UNSAFE HARBOR: DATENVERARBEITUNG VON ONLINE-SHOPS NACH DEM EUGH-URTEIL

Transkript

1 UNSAFE HARBOR: DATENVERARBEITUNG VON ONLINE-SHOPS NACH DEM EUGH-URTEIL Dr. Martin Schirmbacher HÄRTING Rechtsanwälte Daniel Schätzle HÄRTING Rechtsanwälte

2 Unsafe Harbor: Datenverarbeitung nach dem EuGH-Urteil Inhaltsübersicht 2 INHALTSÜBERSICHT Safe Harbor Was ist das eigentlich? EuGH-Urteil Was wurde genau entschieden? Folgen des Urteils Wer ist davon betroffen? Alternativen Welche Möglichkeiten gibt es? Einwilligung Standardvertragsklauseln Nutzung von Anbietern in der EU Reaktionen Was sagen die Behörden? Reaktionen Was sagen die Unternehmen? Fehlender Datenschutz Können Verträge gekündigt werden? Konkrete Umsetzung Was sollten wir

3 Safe Harbor Was ist das eigentlich?

4 Unsafe Harbor: Datenverarbeitung nach dem EuGH-Urteil Safe Harbor Was ist das eigentlich? 4 PROBLEM: DATENÜBERMITTLUNG IN DIE USA Datenschutzrecht: Verbotsprinzip Übermittlung von personenbezogenen Daten ins Ausland bedarf zusätzliche einer gesonderten Rechtfertigung unproblematisch für Europäische Union und EWR, 4b Abs. 1 BDSG Drittländer mit angemessenem Datenschutzniveau (z.b. Argentinien, Kanada, Israel und Schweiz) USA ist unsicheres Drittland 4b Abs. 2 BDSG: Datenübermittlung muss unterbleiben, es sei denn hinreichendes Schutzniveau Safe Harbor simuliert hinreichendes Datenschutzniveau Ersetzte bisher konkrete Vereinbarung zum Datenschutz

5 Unsafe Harbor: Datenverarbeitung nach dem EuGH-Urteil Safe Harbor Was ist das eigentlich? 5 SAFE-HARBOR-ENTSCHEIDUNG DER KOMMISSION EU Kommission entschied im Jahre 2000, dass das Datenschutzniveau in den USA ausreichend ist, wenn sich der Dienstleister zur Einhaltung der Safe Harbor Datenschutzkriterien verpflichtet Safe Harbor Zertifikat genügte für Compliance Datenschutzbehörden verlangten seit den NSA- Enthüllungen zusätzliche Prüfungen durch die deutschen Auftraggeber (z.b. Prüfung der Privacy Policy

6 EuGH-Urteil Was wurde genau entschieden?

7 Unsafe Harbor: Datenverarbeitung nach dem EuGH-Urteil EuGH Was wurde genau entschieden? 7 EUGH ERKLÄRT SAFE HARBOR FÜR UNGÜLTIG Ursprung des Streits in Irland Max Schrems verlangte von Facebook Unterlassen der Weitergabe von Daten in die USA und Facebook weigerte sich Die angerufene irische Datenschutzbehörde sah sich durch Safe Harbor Entscheidung der Kommission an Untersuchung gehindert EuGH hat entschieden, dass die Datenschutzbehörden die Angemessenheit des Schutzniveaus überprüfen dürfen Safe-Harbor-Entscheidungen der Kommission

8 Unsafe Harbor: Datenverarbeitung nach dem EuGH-Urteil EuGH Was wurde genau entschieden? 8 BEGRÜNDUNG DES EUGH-URTEILS EU-Kommission habe keine derart weitreichenden Befugnisse, nationalen Aufsichtsbehörden eine Untersagung von Datenschutztransfers zu verbieten Keine Untersuchung, inwieweit tatsächlich ein angemessenes Datenschutzniveau in den USA gewährleistet werden kann Keine Untersuchung, inwieweit Grundrechtseingriffe auf ein absolut erforderliches Maß begrenzt werden Zu weit reichende Ausnahmen Vereinbarungen über Safe-Harbor mit den USA schließen einen Zugriff staatlicher Behörden (z.b. NSA) nicht aus Gegen Eingriffe in die Rechte von Bürgern seien keine

