EUROPÄISCHE KOMMISSION

Brüssel, den 18.10.2017

COM(2017) 611 final

BERICHT DER KOMMISSION AN DAS EUROPÄISCHE PARLAMENT UND DEN RAT

Erster Bericht zur jährlichen Überprüfung der Funktionsweise des EU-US-Datenschutzschilds

{SWD(2017) 344 final}

BERICHT DER KOMMISSION AN DAS EUROPÄISCHE PARLAMENT UND DEN RAT

Erster Bericht zur jährlichen Überprüfung der Funktionsweise des EU-US-Datenschutzschilds

1.ERSTE JÄHRLICHE ÜBERPRÜFUNG – ZWECK, VORBEREITUNG UND VORGEHENSWEISE

Mit Beschluss vom 12. Juli 2016 1 („Angemessenheitsbeschluss“) stellte die Kommission fest, dass die Vereinigten Staaten ein angemessenes Schutzniveau für personenbezogene Daten, die im Rahmen des EU-US-Datenschutzschilds aus der Europäischen Union an Organisationen in den Vereinigten Staaten übermittelt werden, gewährleisten.

Der EU-US-Datenschutzschild spiegelt die Grundsätze und Anforderungen wider, die der Europäische Gerichtshof in seiner Schrems-Rechtsprechung 2 dargelegt hatte, mit der die vorherige „Safe Harbor“-Regelung aufgehoben wurde. Er enthält im Vergleich zur Safe-Harbor-Regelung einige Neuerungen, durch die der Schutz personenbezogener Daten bei ihrer Übermittlung in die USA verbessert wird. Dazu zählen strengere Auflagen für gemäß dem Datenschutzschild registrierte Unternehmen beispielsweise im Hinblick auf die zeitliche Begrenzung der Aufbewahrung (Grundsatz der Vorratsdatenspeicherung) oder die Voraussetzungen, unter denen Daten an Dritte, die nicht am Datenschutzschild teilnehmen, weitergegeben werden dürfen (Grundsatz der Verantwortlichkeit für die Weitergabe). Ferner sieht er eine regelmäßigere und strengere Kontrolle durch das US-Handelsministerium vor und verbessert die Rechtsschutzmöglichkeiten für natürliche Personen aus der EU beträchtlich. Zudem fußt der Datenschutzschild auf spezifischen schriftlichen Erklärungen und Garantien der US-Regierung, wonach der behördliche Zugriff auf gemäß dem Datenschutzschild übermittelte personenbezogene Daten aus Gründen der nationalen Sicherheit, der Strafverfolgung oder anderer im öffentlichen Interesse liegender Ziele klaren Beschränkungen und Garantien unterliegt. Zu diesem Zweck wurde mit der Ombudsperson ein neues Rechtsschutzinstrument geschaffen.

Die Kommission hatte sich verpflichtet, diesen Angemessenheitsbeschluss jährlich zu überprüfen, und überprüft deshalb alljährlich die Funktionsweise des Datenschutzschilds. Die erste jährliche Überprüfung der Funktionsweise des EU-US-Datenschutzschilds wird mit diesem Bericht abgeschlossen. Die Überprüfung erstreckt sich auf sämtliche Elemente des Datenschutzschilds: die Anwendung, Verwaltung, Überwachung und Durchsetzung des Rechtsrahmens durch die zuständigen US-Behörden und -Einrichtungen, aber auch den Zugang von US-Behörden zu gemäß dem Datenschutzschild übermittelte personenbezogenen Daten aus im öffentlichen Interesse liegenden Gründen wie insbesondere der nationalen Sicherheit. In den Bericht aufgenommen wurden auch ein Dialog zum Thema „automatisierte Beschlussverfahren“ und eine Bewertung der Entwicklungen, die das US-Rechtssystem im vergangenen Jahr genommen hat und die sich auf die Funktionsweise des Datenschutzschilds auswirken könnten.

