Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10.7.2023 gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates über die Angemessenheit des Schutzniveaus für personenbezogene Daten nach dem Datenschutzrahmen EU-USA (Bekannt gegeben unter Aktenzeichen C(2023) 4745) (Text von Bedeutung für den EWR)
Vorwort/Präambel
Für die Zwecke des Artikels 45 der Verordnung (EU) 2016/679 gewährleisten die Vereinigten Staaten ein angemessenes Schutzniveau für personenbezogene Daten, die aus der Union an Organisationen in den Vereinigten Staaten übermittelt werden, die in der vom U.S. Department of Commerce (Handelsministerium) geführten und öffentlich zugänglichen „Data Privacy Framework List“ (Datenschutzrahmen-Liste) nach Anhang I Abschnitt I.3 aufgeführt sind.
Wenn die zuständigen Behörden in den Mitgliedstaaten zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten ihre Befugnisse nach Artikel 58 der Verordnung (EU) 2016/679 im Hinblick auf die Übermittlung von Daten in Sinne des Artikels 1 dieses Beschlusses ausüben, unterrichtet der betreffende Mitgliedstaat unverzüglich die Kommission.
(1) Die Kommission überwacht fortlaufend die Anwendung des Rechtsrahmens, der Gegenstand dieses Beschlusses ist, einschließlich der Bedingungen, unter denen Weiterübermittlungen vorgenommen werden, individuelle Rechte ausgeübt werden und die US-Behörden Zugang zu Daten haben, die auf der Grundlage dieses Beschlusses übermittelt werden, um zu prüfen, ob die Vereinigten Staaten weiter ein angemessenes Schutzniveau im Sinne des Artikels 1 gewährleisten.
(2) Die Mitgliedstaaten und die Kommission unterrichten sich gegenseitig über Fälle, in denen es Anhaltspunkte dafür gibt, dass die Einrichtungen in den Vereinigten Staaten, die zur Durchsetzung der in Anhang I dargelegten Grundsätze gesetzlich befugt sind, nicht für wirksame Verfahren zur Aufdeckung und Kontrolle sorgen, mit denen Verstöße gegen die in Anhang I aufgeführten Grundsätze in der Praxis ermittelt und geahndet werden können.
(3) Die Mitgliedstaaten und die Kommission unterrichten sich gegenseitig über Anhaltspunkte dafür, dass die Eingriffe der US-Behörden, die für die Wahrung der nationalen Sicherheit, die Strafverfolgung oder andere im öffentlichen Interesse liegende Aufgaben zuständig sind, in das Recht von Privatpersonen auf den Schutz ihrer personenbezogenen Daten über das erforderliche und angemessene Maß hinausgehen und/oder dass kein wirksamer Rechtsschutz vor derartigen Eingriffen besteht.
(4) Ein Jahr nach dem Tag der Bekanntgabe dieses Beschlusses an die Mitgliedstaaten und danach mit einer Häufigkeit, die in enger Abstimmung mit dem nach Artikel 93 Absatz 1 der Verordnung (EU) 2016/679 eingesetzten Ausschuss und dem Europäischen Datenschutzausschuss festgelegt wird, evaluiert die Kommission die Feststellung in Artikel 1 Absatz 1 auf der Grundlage aller verfügbaren Informationen, einschließlich Informationen, die bei der gemeinsam mit den zuständigen Behörden der Vereinigten Staaten durchgeführten Überprüfung gewonnen wurden.
(5) Liegen der Kommission Hinweise darauf vor, dass ein angemessenes Schutzniveau nicht länger gewährleistet ist, so unterrichtet die Kommission die zuständigen US-Behörden. Erforderlichenfalls beschließt sie nach Artikel 45 Absatz 5 der Verordnung (EU) 2016/679, diesen Beschluss auszusetzen, zu ändern oder zu widerrufen oder seinen Anwendungsbereich einzuschränken. Die Kommission kann einen solchen Beschluss auch erlassen, wenn sie aufgrund mangelnder Kooperation der US-Regierung nicht feststellen kann, ob die Vereinigten Staaten weiterhin ein angemessenes Schutzniveau gewährleisten.
Dieser Beschluss ist an die Mitgliedstaaten gerichtet.
1. Während die Vereinigten Staaten und die Europäische Union (EU) sich gemeinsam für die Verbesserung des Schutzes der Privatsphäre und der Rechtsstaatlichkeit einsetzen und die Bedeutung des transatlantischen Datenverkehrs für unsere jeweiligen Bürger, Volkswirtschaften und Gesellschaften anerkennen, verfolgen die Vereinigten Staaten in Bezug auf den Schutz der Privatsphäre einen anderen Ansatz als die EU. Die USA verfolgen einen sektoralen Ansatz, der auf einer Mischung von Rechtsvorschriften, Verordnungen und freiwilliger Selbstkontrolle basiert. Das US-Handelsministerium („Ministerium”) gibt im Rahmen seiner gesetzlichen Befugnis, den internationalen Handel zu unterstützen, zu fördern und zu entwickeln (15 U.S.C. § 1512) die Grundsätze für den Datenschutzrahmen EU-USA heraus, einschließlich der Zusatzgrundsätze (im Folgenden zusammen „Grundsätze“) und des Anhangs I der Grundsätze („Anhang I“). Die Grundsätze wurden in Absprache mit der Europäischen Kommission (im Folgenden „Kommission“), den Industrievertretern und anderen Interessenträgern entwickelt, um den Handel zwischen den Vereinigten Staaten und der EU zu erleichtern. Die Grundsätze sind ein Schlüsselelement des Datenschutzrahmens EU-USA (im Folgenden „Datenschutzrahmen EU-USA“) und bieten Organisationen in den USA einen verlässlichen Mechanismus für die Übermittlung personenbezogener Daten aus der EU in die USA, während gleichzeitig sichergestellt wird, dass betroffene Personen in der EU weiterhin wirksame Garantien und einen wirksamen Schutz im Einklang mit dem EU-Recht in Bezug auf die Verarbeitung ihrer personenbezogenen Daten genießen, wenn diese Daten in Nicht-EU-Staaten übermittelt werden. Die Grundsätze sind ausschließlich für den Gebrauch durch Organisationen in den Vereinigten Staaten bestimmt, die personenbezogene Daten aus der Europäischen Union erhalten, um sich für den Datenschutzrahmen zu qualifizieren und so vom Angemessenheitsbeschluss der Europäischen Kommission zu profitieren. Die Grundsätze berühren nicht die Anwendung der Verordnung (EU) 2016/679 (im Folgenden „Datenschutz-Grundverordnung“ oder „DSGVO“), die für die Verarbeitung personenbezogener Daten in den EU-Mitgliedstaaten gilt. Ebenso wenig schränken die Prinzipien ansonsten nach US-Recht geltende Datenschutzverpflichtungen ein.
2. Um sich auf den Datenschutzrahmen EU-USA zur Übermittlung personenbezogener Daten aus der EU stützen zu können, muss eine Organisation gegenüber dem Ministerium (oder einer von ihm benannten Stelle) durch Selbstzertifizierung erklären, dass sie sich an die Grundsätze hält. Obwohl Entscheidungen von Organisationen, dem Datenschutzrahmen EU-USA beizutreten, vollkommen freiwillig sind, ist die wirksame Einhaltung der Grundsätze obligatorisch: Organisationen, die sich gegenüber dem Ministerium selbst zertifizieren und öffentlich erklären, dass sie die Grundsätze befolgen, müssen diese vollständig einhalten. Um dem Datenschutzrahmen EU-USA beizutreten, muss eine Organisation a) den Untersuchungs- und Durchsetzungsbefugnissen der Federal Trade Commission (im Folgenden „FTC“), des Verkehrsministeriums oder anderer gesetzlicher Organe, die die Einhaltung der Grundsätze effektiv gewährleisten, unterliegen (andere von der EU anerkannte Behörden der Vereinigten Staaten können künftig als Anhang beigefügt werden), b) öffentlich ihre Bereitschaft erklären, die Grundsätze einzuhalten, c) ihre Datenschutzbestimmungen im Einklang mit diesen Grundsätzen offenlegen und d) diese vollständig umsetzen. Ein Verstoß der Organisation gegen diese Grundsätze ist von der FTC gemäß Abschnitt 5 des Federal Trade Commission (FTC) Act zur Verhinderung unlauterer oder irreführender Praktiken, die im Handel erfolgen oder den Handel beeinträchtigen (15 U.S.C. § 45), vom Verkehrsministerium gemäß 49 U.S.C. § 41712 zur Verhinderung unlauterer oder irreführender Praktiken im Luftverkehr oder beim Verkauf von Luftverkehrsdienstleistungen durch Luftfahrtunternehmen oder Vermittler oder nach anderen Gesetzen oder Verordnungen, die solche Handlungen verbieten, verfolgbar.
