Helga Block, Landesbeauftragte für Datenschutz und Informationsfreiheit in Nordrhein-Westfalen (LDI), hat vor wenigen Tagen ein Whitepaper mit den wichtigsten Fragen und Antworten rund um das EU-US Privacy Shield veröffentlicht. Einige der interessantesten Statements stellen wir hier vor.
GILT DAS PRIVACY SHIELD AB SOFORT?
„Die datenempfangenden Unternehmen in den USA (US-Unternehmen), die sich den Regelungen des EU-US Privacy Shields unterwerfen wollen, können sich seit dem 01.08.2016 beim US-Handelsministerium selbstzertifizieren. Das Ministerium stellt eine offizielle Liste der aktiven zertifizierten sowie inaktiven Unternehmen zur Verfügung. Sie steht ausschließlich in einer englischen Sprachversion zur Verfügung. Sobald ein US-Unternehmen in dieser Liste aufgeführt ist, kann das EU-US Privacy Shield auf der zweiten Stufe (…) grundsätzlich herangezogen werden, um Daten in die USA zu übermitteln. Eine verantwortliche Stelle hat bestimmte Prüfpflichten [siehe unten], wenn sie sich auf das Privacy Shield berufen möchte.
Die Bedenken der europäischen Aufsichtsbehörden zu Datenübermittlungen in die USA können ebenfalls Auswirkungen haben.“
WELCHE BEDENKEN SIND DAS?
„Die Art-29-Gruppe hat in ihrer Presseerklärung vom 26.07.2016 weiterhin Bedenken gegen das EU-US Privacy Shield geäußert. Diese betreffen sowohl kommerzielle Aspekte (beispielsweise das Fehlen von konkreten Regelungen zu automatisierten Entscheidungen und zu einem allgemeinen Widerspruchsrecht) als auch den Zugang der staatlichen US-Behörden zu den Daten, die aus der EU unter dem EU-US Privacy Shield übermittelt werden.
Im Rahmen der ersten gemeinsamen jährlichen Überprüfung des EU-US Privacy Shield werden die nationalen Vertreter der Art-29-Gruppe deshalb nicht nur bewerten, ob die verbleibenden Probleme gelöst sind, sondern auch, ob die Schutzmaßnahmen des EU-US Privacy Shield funktionsfähig und effektiv sind.
Daraus können sich Maßnahmen der Aufsichtsbehörden ergeben. Außerdem können sich die Ergebnisse der Prüfung hinsichtlich des Zugangs von staatlichen Behörden zu Daten, die unter dem EU-US Privacy Shield übermittelt werden, auch auf andere Übermittlungsinstrumente wie verbindliche Unternehmensregelungen (BCRs) und Standardvertragsklauseln auswirken.
Die LDI NRW behält sich vor, aufgrund von Ergebnissen der jährlichen Überprüfung des EU-US Privacy Shield und eigenen Erkenntnissen, Datenübermittlungen unter dem EU-US Privacy Shield gegebenenfalls in Einzelfällen auszusetzen.
Die irische Datenschutzbehörde hat außerdem ein gerichtliches Verfahren zur Überprüfung der EU-Standardvertragsklauseln vor dem irischen Commercial Court angestrengt. Die EU-Standardvertragsklauseln sind ein weiteres Instrument, mit denen bei Datenübermittlungen in Drittstaaten Garantien für den Schutz der Persönlichkeitsrechte erreicht werden können. Die Verhandlung ist für Februar 2017 angesetzt worden. Entscheidungen im weiteren Verfahren (letztendlich wohl des Europäischen Gerichtshofes) können Auswirkung speziell auf die Wirksamkeit des Beschlusses der EU-Kommission zu den Standardvertragsklauseln als auch allgemein auf andere Übermittlungsinstrumente haben.“
UND WELCHE PRÜFPFLICHTEN BESTEHEN?
„Verantwortliche Stellen müssen bei jeder Datenverarbeitung prüfen, ob diese datenschutzrechtlich zulässig ist. Im Rahmen der sorgfältigen Auswahl eines selbstzertifizierten US-Unternehmens müssen sich verantwortliche Stellen vergewissern, dass das datenempfangende US-Unternehmen eine gültige Zertifizierung besitzt und dass diese auch eingehalten wird. Die verantwortliche Stelle muss dafür mindestens klären, ob die Zertifizierung tatsächlich vorliegt, diese noch gültig ist (diese muss jährlich erneuert werden) und ob die zu übermittelnden
Daten von der Zertifizierung abgedeckt sind. Verantwortliche Stellen sollten sich ebenfalls nachweisen lassen, wie das US-Unternehmen seinen Informationspflichten gegenüber den von der Datenverarbeitung betroffenen Personen nachkommt.“
WER ÜBERWACHT DIE EINHALTUNG?
Derer gibt es mehrere: Die EU-Datenschutzbehörden, Die Federal Trade Commission, das US-Verkehrsministerium (Department of Transportation) sowie das US-Handelsministerium (Department of Commerce):
„Die EU-Datenschutzbehörden bleiben uneingeschränkt zuständig nach dem jeweils anwendbaren nationalen Recht. Sie können im Rahmen ihrer Zuständigkeit immer gegenüber der datenübermittelnden verantwortlichen Stelle in der EU tätig werden (…) Die Federal Trade Commission (FTC) und das US-Verkehrsministerium sind sogenannte „Durchsetzungsbehörden“. Sie sind befugt, die Zusagen der USUnternehmen im Rahmen ihrer Selbstzertifizierungen durchzusetzen (…) Das US-Handelsministerium war Verhandlungspartner der EU-Kommission für das EU-US Privacy Shield und ist für den Selbstzertifizierungsprozess insgesamt zuständig. Die Erklärungen der US-Unternehmen zur Selbstzertifizierung, erfolgen deshalb ihm gegenüber.“
WAS, WENN DAS US-UNTERNEHMEN AUFTRAGSDATENVERARBEITER IST?
„Sollen personenbezogene Daten aus der EU in den USA im Auftrag verarbeitet werden, müssen verantwortliche Stellen neben den Zulässigkeitsvoraussetzungen der „zweiten Stufe“ der Datenverarbeitung (§§ 4b, 4c BDSG) auch die Anforderungen des § 11 BDSG erfüllen. Denn die Voraussetzungen des § 11 BDSG betreffen die so genannte 1. Stufe des Datenumgangs und müssen daher unabhängig davon eingehalten werden, wo die Auftragsdatenverarbeitung stattfindet.
Die Selbstzertifizierung eines datenempfangenden US-Unternehmens (Auftrags(daten)verarbeiter) unter dem EU-US Privacy Shield bezieht sich dabei auf die Zulässigkeitsvoraussetzungen der zweiten Stufe der Datenverarbeitung.“