Home / Aktuelles & Termine / it.sec blog

Das zwischen der EU und Kanada geplante Abkommen zur Übermittlung von Fluggastdaten ist nach heutigem Urteil des EuGHs nicht mit den Grundsätzen der Datenschutzgrundverordnung (DSGVO) zu vereinbaren.

Das Abkommen sollte festlegen, dass sensible Daten der Fluggäste (Kreditkartendaten, Essenswünsche, Angaben zum Gepäck und Kommentare des Flugpersonals) ohne Anlass oder Verdacht für einen Zeitraum von 5 Jahren gespeichert und an Kanada übermittelt werden dürfen. Darüber hinaus hätte Kanada die Daten ebenfalls speichern, verarbeiten und sogar an andere Drittländer übermitteln dürfen.

Eine solche Regelung hätte die angestrebte Datenhoheit einer jeden betroffenen Person in hohem Maße beschnitten, wenn nicht ganz ausgesetzt.

Sofern die EU und Kanada weiterhin ein solches Abkommen anstreben, wird eine umfangreiche Anpassung der enthaltenen Regelungen notwendig. Es ist jedoch fraglich, ob eine Anpassung wirklich möglich ist. Denn um mit der DSGVO konform zu sein, müssen alle Grundsätze beachtet werden. Damit würde wohl aber der angestrebte Zweck des ursprünglichen Abkommens kaum noch erreicht werden können.

Lisa Benjowski
Informationsjuristin (LL.B.), Consultant für Datenschutz

Am 05.07.2017 wurde das Datenschutz-Anpassungs- und -Umsetzungsgesetz EU (DSAnpUG-EU) verkündet.

Mit Art. 1 DSAnpUG-EU wurde das Bundesdatenschutzgesetz (BDSG-Neu) neu beschlossen, um Regelungsaufträge und Handlungsoptionen (Öffnungsklauseln) aus der Datenschutzgrundverordnung (DSGVO) umzusetzen. Das BDSG-Neu wird am 25.05.2018 in Kraft treten.

Art. 7 DSAnpUG-EU tritt gemäß Art. 8 Abs. 2 DSAnpUG-EU jedoch bereits einen Tag nach Verkündung in Kraft und sieht bis zum 25.05.2018 noch eine Änderung des bisherigen Bundesdatenschutzgesetzes (BDSG) vor: Der nun neu eingeführte § 42b BDSG sieht einen Rechtsbehelf vor, welcher es den Aufsichtsbehörden für den Datenschutz bereits jetzt ermöglicht, gegen Angemessenheitsbeschlüsse oder Beschlüsse der Europäischen Kommission über die Anerkennung von Standardvertragsklauseln (zukünftig: „Standarddatenschutzklauseln“) vorzugehen: So können die Aufsichtsbehörden ab sofort das Bundesverwaltungsgericht veranlassen, beispielsweise den Durchführungsbeschluss zum EU-US Privacy Shield ((EU) 2016/1250 vom 12.07.2016) oder den Beschluss der EU-Kommission vom 05.02.2010 (2010/87/EU), der im Annex die Standardvertragsklauseln enthält, einer gerichtlichen Überprüfung zu unterziehen bzw. die Frage zur Gültigkeit eines solchen Beschlusses dem EuGH zur Entscheidung vorzulegen.

Die Einführung des § 42b BDSG ist damit die Konsequenz aus dem Safe Harbor-Urteil des EuGH vom 06.10.2015, in dem der EuGH festgestellt hat (vgl. Urteil im Volltext, insbesondere Rn 65, unter http://curia.europa.eu/juris/document/document.jsf;jsessionid=9ea7d2dc30dd54db4a4232764d349fe6a58e115fe8fb.e34KaxiLc3qMb40Rch0SaxuRbx10?text=&docid=169195&pageIndex=0&doclang=DE&mode=req&dir=&occ=first&part=1&cid=199052), dass es der nationalen Kontrollstelle an der Befugnis fehlte, die von ihr für begründet erachteten Beschwerden betroffener Personen gegen die Übermittlung ihrer personenbezogenen Daten in die USA auf Basis von Safe Harbor vor den nationalen Gerichten geltend machen zu können.

Im Kontext des Safe Harbor-Urteils des EuGH stellten die Aufsichtsbehörden ebenso die Zulässigkeit des alternativen Rechtsinstruments der Standardvertragsklauseln für Datenübermittlungen in die USA in Frage und kritisierten den nachfolgenden Angemessenheitsbeschluss basierend auf den Abreden zum EU-US Privacy Shield als unzureichend (vgl. ULD Schleswig-Holstein zum Urteil des Gerichtshofs der Europäischen Union vom 6. Oktober 2015, S. 4, https://www.datenschutzzentrum.de/uploads/internationales/20151014_ULD-Positionspapier-zum-EuGH-Urteil.pdf bzw. die Stellungnahme der Artikel-29-Gruppe (zukünftig: Europäischer Datenschutzausschuss), die aus Vertretern der Aufsichtsbehörden der Mitgliedstaaten besteht, abrufbar unter http://ec.europa.eu/justice/data-protection/article-29/press-material/press-release/art29_press_material/2016/20160726_wp29_wp_statement_eu_us_privacy_shield_en.pdf).

Es bleibt daher spannend, inwiefern die deutschen Aufsichtsbehörden nun diese Möglichkeit, die ihnen § 42b BDSG eröffnet, ausschöpfen und Feststellungsklage beim Bundesverwaltungsgericht einreichen werden.

