Betroffenenrechte im EU-US-Data-Privacy-Framework Wie sich Betroffene über Daten­trans­fers in die USA beschweren können

Anbieter zum Thema

G DATA CyberDefense AG

WatchGuard Technologies GmbH

Impossible Cloud GmbH

Die Freude über den Angemessenheits­beschluss Data Privacy Framework (DPF) war groß: Unternehmen erhalten damit grundsätzlich wieder Rechts­sicherheit, wenn sie personenbezogene Daten zwischen der EU und den USA transferieren müssen. Doch was tut man, wenn man den Datenschutz nicht für angemessen hält? Die Aufsichtsbehörden klären auf.

Datentransfers sind ein zentraler Bestandteil der globalen Wirtschaft quer durch alle Branchen und auch der Wissenschaft, erklärte der Digitalverband Bitkom. Die Behinderung oder sogar Verhinderung von Datentransfers könne häufig nicht einfach durch alternative Lösungen kompensiert werden und stelle die deutschen und europäischen Unternehmen vor ebenso gravierende Herausforderungen wie die Unterbrechung von Lieferketten.

Entsprechend reagierten Wirtschaftsverbände im Juli 2023 erfreut und positiv auf den Angemessenheitsbeschluss der EU-Kommission namens DPF (Data Privacy Framework) als eine neue Grundlage für die Übertragung personenbezogener Daten aus der EU in die USA. Dieser DPF gilt weiterhin, doch das bedeutet nicht, dass es keine Probleme mit dem Datenschutz bei Datentransfers von der EU in die USA geben könnte.

Trotz DPF gibt es Bedenken

Ein blindes Vertrauen in den Datenschutz bei Datentransfers sollte es nicht geben. Tatsächlich scheinen viele Unternehmen auch weiterhin Bedenken zu haben. So ergab der Cloud Report 2024 von Bitkom, dass der Cloud-Standort Deutschland bei den Unternehmen ganz vorn liegt.

99 Prozent der Befragten würden heimische Rechenzentren bevorzugen, für ein Prozent kommen sie zumindest in Frage. Standorte in der übrigen EU würden 60 Prozent bevorzugen, für 37 Prozent kommen sie in Frage. Erst dahinter folgen die USA (elf Prozent würden sie bevorzugen, für 34 Prozent kommen sie in Frage). Das Potenzial für souveräne Clouds ist auf jeden Fall groß, folgert Bitkom.

Doch in vielen Unternehmen kommen insbesondere US-Cloud-Dienste zum Einsatz. Wenn es dann Bedenken zum Datenschutz gibt, die offensichtlich trotz DPF in vielen Köpfen bestehen, stellt sich die Frage, wie man damit umgeht. Hierzu haben sich die Datenschutz­aufsichts­behörden in der EU nun geäußert.

So hält das EU‐US DPF für betroffene Personen verschiedene Möglichkeiten bereit: Demnach können betroffene Personen Beschwerde direkt bei der betreffenden, nach DPF zertifizierten US-Organisation, bei einer von der zertifizierten US-Organisation benannten unabhängigen Beschwerdestelle, bei den Datenschutzaufsichtsbehörden in der EU, beim DOC (US Department of Commerce) oder bei der FTC (Federal Trade Commission) einreichen.

Beschwerdeverfahren gegenüber US-Unternehmen und -Organisationen

Ein Bestandteil des Angemessenheits­beschlusses ist ein neuer Beschwerdemechanismus bei möglichen Verstößen gegen den EU-US DPF durch zertifizierte US-Unternehmen/US-Organisationen, wie zum Beispiel die Datenschutzaufsicht von Bremen erklärt.

Wenn Betroffene, also zum Beispiel Beschäftigte eines Unternehmens, deren Daten übermittelt wurden, der Meinung sind, dass ein unter dem EU-US DPF zertifiziertes US-Unternehmen, an welches personenbezogene Daten von ihnen übermittelt worden sind, gegen seine Pflichten aus dem EU-US DPF verstoßen hat oder die Rechte, die Betroffenen nach dem EU-US DPF zustehen, verletzt hat, können sie sich mit ihrer Beschwerde direkt an die für sie zuständige Datenschutzaufsicht wenden.

Der Europäische Datenschutzausschuss (EDSA) hat ein spezielles Beschwerdeformular entwickelt, dass man nutzen sollte, damit sichergestellt werden kann, dass alle Informationen, die für eine vollständige Bearbeitung der Beschwerde nötig sind, zur Verfügung stehen.

In Deutschland wird zum Beispiel der Bundesdatenschutzbeauftragte (BfDI) die Beschwerde entgegennehmen und diese anschließend über das Sekretariat des Europäischen Datenschutzausschusses (EDSA) an die zuständigen Stellen in den Vereinigten Staaten weiterleiten. Dort werden die Beschwerden geprüft und entschieden.

Beschwerdeverfahren gegenüber US-Nachrichtendiensten

Es gibt auch ein Beschwerdeverfahren, mit dem Betroffene die Verarbeitung ihrer personenbezogenen Daten durch US-Nachrichtendienste in den USA überprüfen lassen können.

Die Schaffung unabhängiger und unparteiischer Rechtsbehelfsmechanismen zur Überprüfung etwaiger Zugriffe nationaler Sicherheitsbehörden der USA war elementare Voraussetzung für das Zustandekommen eines neuen Angemessenheits­beschlusses, so die deutsche Datenschutzkonferenz (DSK) als Gremium der Aufsichtsbehörden.

Das Beschwerdeverfahren beruht auf US-amerikanischem Recht und ist für Fälle gedacht, in denen eine Person annimmt oder es für möglich hält, dass die US-Nachrichtendienste bei einem etwaigen Zugriff auf ihre Daten für Zwecke der nationalen Sicherheit gegen die hierfür geltenden Vorgaben des US-amerikanischen Rechts verstoßen hat.

Nach einer Überprüfung, und wenn die Beschwerde als vollständig erachtet wurde, übermittelt die zuständige Datenschutzbehörde in Deutschland den Vorgang in verschlüsselter Form an das Sekretariat des Europäischen Datenschutzausschusses (EDSA). Dieses wird die Beschwerde dann verschlüsselt an die für die Bearbeitung der Beschwerde zuständige US-Behörde übermitteln, also den Civil Liberties Protection Officer (CLPO) des ODNI (US Office of the Director of National Intelligence). Der CLPO ist eine Art Datenschutzbeauftragter beim Direktor der nationalen Nachrichtendienste, wie die deutschen Aufsichtsbehörden erläutern.

Wichtig: Auf Probleme hinweisen

Offensichtlich gibt es damit definierte Prozesse, um sich über mögliche Verstöße gegen den Datenschutz und gegen das EU-US-DPF zu beschweren. Auch wenn es kompliziert erscheint, sollte man die darin liegenden Möglichkeiten nutzen, ebenso das Formular, um die Beschwerde an die zuständige Datenschutzaufsicht in Deutschland zur Prüfung und Weiterleitung zu richten. Im Übrigen kann man sich natürlich auch über mögliche Datenschutz-Vergehen in Deutschland und in der EU beschweren. Dies geht auch über die zuständige Aufsichtsbehörde, aber mit einem anderen Formular.

Betriebliche Datenschutzbeauftragte sollten den Beschäftigten im Unternehmen mit Rat und Tat zur Seite stehen, wenn es Beschwerden gibt. Nur dann können Abkommen wie DPF bei der Sicherstellung des Datenschutzniveaus letztlich helfen, nur dann werden Abweichungen und Probleme auch sichtbar.

(ID:50177477)