Kategorie: Internationaler Datenschutz
14. Oktober 2015
Nachdem der Europäische Gerichtshof (EuGH) vergangene Woche die Ungültigkeit des Safe-Harbor-Abkommens zwischen der EU und den USA festgestellt hat, lohnt sich ein Blick auf US-Unternehmen. Denn es sind gerade die Großen der Internetbranche, die überdurchschnittlich viele Daten aus der EU erheben und verarbeiten. Und die Großen, allen voran Google, Amazon, Microsoft, Facebook und Apple sind US-Firmen mit großen Marktanteilen in der EU.
Während das Safe-Harbor-Abkommen, sei es nun die gekippte oder die seit 2013 in der Überarbeitung befindliche neue Version, allein von der Politik gestaltet wird und Alternativen wie EU-Standardvertragsklauseln und Binding Corporate Rules von Juristen und Behörden empfohlen werden, sind es die großen US-Unternehmen, die nach ganz eigenen Lösungen suchen. Diese sind – das liegt in der Natur der Sache – zumeist praxisnäher und nicht selten bereits praxiserprobt. Finanziell, organisatorisch und personell können die Unternehmen deutlich schneller, flexibler und nicht selten sogar innovativer reagieren als es nationale Datenschutzbehörden und eine überbürokratisierte EU-Politik können.
Nun stand das Safe-Harbor-Abkommen schon lange in der Kritik und das Urteil des EuGH kommt auch nicht all zu überraschend. Kernproblem war und bleibt der Patriot Act, der US-Behörden ermächtigt, nahezu uferlos auf Daten von US-Firmen zugreifen zu können. Dieses Vorgehen kritisieren nicht nur der EuGH und europäische Datenschützer. Auch US-Firmen bemängelten in der Vergangenheit das Vorgehen der eigenen Regierung, Firmen dazu zwingen zu können, Daten und Informationen gegen ihren Willen preisgeben zu müssen.
Die Summe der Probleme beim Austausch von Daten zwischen EU und USA ist gerade für die Großen der Branche Grund genug, nach eigenen, praxisnahen Lösungen zu suchen. So setzen jedenfalls die finanzstarken Unternehmen verstärkt auf den Ausbau ihrer Standorte innerhalb Europas, wie das Wall Street Journal berichtet. Insbesondere in Irland, aber auch in Belgien, Finnland, den Niederlanden, Dänemark und in Deutschland investieren Google & Co. beachtliche Summen in den Aufbau eigener Rechenzentren und Infrastrukturen. Der Vorteil: Eines der Fundamente des Datenschutzes, nämlich die Zulässigkeit der Datenverarbeitung gemäß § 11 BDSG, ist grundsätzlich gegeben. Denn innerhalb der EU bzw. des europäischen Wirtschaftsraumes wird ein angemessenes Datenschutzniveau unterstellt, während ein solches bei der Datenverarbeitung über die Grenzen der EU hinaus – oft umständlich – nachgewiesen werden muss.
9. Oktober 2015
Unzufriedenheit und Unverständnis kennzeichneten die Reaktion der US-Regierung zur wegweisenden Entscheidung des Europäischen Gereichtshof, welche die Ungültigkeit des Safe-Harbor-Abkommens feststellte.”Wir sind zutiefst enttäuscht von der heutigen Entscheidung des Europäischen Gerichtshofs, das erhebliche Unsicherheit für US- und EU-Firmen und Verbraucher schafft”, sagte Handelsministerin Penny Pritzker. Einigkeit besteht zwischen den USA und der EU jedoch insoweit, dass der Abschluss eines neuen Abkommens unerlässlich sei. Zumindest ein US-Bürger reagierte ausdrücklich postiv und bedankte sich per Twitter bei Europa: Edward Snowden.
7. Oktober 2015
Nach der Entscheidung des EuGH vom 06. Oktober 2015 über die Gültigkeit des Safe-Harbor-Abkommens haben sich einzelne nationale Datenschutzbehörden zu möglichen Konsequenzen geäußert, die teilweise unterschiedlich bewertet werden. In Rede steht die Aussetzung des Datentranfers in die Vereinigten Staaten, aber auch die fortbestehende Rechtmäßigkeit einer Datenübermittlung im Rahmen von Standardvertragsklauseln oder verbindlichen Unternehmensvereinbarungen.
