Kategorie: Internationaler Datenschutz
15. April 2016
Wie gleich mehrere Online-Medien mit Verweis auf die Online-Community „Server Fault“ berichten, hat ein Kleinunternehmer durch die Eingabe eines Löschbefehls nicht nur den anvisierten Zielordner gelöscht, sondern gleich seinen kompletten Datenbestand – inklusive Back-Ups. Umso dümmer, dass das Unternehmen vor allem das Hosting geschäftlicher Websites betreibt, oder ja: betrieben hatte.
Um den Zielordner zu löschen, erteilte er den Befehl “rm -rf {foo}/{bar}”. Dabei beinhaltet das Kürzel „rf“ (recursive force) das Kommando einer Löschung unter Ignorieren aller Systemwarnungen. Dieser Löschbefehl bedarf allerdings der weiteren Information, welches Ziel denn überhaupt zu löschen sei. Offenbar war es die unterlassene Spezifizierung des Befehls, die zur Löschung sämtlicher Verzeichnisse, Ordner und Unterordner auf dem Server führte.
Der Unternehmer wandte sich ratsuchend an die Online-Community. Helfen könne ihm jetzt aber nur noch ein Anwalt, so der Tenor.
Die Tipps eines Users kann man aus Datensicherheitsaspekten allerdings nur unterschreiben:
- BackUps sichern.
- Tools, die nicht bekannt sind, nicht nutzen.
- Einen Befehl nie überall auf einmal nutzen.
- Befehle vor der Eingabe doppelt und dreifach checken.
Für den Unternehmer dürften diese Tipps wohl zu spät kommen.
EU-Parlament verabschiedet Datenschutzgrundverordnung
Diesen Donnerstag hat das Parlament der Europäischen Union die Datenschutzgrundverordnung verabschiedet. Damit endet nach über vier Jahren der Gesetzgebungsprozess. Die Datenschutzgrundverordnung ersetzt die seit 1995 geltende EU-Datenschutz-Richtlinie.
Die Mitgliedsstaaten haben nun zwei Jahre lang Zeit die EU-Datenschutzgrundverordnung in nationales Recht zu integrieren. Im Unterschied zu der bislang geltenden Datenschutz-Richtlinie, die den Mitgliedsstaaten lediglich umzusetzende Mindeststandards vorschreibt, werden durch die Grundverordnung ab 2018 europaweit einheitliche Standards gelten.
Wie bereits auf datenschutzticker.de berichtet, sollen durch die Grundverordnung zum einen die Rechte der EU-Bürger gestärkt und Rechtsklarheit und -sicherheit für Unternehmen hergestellt werden, die Daten von Europäern verarbeiten und nutzen.
2. März 2016
Zu Beginn dieser Woche veröffentlichte die EU-Kommission in einer Pressemitteilung verschiedene Dokumente hinsichtlich des EU-US Privacy Shields`.
Nachdem der EuGH in seinem Urteil vom 06.10.2015 das Safe-Harbor-Abkommen für ungültig erklärte, obliegt es dem europäischen Gesetzgeber eine neue Rechtsgrundlage zu entwerfen, die den Datentransfer zwischen den EU-Mitgliedsstaaten und den USA legitimiert und dessen Grundsätze und Voraussetzungen regelt. Wie in einem früheren Blogbeitrag berichtet, stellte die EU-Kommission Anfang Februar die Rahmenbedingungen des neuen Regelungswerks – namentlich des EU-US Privacy Shields` – vor.
Das Privacy Shield enthält zum einen strenge Regularien für US-Unternehmen. Diese sollen demnach unter anderem verpflichtet werden, sich regelmäßig ihre Datenschutzkonformität zu bescheinigen, ihre Datenschutzerklärung im Internet zur Verfügung zu stellen und innerhalb von 45 Tagen auf Beschwerden zu reagieren. Bei Verstößen oder Nichtbeachtung drohen Sanktionen. Weiterhin sollen EU-Bürgen zukünftig auf verschiedenen Wegen Rechtsschutz garantiert werden, so dass sie bei Verletzung ihrer Datenschutzrechte gegen US- Behörden und Unternehmen gerichtlich und außergerichtlich vorgehen können. Ein weiteres neues Element in des Privacy Shields´ sind Verbote dahingehend, dass US-Behörden nur unter festgelegten Voraussetzungen personenbezogene Daten speichern dürfen.