In diesem Anhang I sind die Bedingungen aufgeführt, unter denen dem Datenschutzrahmen EU-USA angehörende Organisationen zur Behandlung von Ansprüchen im Schiedsverfahren nach dem Grundsatz des Rechtsschutzes, der Durchsetzung und der Haftung verpflichtet sind. Die im Folgenden beschriebene Möglichkeit des verbindlichen Schiedsverfahrens bezieht sich auf bestimmte „Restansprüche“ in Bezug auf Daten, die unter den Datenschutzrahmen EU-USA fallen. Damit soll Privatpersonen ein zeitnaher, unabhängiger und fairer Mechanismus bereitgestellt werden, der sich mit geltend gemachten Verstößen gegen die Grundsätze befasst, die nicht von einem der gegebenenfalls in Anspruch genommenen anderen Mechanismen des Datenschutzrahmens EU-USA geklärt werden konnten.
Die Grundsätze, Überblick, Absatz 5.
Im Rahmen dieses Schiedsverfahrens ist das Datenschutzrahmen-Panel (das Schiedsforum, das aus einem oder drei von den Parteien ausgewählten Schiedsrichtern besteht) befugt, einzelfallabhängige nichtmonetäre billigkeitsrechtliche Ansprüche (wie z. B. Zugang, Korrektur, Löschung oder Rückgabe der betreffenden Daten der Person) anzuerkennen, um die Verstöße gegen die Grundsätze abzustellen. Dies sind die einzigen Befugnisse des Datenschutzrahmen-Panels in Bezug auf Abhilfemaßnahmen. Bei der Prüfung von Abhilfemaßnahmen muss das Datenschutzrahmen-Panel andere bereits von anderen Mechanismen im Rahmen des Datenschutzrahmens EU-USA verhängte Abhilfemaßnahmen berücksichtigen. Schadensersatz, Kosten, Gebühren oder andere derartige Maßnahmen sind nicht verfügbar. Jede Partei muss selbst für die anfallenden Anwaltsgebühren aufkommen.
Wer das Schiedsverfahren in Anspruch nehmen möchte, muss vor der Einleitung einer Schiedsklage 1) den behaupteten Verstoß direkt bei der Organisation geltend machen und der Organisation Gelegenheit geben, die Angelegenheit innerhalb der in Abschnitt d)i) des Zusatzgrundsatzes „Beschwerdeverfahren und Durchsetzung“ aufgeführten Frist zu klären, 2) das kostenlose unabhängige Beschwerdeverfahren im Rahmen der Grundsätze in Anspruch nehmen und 3) die Angelegenheit kostenlos über seine zuständige Datenschutzbehörde dem Ministerium zuleiten und dem Ministerium die Gelegenheit geben, die Angelegenheit nach Möglichkeit innerhalb der im Schreiben der International Trade Administration des Handelsministeriums gesetzten Frist zu klären.
| UNITED STATES DEPARTMENT OF COMMERCESecretary of CommerceWashington, D.C. 20230 |
6. Juli 2023
Herrn Didier Reynders
Kommissar für Justiz
Europäische Kommission
Rue de la Loi/Wetstraat 200
1049 Brüssel
Belgien
Sehr geehrter Herr Reynders,
Unter der Voraussetzung, dass der Beschluss der Kommission über die Angemessenheit des Datenschutzrahmens EU-USA für Island, Liechtenstein und Norwegen gilt, wird die Materialsammlung zum Datenschutzrahmen EU-USA sowohl die Europäische Union als auch diese drei Länder abdecken.
Folgende Unterlagen werden beigefügt:
Die Grundsätze des Datenschutzrahmens EU-USA, einschließlich der Zusatzgrundsätze (zusammen „die Grundsätze“) und Anhang I der Grundsätze (d. h. ein Anhang, in dem die Bedingungen festgelegt sind, unter denen die dem Datenschutzrahmen angehörenden Organisationen verpflichtet sind, bestimmte Restansprüche in Bezug auf personenbezogene Daten, die unter die Grundsätze fallen, in einem Schiedsverfahren zu entscheiden),
ein Schreiben der International Trade Administration des Ministeriums, die das Datenschutzrahmen-Programm verwaltet, in dem die Verpflichtungen beschrieben werden, die unser Ministerium eingegangen ist, um sicherzustellen, dass der Datenschutzrahmen EU-USA wirksam funktioniert,
ein Schreiben der Federal Trade Commission zur internen Durchsetzung der Grundsätze,
ein Schreiben des Verkehrsministeriums zur internen Durchsetzung der Grundsätze,
ein Schreiben des Office of the Director of National Intelligence zu den für die nationalen Sicherheitsbehörden in den USA geltenden Garantien und Beschränkungen und
12. Dezember 2022
Herr Didier Reynders
Kommissar für Justiz
Europäische Kommission
Rue de la Loi/Wetstraat 200
1049 Brüssel
Belgien
Sehr geehrter Herr Reynders,
im Namen der International Trade Administration („ITA“) darf ich Ihnen mitteilen, welche Verpflichtungen das Handelsministerium („Ministerium“) eingegangen ist, um den Schutz personenbezogener Daten durch die Verwaltung und Überwachung des Datenschutzrahmen-Programms zu gewährleisten. Der Abschluss des Datenschutzrahmens EU-USA („Datenschutzrahmen“) ist ein großer Erfolg für den Datenschutz und die Unternehmen auf beiden Seiten des Atlantiks, da er den EU-Bürgern die Gewissheit bieten wird, dass ihre Daten geschützt werden und sie bei etwaigen Bedenken über Rechtsmittel verfügen, und er wird es Tausenden von Unternehmen ermöglichen, weiterhin Investitionen zu tätigen und sich anderweitig am transatlantischen Handel zu beteiligen, was unseren jeweiligen Volkswirtschaften und Bürgern zugutekommt. Der Datenschutzrahmen EU-USA ist das Ergebnis langjähriger harter Arbeit und Kooperation mit Ihnen und Ihren Kolleginnen und Kollegen in der Europäischen Kommission („Kommission“). Wir freuen uns, unsere Kooperation mit der Kommission im Sinne eines wirksamen Funktionierens dieser Zusammenarbeit fortzusetzen.
Siehe
Das Ministerium ist bestrebt, eng und produktiv mit unseren Kolleginnen und Kollegen in der EU zusammenzuarbeiten, um das Datenschutzrahmen-Programm wirksam zu verwalten und zu überwachen. Dieses Engagement zeigt sich in der Entwicklung und kontinuierlichen Optimierung eines breiten Spektrums von Ressourcen durch das Ministerium, um Organisationen bei der Selbstzertifizierung zu unterstützen, in der Einrichtung einer Website mit gezielten Informationen für interessierte Kreise, in der Zusammenarbeit mit der Kommission und den europäischen Datenschutzbehörden bei der Entwicklung von Leitlinien zur Klärung wichtiger Elemente des Datenschutzrahmens EU-USA, in der Öffentlichkeitsarbeit zur Förderung des Verständnisses der Datenschutzverpflichtungen von Organisationen und in der Überwachung und Kontrolle der Einhaltung der Anforderungen des Programms durch die Organisationen.