Die Artikel 29-Datenschutzgruppe hat in der Pressemitteilung vom 06. Oktober 2015 die Safe-Harbor-Entscheidung des EuGH ausdrücklich begrüßt. Sie teilte zudem mit, bereits in der folgenden Woche das Urteil in einer Expertenrunde zu analysieren und die Folgen für den Datentransfer in die Vereinigten Staaten zu diskutieren. Ein Termin für eine außerordentliche Plenarsitzung folge in Kürze.
Der Hamburgische Beauftragte für Datenschutz geht davon aus, dass die Aufsichtsbehörden bei der Umsetzung des Urteils eine Schlüsselrolle einnehmen werden. Dabei sei zu prüfen, ob Datentransfers in die Vereinigten Staaten auszusetzen seien. Dies gelte auch, wenn sie auf andere Rechtsgrundlagen wie Standardvertragsklauseln, Einwilligung oder Binding Corporate Rules gestützt würden. Die Aufsichtsbehörden würden dafür noch in dieser Woche ihr Vorgehen auf nationaler und europäischer Ebene koordinieren. Die EU-Kommission ihrerseits müsse die USA drängen, ein angemessenes Datenschutzniveau herzustellen.
Zustimmend äußerte sich zudem die britische Datenschutzbehörde ICO. Sie werde die Folgen des Urteils analysieren und in den kommenden Wochen bekanntgeben. Bereits jetzt erkennbare Folgen für die Praxis:
- Personenbezogene Daten seien nun nicht verstärkt gefährdet, jedoch seien Unternehmen jetzt verpflichtet sicherzustellen, dass Daten mit dem europäischen Datenschutzrecht konform übermittelt werden.
- Der Datenschutzbehörde sei dabei bewusst, dass den Unternehmen ein gewisser Zeitraum für Erfüllung dieser Pflichten eingeräumt werden müsse.
- Es bestünden bereits jetzt Möglichkeiten für eine rechtskonforme Übertragung.
- Verhandlungen über den Abschluss eines neuen Abkommens zwischen der EU und den Vereinigten Staaten seinen bereits fortgeschritten.
- Die Folgen des Urteils werden durch die ICO analysiert und Ergebnisse in den kommenden Wochen bekanntgegeben.
Die spanische Agencia Española de Protección de Datos – AEPD führt in ihrer Pressemitteilung zu der Entscheidung aus:
Bisher hat die AEPD internationale Datenübermittlungen an Safe Harbor zertifizierte amerikanische Unternehmen rechtlich anerkannt. Diese Unternehmen hatten demnach das Privileg, dass bei einer Meldung eines Systems an die zuständige Behörde keine weitere Genehmigung durch die Datenschutzbehörde erfoderlich war um die Übermittlung datenschutzkonform durchzuführen.
Jetzt hat die Datenschutzbehörde im Einzelfall zu prüfen, ob die Datenübermittlungen an Safe Harbor zertifizierte amerikanische Unternehmen rechtmäßig sind.
Die Europäischen Datenschutzbehörden hätten bereits in der Vergangenheit auf Mängel des Safe Harbor Abkommens aufmerksam gemacht. Nun arbeiteten sie zusammen, um koordinierte Maßnahmen bezüglich des EuGH-Urteils herbeizuführen, damit es gleichmäßig in allen EU Mitgliedstaaten interpretiert und umgesetzt werde.
6. Oktober 2015
Mit dem Urteil C-362/14 vom 06. Oktober 2015 hat der EuGH die Entscheidung der Kommission vom 26. Juli 2000, dass die s.g. „Safe-Harbor-Regelung“ der Vereinigten Staaten ein angemessenes Schutzniveau der übermittelten personenbezogenen Daten gewährleistet, für ungültig erklärt.
Zusammenfassung und Folgen für die Praxis:
• Die Entscheidung des EuGH zu Safe Harbor macht den Datentransfer von Europa in die Vereinigten Staaten für die Safe Harbor registrierten Unternehmen nicht per se rechtswidrig.
