau kann nicht angenommen werden.
Möglichkeit 3: Abschluss eines individuellen Vertrags mit dem Dienstleister
Denkbar ist auch, mit dem Dienstleister einen individuellen Vertrag zu schließen, der von den Standardvertragsklauseln abweicht. Ein solcher Vertrag muss ein angemessenes Datenschutzniveau garantieren. Darin muss sich der Dienstleister auf die Einhaltung der wesentlichen Bestimmungen des deutschen Datenschutzrechts verpflichten und die Einhaltung in geeigneter Weise garantieren. Dies hilft aber nur, wenn die zuständige Datenschutzbehörde in Deutschland den Vertrag ausdrücklich genehmigt hat. Ein solches Prozedere ist mit erheblichem Aufwand und der Unsicherheit verbunden, dass die Behörde die Freigabe nicht erteilt. Dieser Weg bietet sich nur an, wenn ein anderer Weg nicht zum Erfolg führt. In der Praxis kommt diese Lösung allenfalls bei Verträgen in Betracht, die nicht Standardverträge sind. Man muss schon ein sehr großer Kunde sein, damit sich U.S.-Unternehmen auf den Abschluss von individuell ausgehandelten Verträgen einlassen.
Möglichkeit 4: Einwilligung der Datenübermittlung in die USA
Stets zulässig ist die Übertragung von Daten an Unternehmen in den USA, wenn der Betroffene wirksam eingewilligt hat. Dies ergibt sich aus § 4c BDSG. Die Anforderungen an eine transparente Information und darauf beruhende Einwilligung sind jedoch hoch. Eine bloße Änderung der Datenschutzbestimmungen genügt jedenfalls nicht. Es bedarf einer transparenten Information des Kunden auch über die Risiken der Übermittlung von Daten in die USA, zudem muss dem Kunden eine echte Wahlmöglichkeit gegeben werden. Eine „untergeschobene Einwilligung“ würden die Datenschutzbehörden nicht akzeptieren. Willigt der Kunde nicht ein, muss der Datentransfer unterbleiben.
Möglichkeit 5: Zur Vertragserfüllung notwendige Datenübermittlungen
Schließlich sind Konstellationen denkbar, bei denen ein Vertrag zwischen einem Kunden und einem deutschen Unternehmen geschlossen wird, für dessen Erfüllung eine Datenübermittlung erforderlich ist. Wer seinen New York-Besuch über ein Reisebüro plant, geht selbstverständlich davon aus, dass Daten an das gebuchte Hotel übermittelt werden. Gleiches gilt etwa bei Arbeitsverträgen über eine internationale Tätigkeit im Konzern. Derartige Ausnahmefälle unterliegen dem Grundsatz der Erforderlichkeit. Nur wenn die Übermittlung zur Erreichung der Vertragsziele absolut zwingend ist, lässt sich eine datenschutzkonforme Übermittlung annehmen. Damit sind der Anwendungsbereich der Ausnahme sowie der Umfang der Daten, die hierauf gestützt übermittelt werden dürfen, sehr begrenzt. Zudem muss der Auslandsbezug für den Kunden bereits bei Vertragsschluss erkennbar sein. Damit kommt eine Berufung auf die Ausnahmen für in der Vergangenheit geschlossene Verträge nur schwerlich in Betracht.
Möglichkeit 6: Das U.S. Unternehmen unterwirft sich dem neuen Privacy Shield
Das Privacy Shield steht. Unternehmen, die sich den Regelungen freiwillig unterworfen haben, kommen grundsätzlich als taugliche Dienstleister in Betracht.
Safe Harbor ist tot. Nach langen Verhandlungen zwischen der EU-Kommission und den USA, die bis zuletzt unter großem Druck standen, hat die hat die zuständige EU-Kommissarin Věra Jourová am 2.2.16 eine Einigung mit den US-Stellen verkündet. Einzelheiten sind am 29.2. verkündet worden.