Die EU-Kommission nahm außerdem einen sogenannten Angemessenheitsbeschluss an. Der Angemessenheitsbeschluss bescheinigt, dass die USA den Schutz von personenbezogenen Daten überzeugend zugesichert haben. In verschiedenen Dokumenten versichert die US-Regierung (Annexe I-VII), dass konkrete Auflagen für US-Unternehmen gelten und diese konsequent durchgesetzt werden, der Zugriff auf Daten von EU-Bürgern durch US-Behörden eindeutigen Beschränkungen unterliegen, EU-Bürger ihre Datenschutzrechte sowohl gegen US-Unternehmen als auch US-Behörden geltend machen können und somit hinreichend Rechtsschutz gewährleistet ist. Die Einhaltung und Umsetzung des Privacy Shields‘ wird zudem überwacht und regelmäßig geprüft.
Für EU-Bürger sollen durch diese Mechanismen vor allem mehr Transparenz hinsichtlich des Datentransfers sowie ein besserer Schutz ihrer Daten und eine vereinfachte Durchsetzung ihrer Rechte entstehen.
In den USA hat zwischenzeitlich der US-Präsident Obama den Judicial Redress Act unterzeichnet. Dieser garantiert EU-Bürgern Rechtsschutz in den USA. Außerdem werden in den USA nun weitere Vorkehrungen getroffen werden, um die vereinbarten Maßnahmen zu realisieren. Auf europäischer Seite wird nun die Artikel-29-Datenschutzgruppe zu den von der EU-Kommission vorgelegten Dokumenten beraten, bevor abschließend über das EU-US Privacy Shield entschieden wird.
Ob die vereinbarten Maßnahmen und deren Umsetzung tatsächlich zu einem besseren Datenschutzniveau beitragen werden, bleibt abzuwarten.
16. Februar 2016
US-Präsident Barack Obama gründet den Federal Privacy Council, einen Rat für Datenschutz, um genau diesen, nämlich den Datenschutz, zu stärken.
Das Thema Datenschutz wird in den USA deutlich anders behandelt als in Europa. Bereits das US-Amerikanische Volk hat eine ganz andere Einstellung zu privaten Daten und deren Schutz, als wir es hier gewohnt sind. Im Allgemeinen besitzen Behörden in den USA mehr und weitreichendere Zugriffsrechte, was wohl als Kernproblem beim Datenaustausch zwischen den USA und den EU-Staaten anzusehen ist. Im Oktober des vergangenen Jahres wurde aus diesem Grund das Safe Harbor Abkommen zwischen den USA und der EU vom Europäischen Gerichtshof gekippt (datenschutzticker.de berichtete hierüber). Anfang Februar diesen Jahres wurde das Nachfolgeabkommen „EU-US-Privacy-Shield“ erlassen, dessen Inhalte im Detail jedoch noch nicht bekannt sind.
Nun hat Präsident Barack Obama Initiative gezeigt und einen Rat für Datenschutz gegründet. Denn auch in den USA wächst das Verständnis für Datenschutz und die Bürger sensibilisieren sich zunehmend für die damit einhergehenden Gefahren. Damit das Vertrauen in die Datenverwaltung innerhalb der US-Behörden gestärkt wird, soll der Datenschutz in den Bundeseinrichtungen vereinheitlicht und transparenter organisiert werden. Der Rat wird vor allem bei der Erstellung und Implementierung von Datenschutzrichtlinien mitwirken, Empfehlungen ausarbeiten und auf vermehrte Weiterbildung innerhalb der Behörden hinwirken.