• Die Datenschutzbehörden der Mitgliedsstaaten sind nun jedoch befugt, Unternehmen, die Daten auf der Basis von Safe Harbor in die Vereinigten Staaten übermitteln oder dort verarbeiten lassen, auf die Einhaltung der datenschutzrechtlichen Vorschriften hin zu überprüfen und im Falle des Verstoßes Sanktionen zu erlassen, etwa Untersagungsverfügungen. Dies dürfte auch für den Transfer auf der Basis der Standardvertragsklauseln bzw. Corporate Binding Corporate Rules gelten, da der Hintergrund der Zugriff der amerikanischen Behörden auf der Basis des Patriot Act ist, der unabhängig von der gewählten rechtlichen Grundlage zur Anwendung kommen kann und europäische Daten nicht ausnimmt.
• Bei Verstößen können die Datenschutzbehörden als utima ratio durch Untersagungsverfügungen die Übermittlung der personenbezogenen Daten in die Vereinigten Staaten untersagen.
• Doch die EU und die Vereinigten Staaten verhandeln bereits seit 2013 über ein neues Safe-Harbor-Abkommen. Es erscheint also nicht ausgeschlossen, dass die nationalen bzw. regionalen europäischen Aufsichtsbehörden eine Übergangsfrist abstimmen, bis zu der keine konkreten Prüfungen durch die Landes-Aufsichtsbehörden erfolgen und mithin keine Untersagungsverfügungen gegenüber Unternehmen erfolgen.
• Entschieden ist dies jedoch aktuell nicht. Entsprechende Abstimmungen auf behördlicher Ebene werden jedoch schon für die kommende Woche erwartet.
• Voraussetzung könnte sein, dass sich die Regierungen bis zu einem gewissen Zeitpunkt auf ein neues Safe-Harbor-Abkommen einigen. Die Aufsichtsbehörden würden so den durch die Rechtsprechung aufgebauten Druck weg von den Unternehmen zumindest temporär auf die handelnden politischen Entscheidungsträger verlagern.
• Inhaltlich dürfte es bei den kommenden Verhandlungen zwischen den transatlantischen Partnern neben den bisher häufig zu oberflächlich erfolgten Umsetzungen der Safe Harbor Regeln und den damit unzutreffend erfolgten Selbstzertifizierungen in den betroffenen Unternehmen insbesondere um die Zugriffe auf europäische Daten auf der Basis des Patriot Act gehen.
Die Entscheidung
Zum Hintergrund: Der Beschwerdeführer nutzt seit 2008 das soziale Netzwerk facebook. Die in Irland ansässige Tochtergesellschaft übermittelte die Daten des Beschwerdeführers an Server, die sich in den Vereinigten Staaten befinden und ließ sie dort verarbeiten. Der Beschwerdeführer befürchtete aufgrund der bekanntgewordenen Tätigkeiten der Nachrichtendienste, dass die Praxis der Vereinigten Staaten keinen ausreichenden Schutz der übermittelten Daten vor den Behörden bot. Eine hiergegen eingelegte Beschwerde bei der irischen Datenschutzbehörde lehnte diese mit der Begründung ab, dass die Kommission in ihrer Entscheidung vom 26. Juli 2000 festgestellt habe, dass ein angemessenes Schutzniveau gewährleistet sei.
Stärkung der Rechte nationaler Datenschutzbehörden
In der heutigen Entscheidung führt der EuGH aus, dass die Feststellung des Schutzniveaus durch die Kommission die Befugnisse der nationalen Datenschutzbehörden weder beschränken, noch beseitigen kann. Die Datenschutzbehörden müssen, wenn sie mit einer Beschwerde befasst werden, in völliger Unabhängigkeit prüfen können, ob bei der Übermittlung der Daten einer Person in ein Drittland die datenschutzrechtlichen Anforderungen der EU gewahrt sind.
Verletzung des Grundrechts auf Achtung des Privatlebens
Nach Feststellung der bestehenden Prüfungskompetenz der nationalen Datenschutzbehörden nimmt der EuGH auch zu der inhaltlichen Gültigkeit der Kommissionsentscheidung Stellung. Er stellt fest, dass die Kommission nicht die Gewährleistung des Schutzniveaus der Grundrechte durch die innerstaatlichen Vorschriften und internationalen Verpflichtungen der Vereinigten Staaten geprüft hat. Vielmehr hat sie sich darauf beschränkt, die Safe-Harbor-Regelung zu prüfen.
