Für Beschwerden im Rahmen von Datenübermittlungen unter dem Privacy Shield, stellt nun auch die Berliner Beauftragte für Datenschutz und Informationsfreiheit entsprechende Formulare online zur Verfügung.
Der Inhalt im Überblick
Privacy Shield: Ein Überblick
Beim EU-US Privacy Shield handelt es sich um ein Übereinkommen zwischen der Europäischen Union und den Vereinigten Staaten von Amerika auf dem Gebiet des Datenschutzrechts.
Die EU-Kommission hat am 12. Juli 2016 beschlossen, dass unter den Regelungen des EU-US Privacy Shields ein angemessenes Datenschutzniveau für Datenübermittlungen in die USA bestehen. Das Abkommen sollte als praxistaugliche Alternative den Safe-Harbor-Pakt ersetzen, welcher vom Europäischen Gerichtshof als unvereinbar mit dem europäischen Datenschutzrecht erklärt wurde.
In unserem Blog wurde bereits in einigen Artikeln über das EU-US Privacy Shield-Abkommen berichtet. Einen guten Überblick, inklusive datenschutzrechtlicher Fragestellungen, erhalten Sie hier. Ein weiterer empfehlenswerter Beitrag beschäftigt sich mit der Frage, für welche Unternehmen sich die Zertifizierung lohnt.
Weitere Informationen für EU-Unternehmen zum EU-US Privacy Shield hat die Artikel-29-Gruppe der Datenschutzbehörden der EU-Mitgliedstaaten nach dem Frage-Antwort-Prinzip (FAQs) veröffentlicht.
Recht auf Beschwerde
Das grundsätzliche Recht auf Beschwerde- und Abhilfeverfahren gegenüber einem zertifizierten US-Unternehmen, welchem personenbezogene Daten eines Betroffenen auf der Grundlage des Privacy Shields übermittelt wurden, steht jedem Betroffenen zu.
Das Beschwerderecht gehört neben weiteren Rechten, wie dem Recht auf Information und dem Recht auf Berichtigung und Löschung von Daten zu dem Katalog an Rechten der Betroffenen, der im Rahmen des Abkommens festgelegt wurde.
Verschiedene Möglichkeiten der Beschwerde
Ist jemand der Meinung, seine personenbezogenen Daten werden entgegen den Vorgaben des Privacy Shields verarbeitet, so hat er nicht nur eine, sondern gleich mehrere Möglichkeiten sich mit seinem Anliegen an entsprechende Stellen zu wenden.
Nach den Ausführungen der Berliner Datenschutzbeauftragten für Datenschutz und Informationsfreiheit (BInBDI) soll man sich mit seinen datenschutzrechtlichen Fragen und Beschwerden zunächst direkt an das jeweilige US-Unternehmen wenden. Das US-Unternehmen ist verpflichtet, die Anfrage binnen 45 Tagen zu beantworten.
Wenn dieses Vorgehen zu keinem befriedigenden Ergebnis führt, besteht die Möglichkeit einer Beschwerde bei sog. unabhängigen Beschwerdestellen (in der Regel Streitschlichtungsstellen der USA). Jedes zertifizierte Unternehmen muss die jeweils zuständige Beschwerdestelle nennen. Bei Einlegung einer Beschwerde entstehen keine Kosten.
Als letzte Instanz gibt es noch den Weg eines Schiedsverfahrens in den USA. Weitere Informationen hierzu finden sich in dem Leitfaden der Europäischen Kommission für Betroffene oder auf der Webseite des US-Handelsministeriums.
Beschwerde direkt bei Datenschutzbeauftragten der Länder
Datenschutzbeauftragte verschiedener Länder, darunter Bayern, Baden-Württemberg und NRW, haben seit kurzem Formulare für Beschwerden in deutscher Sprache bei Verstößen gegen das EU-US Privacy Shield bereitgestellt.
Auch Maja Smoltczyk, die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BInBDI), veröffentlicht nun auf ihrer Webseite neben allgemeinen Informationen zum Abkommen, ein entsprechendes Formular.
Nach dem Beschwerdeformular sollen diejenigen Informationen angegeben werden, die in der Regel für eine sinnvolle Bearbeitung der Beschwerde erforderlich sind.
Dazu gehören neben den Kontaktdaten des Betroffenen Angaben:
- zum US-Unternehmen an das die personenbezogenen Daten übermittelt wurden
- warum ein Verstoß gegen den Privacy Shield vorliegen soll
- über das Ziel der Beschwerde
- ob und mit welchem Ergebnis man sich direkt an das US-Unternehmen gewendet hat
Dem Betroffenen wird durch die Bereitstellung des Formulars aber nicht die Möglichkeit genommen, sich auf anderen Kommunikationswegen an die BInBDI zu wenden.
Ein weiteres Formular wird von den Datenschutzbehörden der EU-Mitgliedstaaten für Beschwerden die Zugriffe auf personenbezogene Daten durch US-amerikanische Geheimdienste oder Sicherheitsbehörden zum Gegenstand haben, bereitgestellt. Darin heißt es in der Einleitung unter anderem:
„Es wird darauf hingewiesen, dass die Ombudsstelle nur solche Anträge prüft, die sich auf den Zugang von US-Nachrichtendiensten für Zwecke der nationalen Sicherheit beziehen.“
„Es wird darauf hingewiesen, dass die Ombudsstelle in ihrer Antwort weder bestätigen noch bestreiten wird, dass Sie das Ziel einer Überwachung gewesen sind, noch wird sie bestätigen, welche Abhilfe konkret getroffen wurde.“
Wie läuft das Beschwerdeverfahren ab?
Die Bearbeitung der Beschwerden richtet sich nach dem Beschwerdegegenstand und der Art der Daten. Differenziert wird dabei zwischen:
- Beschäftigtendaten, für die ein informelles Gremium aus Datenschutzbehörden der EU-Mitgliedstaaten eingerichtet ist
- sonstigen personenbezogenen Daten (also nicht Beschäftigtendaten), bei denen eine Weiterleitung an die für die Aufsicht über zertifizierte Unternehmen zuständigen US-Behörden stattfindet und
- Beschwerden hinsichtlich etwaiger Zugriffe auf aus Europa übermittelte personenbezogene Daten durch US-Geheimdienst- und Sicherheitsbehörden, die einem eigens dafür eingerichteten Gremium aus Datenschutzaufsichtsbehörden (die sog. „EU-Zentralstelle“) zugeleitet werden.
In allen Fällen, soll der Betroffene über das Ergebnis der Prüfung der Beschwerde informiert werden.