Neu ist zunächst der Name. Es gibt kein Safe Harbor 2.0. Die neue Vereinbarung heißt EU-US Privacy Shield. Inhalt ist Folgendes:
EU-Bürger, die sich durch amerikanische Behörden in ihren Rechten verletzt sehen, sollen in Zukunft eine Reihe von Rechtsschutzmöglichkeiten haben. Dazu zählt auch die Anrufung eines neu geschaffenen Ombudsmannes und eine kostenfreie alternative Streitbeilegung. Auch die EU-Datenschutzbehörden sollen weitergehende Rechte erhalten und sich mit Beschwerden insbesondere an das Department of Commerce und die FTC wenden können. Insofern können sich EU-Bürger auch an ihre lokalen Behörden wenden.
Auf Seiten der USA sind eine Reihe von Umsetzungsmaßnahmen getroffen worden. U.A. hat Präsident Obama den Judicial Redress Act unterzeichnet, der EU-Bürgern für den Fall von Datenschutzverletzungen ein Klagerecht in den USA gibt. Die EU-Kommission hat am 12.7.2016 seine neue Angemessenheitsentscheidung (PDF) beschlossen. Diese Kommissionsentscheidung hält nach 155 Erwägungsgründen in Art. 1 Abs. 1 fest, dass U.S.-Unternehmen, die sich den Bedingungen des Privacy Shield unterwerfen, ein angemessenes Datenschutzniveau gewährleisten. Eine Übertragung von Daten an diese Unternehmen ist damit zulässig.
U.S. Unternehmen ist es seit 1.8.2016 möglich, sich dem Privacy Shield zu unterwerfen. Eine vollständige und durchsuchbare Liste der Unternehmen ist hier einsehbar.
Die Europäischen Kommission hat einen Leitfaden für Bürger und Bürgerinnen zum Privacy Shield veröffentlicht, in dem vor allem die Rechte Betroffener dargestellt werden.
Das Nachfolgeabkommen zu Safe Harbor wird überwiegend begrüßt.
Die Art. 29 Arbeitsgruppe hat nach anfänglicher Kritik am 26.7.2016 lediglich angekündigt, eine genaue Prüfung vozunehmen. Offenbar soll dies im Zuge der ersten jährlichen Überprüfung erfolgen. Am 13. Dezember 2016 wurde von der Gruppe FAQ zum EU-US Privacy Shield für europäische Unternehmen veröffentlicht. In diesen wird unter anderem erläutert, was EU-Unternehmen vor einem Datentransfer in die USA zu pürfen haben.
Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder tagte am 6./7. April 2016. In einer Pressemitteilung wird betont, dass es nach wie vor zahlreiche offene Frage gebe. Einzelne Länderbehörden behalten sich explizit vor, aufgrund von Ergebnissen der jährlichen Überprüfung des EU-US Privacy Shield und eigenen Erkenntnissen, Datenübermittlungen unter dem EU-US Privacy Shield gegebenenfalls in Einzelfällen auszusetzen.
Die irische Datenschutzbehörde hat ein gerichtliches Verfahren zur Überprüfung der EU-Standardvertragsklauseln vor dem irischen Commercial Court angestrengt. Die Verhandlung ist für Februar 2017 angesetzt worden.
Die Bundesregierung äußert sich dagegen in der Antwort auf eine kleine Anfrage der Grünen zu den Konsequenzen des Safe Harbor-Urteils durchweg positiv zum Privacy Shield.
Der Bitkom begrüßt die Zustimmung zum Privacy Shield uns sieht darin einer rechtssicheren transatlantischen Datenaustausch.
Die irische NGO Digital Rights Ireland hat beim EuG gegen das EU-US-Privacy Shield geklagt.
US-Unternehmen reagierten unterschiedlich auf das EuGH-Urteil. Zum Teil wurde bereits am Tag des Urteils angeboten, Zusatzvereinbarungen zu schließen, die den EU-Standardvertragsklauseln entsprechen. Andere wiederum wollen schnellstmöglich Rechenzentren innerhalb der EU eröffnen bzw. bestehende Kapazitäten ausbauen. Andere taten sich schwer und hatten sich überhaupt nicht geäußert bzw. beriefen sich weiterhin auf die Safe Harbor-Zertifizierung. Bei einigen dürfte Grund hierfür die Hoffnung auf eine schnelles Nachfolgeabkommen gewesen sein. Dieses folgte mit dem Privacy Shield. Inzwischen haben sich 1347 Unternehmem und Organisationen unter dem Privacy Shield registriert (Stand 3. Januar 2017)
Softwareanbieter und Cloudprovider Microsoft bot zunächst den Abschluss von Standardvertragsklauseln an, forderte aber gleichzeitig, dass sich die US-Behörden den Datenschutzbestimmungen der EU unterwerfen (6.10./20.10.2015). Microsoft kündigte zudem an, ab der zweiten Jahreshälfte 2016 Angebote einzuführen, bei denen die Daten in Rechenzentren von T-Systems in Frankfurt und Magdeburg gespeichert und verarbeitet werden. Damit soll ein Zugriff durch US-Behörden ausgeschlossen werden (11.11.2015)
E-Mail-Marketing-Dienstleister Mailchimp bietet den Abschluss von Standardvertragsklauseln an (9.10.2015).