Aber auch die Regelung allein gewährleistet keinen Schutz, der dem in der Union garantierten Niveau gleichwertig ist. Denn die diese gilt nur für Unternehmen, die sich der Safe-Harbor Regelung unterwerfen, nicht aber für Behörden der Vereinigten Staaten. Darüber hinaus haben die Erfordernisse der nationalen Sicherheit, des öffentlichen Interesses und der Durchführung von Gesetzten der Vereinigten Staaten Vorrang vor den Safe-Harbor-Regelungen, so dass Unternehmen bei einem Widerstreit der genannten Interessen, die Safe-Harbor-Regelung unangewandt lassen müssen. Die Safe-Harbor Regelung ermögliche insoweit Eingriffe durch amerikanische Behörden, ohne dass Reglungen bestünden, die die Eingriffskompetenzen begrenzten.
In diesem Zusammenhang stellt der EuGH in aller Deutlichkeit fest, dass eine Regelung, die es den Behörden gestattet, generell auf den Inhalt der elektronischen Kommunikation zuzugreifen, den Wesensgehalt des Grundrechts auf Achtung des Privatlebens verletzt. Da dem Bürger kein Zugang zu den ihn betreffenden Daten zur Verfügung steht, sei darüber hinaus das Grundrecht auf einen wirksamen gerichtlichen Schutz verwehrt.
23. September 2015
Nach dem heutigen Schlussantrag des Rechtsgutachters vor dem Europäischen Gerichtshof in Luxemburg (EuGH) bietet die sog. Safe-Harbor-Entscheidung der Europäischen Kommission keine sichere Rechtsgundlage für die Übermittlung von personenbezogenen Daten von EU-Bürgern in die USA.
Der Antrag erging in dem Verfahren des Österreichers Max Schrems gegen die irische Datenschutzbehörde über den Datenschutz bei Facebook.
Die die Safe-Harbor-Prinzipien festlegende Kommissionsentscheidung aus dem Jahr 2000 sei seiner Meinung nach ungültig. Zu gering sei der Rechtsschutz für Bürger aus der EU, wenn ihre Daten in großer Zahl von US-amerikanischen Firmen wie beispielsweise Facebook gesammelt würden. Insbesondere durch den potenziellen Datenaustausch von amerikanischen Firmen mit der NSA liege ein Eingriff in das Recht auf informationelle Selbstbestimung vor, der vor allem deshalb unverhältnismäßig sei, weil die Überwachung in den USA massiv und nicht zielgerichtet sei.
Die zuständige Datenschutzbehörde sei folglich nicht an die oben genannte Kommissionsentscheidung gebunden und könne die Übermittlung der Daten von der europäischen Facebook-Zentrale in Irland an Facebook Inc. in die USA verbieten.
Zwar ist der EuGH in seiner Entscheidung nicht an dieses Rechtsgutachten gebunden, in den meisten Fällen wird ihm aber weitestgehend gefolgt.
11. September 2015
Nach mehrjährigen Verhandlungen haben sich Vertreter der EU und den USA auf neue Standards für den transatlantischen Datenaustausch zwischen Ermittlungsbehörden geeinigt, wie die Bundesbeauftragte für den Datenschutz und Informationsfreiheit, Andrea Voßhoff, mitteilte.
Wesentliche Änderung ist zu einen, dass Daten von EU-Bürgern nur mit der vorherigen Zustimmung der zuständigen EU-Stelle in Drittstaaten übermittelt werden dürfen. Weiterhin wird der Zeitraum der Speicherung der Daten begrenzt. Außerdem ist nun EU-Bürgern der Rechtsweg vor US-Gerichten bei Verstößen gegen das Abkommen eröffnet. Hierüber muss jedoch der US-Kongress noch abstimmen.
Auch wenn durch das Abkommen die Rechte von EU-Bürgern gestärkt werden, bewertet die Bundesdatenschutzbeauftragte Frau Voßhoff das Abkommen als nur ein „Mosaiksteinchen“. Denn das Abkommen bezieht sich lediglich auf den Datenaustausch zwischen Behörden. Nach wie vor erhöhten Regelungsbedarf sieht die Bundesdatenschutzbeauftragte Frau Voßhoff im Bereich des Safe Habour Abkommens, welches den Datenaustausch im privaten und wirtschaftlichen Bereich zwischen der EU und den USA regelt.