Unsere kontinuierliche Zusammenarbeit mit unseren geschätzten Kolleginnen und Kollegen in der EU wird es dem Ministerium ermöglichen, sicherzustellen, dass der Datenschutzrahmen EU-USA wirksam funktioniert. Die Regierung der Vereinigten Staaten arbeitet seit Langem mit der Kommission zusammen, um gemeinsame Datenschutzgrundsätze zu fördern, die Unterschiede in unseren jeweiligen rechtlichen Ansätzen zu überbrücken und gleichzeitig den Handel und das Wirtschaftswachstum in der Europäischen Union und den Vereinigten Staaten zu fördern. Wir glauben, dass der Datenschutzrahmen EU-USA, der ein Beispiel für diese Zusammenarbeit ist, es der Kommission ermöglichen wird, einen neuen Angemessenheitsbeschluss zu erlassen, der es Organisationen erlaubt, den Datenschutzrahmen EU-USA zu nutzen, um personenbezogene Daten aus der Europäischen Union in die Vereinigten Staaten im Einklang mit dem EU-Recht zu übermitteln.
| Office of the Chair | UNITED STATES OF AMERICAFederal Trade CommissionWASHINGTON, D.C. 20580 |
9. Juni 2023
Didier Reynders
Kommissar für Justiz
Europäische Kommission
Rue de la Loi / Wetstraat 200
1049 Brüssel
Belgien
Sehr geehrter Herr Reynders,
29. Februar 2016
abrufbar unter
14. Juli 2000
abrufbar unter
16. Juli 2020
Mit diesem Schreiben bekräftige ich das Engagement der FTC für eine konsequente Durchsetzung der Grundsätze des Datenschutzrahmens EU-USA. Insbesondere bekräftigen wir unser Engagement in drei Schlüsselbereichen: 1) der vorrangigen Behandlung von überwiesenen Fällen und Ermittlungen, 2) der Erwirkung und Überwachung von Anordnungen und 3) der Zusammenarbeit mit den EU-Datenschutzbehörden bei der Durchsetzung.
15 U.S.C. § 45(a). Die FTC ist nicht für Fragen der Strafverfolgung oder der nationalen Sicherheit zuständig. Sie ist nicht befugt, strafrechtliche Maßnahmen zu ergreifen oder in Fragen der nationalen Sicherheit zu entscheiden. Auch liegen die meisten anderen hoheitlichen Maßnahmen außerhalb ihres Zuständigkeitsbereichs. Hinzu kommen Einschränkungen ihrer Kompetenzen im wirtschaftlichen Bereich, die den Bankensektor, den Luftverkehr, das Versicherungsgewerbe und die Betreiber öffentlicher Telekommunikationsnetze betreffen. Auch ist die FTC nicht zuständig für die meisten gemeinnützigen Organisationen, wohl aber für nur scheinbar karitative oder gemeinnützige Einrichtungen, die in Wirklichkeit gewinnorientiert sind. In ihren Aufgabenbereich fallen auch gemeinnützige Organisationen, die zugunsten gewinnorientierter Mitglieder kommerzielle Zwecke verfolgen, indem sie ihnen beispielsweise erhebliche wirtschaftliche Vorteile verschaffen. In einigen Fällen deckt sich die Zuständigkeit der FTC mit der anderer Strafverfolgungsbehörden. Wir haben stabile Arbeitsbeziehungen zu Behörden des Bundes und der Einzelstaaten aufgebaut und arbeiten mit ihnen eng zusammen, um die Ermittlungen zu koordinieren oder gegebenenfalls Fälle an eine andere Stelle zu verweisen.
| Aktenzeichen/FTC-Fall Nr. | Rechtssache | Link | |
| 1 | FTC-Fall Nr. 2023062Rechtssache Nr. 3:22-cv-03070 (N.D. Cal.) | US v. Twitter, Inc. | |
| 2 | FTC-Fall Nr. 192 3209 | In Sachen Residual Pumpkin Entity, LLC, vormals d/b/a CafePress, und PlanetArt, LLC, d/b/a CafePress | CafePress |
| 3 | FTC-Fall Nr. 192 3133Aktenzeichen C-4747 | In der Sache Flo Health, Inc. | Flo Health |
| 4 | FTC-Fall Nr. 192 3050Aktenzeichen C-4723 | In der Sache Ortho-Clinical Diagnostics, Inc. | Ortho-Clinical |
| 5 | FTC-Fall Nr. 192 3092Aktenzeichen C-4709 | In der Sache T&M Protection, LLC | T&M Protection |
| 6 | FTC-Fall Nr. 192 3084Aktenzeichen C-4704 | In der Sache TDARX, Inc. | TDARX |
| 7 | FTC-Fall Nr. 192 3093Aktenzeichen C-4706 | In der Sache Global Data Vault, LLC | Global Data |
| 8 | FTC-Fall Nr. 192 3078Aktenzeichen C-4703 | In der Sache Incentive Services, Inc. | Incentive Services |
| 9 | FTC-Fall Nr. 192 3090Aktenzeichen C-4705 | In der Sache Click Labs, Inc. | Click Labs |
| 10 | FTC-Fall Nr. 182 3192Aktenzeichen C-4697 |
6. Juli 2023
Kommissar Didier Reynders
Europäische Kommission
Rue de la Loi / Wetstraat 200
1049 Brüssel
Belgien
Sehr geehrter Herr Reynders,
das US-Verkehrsministerium („Ministerium“) freut sich über diese Gelegenheit, näher auf seine Rolle bei der Umsetzung der Grundsätze des Datenschutzrahmens EU-USA („Datenschutzrahmen EU-USA“) eingehen zu können. Der Datenschutzrahmen EU-USA wird einen wesentlichen Beitrag zum Schutz personenbezogener Daten, die im Geschäftsverkehr in einer zunehmend vernetzten Welt zur Verfügung gestellt werden, leisten. Er wird Unternehmen in die Lage versetzen, in der globalen Wirtschaft wichtige Transaktionen durchzuführen, und zugleich sicherstellen, dass die Verbraucher in der EU ein hohes Maß an Datenschutz genießen.
Das Ministerium hat seine Verpflichtung zur Durchsetzung der Safe-Harbor-Regelung zwischen den USA und der EU erstmals vor über 22 Jahren in einem Schreiben an die Europäische Kommission öffentlich zum Ausdruck gebracht; diese Verpflichtungen wurden in einem Schreiben aus dem Jahr 2016 in Bezug auf den EU-US-Datenschutzschild wiederholt und erweitert. In diesem Schreiben verpflichtete sich das Ministerium, die Grundsätze der Safe-Harbor-Regelung zwischen den USA und der EU und anschließend die Grundsätze des Datenschutzschilds zwischen der EU und den USA mit Nachdruck geltend zu machen. Das Ministerium dehnt diese Verpflichtung auf die Grundsätze des Datenschutzrahmens EU-USA aus, und dieses Schreiben erinnert an diese Verpflichtung.
Insbesondere bestätigt das Ministerium seine Verpflichtung in den folgenden Schlüsselbereichen: 1) vorrangige Behandlung von Ermittlungen bei mutmaßlichen Verstößen gegen die Grundsätze des Datenschutzrahmens EU-USA, 2) angemessene Durchsetzungsmaßnahmen gegen Organisationen, die falsche oder irreführende Behauptungen über die Beteiligung am Datenschutzrahmen EU-USA aufstellen, und 3) Überwachung und Veröffentlichung von Durchsetzungsmaßnahmen im Zusammenhang mit Verstößen gegen die Grundsätze des Datenschutzrahmens EU-USA. Auf jede dieser Verpflichtungen wollen wir im Folgenden näher eingehen und relevante Hintergrundinformationen zur Rolle des Ministeriums beim Schutz von Verbraucherdaten und bei der Durchsetzung der Grundsätze des Datenschutzrahmens liefern, um den notwendigen Kontext herzustellen.
| US-JustizministeriumAbteilung für Strafsachen | |
| Amt des stellvertretenden Justizministers | WASHINGTON, D.C. 20530 |
23. Juni 2023
Ana Gallego Torres
Generaldirektorin für Justiz und Verbraucher
Europäische Kommission
Rue Montoyer/Montoyerstraat 59
1049 Brüssel
Belgien
Sehr geehrte Frau Generaldirektorin Gallego Torres,
In diesem Überblick geht es nicht um die Instrumente, die die Strafverfolgungsbehörden beispielsweise bei Ermittlungen im Zusammenhang mit Terrorismus oder Fragen der nationalen Sicherheit nutzen, z. B. National Security Letters (NSLs) für bestimmte Aufzeichnungen zu Kreditdaten, Finanzdaten und elektronischen Teilnehmer- und Transaktionsdaten, 12 U.S.C. § 3414; 15 U.S.C. § 1681u; 15 U.S.C. § 1681v; 18 U.S.C. § 2709, 50 U.S.C. § 3162, und nicht um die elektronische Überwachung, Durchsuchungsbefehle, Geschäftsunterlagen und die anderweitige Erfassung von Daten gemäß dem Foreign Intelligence Surveillance Act, 50 U.S.C. § 1801 ff.