Der EU-US-Datenschutzschild trat am 1. August 2016 in Kraft. Da das Berichtsjahr das erste Jahr ist, in dem der Datenschutzschild zur Anwendung gelangte, hat sich die Kommission in ihrer jährlichen Überprüfung vor allem vergewissert, dass sämtliche in der Regelung vorgesehenen Instrumente und Verfahren – bei denen es sich vielfach um Neuerungen handelt – vollständig umgesetzt wurden und wie im Angemessenheitsbeschluss vorgesehen funktionieren. Ferner hat die Kommission besonders darauf geachtet, ob und wie die verschiedenen an der Anwendung der Regelung beteiligten US-Behörden ihren schriftlichen Erklärungen und Verpflichtungen sowohl im Hinblick auf die Handhabung und Kontrolle der gewerblichen Regelungen des Datenschutzschilds als auch im Hinblick auf den behördlichen Zugriff auf personenbezogene Daten nachgekommen sind. Der Regierungswechsel im Januar 2017 verlieh diesem Aspekt besondere Relevanz.

Im Vorfeld ihres Berichts haben die Kommissionsdienststellen Informationen und Rückmeldungen zur Funktionsweise des Datenschutzschilds eingeholt und dabei alle einschlägigen Interessenträger konsultiert, darunter die zertifizierten Unternehmen (über ihre jeweiligen Branchenverbände) und auf dem Gebiet der Grundrechte und insbesondere der digitalen Rechte und des Schutzes der Privatsphäre tätige Nichtregierungs-Organisationen (NRO). Ferner wurden die mit der Anwendung der Regelung befassten US-Behörden konsultiert und haben zusammen mit ihren Antworten einschlägige Schriftstücke und Materialien vorgelegt.

Die erste gemeinsame jährliche Überprüfung fand am 18./19. September 2017 in Washington statt. Sie wurde von Věra Jourová, dem für Justiz, Verbraucher und Gleichberechtigung der Geschlechter zuständigen Kommissionsmitglied, und US-Handels-Staatssekretär Wilbur Ross eröffnet. Für die EU nahmen Vertreter der Generaldirektion Justiz und Verbraucher der EU-Kommission teil. Ferner gehörten der EU-Delegation acht von der Datenschutzgruppe nach Artikel 29 (dem beratenden Gremium der Datenschutzbehörden der Mitgliedstaaten und des Europäischen Datenschutzbeauftragten) benannte Vertreter an.

Auf Seiten der USA nahmen Vertreter des Handelsministeriums (DoC), der Wettbewerbsbehörde (Federal Trade Commission, FTC), des Verkehrsministeriums, des Außenministeriums, des Amts des Nachrichtendienstkoordinators (Director of National Intelligence) sowie die geschäftsführende Ombudsperson des Datenschutzschilds, ein Mitglied des Privacy and Civil Liberties Oversight Board (PCLOB) und Vertreter des Amtes des Generalinspekteurs der Nachrichtendienste teil. Ferner übermittelten Vertreter von unabhängigen Schlichtungsorganisationen des Datenschutzschilds, die das Schiedsforum zum Datenschutzschild verwaltende American Arbitration Association und einige beim Datenschutzschild zertifizierte Unternehmen Rückmeldungen zur jährlichen Überprüfung.

Darüber hinaus wurden öffentlich erhältliche Informationen wie Gerichtsentscheidungen, Durchführungsvorschriften und -verfahren der zuständigen US-Behörden, Berichte und Studien von NRO, von zertifizierten Unternehmen veröffentlichte Transparenzberichte sowie Presseartikel und andere Medienberichte verwendet.