S. Kieselmann
Beraterin für Datenschutz
Dipl.sc.pol.Univ.

Die EU-Justizkommissarin Vera Jourova droht mit Kündigung des Privacy Shield. Von Beginn an stand das Privacy Shield Abkommen zwischen der Europäischen Union und den USA unter Kritik.

Das Privacy Shield (Nachfolger von Safe Harbour) ist ein informelles Übereinkommen im Bereich des Datenschutzrechts, das zwischen der Europäischen Union und den USA ausgehandelt wurde. Die Kommission hat am 12. Juli 2016 beschlossen, dass die Vorgaben des Privacy Shields dem Datenschutzniveau der Europäischen Union entsprechen.

Das Übereinkommen regelt den Schutz personenbezogener Daten, die aus einem Mitgliedsstaat der Europäischen Union in die USA übertragen werden.

Jetzt soll damit eventuell schon wieder Schluss sein. Die EU-Justizkommissarin will sich Ende März mit Vertretern der neuen US-Regierung treffen um das Thema neu zu besprechen. Nach Trumps Executive Order vom 25.01.2017 werden Nicht-US-Bürger nämlich vom Schutz des Privacy Act ausgenommen. Das US-Justizministerium hat jedoch versichert, dass die USA weiter zum Privacy Shield stehe. Bei dem Termin Ende März soll nun geklärt werden, ob die bisher zugesagten Bedingungen von der USA tatsächlich eingehalten werden.

Andernfalls will die EU-Justizkommissarin das Privacy Shield-Abkommen außer Kraft setzen.

Dr. Bettina Kraft
Beraterin für Datenschutz
Justiziarin

ADCERT Angemessenheitsbeschluss Anwendbarkeit Art. 17 DSGVO Art. 25 DSGVO Art. 26 DSGVO Art. 32 DSGVO Art. 4 Nr. 12 DSGVO Art. 45 DSGVO Art. 8 MRK Art. 9 DSGVO Audit Aufsichtsbehörde Auftragsverarbeitung Auskunftei Auskunftsrecht Automatisierte Einzelentscheidung Autsch BAG BDSG-Neu Begrifflichkeiten Beherbergungsstätten Benachrichtigungspflicht Beschäftigtendatenschutz besondere Kategorien personenbezogener Daten betrieblicher E-Mail-Account betrieblicher Internetzugang Betroffenenrechte BfDI BGH biometrische Daten Biometrische und genetische Daten Bonitätsprüfung Brexit Bundesarbeitsgericht Bußgeld BVG Cloud CNIL Compliance Cookie Datenlöschung Datenpanne Datenschutz Datenschutz Grundverordnung Datenschutzgrundverordnung Datenschutzprinzipien Datenschutzverletzung Datensicherheit Datenübermittlung Datenübermittlung in Drittstaaten Datenverarbeitung Do not track-Funktion Donald Trump Dritter Drittstaat ohne angemessenes Datenschutzniveau DSAnpUG-EU DSGVO dynamische IP-Adresse eCall-Technologie Einwilligung Einwilligungserklärung Entsorgung Erhebung personenbezogener Daten Erwägungsgrund 48 der DSGVO eSafety-Initiative EU-Datenschutz-Grundverordnung EuGH Facebook Fahrzeugdaten Fahrzeuge Fernmeldegeheimnis Fluggastdaten Gemeinsam Verantwortliche Home Office Informationspflichten Informationssicherheit IP-Adresse IT-Forensik IT-forensische Untersuchung IT-Sicherheit Joint Control Kanada Konzern konzerninterner Datentransfer Leistungs- und Verhaltenskontrolle Löschung personenbezogener Daten Marktortprinzip Meldepflicht Meldescheine Microsoft NIST One Stop Shop Passwort Passwörter Passwörter. 2016 Passwortregeln Passwortschutz Personalausweiskopien personenbezogene Daten Privacy by Default Privacy by Design Privacy Shield Privatnutzung Privatnutzungsverbot Profiling Recht auf Achtung des Privat- und Familienlebens Recht auf Berichtigung Recht auf Datenübertragbarkeit Recht auf Einschränkung Recht auf Löschung Rechte der betroffenen Person Sicherheitsvorfälle kritische Infrastrukturen IT-Sicherheitsbeauftragten ISMS Siegel Skype Sony PSN Standardvertragsklauseln Technische & organisatorische Maßnahmen technische & organisatorische Maßnahmen Telemediendienst Telemediengesetz TKG TMG Tracking Tracking Tools Twitter Übermittlung personenbezogener Daten Überwachungssoftware Umsetzungsfrist unpersonalisierter Benutzer-Account Unternehmensgruppe USA Vereinbarung Vernichtung von Datenträgern Verordnung (EU) 2015/758 Vertrag zur Auftragsverarbeitung Verwaltungsakt Verwaltungsgericht Karlsruhe Videoüberwachung Vorteile Webseite Webseiten Webtrecking Werbung Widerrufsrecht Widerspruchsrecht Zertifikat Zertifizierung Zulässigkeit § 15 TMG § 26 BDSG-Neu § 32 BDSG § 32 DSGVO § 42a BDSG § 42b BDSG § 88 TKG

An dieser Stelle wollen wir von Zeit zu Zeit unsere Web-Logs ("blogs") pflegen und unsere Meinung zu bestimmten Themen kundtun.

Die einzelnen Posts stellen jeweils die Meinung des Autors dar und nicht zwangsläufig jene der it.sec. Die Inhalte sind stellen keine Beratung dar und übernehmen für die Inhalte keine Haftung.

Tags

Mo Di Mi Do Fr Sa So
        1 2 3
4 5 6 7 8 9 10
11 12 13 14 15 16 17
18 19 20 21 22 23 24
25 26 27 28 29 30