Hier geht es um die Strafverfolgungs- und Aufsichtsbehörden des Bundes. Verstöße gegen das Recht der Bundesstaaten werden von diesen selbst untersucht und vor deren Gerichten verhandelt. Die Strafverfolgungsbehörden der Bundesstaaten wenden die gemäß ihrem Recht erteilten Befehle und Anordnungen an, wie sie hier dargestellt sind, wobei die Möglichkeit besteht, dass die Verfassungen oder Gesetze der Bundesstaaten ein zusätzliches Rechtsschutzniveau vorsehen, das über jenes der Verfassung der USA hinausgeht. Der von den Bundesstaaten gewährte Rechtsschutz muss mindestens dem der US-Verfassung – insbesondere dem vierten Zusatzartikel, aber nicht darauf beschränkt – entsprechen.
Im Hinblick auf die vorstehend erörterten Grundsätze des vierten Zusatzartikels zum Schutz der Privatsphäre und der Sicherheitsinteressen wenden die US-Gerichte diese Grundsätze regelmäßig auf neue Arten von Ermittlungsinstrumenten der Strafverfolgungsbehörden an, die durch technologische Entwicklungen ermöglicht werden. So entschied der Oberste Gerichtshof im Jahr 2018, dass der Erwerb historischer Standortdaten eines Mobilfunkunternehmens durch die Regierung im Rahmen einer strafrechtlichen Untersuchung über einen längeren Zeitraum eine „Durchsuchung“ darstellt, die nach dem vierten Zusatzartikel einer richterlichen Anordnung bedarf. Carpenter v. United States, 138 S. Ct. 2206 (2018).
9: Dezember 2022
Leslie B. Kiernan
General Counsel
US-Justizministerium
1401 Constitution
Ave., NW Washington, DC 20230
Sehr geehrte Frau Kiernan,
am 7. Oktober 2022 unterzeichnete Präsident Biden die Executive Order 14086 mit dem Titel „Enhancing Safeguards for United States Signals Intelligence Activities“, mit der die strengen Datenschutz- und Bürgerrechtsgarantien, die für US-Signalaufklärung gelten, verstärkt werden. Zu diesen Garantien zählen: die Anforderung, dass signalerfassende Aufklärungstätigkeiten aufgezählten legitimen Zielen dienen müssen, das ausdrückliche Verbot derartiger Tätigkeiten zur Verfolgung bestimmter verbotener Ziele, die Einführung innovativer Verfahren, die sicherstellen, dass die signalerfassende Aufklärung diesen legitimen Zielen dient und nicht verbotene Ziele fördert, die Verpflichtung, dass signalerfassende Aufklärungstätigkeiten nur dann durchgeführt werden, wenn auf der Grundlage einer angemessenen Abwägung aller relevanten Faktoren festgestellt wurde, dass sie zur Förderung einer validierten Aufklärungspriorität notwendig sind, und nur in dem Umfang und auf die Art und Weise, die der validierten Aufklärungspriorität, für die sie genehmigt wurden, angemessen sind und die Anweisung an die Nachrichtendienste, ihre Strategien und Verfahren zu aktualisieren, um den in der Executive Order geforderten Garantien im Bereich der Signalaufklärung Rechnung zu tragen. Von besonderer Bedeutung ist, dass mit der Executive Order auch eine unabhängige und verbindliche Beschwerdestelle eingerichtet wird, die es Personen aus den in der Executive Order genannten „qualifizierenden Staaten“ ermöglicht, Rechtsbehelfe einzulegen, wenn sie der Auffassung sind, dass sie rechtswidriger signalerfassender Aufklärung der USA ausgesetzt waren, einschließlich Tätigkeiten, die gegen die in der Executive Order enthaltenen Schutzbestimmungen verstoßen.
Die von Präsident Biden erlassene Executive Order 14086 ist das Ergebnis von mehr als einem Jahr dauernden ausführlichen Verhandlungen zwischen Vertretern der Europäischen Kommission („Kommission“) und den Vereinigten Staaten; sie enthält die Maßnahmen, die die Vereinigten Staaten ergreifen werden, um ihren Verpflichtungen aus dem Datenschutzrahmen EU-USA nachzukommen. Im Geiste der Zusammenarbeit, die zu diesem Rahmenprogramm geführt hat, gehe ich davon aus, dass Sie von der Kommission zwei Fragenkomplexe erhalten haben, die die Umsetzung der Executive Order durch die Nachrichtendienste betreffen. Gerne beantworte ich diese Fragen mit diesem Schreiben.
In diesem Beschluss werden die folgenden Abkürzungen verwendet:
| AAA | American Arbitration Association (Amerikanischer Verband für Schiedsgerichtsbarkeit) |
| AGG-DOM | Attorney General Guidelines for Domestic FBI Operations (Leitlinien des Justizministers für Inlandseinsätze des FBI) |
| APA | Administrative Procedure Act (Verwaltungsverfahrensgesetz) |
| Beschluss | Durchführungsbeschluss der Kommission gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates über die Angemessenheit des Schutzniveaus für personenbezogene Daten nach dem Datenschutzrahmen EU-USA |
| CIA | Central Intelligence Agency (Zentraler Nachrichtendienst) |
| CNSS | Committee on National Security Systems (Ausschuss für nationale Sicherheitssysteme) |
| DNI | Director of National Intelligence (Direktor des Nationalen Nachrichtendienstes) |
| DoJ | Department of Justice (Justizministerium) |
| DPRC | Data Protection Review Court (Datenschutzüberprüfungsgericht) |
| ECOA | Equal Credit Opportunity Act (Gesetz über die Chancengleichheit bei der Kreditvergabe) |
| ECPA | Electronic Communications Privacy Act (Gesetz zum Datenschutz in der elektronischen Kommunikation) |
| EWR | Europäischer Wirtschaftsraum |
| EO 12333 | Executive Order 12333 ‘United States Intelligence Activities’ (Durchführungsverordnung 12333 „Aufklärung durch die USA“) |
| EO 14086, EO | Executive Order 14086 ‘Enhancing Safeguards for US Signals Intelligence Activities’ (Durchführungsverordnung 14086 „Verbesserung der Garantien für signalerfassende Aufklärung durch die USA“) |
3. Das Ministerium wird eine verbindliche Liste der US-Organisationen führen und der Öffentlichkeit zugänglich machen, die sich gegenüber dem Ministerium selbst zertifiziert und zugesichert haben, die Grundsätze zu befolgen (im Folgenden „Datenschutzrahmen-Liste“). Die Vorteile des Datenschutzrahmens EU-USA sind ab dem Datum der Aufnahme der Organisation in die Datenschutzrahmen-Liste durch das Ministerium garantiert. Das Ministerium wird eine Organisation von der Datenschutzrahmen-Liste streichen, wenn sie freiwillig aus dem Datenschutzrahmen EU-USA ausscheidet oder wenn sie es versäumt, ihre jährlich fällige Zertifizierung gegenüber dem Ministerium zu erneuern. Die Organisation muss die Grundsätze für personenbezogene Daten, die sie während der Zeit ihrer Beteiligung am Datenschutzrahmen EU-USA erhalten hat, weiter einhalten, solange sie diese Daten speichert, und gegenüber dem Ministerium jährlich die Einhaltung zusichern und einen „angemessenen“ Schutz für sie bieten (z. B. durch einen Vertrag, der die Anforderungen der von der Kommission angenommenen einschlägigen Standardvertragsklauseln vollständig widerspiegelt); ansonsten muss die Organisation die Daten zurückgeben oder löschen. Das Ministerium wird die Organisationen von der Datenschutzrahmen-Liste streichen, wenn sie wiederholt gegen die Grundsätze verstoßen haben. Diese Organisationen müssen personenbezogene Daten, die sie während der Zeit ihrer Beteiligung am Datenschutzrahmen EU-USA erhalten haben, zurückgeben oder löschen. Die Streichung einer Organisation von der Datenschutzrahmen-Liste bedeutet, dass sie nicht mehr in den Genuss des Angemessenheitsbeschlusses der Kommission zum Empfang personenbezogener Daten aus der EU kommen kann.