Der Rat besteht aus mindestens 24 Mitgliedern und setzt sich unter anderem aus hochrangigen Beamten des Weißen Hauses, den Datenschutzbeauftragten der Ministerien sowie den Datenschutzbeauftragten nationaler Geheimdienste zusammen.
4. Februar 2016
Nach einer am gestrigen Tag veröffentlichten Stellungnahme der Artikel-29-Datenschutzgruppe sind Übermittlungen personenbezogener Daten in die USA auf Grundlage von EU-Standardvertragsklauseln (Standard Contractual Clauses, SCC) oder Binding Corporate Rules (BCR) bis zu einer weiteren Benachrichtigung – jedenfalls aber bis Ende April dieses Jahres – als zulässig anzusehen.
Die Artikel-29-Datenschutzgruppe hat die EU Kommission aufgerufen, alle Dokumente, die das neue EU-US Privacy Shield betreffen, bis Ende Februar vorzulegen. Nur dann sei man in der Lage, eine abschließende rechtliche Würdigung und verbindliche Entscheidung zum Umgang mit Datenübermittlungen in die USA – im Speziellen auf Grundlage von EU-Standardvertragsklauseln und Binding Corporate Rules – zu tätigen.
Praktische Konsequenzen:
1) Datenübermittlungen in die USA auf Basis von EU-Standardvertragsklauseln oder Binding Corporate Rules gelten noch immer als zulässig.
2) Jede Intervention von einzelnen Aufsichtsbehörden bezüglich einer Datenübermittlung in die USA ist nicht zu erwarten.
3) Beschwerden oder Rechtsstreitigkeiten wegen Datenübermittlungen in die USA auf Grundlage von EU-Standardvertragsklauseln oder Binding Corporate Rules sollten bis zu einer abschließenden Beurteilung der Artikel-29-Datenschutzgruppe zurückgestellt werden.
4) Die derzeit bestehende Rechtsunsicherheit im Hinblick auf die Zulässigkeit von Datenübermittlungen in die USA besteht fort. Die nächste Prüfung wird voraussichtlich März dieses Jahres erfolgen. Bis Ende April soll entschieden werden, wie der internationale Datenumgang insgesamt zu beurteilen ist – sei es im Hinblick auf das EU-US Privacy Shield, im Hinblick auf EU-Standardvertragsklauseln oder im Hinblick auf Binding Corporate Rules.
Wenn Sie regelmäßig über aktuelle Entwicklungen im Datenschutzrecht auf dem Laufenden gehalten werden möchten, abonnieren Sie einen unserer Newsletter:
- Deutsches / Europäisches Datenschutzrecht: https://www.datenschutzticker.de/newsletter/ (deutsch)
- Internationales Datenschutzrecht http://www.privacy-ticker.com/newsletter/ (englisch)
Bei Fragen, wie mit internen Policies zum Datenschutz umzugehen ist, wie Datenübermittlungen in Drittländer zu bewerten sind oder wie man sich schon jetzt als Unternehmen auf die Neuregelungen der EU-Datenschutzgrundverordnung vorbereitet, kontaktieren Sie uns jederzeit gern für eine individuelle Beratung!
3. Februar 2016
Am gestrigen Mittwoch gab die EU-Kommission bekannt, dass Vertreter der EU und der Vereinigten Staaten sich über die Rahmenbedingungen des transatlantischen Datenaustauschs verständigt haben. Die Zulässigkeit des Datentransfers aus der EU in die USA wird sich zukünftig aus dem EU-US Privacy Shield ergeben.
Im Oktober 2015 hatte der Europäische Gerichtshof das Safe-Habor-Abkommen, welches bis dahin als Rechtsgrundlage für die Übermittlung von personenbezogenen Daten in die USA diente, für ungültig erklärt. Dies hat vor allem bei europäischen Unternehmen, die US-amerikanische soziale Netzwerke wie Facebook und Twitter sowie US-Cloud-Dienstleistungen nutzen, für große Unsicherheiten gesorgt.
