Heute ab 15:45 Uhr wurde das neue EU-US Data Protection Framework in einer Pressekonfernz vorgestellt und in diesem Moment auch veröffentlicht. Die 137 Seiten des Abkommens und diverse Webseiten sind nun abrufbar. Continue reading

IT und Recht, Cloud und mehr
Heute ab 15:45 Uhr wurde das neue EU-US Data Protection Framework in einer Pressekonfernz vorgestellt und in diesem Moment auch veröffentlicht. Die 137 Seiten des Abkommens und diverse Webseiten sind nun abrufbar. Continue reading
Wir haben auf ein Update des Trans-Atlantic Data Privacy Framework gewartet als Nachfolger von Privacy Shield und Safe Harbor. Dies soll nun auch in Washington einen Schritt weiter gehen und vielleicht in diesem Jahr noch ein Abkommen bringen, hoffen wir.
Nach Safe Harbor folgte Privacy Shield und nun das Trans-Atlantic Data Privacy Framework. Die ersten beiden Abkommen zwischen der EU Kommission und des US Handelsministeriums zur Regelung des Datentransfers von personenbezogenen Daten europäische Bürger in die USA wurden durch den EuGH in den Urteilen Schrems I und Schrems II jeweils vom Berichterstatter Prof. von Danwitz (Deutschland) gekippt. Nun wird es ein neues Abkommen geben, welches die Fehler der vorherigen nicht wiederholen soll und aktiv ein Schrems III verhindern.
Im Rahmen des Einsatzes von Produkten und Services US-Amerikanischer Dienstleister steht nicht erst seit Schrems2, aber auch gerade deshalb, die Frage des US-Überwachungsrechts und der Überwachungsbefugnisse im Raum. Nun hat die DSK dazu ein Gutachten in den USA in Auftrag geben und ergänzt somit die Informationen aus der Literatur und dem Gutachten des Wissenschaftlichen Dienstes des Bundestages.
Der Einsatz von Microsoft Forms ist aus Sicht des Datenschutzes, Betriebsrat und Compliance Officers eine sehr spannende Einrichtung. Hierbei muss ein Rahmen für das doch sehr flexible Werkzeug gestellt werden.
Aktuell laufen immer wieder US-Behörden Anfragen zur Herausgabe von Kundendaten. Es trifft in letzter Zeit immer wieder den Messenger Signal, der wie wir wissen in Microsoft Azure Rechenzentren läuft und mit Azure confidential Computing konzipiert wird.
Es ist aus Urteilen(z.B. SchremsII), Gesetzestexten (z.B. PRISM) und Expertenkommissionen bekannt, dass es in den USA sogenannte „Secret Order“ gibt. Diese erlauben es den US Geheimdiensten, wie der NSA oder CIA, wenn zum Beispiel ein Verdacht des Terrorismus besteht, auf Kundendaten von US Cloud-Providern zuzugreifen. Dieser Zugriff soll geheim bleiben und dem Kunden gegenüber nicht geäußert werden. Dieser geheime Zugriff sind vielen ein Dorn im Auge und problematisch, da zum Beispiel auch nicht klar ist, ob nicht auch Wirtschaftsspionage so betrieben wird.
Nach dem Fall von Privacy Shield hätte die EU Kommission dies durch einen Angemessenheitsbeschluss aufheben können. Dies ist nicht geschehen, man erkennt das Ende von Privacy Shield an und verweist auf die gültigen EU-Standardvertragsklauseln.
Am 18. Oktober veröffentlichte die EU Kommission nun zum ersten Mal ihre jährliche Überprüfung des transatlantischen EU-US Privacy Shield Abkommen. Dieses dient als Basis zur Datenübermittlung in die USA und soll ein „angemessenes Schutzniveau für personenbezogene Daten“ gewährleisten. Die Kommission sieht Spielräume zu Verbesserungen.