4. Das Ministerium wird ferner ein verbindliches Verzeichnis der US-Organisationen führen und der Öffentlichkeit zugänglich machen, die ehemals eine Selbstzertifizierung gegenüber dem Ministerium abgegeben haben, aber von der Datenschutzrahmen-Liste gestrichen wurden. Das Ministerium wird deutlich darauf hinweisen, dass diese Organisationen dem Datenschutzrahmen EU-USA nicht angehören; dass die Streichung von der Datenschutzrahmen-Liste bedeutet, dass diese Organisationen nicht geltend machen können, dass sie den Datenschutzrahmen EU-USA einhalten, und sie alle Aussagen oder irreführende Praktiken vermeiden müssen, die auf ihre Beteiligung am Datenschutzrahmen EU-USA hindeuten; und dass diese Organisationen nicht mehr die sich aus dem Angemessenheitsbeschluss der Europäischen Kommission ergebenden Vorteile in Anspruch nehmen können, die ihnen den Empfang personenbezogener Daten aus der EU ermöglichen. Gegen eine Organisation, die nach ihrer Streichung von der Datenschutzrahmen-Liste weiter eine Beteiligung am Datenschutzrahmen EU-USA vorgibt oder sonstige falsche Angaben zum Datenschutzrahmen EU-USA macht, können von der FTC, vom Verkehrsministerium oder anderen Behörden entsprechende Durchsetzungsmaßnahmen eingeleitet werden.
5. Die Geltung dieser Grundsätze kann begrenzt werden a) insoweit, als sie erforderlich ist, um einer richterlichen Anordnung nachzukommen oder Erfordernissen des öffentlichen Interesses, der Strafverfolgung oder der nationalen Sicherheit gerecht zu werden, einschließlich der Fälle, in denen Gesetze oder staatliche Vorschriften entgegenstehende Verpflichtungen begründen, b) durch Gesetzesrecht, Fallrecht oder staatliche Regulierungsvorschriften, aus denen sich ausdrückliche Ermächtigungen ergeben, vorausgesetzt, die Organisation kann in Wahrnehmung einer derartigen Ermächtigung nachweisen, dass die Grundsätze nur insoweit nicht eingehalten werden, als die Einhaltung übergeordneter berechtigter Interessen aufgrund ebendieser Ermächtigung dies erfordert, oder c) wenn die DSGVO Ausnahmeregelungen vorsieht, sofern diese Ausnahmeregelungen unter vergleichbaren Voraussetzungen getroffen werden. In diesem Zusammenhang gehören zu den im US-Recht verankerten Garantien zum Schutz der Privatsphäre und der bürgerlichen Freiheiten auch diejenigen, die in der Executive Order 14086 unter den darin festgelegten Bedingungen (einschließlich der Anforderungen an die Notwendigkeit und Verhältnismäßigkeit) vorgeschrieben sind. Im Hinblick auf das Ziel eines wirksameren Schutzes der Privatsphäre sollen die Organisationen die Grundsätze in vollem Umfang und in transparenter Weise anwenden, indem sie sich unter anderem darum bemühen, in ihren Datenschutzbestimmungen die Fälle anzugeben, in denen Abweichungen von den unter Buchstabe b genannten Grundsätzen zulässig sind. Aus demselben Grund wird, wenn die Wahlmöglichkeit nach den Grundsätzen und/oder nach dem US-Recht besteht, von den Organisationen erwartet, dass sie sich, sofern möglich, für das höhere Schutzniveau entscheiden.
6. Die Organisationen sind verpflichtet, die Grundsätze nach ihrem Beitritt zum Datenschutzrahmen EU-USA auf alle personenbezogenen Daten anzuwenden, die im Vertrauen auf den Datenschutzrahmen EU-USA übermittelt werden. Eine Organisation, die sich für eine Ausdehnung der Vorteile des Datenschutzrahmens EU-USA auf Personaldaten entscheidet, die im Rahmen eines Beschäftigungsverhältnisses aus der EU übermittelt werden, muss darauf hinweisen, wenn sie sich dem Ministerium gegenüber auf die Grundsätze verpflichtet, und sie muss die in den Zusatzgrundsätzen zur Selbstzertifizierung beschriebenen Anforderungen erfüllen.
7. Für Fragen der Auslegung und der Einhaltung der Grundsätze sowie der einschlägigen Datenschutzbestimmungen durch Organisationen, die dem Datenschutzrahmen EU-USA angehören, gilt das US-Recht, außer wenn sich diese Organisationen zur Zusammenarbeit mit europäischen Datenschutzbehörden verpflichtet haben. Sofern nicht anderweitig festgelegt, finden sämtliche Bestimmungen der Grundsätze in allen Fällen, in denen sie relevant sind, Anwendung.
8. Für die Zwecke dieses Beschlusses gelten folgende Begriffsbestimmungen:
a) „personenbezogene Daten” bezeichnet in beliebiger Form aufgezeichnete Daten über eine identifizierte oder identifizierbare Person, die unter die DSGVO fallen und aus der EU an eine Organisation in den Vereinigten Staaten übermittelt werden;
b) „Verarbeitung” personenbezogener Daten bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Speichern, die Organisation, die Aufbewahrung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Benutzung, die Weitergabe oder die Verbreitung sowie das Löschen oder Vernichten;
c) „Verantwortlicher” bezeichnet eine Person oder Organisation, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
9. Der Tag des Wirksamwerdens der Grundsätze und des Anhangs I der Grundsätze ist der Tag, an dem der Angemessenheitsbeschluss der Europäischen Kommission in Kraft getreten ist.
a) Die Organisation muss Privatpersonen über Folgendes informieren:
b) Diese Angaben sind den Betroffenen unmissverständlich und deutlich erkennbar zu machen, wenn sie erstmalig ersucht werden, der Organisation personenbezogene Daten zu liefern, oder so bald wie möglich danach, auf jeden Fall aber bevor die Organisation die Daten zu anderen Zwecken verwendet als denen, für die sie von der übermittelnden Organisation ursprünglich erhoben oder verarbeitet wurden, oder bevor sie die Daten erstmalig an einen Dritten weitergibt.
a) Die Organisation muss Privatpersonen die Möglichkeit geben zu wählen (d. h. „Opt-out“), ob ihre personenbezogenen Daten i) an Dritte weitergegeben werden sollen oder ii) für einen Zweck verwendet werden sollen, der sich von dem ursprünglichen oder dem nachträglich von der betreffenden Person genehmigten Erhebungszweck wesentlich unterscheidet. Der betroffenen Person muss die Ausübung ihres Wahlrechts durch leicht erkennbare, verständliche und leicht zugängliche Verfahren ermöglicht werden.
b) Abweichend vom vorstehenden Absatz unterliegt die Übermittlung solcher Daten an einen Dritten nicht dem Grundsatz der Wahlmöglichkeit, wenn dieser im Auftrag oder auf Anweisung der Organisation tätig ist. Die Organisation schließt jedoch stets einen Vertrag mit dem Beauftragten.
c) Bei sensiblen Daten (d. h. Angaben über den Gesundheitszustand, über Rassen- oder ethnische Zugehörigkeit, über politische, religiöse oder weltanschauliche Überzeugungen, über die Mitgliedschaft in einer Gewerkschaft oder über das Sexualleben) benötigen die Organisationen die ausdrückliche Zustimmung (d. h. „Opt-in“) der betroffenen Personen, wenn diese Daten i) an Dritte weitergegeben oder ii) für einen anderen als den ursprünglichen Erhebungszweck oder den Zweck verwendet werden sollen, dem die betroffene Person nachträglich durch Ausübung des Wahlrechts zugestimmt hat. Darüber hinaus sollen die Organisationen alle ihnen von Dritten übermittelten personenbezogenen Daten als sensibel behandeln, die der Übermittler als sensibel einstuft und behandelt.