2.FESTSTELLUNGEN, SCHLUSSFOLGERUNGEN UND EMPFEHLUNGEN

Die US-Behörden haben die erforderlichen Strukturen und Verfahren geschaffen, damit der Datenschutzschild ordnungsgemäß funktioniert. Das Zertifizierungsverfahren wurde insgesamt in zufrieden stellender Weise gehandhabt. Mehr als 2400 Unternehmen wurden inzwischen zertifiziert. Die US-Behörden haben die erforderlichen Beschwerde- und Durchsetzungsinstrumente und -verfahren zur Wahrung der Rechte natürlicher Personen geschaffen. Dazu gehören auch neue zusätzliche Rechtsschutzinstrumente für natürliche Personen aus der EU wie das Schiedsforum und die Ombudsperson. Nach dem Regierungswechsel im Januar 2017 wurde eine geschäftsführende Ombudsperson benannt; eine dauerhafte Ernennung steht noch aus. Die Zusammenarbeit mit den europäischen Datenschutzbehörden wurde intensiviert. Was die Sammlung und Nutzung personenbezogener Daten durch staatliche Stellen der USA aus Gründen der nationalen Sicherheit anbelangt, so sind die einschlägigen Schutzvorkehrungen weiterhin vorhanden. Dazu zählt insbesondere die 2014 erlassene Presidential Policy Directive 28 mit Einschränkungen und Garantien, die für die Sammlung und Nutzung personenbezogener Daten durch staatliche Stellen für Zwecke der nationalen Sicherheit unabhängig von der Staatsangehörigkeit der Betroffenen gelten. Zu beachten ist ferner, dass § 702 des Gesetzes über die Auslandsaufklärung (Foreign Intelligence Surveillance Act, FISA) am 31. Dezember 2017 außer Kraft tritt und der Kongress momentan Änderungsvorschläge erörtert.

Die ausführlichen Feststellungen zur Funktionsweise des Datenschutzschilds im ersten Jahr seit seinem Inkrafttreten enthält das diesem Bericht beiliegende Arbeitspapier der Kommissionsdienststellen zur jährlichen Überprüfung der Funktionsweise des EU-US-Datenschutzschilds (SWD(2017) 344 final).

Auf der Grundlage ihrer Feststellungen kommt die Kommission zu dem Ergebnis, dass die Vereinigten Staaten weiterhin ein angemessenes Schutzniveau für personenbezogene Daten, die im Rahmen des EU-US-Datenschutzschilds aus der Europäischen Union an Organisationen in den Vereinigten Staaten übermittelt werden, gewährleisten.

Gleichzeitig ist sie der Auffassung, dass die Anwendung des Datenschutzschilds in der Praxis weiter verbessert werden kann, um zu gewährleisten, dass die dort vorgesehenen Garantien und Sicherungen wie vorgesehen funktionieren.

Zu diesem Zweck legt die Kommission folgende Empfehlungen vor:

2.1.Unternehmen sollten nicht öffentlich auf ihre Zertifizierung gemäß dem Datenschutzschild hinweisen, bevor die Zertifizierung vom US-Handelsministerium abgeschlossen wurde.

Während der jährlichen Überprüfung ergab sich, dass Unternehmen, die zwar eine Zertifizierung beantragt, aber deren Antrag vom DoC noch nicht abschließend beschieden worden war, bereits öffentlich mit ihrer Datenschutzschild-Zertifizierung werben dürfen. Dadurch können sich Diskrepanzen zwischen den öffentlich verfügbaren Informationen und der vom DoC geführten Liste der zertifizierten Unternehmen ergeben, in die Unternehmen erst aufgenommen werden, nachdem das Zertifizierungsverfahren abgeschlossen ist. Diskrepanzen dieser Art nähren Unsicherheiten für natürliche Personen und Unternehmen in der EU, die Daten in die USA übermitteln wollen, erhöhen die Gefahr von Falschbehauptungen über eine Mitwirkung am Datenschutzschild und unterlaufen die Glaubwürdigkeit des gesamten Rechtsrahmens.