9 Folgen des Urteils Wer ist davon betroffen?

10 Unsafe Harbor: Datenverarbeitung nach dem EuGH-Urteil Folgen des Urteils Wer ist betroffen? 10 UNMITTELBARE FOLGEN Safe-Harbor-Entscheidungen der Kommission sind ungültig Übermittlung von personenbezogenen Daten in die USA ist illegal, soweit allein auf Safe Harbor gestützt Übermittlung meint sowohl die echte Weitergabe als auch die Gewährung von Zugriff auf personenbezogene Daten Theoretisch: Bußgelder bis zu ,- Euro drohen Betroffen sind sowohl der deutsche Datenexporteur als auch

11 Unsafe Harbor: Datenverarbeitung nach dem EuGH-Urteil Folgen des Urteils Wer ist betroffen? 11 WER

12 Alternativen Welche Möglichkeiten gibt es?

13 Einwilligung

14 Unsafe Harbor: Datenverarbeitung nach dem EuGH-Urteil Alternativen - Einwilligung 14 EINWILLIGUNG KANN ÜBERMITTLUNG RECHTFERTIGEN Einwilligung rechtfertigt Datenübermittlung auch in unsicheres Drittland, 4c Abs. 1 Nr. 1 BDSG Anforderungen an Einwilligung sind hoch Einwilligung muss freiwillig und ohne jeden Zweifel gegeben werden Einwilligung muss für konkreten Zweck und für konkreten Fall gegeben werden Transparente Information und Belehrung über Risiken der Datenverarbeitung: Verzicht auf ein angemessenes Schutzniveau US-staatliche Zugriffsbefugnisse fehlende Rechtsschutzmöglichkeiten Weiterverarbeitung der Daten ohne Zweckgebundenheit Nichtgeltung des Erforderlichkeitsgrundsatzes fehlende staatliche Kontrollmechanismen in

15 Unsafe Harbor: Datenverarbeitung nach dem EuGH-Urteil Alternativen - Einwilligung 15 WEITERE PROBLEME MIT DER EINWILLIGUNG Einwilligung kann nur für die Zukunft abgegeben werden Verweigert der Kunde die Einwilligung, muss die Übermittlung unterbleiben Transparente Information bei Einsatz mehrerer Dienstleister kaum möglich ULD: Zweifelhaft, ob überhaupt in die anlasslose Massenüberwachung durch Geheimdienste eingewilligt

16 Standardvertragsklauseln

17 Unsafe Harbor: Datenverarbeitung nach dem EuGH-Urteil Alternativen Standardvertragsklauseln 17 STANDARDVERTRAGSKLAUSELN WAS HAT ES DAMIT AUF SICH? Entscheidungen der EU-Kommission über Standardvertragsklauseln Unternehmen, mit denen EU-Standardvertragsklauseln ( Model Clauses ) vereinbart werden, haben angemessenes Schutzniveau eine Art Safe Harbor im Einzelfall Keine Genehmigung der Aufsichtsbehörde erforderlich Privilegierung gilt nur, wenn die Klauseln unterschiedslos übernommen werden 3 Versionen: Standardvertragsklauseln 2001 Standardvertragsklauseln 2004 Standardvertragsklauseln für die Übermittlung

18 Unsafe Harbor: Datenverarbeitung nach dem EuGH-Urteil Alternativen Standardvertragsklauseln 18 STANDARDVERTRAGSKLAUSELN ZUSÄTZLICHE VEREINBARUNGEN Grundsatz: Jede Anpassung/Änderung der Standardvertragsklauseln lässt Genehmigungspflicht aufleben Ausnahmen: Regelungen zugunsten des Betroffenen Anpassungen/Ergänzungen, die Standardvertragsklauseln inhaltlich nicht berühren und Bei Widersprüchen müssen Standardvertragsklauseln gelten Aufsichtsbehörden fordern teilweise jedoch vorherige Abstimmung Gestaltungsspielräume durch Anhänge Fakultative Klauseln Technische und Organisatorische Schutzmaßnahmen Beschreibung