4. September 2015
Der Berufsverband der Datenschutzbeauftragten in Deutschland (BvD) e.V. zieht mit Blick auf die derzeit noch immer laufenden Trilog-Verhandlungen in Brüssel fünf „Rote Linien zur EU-DSGVO“, welche die europäische Vorgabe nach Ansicht der Datenschützer in keinem Falle überschreiten dürfe:
1. Prinzipien der Speicherung:
Danach soll vor allem am Prinzip der Datensparsamkeit- und vermeidung („limited to the minimum necessary“) festgehalten werden, welches im gegenwärtigen Entwurf der Verordnung aufgeweicht wird („not excessive“).
2. Zweckbindung ohne Ausnahmen:
Unzweckmäßige Datenverarbeitung wie versteckte Datenbanken, ungewolltes Scoring, Datenhandel etc. darf nicht erlaubt, Artikel 6 Abs. 3a des Entwurfs muss gestrichen werden.
3. Profilbildung nur mit expliziter Zustimmung:
Sogenanntes Profiling – beispielsweise die Erstellung von individuellen Kauf- oder Bewegungsprofilen – darf nicht ohne Zustimmung des Betroffenen erlaubt sein (Opt-In), während Artikel 19 des Entwurfs nur die Möglichkeit eines Widerspruchs (Opt-Out) vorsieht, soweit das Profiling „erhebliche Auswirkungen“ für den Betroffenen bedeutet. An dieser Stelle befürchten die Datenschützer des BvD auch eine Aufweichung des Kopplungsverbots dahingehend, dass Verbrauchern, die einem Profiling widersprechen, Vertragsangebote oder Nutzungen von Diensten verwehrt bleiben.
4. Auskunftsrechte immer kostenfrei:
Das Auskunftsrecht als Teil des Grundrechts auf informationelle Selbstbestimmung darf nicht dadurch unterminiert werden, dass eine Auskunft nur gegen Gebühr erfolgt. Das sieht die Verordnung (Artikel 15) gegenwärtig – im Widerspruch zum Bundesdatenschutzgesetz – vor.
5. Datenportabilität ermöglichen:
Wenigstens die Mitnahme von Daten beim Wechsel eines Dienstanbieters sieht der Entwurf der Verordnung in Artikel 18 vor. Die Datenschützer des BvD fordern ein einheitliches, elektronisches Datenformat zu ntzen, dass es den Verbrauchern ermöglicht, ihre Daten beispielsweise voneinem sozialen Netzwerk in ein anderes „umzuziehen“.
Ob diese „Roten Linien“ wirklich nicht überschritten werden, darf freilich bezweifelt werden.
14. August 2015
Wie die Zeit berichtet, hat die französische Datenschutzbehörde CNIL den Suchmaschinenbetreiber Google aufgefordert, das Recht auf Vergessen werden weltweit umzusetzen.
Im Jahr 2014 hatte der EuGH geurteilt, dass Betroffenen im Rahmen ihres Rechts auf informationelle Selbstbestimmung auch das Recht zusteht digital vergessen zu werden. Hiernach können Bürger der EU Google dazu verpflichten, bestimmte Links zu ihrer Vergangenheit nicht mehr in der Liste der Suchergebnisse aufzuführen.
Google entspricht den Ansprüchen von Betroffenen insoweit, als dass Einträge zu den jeweiligen Personen in der europäischen Version der Suchmaschine nicht mehr erscheinen. Der CNIL geht diese Vorgehensweise jedoch nicht weit genug. Sie fordert von Google, dass Einträge aus der Vergangenheit einer Person weltweit zu entfernen sind.
Hiergegen wehrt sich Google mit dem Argument, dass eine französische Behörde nicht die Zuständigkeit habe anzuordnen, wie die weltweiten Suchergebnisse von Google zu gestalten sein.
Ob und wie die CNIL in dieser Angelegenheiten weiter gegen Google vorgeht, bleibt abzuwarten.
17. Juli 2015
Diesen Mittwoch hat der Ausschuss für Bürgerliche Freiheiten, Justiz und Inneres (LIBE-Ausschuss) des Europäischen Parlaments dem Vorschlag der EU-Kommission zur Vorratsdatenspeicherung von Flugpassagierdaten zugestimmt.