Daher empfiehlt die Kommission, dass es Unternehmen nicht erlaubt sein sollte, öffentliche Angaben über ihre Zertifizierung gemäß dem Datenschutzschild zu machen, bevor das DoC das Zertifizierungsverfahren abgeschlossen und das betreffende Unternehmen in die Liste der zertifizierten Unternehmen aufgenommen hat. Die Informationen des DoC zum Zertifizierungsverfahren, u. a. der dem Datenschutzschild gewidmete Internet-Auftritt, sollten abgeändert werden, so dass deutlich wird, dass Unternehmen nicht ihre Mitwirkung am Datenschutzschild bekannt geben dürfen, bevor sie in die entsprechende Liste aufgenommen wurden.

2.2.Aktive, regelmäßige Fahndung des US-Handelsministeriums nach Unternehmen, die falsche Angaben machen

Die Kommission empfiehlt dem DoC, regelmäßig aktiv nach falschen Angaben über die Mitwirkung am Datenschutzschild nicht nur im Zusammenhang mit dem Zertifizierungsverfahren (d. h. von Unternehmen, die nach Einleitung, aber vor Abschluss des Verfahrens bereits ihre Teilnahme am Datenschutzschild behaupten), sondern auch generell im Hinblick auf Unternehmen zu fahnden, die eine Zertifizierung nie beantragt haben, es aber in der Öffentlichkeit so darstellen, als würden sie den Erfordernissen des Datenschutzschilds genügen. Dazu sollte das DoC zusätzliche Maßnahmen ergreifen und beispielsweise Recherchen im Internet durchführen. Wie die Erfahrung mit dem Vorläuferprogramm „Safe Harbor“ gezeigt hat, sind irreführende Darstellungen dieser Art nicht selten und gefährden die Glaubwürdigkeit und Solidität des Systems insgesamt.

2.3.Laufende Kontrolle der Einhaltung der Datenschutzgrundsätze

Das US-Handelsministerium sollte regelmäßig prüfen, ob der Datenschutzschild eingehalten wird. Beispielsweise könnten einschlägige Fragebögen zu bestimmten Themen (wie Datenweitergabe oder Vorratsdatenspeicherung) an eine repräsentative Stichprobe zertifizierter Unternehmen gerichtet werden oder das DoC könnte von zertifizierten Unternehmen, die ihre Zertifizierung erneuern wollen, jährliche Rechenschaftsberichte über die Einhaltung der einschlägigen Verpflichtungen (die vom Unternehmen selbst oder Dritten geprüft wird) einfordern. Das DoC sollte diese Jahresberichte dazu verwenden, mögliche Schwachstellen, die Folgemaßnahmen erforderlich machen könnten, bevor ein Unternehmen erneut zertifiziert werden kann, oder auch systembedingte Mängel in der Funktionsweise des Datenschutzschilds zu identifizieren, die behoben werden sollten.

2.4.Mehr Sensibilisierung

Die Kommission fordert das DoC und die Datenschutzbehörden auf, die bereits im vergangenen Jahr ergriffenen Sensibilisierungsmaßnahmen fortzusetzen und zu intensivieren.

Um einen wirksamen Schutz natürlicher Personen aus der EU zu gewährleisten, sollten sich die Datenschutzbehörden in Zusammenarbeit mit der Kommission mehr um Aufklärung der EU-Bürgerinnen und Bürger über die Möglichkeiten zur Ausübung ihrer aus dem Datenschutzschild erwachsenden Rechte und insbesondere über die Beschwerdewege bemühen.

2.5.    Engere Zusammenarbeit zwischen den für den Datenschutz verantwortlichen Behörden

Das DoC und die Datenschutzbehörden sollten – gegebenenfalls auch mit der FTC – gemeinsam Leitfäden zur Auslegung bestimmter, klärungsbedürftiger Begriffe des Datenschutzschilds ausarbeiten. Dies wäre im Interesse einer besseren Zusammenarbeit der für die Anwendung der Regelung zuständigen Behörden auf beiden Seiten des Atlantiks, einer Annäherung der Auslegung der Regeln des Datenschutzschilds und größerer Rechtssicherheit für die Unternehmen.