19 Nutzung von Anbietern in der EU

20 Unsafe Harbor: Datenverarbeitung nach dem EuGH-Urteil Alternativen Nutzung von Anbietern innerhalb der EU 20 NUTZUNG VON ANBIETERN INNERHALB DER EU Wechsel zu Anbieter in Deutschland/EU/EWR Wechsel zu Anbieter in einem sicheren Drittland U.S.-Anbieter gründet EU-Gesellschaft Anforderungen an eine Datenübermittlung im Inland müssen erfüllt sein: Verbotsprinzip mit Erlaubnisvorbehalt Einwilligung oder

21 Reaktionen Was sagen die Behörden?

22 Unsafe Harbor: Datenverarbeitung nach dem EuGH-Urteil Reaktionen Was sagen die Behörden? 22 ART. 29 DATENSCHUTZGRUPPE Wesentlicher Punkt: massive und anlasslose Überwachung durch Behörden Safe Harbor Zertifikat kann Daten-Transfer nicht rechtfertigen Safe Harbor 2.0 kann eine Lösung sein, Frist bis Januar 2016 Standardvertragsklauseln und Binding Corporate Rules können weiterhin eingesetzt werden Bis Ende Januar 2016 wird untersucht werden, ob das auch weiterhin gilt Datenschutzbehörden kann eine eigenständige Prüfung nicht

23 Unsafe Harbor: Datenverarbeitung nach dem EuGH-Urteil Reaktionen Was sagen die Behörden? 23 DEUTSCHE BEHÖRDEN Ganz aktuell: Datenschutzkonferenz aller Datenschutzbehörden "Safe Harbor"-Zertifikat genügt für Übermittlung personenbezogener Daten in die USA nicht mehr Vertrauensschutz bis Ab Ende Januar erhöhte Tätigkeit der Aufsichtsbehörden Prüfung bis Februar 2016 inwieweit Standardvertragsklauseln weiter genutzt werden können Aber auf Bürger-Beschwerden müsse reagiert werden Teilweise bereits jetzt Abfrage bei einzelnen Unternehmen, auf welcher Grundlage Daten in die USA übermittelt werden Johannes Caspar: "Ich rate allen betroffenen Unternehmen, künftig ihre Daten in Europa

24 Reaktionen Was sagen die Unternehmen?

25 Unsafe Harbor: Datenverarbeitung nach dem EuGH-Urteil Reaktionen Was sagen die Unternehmen? 25 REAKTIONEN VON U.S.-UNTERNEHMEN Salesforce Angebot, Standardvertragsklauseln abzuschließen ( ) Microsoft Angebot, Standardvertragsklauseln abzuschließen ( ) Aufforderung schnell Safe Harbor 2.0 zu schließen und EU- Datenschutzregeln in den USA einzuhalten ( ) Mailchimp Angebot, Standard Vertragsklauseln abzuschließen ( ) Skype Keine gescheite Antwort ( ) Andere Keine erkennbare Reaktion Teilweise weiterhin Berufung auf

26 Fehlender Datenschutz Können Verträge gekündigt werden?

27 Unsafe Harbor: Datenverarbeitung nach dem EuGH-Urteil Fehlender Datenschutz Können Verträge gekündigt werden? 27 MANGELNDER DATENSCHUTZ ALS KÜNDIGUNGSGRUND? Dauerschuldverhältnisse können stets fristlos aus wichtigem Grund gekündigt werden Stellt sich heraus, dass Datenschutzniveau nicht gewährt wird, ist das in der Regel ein wichtiger Grund Weigert sich U.S.-Anbieter, für Datenschutzniveau zu sorgen, kommt fristlose Kündigung in Betracht Gegenargumente Auch Safe Harbor bot kein hinreichendes Datenschutzniveau Standard Vertragsklauseln bieten auch kein hinreichendes Datenschutzniveau Problem: in der Regel U.S.-Recht anwendbar Aber auch nach U.S.-Recht kann mangelnder Datenschutz zur Kündigung von

28 Konkrete Umsetzung Was sollten wir jetzt tun?

29 Nicht verrückt machen!

30 Das EuGH-Urteil nicht ignorieren!

31 Alternativen suchen!

32 Dr. Martin Schirmbacher Fachanwalt für Daniel Schätzle HÄRTING Rechtsanwälte Chausseestraße 13, Berlin Tel Fax Nächstes Webinar: Was muss der Verbraucher über meine Lebensmittel wissen?