a) Eine Organisation darf personenbezogene Daten nur dann an Dritte, die als für die Verarbeitung Verantwortliche tätig sind, weitergeben, wenn sie die Grundsätze der Informationspflicht und der Wahlmöglichkeit anwendet. Die Organisation muss auch einen Vertrag mit dem als für die Verarbeitung Verantwortlichen tätigen Dritten schließen, in dem festgelegt ist, dass diese Daten nur in begrenztem Rahmen für bestimmte Zwecke im Einklang mit der von der betroffenen Person erteilten Zustimmung verarbeitet werden dürfen und dass der Empfänger das gleiche Schutzniveau vorsieht wie die Grundsätze und er die Organisation entsprechend unterrichten muss, wenn er feststellt, dass er diese Verpflichtung nicht mehr erfüllen kann. Der Vertrag muss festlegen, dass im Falle einer derartigen Festlegung der als Verantwortlicher tätige Dritte die Verarbeitung einstellt oder mit anderen sinnvollen und geeigneten Maßnahmen Abhilfe schafft.
b) Bei der Weitergabe von personenbezogenen Daten an einen Dritten, der in ihrem Auftrag und auf ihre Anweisung tätig ist, gilt für eine Organisation Folgendes: i) sie darf diese Daten nur in begrenztem Rahmen für bestimmte Zwecke weitergeben, ii) sie muss sich vergewissern, dass der Beauftragte verpflichtet ist, zumindest das Maß an Schutz personenbezogener Daten zu gewährleisten, das in den Grundsätzen gefordert wird, iii) sie muss mit angemessenen und geeigneten Schritten sicherstellen, dass der Beauftragte die weitergegebenen personenbezogenen Daten in einer den Verpflichtungen der Organisation im Rahmen der Grundsätze konformen Weise verarbeitet, iv) sie muss vom Beauftragten verlangen, dass er sie unterrichtet, wenn er feststellt, dass er seine Verpflichtung, das gleiche Schutzniveau vorzusehen wie in den Grundsätzen gefordert, nicht mehr erfüllen kann, v) sie muss auf entsprechenden Hinweis, einschließlich nach Punkt iv, sinnvolle und geeignete Schritte unternehmen, um eine unbefugte Verarbeitung zu unterbinden und vi) sie muss dem Ministerium auf Verlangen eine Zusammenfassung oder ein Exemplar der einschlägigen Datenschutzbestimmungen ihres Vertrags mit diesem Beauftragten vorlegen.
a) Organisationen, die personenbezogene Daten erstellen, verwalten, verwenden oder verbreiten, müssen angemessene und geeignete Maßnahmen ergreifen, um sie vor Verlust, Missbrauch und unbefugtem Zugriff, Weitergabe, Änderung und Zerstörung zu schützen; dabei sind insbesondere die Risiken bei der Verarbeitung und die Art der personenbezogenen Daten zu berücksichtigen.
a) In Übereinstimmung mit den Grundsätzen müssen personenbezogene Daten auf die Informationen beschränkt sein, die für den Verarbeitungszweck erheblich sind. Eine Organisation darf personenbezogene Daten nicht in einer Weise verarbeiten, die mit dem ursprünglichen Erhebungszweck oder mit dem Zweck unvereinbar ist, dem der Betroffene nachträglich zugestimmt hat. In dem für diese Zwecke notwendigen Umfang muss die Organisation durch angemessene Maßnahmen gewährleisten, dass die personenbezogenen Daten für den vorgesehenen Zweck hinreichend zuverlässig, genau, vollständig und aktuell sind. Die Organisation muss die Grundsätze so lange einhalten, wie sie diese Informationen aufbewahrt.
b) Die Daten dürfen nur so lange in einer Form aufbewahrt werden, die eine Person identifiziert oder identifizierbar macht, wie damit ein Verarbeitungszweck im Sinne von Artikel 5(a) erfüllt wird. Diese Verpflichtung hindert Organisationen nicht daran, personenbezogene Informationen über längere Zeiträume zu verarbeiten, solange und soweit diese Verarbeitung hinreichend den Zwecken einer Archivierung im öffentlichen Interesse, des Journalismus, der Literatur und Kunst, der wissenschaftlichen oder historischen Forschung und der statistischen Analyse dient. In diesen Fällen unterliegt die Verarbeitung den anderen Grundsätzen und Bestimmungen des Datenschutzrahmens EU-USA. Die Organisationen sollen zur Einhaltung dieser Bestimmung angemessene und geeignete Maßnahmen ergreifen.
a) Privatpersonen müssen Zugang zu den personenbezogenen Daten haben, die eine Organisation über sie besitzt, und sie müssen die Möglichkeit haben, diese zu korrigieren, zu ändern oder zu löschen, wenn sie falsch sind oder unter Missachtung der Grundsätze verarbeitet wurden, es sei denn, die Belastung oder die Kosten für die Gewährung des Zugangs würden in dem jeweiligen Fall in einem Missverhältnis zu den Nachteilen für den Betroffenen stehen, oder Rechte anderer Personen als des Betroffenen würden verletzt.
a) Für einen effektiven Schutz der Privatsphäre müssen belastbare Mechanismen geschaffen werden, die die Einhaltung der Grundsätze gewährleisten, Rechtsbehelfe für Betroffene vorsehen, bei deren Daten die Grundsätze nicht eingehalten wurden, sowie Sanktionen für die Organisation, die die Grundsätze nicht befolgt. Diese Mechanismen müssen mindestens Folgendes umfassen:
b) Organisationen und die von ihnen gewählten unabhängigen Beschwerdestellen werden rasch auf Anfragen und Auskunftsbegehren des Ministeriums reagieren, die mit dem Datenschutzrahmen EU-USA im Zusammenhang stehen. Alle Organisationen müssen zügig auf von Behörden der EU-Mitgliedstaaten über das Ministerium weitergeleitete Beschwerden bezüglich der Einhaltung der Grundsätze reagieren. Organisationen, die sich für eine Zusammenarbeit mit Datenschutzbehörden entschieden haben, einschließlich Organisationen, die Personaldaten verarbeiten, müssen im Zusammenhang mit der Untersuchung und Bearbeitung von Beschwerden unmittelbar auf diese Behörden eingehen.
c) Organisationen sind verpflichtet, Ansprüche im Schiedsverfahren zu regeln und die in Anlage I aufgeführten Bedingungen einzuhalten, sofern eine Privatperson durch Benachrichtigung der betreffenden Organisation und entsprechend den Verfahren und Bedingungen nach Anlage I ein verbindliches Schiedsverfahren beantragt hat.
d) Im Zusammenhang mit einer Weitergabe ist eine dem Datenschutzrahmen angehörende Organisation für die Verarbeitung der personenbezogenen Daten, die sie im Rahmen des Datenschutzrahmens EU-USA erhält und anschließend an einen Dritten weitergibt, der in ihrem Auftrag und auf ihre Anweisung tätig ist, verantwortlich. Die dem Datenschutzrahmen angehörende Organisation bleibt nach den Grundsätzen haftbar, wenn ihr Beauftragter diese personenbezogenen Daten auf eine Art und Weise verarbeitet, die nicht im Einklang mit den Grundsätzen steht, es sei denn, sie weist nach, dass sie für das Ereignis, das den Schaden bewirkt hat, nicht verantwortlich ist.
e) Wenn eine Organisation Gegenstand einer richterlichen Anordnung wegen Nichteinhaltung oder einer Anordnung einer US-Behörde (z. B. der FTC oder des Verkehrsministeriums) ist, die in den Grundsätzen oder in einem künftigen Anhang zu den Grundsätzen aufgeführt ist und auf Nichteinhaltung beruht, muss die Organisation alle relevanten Abschnitte eines dem Gericht oder der US-Behörde vorgelegten Berichts über die Einhaltung der Grundsätze oder des Datenschutzrahmens EU-USA veröffentlichen, soweit dies mit den Vertraulichkeitsanforderungen vereinbar ist. Das Ministerium hat eine spezielle Kontaktstelle eingerichtet, an die sich Datenschutzbehörden bei Compliance-Problemen von dem Datenschutzrahmen angehörenden Organisationen wenden können. Die FTC und das Verkehrsministerium werden Fälle der Missachtung der Grundsätze, die ihr vom Ministerium und Behörden der EU-Mitgliedstaaten zugeleitet wurden, vorrangig behandeln und vorbehaltlich der geltenden Geheimhaltungsvorschriften zeitnah mit den vorlegenden staatlichen Behörden Informationen zu diesen Fällen austauschen.