In der ersten jährlichen Überprüfung haben sich beispielsweise die Begriffe „Verantwortlichkeit für die Weitergabe“ und „Personaldaten“) als einer zusätzlichen Erläuterung bedürftig erwiesen.

2.6. Studie über automatisierte Beschlussfassung

Um insbesondere im Vorfeld der nächsten jährlichen Überprüfung eine präzisere Meinungsbildung zur automatisierten Beschlussfassung zu ermöglichen, wird die Kommission eine Faktensammlung in Auftrag geben, die es ihr ermöglicht, die Bedeutung der automatischen Beschlussfassung in der Datenübermittlung auf der Grundlage des Datenschutzschilds weiter zu bewerten.

2.7. Verankerung des in der Presidential Policy Directive 28 vorgesehenen Rechtsschutzes im Gesetz über die Auslandsaufklärung (FISA)

Die anstehende Debatte über die Erneuerung von § 702 des Gesetzes über die Auslandsaufklärung bietet Regierung und Kongress eine ausgezeichnete Gelegenheit, den Schutz der Privatsphäre im FISA zu stärken. In diesem Zusammenhang hofft die Kommission, dass der Kongress die Verankerung des in der PPD-28 vorgesehenen Schutzes für Personen außerhalb der USA in das FISA befürworten wird, um die Stabilität und Kontinuität dieses Rechtsschutzes zu gewährleisten. Weitere Reformen im Hinblick sowohl auf inhaltliche Beschränkungen als auch auf Verfahrensgarantien sollten im Geiste der PPD-28 erfolgen und somit einen Rechtsschutz gewährleisten, der unabhängig von der Staatsangehörigkeit oder dem Wohnort des Betroffenen gilt.

2.8. Baldige Ernennung der Ombudsperson des Datenschutzschilds

Die Kommission appelliert an die US-Regierung, ihre politische Unterstützung für das Instrument der Ombudsperson als eines wichtigen Bestandteils des Datenschutzschilds mittels einer möglichst baldigen ständigen Besetzung der Stelle zu bekräftigen.

2.9. Baldige Ernennung der Mitglieder des PCLOB und Freigabe des PCLOB-Berichts zur PPD-28

Als unabhängige Agentur und Teil der Exekutive spielt das PCLOB eine wichtige Rolle beim Schutz der Privatsphäre und der bürgerlichen Freiheiten im Bereich der Terrorbekämpfung. Die Kommission empfiehlt die baldige Neubesetzung der freien Plätze im PCLOB durch die US-Regierung, damit das Gremium seinen Aufgaben uneingeschränkt nachkommen kann.

Außerdem appelliert die Kommission angesichts der Bedeutung der PPD-28 für die Einschränkungen und Garantien beim Datenzugang staatlicher Stellen zu nachrichtendienstlichen Zwecken und damit für die alljährliche Prüfung, der die Kommission ihren Angemessenheitsbeschluss unterzieht, an die US-Regierung, den PCLOB-Bericht zur Handhabung der PPD-28 für die Öffentlichkeit freizugeben.

2.10. Rechtzeitigere und umfassendere Information über wichtige Entwicklungen seitens der US-Behörden

Die Kommission empfiehlt den US-Behörden, ihrer Zusage, über jegliche Entwicklungen, die für die Funktionsweise des Datenschutzschilds von Bedeutung sein und insbesondere den durch den Datenschutzschild gewährten Rechtsschutz in Frage stellen könnten, rechtzeitig und umfassend zu informieren, zeitiger nachzukommen.

(1)

     Durchführungsbeschluss (EU) 2016/1250 der Kommission vom 12. Juli 2016 gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des vom EU-US-Datenschutzschild gebotenen Schutzes (ABl. L 207 vom 1.8.2016, S. 1).

(2)

     Urteil des Gerichtshofs der Europäischen Union vom 6. Oktober 2015, Rs. C-362/14, Maximilian Schrems/Data Protection Commissioner („Schrems“).