Es wurde aller höchste Zeit für eine neue Regelung, da zunächst im vergangenen Jahr der EuGH unter dem deutschen Berichtsführer Prof. von Danwitz (ehemalig Uni Köln) nicht nur auf die Fragen eines Vorabentscheidungsverfahrens eines irischen Richters im Verfahren von Herrn Schrems geantwortet hat, sondern auch gleich die seit 2000 gültiges Abkommen der USA mit Europa für den Datentransfer Safe Harbor für nichtig erklärt haben. (Urteil vom 6. Oktober 2015)
Das neue Abkommen heißt EU-US Privacy Shield und wurde laut der Justizkommissarin Jourova in vielen langen nächtlichen Sitzungen verhandelt. Nun heißt es aber erstmal für uns IT-Juristen: Wo ist der genaue Text, was steht dort und vor allem was wird geregelt.
Wie Frau Jourova twitterte wird das neue Abkommen am Urteil des EuGH gemessen und muss die Kritikpunkte beseitigen. Zu den Hauptkritikpunkten gehörte einerseits die fehlende Rechtssicherheit in den USA für EU Bürger, sowie der niedrigere Datenschutz Niveau der USA.
Herr Ansip sagt, dass mit diesem Abkommen die personenbezogenen Daten vollständig geschützt sind und es Rechtssicherheit gerade auch für kleine Unternehmen geben wird, so dass diese Dienste in den USA rechtssicher nutzen können. Das Abkommen stärkt weiterhin die Partnerschaft mit den USA und soll den digitalen Binnenmarkt der EU zu einer vertrauenswürdigen und dynamischen Onlineumgebung führen.
Aus der Pressemitteilung und einer Pressekonferenz sind folgende Informationen zu Privacyshield durchgesickert:
Hier der originale Text:
„Clear safeguards and transparency obligations on U.S. government access: For the first time, the US has given the EU written assurances that the access of public authorities for law enforcement and national security will be subject to clear limitations, safeguards and oversight mechanisms. These exceptions must be used only to the extent necessary and proportionate. The U.S. has ruled out indiscriminate mass surveillance on the personal data transferred to the US under the new arrangement. To regularly monitor the functioning of the arrangement there will be an annual joint review, which will also include the issue of national security access. The European Commission and the U.S. Department of Commerce will conduct the review and invite national intelligence experts from the U.S. and European Data Protection Authorities to it.
Effective protection of EU citizens‘ rights with several redress possibilities: Any citizen who considers that their data has been misused under the new arrangement will have several redress possibilities. Companies have deadlines to reply to complaints. European DPAs can refer complaints to the Department of Commerce and the Federal Trade Commission. In addition, Alternative Dispute resolution will be free of charge. For complaints on possible access by national intelligence authorities, a new Ombudsperson will be created. “
Kritik von Jan Philipp Albrecht:
“ Es sei ein Witz und es sorgt nicht zu einem effektiven Rechtsschutz, wie vom EuGH gefordert.“ Aus meiner Sicht wird er oder die Fraktion der Grünen dieses vor dem EuGH prüfen lassen.
Ein wichtiger Twitterpost aus meiner Sicht:
Ob dies nun die entscheidende Information zum Ombutsmann-Verfahren ist oder ob wir wirklich Zugang zu US Gerichten haben ist fraglich. Weiterhin ist natürlich fraglich, welche Rechte man dort hat seine Daten zu schützen und diesen Schutz durchzusetzen. Auch der Zugang alleine genügt nicht für einen effektiven Rechtsschutz.
Nächste Schritte
Vizepräsident Ansip und Kommissarin Jourova sollen einen „angemessenen Entscheidungsentwurf“ in den kommenden Wochen erarbeiten, der dann wieder ins Gremium (US-EU) eingehen soll und nach Einholung von Gutachten dann verabschiedet werden soll.
Wichtig für uns und auch für mich:
Ich bin auf den Entscheidungsentwurf und dann auf das endgültige Abkommen, sowie die ab morgen Tagende Artikel 29 Kommission gespannt. Also beeilt euch und lasst uns etwas lesen!
Gutachten
Wenn das Gremium noch ein Gutachten will, ich würde dieses in Kooperation mit den bekannten Gelehrten schreiben und über den Preis wird man sich schon einig.
via PK:
http://europa.eu/rapid/press-release_IP-16-216_en.htm
DEUTSCH: http://europa.eu/rapid/press-release_IP-16-216_de.htm
Screenshots aus der kurzen verlesenen PK (ohne Fragen)
Herr Ansip (Vice von Herrn Oettinger, EU Kommission)
Frau Jourova (Justizkommissarin der EU Kommission)