ERP-Anbieter Netsuite teilt mit, die Rechenzentren in der EU ausbauen zu wollen (6.10.2015).
Seitdem eine Registrierung unter dem Privacy Shield möglich ist, nimmt die Zahl der zertifizierten Unternehmen stetig zu. Dazu gehören etwa Microsoft (12.8.2016), Amazon (21.10.2016) oder Adobe (4.11.2016)
Wie reagierten die Datenschutzbehörden auf das Urteil?
Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit erkennt die Nutzung von EU-Standardvertragsklauseln vorerst als gültig an. Gegen Unternehmen, die im Anschluss an das Safe-Harbor-Urteil ihre Datentransfers in die USA weiterhin allein auf Safe Harbor stützen, hat die Behörde Bußgelder verhängt.
Der Hessische Datenschutzbeauftragte hat am 4.2. explizit darauf hingewiesen, dass Unternehmen, die weiterhin auf der Grundlage von Safe Harbor Daten transferieren, mit Sanktionen rechnen müssen.
Die Kommission geht davon aus, dass die Datenschutzbehörden der Mitgliedsstaaten dazu verpflichtet sind, Standardvertragsklauseln als legitime Möglichkeit für den Datentransfer in Drittländern anzuerkennen
Sofern Ausnahmen i.S.d. Art. 26 Abs. 1 Datenschutzrichtlinie (95/46/EC) greifen, bleiben sie bestehen. Das Exportland von Daten hat nicht dafür zu sorgen, dass das Importland ausreichende Sicherungen im Bereich Datenschutz aufweist.
Datenschutzbehörden der Mitgliedsstaaten müssen weiterhin unabhängig handeln. Sie dürfen jedoch bei Datenübertragungen, deren Grundlage beispielsweise Standartvertragsklauseln oder eine Angemessenheitsentscheidung der Kommission sind, lediglich auf ihre Rechtmäßigkeit prüfen. Liegt ein solcher Fall vor, so muss der Datenschutzbehörde die Möglichkeit vom Staat gewährt werden, vor Gericht zu klagen. Sie darf keine verbindliche Entscheidung treffen.
Die Kommission hat am 29.2.2016 Einzelheiten zum EU-US Privacy Shield als Nachfolgemodell für Safe Harbor vorgestellt.
Auf eine entsprechende Anfrage aus dem Europaparlament stellt die Kommission mit Antwort vom 4.4.2017 fest, dass die DSGVO auf den selben Grundprinzipien, Rechten und Pflichten der bestehenden Datenschutzrichtlinie beruht. Das Privacy Shield spiegelt diese Kernelemente wieder. Die Kommission geht folglich davon aus, dass die Angemessenheitsentscheidung zum Privacy Shield auch die Anforderungen der DSGVO erfüllt. Allerdings betont die Kommissione, dass sie im Rahmen der jährlichen Überprüfungen etwaigen Anpassungsbedarf prüfen wird.
Keine Hoffnung macht die Bundesregierung der Bundesdatenschutzbeauftragten mit Blick auf deren Ausstattung: Die Behörde sei derzeit finanziell, personell und technisch ausreichend ausgestattet.
Dabei ergeben sich insbesondere für die Betroffenen bestimmte Rechte, gegebenenfalls sogar Schadensersatzansprüche. Zudem drohen ganz konkret Bußgelder der deutschen Datenschutzbehörden. Die Hamburgische Datenschutzbehörde hat entsprechende Bescheide bereits verschickt. Diese können theoretisch bis zu 300.000,- Euro betragen, liegen in der Regel aber deutlich darunter.