a) Eine Organisation muss keine ausdrückliche Zustimmung (d. h. „Opt-in“) für die Verarbeitung sensibler Daten einholen, wenn die Verarbeitung
a) Da die Pressefreiheit durch die amerikanische Verfassung geschützt ist, ist für die Interessenabwägung, wenn die im ersten Zusatzartikel zur Verfassung der Vereinigten Staaten verankerte Pressefreiheit mit dem Recht auf Schutz der Privatsphäre kollidiert, der erste Zusatzartikel maßgeblich, soweit es um die Tätigkeit natürlicher oder juristischer Personen in den USA geht.
b) Die Grundsätze gelten nicht für personenbezogene Daten, die zur Veröffentlichung, zur Verbreitung über Rundfunk und Fernsehen oder für andere Formen öffentlicher Kommunikation gesammelt werden, unabhängig davon, ob sie tatsächlich genutzt werden oder nicht, ebenso nicht für früher veröffentlichtes Material, das aus Medienarchiven stammt.
a) Internetdienstanbieter, Telekommunikationsunternehmen und andere Organisationen sind nicht nach den Grundsätzen haftbar, wenn sie im Namen einer anderen Organisation Daten lediglich übermitteln, weiterleiten oder zwischenspeichern. Der Datenschutzrahmen EU-USA begründet keine hilfsweise Haftung. Soweit eine Organisation personenbezogene Daten Dritter nur weiterleitet und weder Mittel noch Zweck ihrer Verarbeitung bestimmt, ist sie nicht haftbar.
a) Bei der Tätigkeit von Investmentbanken und Wirtschaftsprüfern kann es vorkommen, dass personenbezogene Daten ohne Wissen und Einwilligung des Betroffenen verarbeitet werden. Dies ist unter den nachfolgend aufgeführten Voraussetzungen mit den Grundsätzen der Informationspflicht, des Wahlrechts und des Auskunftsrechts vereinbar.
b) Aktiengesellschaften und personenbezogene Aktiengesellschaften, einschließlich dem Datenschutzrahmen angehörender Organisationen, werden regelmäßig einer Wirtschaftsprüfung unterzogen. Diese Prüfungen, vor allem wenn damit ein potenzielles Fehlverhalten untersucht wird, können in Gefahr geraten, wenn sie vorzeitig bekannt werden. Eine dem Datenschutzrahmen angehörende Organisation, bei der eine Fusion oder Übernahme ansteht, muss zudem eine Due-Diligence-Prüfung durchführen oder ist Gegenstand einer derartigen Prüfung. Dabei werden oft personenbezogene Daten erhoben und verarbeitet, wie z. B. Informationen über Führungskräfte und andere Leistungsträger. Eine vorzeitige Bekanntgabe könnte den Abschluss behindern oder gegen geltende Wertpapiervorschriften verstoßen. Investmentbanken und Rechtsanwälte, die eine Due-Diligence-Prüfung durchführen, oder Wirtschaftsprüfer können personenbezogene Daten ohne Wissen des Betroffenen nur verarbeiten, soweit und solange das aufgrund gesetzlicher oder im öffentlichen Interesse liegender Erfordernisse notwendig ist, und können das auch in anderen Fällen, wenn die Anwendung der Grundsätze ihren legitimen Interessen zuwiderlaufen würde. Legitim sind u. a. die Kontrolle von Organisationen auf Erfüllung ihrer gesetzlichen Pflichten, die Prüfung ihrer Rechnungslegung und die Wahrung der Vertraulichkeit von Informationen betreffend mögliche Übernahmen, Fusionen und Joint Ventures sowie ähnliche Vorgänge, die von Investmentbanken oder Wirtschaftsprüfern abgewickelt werden.
a) Die Organisationen werden ihre Verpflichtung zur Zusammenarbeit mit Datenschutzbehörden wie nachfolgend dargelegt umsetzen. Im Rahmen des Datenschutzrahmens EU-USA müssen sich in den USA ansässige Organisationen, die personenbezogene Daten aus der EU erhalten, verpflichten, wirksame Mechanismen einzusetzen, um die Einhaltung der Grundsätze zu gewährleisten. Wie im Grundsatz des Rechtsschutzes, der Durchsetzung und der Haftung beschrieben, gehören zu diesen Mitteln a)i) Rechtsbehelfe für Personen, über die die Organisationen Daten besitzen, a)ii) Verfahren, mit denen sie überprüfen, ob ihre Aussagen und Zusicherungen betreffend ihre Datenschutzpraxis den Tatsachen entsprechen, a)iii) die Pflicht der Organisationen, Abhilfe zu schaffen, falls es zu Problemen kommt, weil die Grundsätze bei ihnen nicht gewahrt werden, sowie Sanktionen für Verstöße gegen diese Grundsätze. Den Punkten a)i) und a)iii) des Grundsatzes des Rechtsschutzes, der Durchsetzung und der Haftung können Organisationen dadurch entsprechen, dass sie die hier festgelegten Anforderungen zur Zusammenarbeit mit den Datenschutzbehörden einhalten.
b) Eine Organisation verpflichtet sich zur Zusammenarbeit mit den Datenschutzbehörden, indem sie in der Mitteilung über die Selbstzertifizierung gegenüber dem Handelsministerium (siehe Zusatzgrundsatz „Selbstzertifizierung“) Folgendes erklärt:
c) Tätigkeit von Gremien der Datenschutzbehörden
d) Wünscht eine Organisation, dass ihr die Vorteile des Datenschutzrahmens auch bei Personaldaten zuteilwerden, die zur Verwendung im Rahmen von Beschäftigungsverhältnissen aus der EU übermittelt werden, muss sie sich in Bezug auf diese Daten zur Zusammenarbeit mit den Datenschutzbehörden verpflichten (siehe Zusatzgrundsatz „Personaldaten“).
e) Organisationen, die sich für diese Option entscheiden, zahlen eine Jahresgebühr, die dazu bestimmt ist, die laufenden Kosten des Gremiums der Datenschutzbehörden zu decken. Ferner können sie zur Begleichung der Kosten für alle erforderlichen Übersetzungen herangezogen werden, die sich aus der Beratungstätigkeit des Gremiums im Zusammenhang mit Beschwerden gegenüber den Organisationen ergeben. Die Höhe der Gebühr wird vom Ministerium nach Anhörung der Kommission festgelegt. Die Einziehung der Gebühr kann durch einen vom Ministerium ausgewählten Dritten erfolgen, der als Verwahrer der zu diesem Zweck eingezogenen Mittel fungiert. Das Ministerium wird eng mit der Kommission und den Datenschutzbehörden zusammenarbeiten, um geeignete Verfahren für die Verteilung der durch die Gebühr eingenommenen Mittel sowie andere verfahrenstechnische und administrative Aspekte des Gremiums festzulegen. Das Ministerium und die Kommission können vereinbaren, die Häufigkeit der Erhebung der Gebühr zu ändern.
a) In den Genuss der Vorteile des Datenschutzrahmens EU-USA kommt eine Organisation ab dem Datum der Aufnahme der Organisation in die Datenschutzrahmens-Liste durch das Ministerium. Das Ministerium wird eine Organisation erst dann auf die Datenschutzrahmen-Liste setzen, wenn es festgestellt hat, dass die erste Selbstzertifizierung der Organisation vollständig ist, und es wird die Organisation von dieser Liste streichen, wenn sie freiwillig ausscheidet, es versäumt, ihre jährlich fällige Zertifizierung zu erneuern oder die Grundsätze dauerhaft nicht einhält (siehe Zusatzgrundsatz „Beschwerdeverfahren und Durchsetzung“)
b) Um sich erstmals für den Datenschutzrahmen EU-USA zu zertifizieren oder später erneut zu zertifizieren, muss eine Organisation jedes Mal einen Antrag an das Ministerium stellen, der von einem leitenden Mitarbeiter im Namen der Organisation, die ihre Einhaltung der Grundsätze selbst zertifiziert oder erneut zertifiziert (je nach Fall), eingereicht wird und mindestens die folgenden Informationen enthält:
c) Wenn die Organisation wünscht, dass ihr die Vorteile des Datenschutzrahmens EU-USA auch bei Personaldaten zuteilwerden, die zur Verwendung im Rahmen von Beschäftigungsverhältnissen aus der EU übermittelt werden, so ist dies möglich, wenn eine in den Grundsätzen oder in einem künftigen Anhang zu den Grundsätzen aufgeführte gesetzliche Aufsichtsbehörde befugt ist, Beschwerden gegen die Organisation aufgrund der Verarbeitung von Personaldaten entgegenzunehmen. Darüber hinaus muss die Organisation darauf in ihrem ersten Selbstzertifizierungsantrag sowie in allen Anträgen auf erneute Zertifizierung hinweisen und sich bereit erklären, gemäß den Zusatzgrundsätzen „Personaldaten“ und „Rolle der Datenschutzbehörden“, soweit anwendbar, mit den Datenschutzbehörden in der EU zusammenzuarbeiten und den Empfehlungen dieser Behörden nachzukommen. Außerdem muss die Organisation dem Ministerium ihre Datenschutzbestimmungen für Personaldaten sowie Angaben dazu übermitteln, wo die Datenschutzbestimmungen von den betroffenen Mitarbeitern eingesehen werden können.