Der Richtlinien-Entwurf der EU-Kommission regelt den Umgang mit Flugpassagierdaten (sogenannte „Passenger Name Record“, PNR) von Personen, welche über den Luftweg in die EU ein- und ausreisen. Entsprechend dem Vorschlag der EU-Kommission dürfen die Daten zur Prävention und Verfolgen von schweren Verbrechen wie unter anderem Terrorismus, Menschenhandel, Waffenhandel oder Cyberkriminalität verwendet werden.
Mit einer europaweiten Regelung zum Umgang mit Flugpassagierdaten soll ein einheitliches Sicherheitsniveau für den Flugverkehr aber auch ein einheitliches Sicherheitsniveau hinsichtlich der erhobenen Passagierdaten sichergestellt werden.
Der Entwurf sieht vor, dass Fluggesellschaften die zu den Reisenden vorliegenden PNR an sogenannte „Passenger Information Units“ (PIU) des jeweiligen EU-Mitgliedstaats übermitteln. Die nationalen PIU dürfen die Daten zur Gefahrenabwehr und Strafverfolgung verarbeiten. Dabei sollen die PNR mit nationalen Datenbanken abgeglichen werden und mit anderen Staaten ausgetauscht werden können. Eine Übertragung der Flugdaten an private Unternehmen sowie die Speicherung von besonderen Arten personenbezogener Daten sind nach dem Richtlinien-Entwurf unzulässig.
Die Daten werden zunächst für einen Zeitraum von 30 Tagen vorgehalten. Im Anschluss werden sie zwar “maskiert. Ein Personenbezug lässt sich jedoch für den Zeitraum der Speicherung von 5 Jahren ohne Weiteres herstellen.
Nachdem der LIEBE-Ausschuss mit 32 zu 27 Stimmen für den Richtlinien-Entwurf gestimmt hat, ist der Weg zu den Trilog-Verhandlungen zwischen EU-Parlament, EU-Kommission und Europäischen Rat geebnet, in dem weitere Einzelheiten verhandelt werden.
Die anlasslose Vorratsdatenspeicherung rückt damit ein Stück näher.
9. Juli 2015
In dieser Woche verhandelt der Erste Senat des Bundesverfassungsgerichts über sechs zugelassene Verfassungsbeschwerden gegen Regelungen im Bundeskriminalamtgesetze (BKA-Gesetz). Das Gesetz wurde im Jahr 2007 novelliert und enthält seit dem unter anderem Regelungen, die dem Bundeskriminalamt weitreichende Befugnisse zur Abwehr von Gefahren des internationalen Terrorismus einräumen. Insbesondere Maßnahmen zur verdeckten Observation von Wohnraum, Onlinedurchsuchungen und Telekommunikationsüberwachung werden durch die Normen legitimiert. Gestützt werden die Normen auf die Kompetenz des Bundesgesetzgebers zur Abwehr von Gefahren durch den internationalen Terrorismus (Art. 73 Abs. 1 Nr. 9a GG).
Konkret geht es in dem Verfahren um die Frage, ob die Befugnisse des Bundeskriminalamtes – speziell diejenigen zur Wohnraum-, Online- und Telekommunikationsüberwachung – die Privatsphäre der Betroffenen verletzen bzw. im Rahmen welcher Grenzen dies rechtmäßig ist.
Geklagt hatten Gerhart Baum (ehemaliger Bundesinnenminister), Michael Neumann (ehemaliger Herausgeber der Zeit) sowie Verbandsvertreter der Journalisten und Ärzte, wie heise online berichtet.
Die zu überprüfenden Normen sind sehr weit gefasst. So darf das BKA nur dann nicht verdeckt auf dargestellte Weise observieren, wenn es dabei ausschließlich Informationen aus den Kernbereichen der privaten Lebensbereiche der Betroffenen erlangt. Da aber beispielsweise auf nahezu jedem PC Daten aus sämtlichen Lebensbereichen einer Person – sei es dienstliche Infos wie auch privat-intime – vorhanden sind, geht die Überwachung zu weit, so das Kernargument der Beschwerdeführer. Darüber hinaus wird die erlaubte Weiterleitung von Überwachungsdaten an ausländische Dienste und Behörden kritisiert.
Pages: 1 2 ... 20 21 22 23 24 ... 34 35 