Das EU-US Privacy Shield wird zukünftig die Maßstäbe für einen transatlantischen Datenaustausch festlegen. Obwohl zurzeit noch kein konkreter Text vorliegt, geben die jüngst bekannt gewordenen Rahmendingung eine Richtung vor. Zum einen werden US-Unternehmen strengere Regularien hinsichtlich der Datenverarbeitung und Sicherstellung von Persönlichkeitsrechten gewährleisten müssen als nach dem Safe-Habor-Abkommen. Das US-Handelsministerium wird die Einhaltung dieser Vorschriften überwachen und kann diese gegebenenfalls gerichtlich durchsetzen. Sofern Personaldaten von Bürgern der Europäischen Union in die USA übermittelt werden, sind darüber hinaus die Entschließungen der Europäischen Datenschutzbehörden zu erfüllen. Weiterhin haben die USA zugesichert, dass US-Strafverfolgungsbehörden und US-Sicherheitsbehörden nur in den Grenzen der Erforderlichkeit und im Rahmen der Verhältnismäßigkeit auf die in den USA gespeicherten Daten zugreifen dürfen. Der Zugriff von US-Behörden auf personenbezogene Daten von Europäern wird durch jährliche Treffen mit Vertretern des US-Handelsministeriums und der Europäischen Kommission sowie Vertretern der US-Nachrichtendienste und der EU-Datenschutzbehörden überwacht. Schließlich werden EU-Bürger bei Verstößen gegen das EU-US Privacy Shield mit verschiedenen Rechtsmitteln ausgestattet. Unternehmen werden innerhalb einer festgelegten Frist auf Beschwerden reagieren müssen. Außerdem werden europäische Datenschutzbehörden Beschwerden an US-Behörden zur weiteren Rechtsdurchsetzung weiterleiten können. Bei Beschwerden bezüglich eines unzulässigen Zugriffs durch US-Sicherheitsbehörden wird eine Ombudsstelle eingerichtet.
Die EU-Kommission wird innerhalb der nächsten drei Wochen Dokumente mit konkreteren Inhalten vorlegen. Diese werden anschließend von der Artikel-29-Gruppe diskutiert.
Zumindest bis dahin ergeben sich für Unternehmen zunächst keine Veränderungen zum derzeitigen Status Quo hinsichtlich der Zulässigkeit von Datenübermittlungen in die USA.
26. Januar 2016
Wie Reuters vergangenen Freitag berichtete, habe die US-Regierung der EU die Schaffung eines “US privacy ombudsman” angeboten. Die eigens für das neue Safe Harbor Abkommen einzurichtende Behörde soll dem US-Außenministerium unterstehen und für Beschwerden von EU-Bürgern über den transnationalen Datentransfer zuständig sein. Unter Berufung auf vier an den Gesprächen beteiligten Quellen soll die Behörde sicherstellen, dass der Zugriff auf Daten von EU-Bürgern nicht exzessiv erfolgt.
Darüber hinaus hätten die Vereinigten Staaten eine Liste Regelungen und Maßnahmen vorgelegt, die die Kompetenzen ihrer Nachrichtendienste beschreiben und begrenzen. Auch soll zukünftig ein Rechtsschutz von EU-Bürgern gegen den unberechtigten Datenzugriff der US-Behörden möglich sein.
Derzeitig werde über die konkreten Aufgaben und Befugnisse der neuen Behörde verhandelt.
Der EuGH hatte in dem Urteil vom 06. Oktober 2015 das Safe Harbor Abkommen für ungültig erklärt, da unter anderem nicht berücksichtigt wurde, ob es Rechtsvorschriften gibt, die etwaige Eingriffe in die Grundrechte der Personen, deren Daten aus der Union in die Vereinigten Staaten übermittelt werden, begrenzen. Außerdem blieb die Existenz eines wirksamen Rechtsschutzes gegen Eingriffe unbrerücksichtigt.
Der Vorschlag zu einer neuen Schiedsstelle kann daher als Schritt in die richtige Richtung verstanden werden. Ob durch die neue Behörde ein Teil der durch den EuGH aufgestellten Grundsätze erfüllt werden, wird erst anhand weiterer Informationen berurteilt werden können.
21. Januar 2016
Mit dem Urteil vom 06. Oktober 2015 hat der EuGH das Safe Harbor Abkommen für ungültig erklärt. Die obersten Datenschutzbehörden (Artikel-29-Gruppe) haben daraufhin in ihrer Presseerklärung vom 16. Oktober 2016 den Unternehmen, die von der Entscheidung des EuGHs betroffen sind, eine Umsetzungsfrist bis Ende Januar 2016 eingeräumt, um Datenübermittlungen in Drittstaaten auf alternative Grundlagen zu stützen.
Gleichzeitig wurden die EU-Regierungen, die EU-Kommission sowie die US-Regierung aufgefordert, innerhalb dieser Frist ein neues Safe Harbor Abkommen zu verbschieden, das die vom EuGH ausgeurteilten Voraussetzungen erfüllt und als weitere Grundlage neben den Standardvertragsklauseln sowie den Binding Corporate Rules für den Datentransfer in die Vereinigten Staaten dienen kann.
Eine Einigung über ein neues Abkommen noch im Januar scheint nach derzeitigem Stand unwahrscheinlich.
Am 15. Januar 2016 habe die EU-Kommission die Mitgliedsstaaten darüber informiert, dass die Verhandlungen ins Stocken geraten seien. Teilnehmer der Sitzung hielten eine zeitnahe Einigung für “unrealistisch” und “unwahrscheinlich”, die Stimmung sei insgesamt pessimistisch.
Laut dem EU-Datenschutzbeauftragten Giovanni Buttarelli hätte eine Einigung im Januar allenfalls politische Bedeutung, ein rechstwirksames Abkommen mit Bindnungswirkung erfordere noch weitere Monate Verhandlung.
Am 2. Februar 2016 tritt die Artikel-29-Gruppe wieder zu einer Sitzung zusammen. Es ist zu erwarten, dass im Anschluss daran mitgeteilt wird, welche Maßnahmen die Aufsichtsbehörden gegen Unternehmen, die Daten auf Grundlage des für ungültig erklärten Safe Harbor Abkommens in die Vereinigten Staaten übermitteln, ergreifen werden.
Vor dem Hintergrund, dass der unzureichende Schutz vor einem Zugriff von US-Behörden auf Daten von EU-Bürgern wesentlicher Grund für die Ungültigerklärung des Safe Harbor Abkommens war, könnte ein aktueller Rechtsstreit zwischen der US-Regierung und Microsoft Bedeutung erlangen. Die US-Regierung begehrt hier Zugriff auf Daten, die sich auf einem Server von Microsoft in Irland befinden und zwar allein aufrund eines US-amerikanischen Gesetzes ohne Berücksichtigung andere Rechtsordnungen. Dass ein Einigungswille auf Seite der Vereinigten Staaten besteht, ein Abkommen zu schließen, dass die Daten von EU-Bürgern vor einem Zugriff schützt, scheint daher fraglich.
10. Dezember 2015
Bereits seit Anfang 2013 arbeitet die EU an einheitlichen Vorschriften zur Gewährleistung der europaweiten Netzwerk- und Informationssicherheit. Der zu diesem Zweck verabschiedete Cybersecurity-Plan beinhaltete bereits einen ersten Entwurf der Network Information Security Directive.
Am 08. Dezember 2015 konnte zwischen Vertretern der EU-Kommission, des Europaparlaments und der Mitgliedstaaten eine Einigung über eine vorläufige Endfassung der Richtlinie erzielt werden.
Die Richtlinie begründet eine Verpflichtung der EU-Mitgliedsstaaten Betreiber und Anbieter “essentieller Dienstleistungen”, die für das soziale oder wirtschaftliche Leben in den Bereichen Energie, Transport, Finanzen, Gesundheit, Wasserversorgung und Digitale Infrastruktur wesentlich sind, zu benennen.
Diese Unternehmen sind zukünftig verpflichtet, angemessene Schutzmaßnahmen zur Gewährleistung der IT-Sicherheit zu treffen und schwerwiegende Vorfälle an die nationalen Behörden zu melden.
Für die Digitale Infrastruktur als wesentlich gelten nach der Richtlinie auch große Internet-Service-Provider, wie Online-Marktplätze, Suchmaschinen und Cloud-Anbieter. In diesem Zusammenhang werden Amazon, Google und Ebay ausdrücklich genannt.
Im Gegensatz zu dem ersten Entwurf der Richtlinie sind der öffentliche Sektor, kleine und mittlere Unternehmen sowie soziale Netzwerke nicht mehr von der vorläufigen Endfassung erfasst.
Die EU-Kommission begrüßt die Einigung in ihrer Pressemitteilung vom 08. Dezember 2015 und verweist auf die 21-monatige Umsetzungsfrist nach der formellen Verabschiedung der Richtlinie. Den Mitgliedsstaaten wird nach Ablauf der Umsetzungsfrist eine weitere Frist von 6 Monaten zur Benennung der relevanten Unternehmen eingeräumt.
4. Dezember 2015
Auch an dieser Stelle wurde das Safe-Harbor-Urteil des Europäischen Gerichtshofs (EuGH) umfassend diskutiert. Manche Kommentatoren mögen in der Tatsache, dass der EuGH die Grundsatzentscheidung der EU-Kommission zum Safe Harbor-Abkommen aus dem Jahr 2000 für ungültig erklärt hat, ein deutliches Signal, wenn ich gar einen kleinen Sieg gegen die Überwachungsmethoden der USA gesehen haben – vor allem die Spionagemethoden der NSA haben das Vertrauen der Bürger in die Datenschutzpolitik der Vereinigten Staaten nachhaltig beschädigt und die Debatte emotionalisiert.
In der Wirtschaftswelt, vor allem solchen Unternehmen, die transatlantisch operieren, ist die Freude erwartungsgemäß verhalten ausgefallen, die Verunsicherung hingegen groß.
Zum 1. Februar 2016 endet die Übergangsfrist, in welcher die nationalen Aufsichtsbehörden eine Lösung zur Datenübermittlung in die USA im Rahmen von EU-Standardvertragsklauseln noch akzeptieren. Was danach kommt, ist ungewiss. Die Aufsichtsbehörden werden aber mit Sicherheit die Umsetzung der EuGH-Entscheidung vorantreiben – Sanktionen wie vor allem Bußgelder sind dann nicht mehr ausgeschlossen, aber auch die Kappung von relevanten Systemen kann Unternehmen drohen, die nicht reagiert haben.
Bleibt das bange Warten, ob und unter welchen Voraussetzungen bis dahin die Politik ein neues „Safe Harbor 2.0“ auf die Beine gestellt bekommt, welches dann auch von den Datenschutzinstitutionen wie auch vom Gericht akzeptiert wird.
Und dann ist da noch der Ausblick auf die Europäische Datenschutzgrundverordnung, welche aller Voraussicht nach im kommenden Jahr verabschiedet wird, und dann ab 2018 in Kraft tritt – inklusive „Marktortprinzip“, welches eine Verarbeitung europäischer Daten auch außerhalb der EU die Regelungen der EU-Verordnung verbindlich vorschreiben wird.
Einen Überblick über die Hintergründe des Urteils, die Reaktionen und die Folgen, sowie die Gelegenheit zu Frage und Antwort bietet das Portal für Markt-, Medien- und Meinungsforschung marktforschung.de in dem Webinar Q&A zum Thema “Safe Harbor” am 7. Januar 2016, 11 Uhr, in dem der Externe Datenschutzbeauftragte und Rechtsanwalt Dr. Karsten Kinast von der Kanzlei Kinast & Partner Rede und Antwort stehen wird.
Eine Anmeldung ist bis zum Veranstaltungsbeginn unter diesem Link möglich.
Pages: 1 2 ... 18 19 20 21 22 ... 34 35 