d) Das Ministerium führt die Datenschutzrahmen-Liste der Organisationen, die erste Selbstzertifizierungsanträge eingereicht haben, und macht sie öffentlich zugänglich. Diese Liste wird auf der Grundlage der eingereichten Anträge auf die jährlichen erneuten Zertifizierungen sowie der Meldungen aktualisiert, die gemäß dem Zusatzgrundsatz „Beschwerdeverfahren und Durchsetzung“ eingehen. Diese Selbstzertifizierungsanträge sind mindestens jährlich neu vorzulegen, andernfalls wird die Organisation von der Datenschutzrahmen-Liste gestrichen, und die Vorteile des Datenschutzrahmens EU-USA sind nicht mehr garantiert. Alle Organisationen, die vom Ministerium auf die Datenschutzrahmen-Liste aufgenommen werden, müssen über einschlägige Datenschutzbestimmungen verfügen, die mit dem Grundsatz der Informationspflicht übereinstimmen, und in diesen Datenschutzbestimmungen angeben, dass sie sich an die Grundsätze halten. Wenn die Datenschutzbestimmungen einer Organisation online verfügbar sind, müssen sie mit einem Hyperlink zur Datenschutzrahmen-Website des Ministeriums sowie mit einem Hyperlink zur Website oder dem Beschwerdeformular der unabhängigen Beschwerdestelle versehen sein, der zur Verfügung steht, um ungelöste, mit den Grundsätzen zusammenhängende Beschwerden kostenlos für den Einzelnen zu untersuchen.
e) Die Grundsätze gelten unmittelbar vom Zeitpunkt der Selbstzertifizierung an. Dem Datenschutzrahmen angehörende Organisationen, die sich zuvor selbst nach den Grundsätzen des EU-US-Datenschutzschilds zertifiziert haben, müssen ihre Datenschutzbestimmungen aktualisieren und sich stattdessen auf die „Grundsätze des Datenschutzrahmens EU-USA“ beziehen. Diese Organisationen nehmen diesen Hinweis so bald wie möglich auf, spätestens jedoch drei Monate nach Inkrafttreten der Grundsätze des Datenschutzrahmens EU-USA.
f) Eine Organisation muss alle personenbezogenen Daten, die sie aus der EU auf der Grundlage des Datenschutzrahmens EU-USA erhält, den Grundsätzen unterwerfen. Die Verpflichtung auf die Grundsätze gilt ohne zeitliche Begrenzung für personenbezogene Daten, die der Organisation übermittelt wurden, während sie in den Genuss der Vorteile des Datenschutzrahmens EU-USA gelangte. Diese Daten unterliegen den Grundsätzen so lange, wie die Organisation sie speichert, verarbeitet oder weitergibt, und das auch dann noch, wenn sie aus welchem Grund auch immer aus dem Datenschutzrahmen EU-USA ausscheidet. Eine Organisation, die aus dem Datenschutzrahmen EU-USA ausscheiden möchte, muss dies dem Ministerium im Voraus mitteilen. In dieser Mitteilung muss auch angegeben werden, was die Organisation mit den personenbezogenen Daten, die sie unter Berufung auf den Datenschutzrahmen EU-USA erhalten hat, zu tun gedenkt (d. h. ob sie die Daten aufbewahren, zurückgeben oder löschen wird und, falls sie die Daten aufbewahren wird, die zulässigen Mittel, mit denen sie den Schutz der Daten gewährleisten wird). Eine Organisation, die aus dem Datenschutzrahmen EU-USA ausscheidet, diese Daten aber behalten möchte, muss sich entweder dem Handelsministerium gegenüber jährlich dazu verpflichten, die Grundsätze auf die Daten weiterhin anzuwenden, oder für den „angemessenen“ Schutz der Daten durch andere zulässige Mittel sorgen (z. B. durch einen Vertrag, der den Anforderungen der von der Kommission gebilligten einschlägigen Standardklauseln vollauf genügt); andernfalls muss die Organisation die Daten zurückgeben oder löschen. Eine Organisation, die aus dem Datenschutzrahmen EU-USA ausscheidet, muss aus den relevanten Datenschutzbestimmungen jede Bezugnahme auf den Datenschutzrahmen EU-USA entfernen, die darauf hindeutet, dass sich die Organisationen weiterhin aktiv am Datenschutzrahmen EU-USA beteiligt und Anspruch auf die damit verbundenen Vorteile hat.
g) Eine Organisation, die aufgrund einer Änderung des Unternehmensstatus (z. B. durch Fusion, Übernahme, Konkurs oder Auflösung) ihren Status als selbstständige rechtliche Einheit verliert, muss dies dem Ministerium vorher mitteilen. In der Mitteilung sollte auch angegeben werden, ob der aus der Änderung des Unternehmensstatus hervorgehende Rechtsträger i) weiterhin am Datenschutzrahmen EU-USA durch eine bestehende Selbstzertifizierung beteiligt sein wird, ii) sich als neuer Beteiligter am Datenschutzrahmen EU-USA selbst zertifizieren wird (z. B. wenn der neue oder weiterbestehende Rechtsträger nicht bereits über eine bestehende Selbstzertifizierung verfügt, mit der er am Datenschutzrahmen EU-USA teilnehmen könnte), oder iii) andere Garantien einführen wird, z. B. eine schriftliche Vereinbarung, um sicherzustellen, dass die Grundsätze weiterhin auf alle personenbezogenen Daten angewendet werden, die die Organisation im Rahmen des Datenschutzrahmens EU-USA erhalten hat und aufbewahren wird. Ist weder i) noch ii) noch iii) der Fall, müssen personenbezogene Daten, die im Rahmen des Datenschutzrahmens erhoben wurden, unverzüglich zurückgegeben oder gelöscht werden.
h) Wenn eine Organisation aus welchem Grund auch immer den Datenschutzrahmen EU-USA verlässt, muss sie alle Erklärungen entfernen, die darauf hindeuten, dass sie sich weiter am Datenschutzrahmen EU-USA beteiligt oder Ansprüche auf die damit verbundenen Vorteile hat. Wurde das Gütesiegel des Datenschutzrahmens EU-USA verwendet, ist auch dies zu entfernen. Bei falschen Angaben über die Einhaltung der Grundsätze, die die Organisation gegenüber der Öffentlichkeit macht, können die FTC, das Verkehrsministerium oder andere zuständige staatliche Stellen gegen sie vorgehen. Falsche Angaben gegenüber dem Ministerium unterliegen dem False Statements Act (18 U.S.C. § 1001).
a) Organisationen müssen sich anhand von Kontrollverfahren vergewissern, dass der von ihnen zugesicherte Datenschutz im Rahmen des Datenschutzrahmens EU-USA tatsächlich besteht und dass ihre Datenschutzpolitik tatsächlich umgesetzt worden ist und den Grundsätzen entspricht.
b) Die nach dem Grundsatz des Rechtschutzes, der Durchsetzung und der Haftung erforderliche anlassunabhängige Kontrolle muss eine Organisation entweder selbst durchführen oder von einer externen Stelle durchführen lassen.
c) Bei einer Selbstzertifizierung ist nachzuweisen, dass die Bestimmungen der Organisation für den Schutz personenbezogener Daten aus der EU korrekt, umfassend und leicht zugänglich sind, den Grundsätzen entsprechen und vollständig umgesetzt werden (d. h. dass diese Regeln eingehalten werden). Die Organisation muss ferner feststellen, dass betroffene Personen über interne Beschwerdeverfahren und Beschwerdeverfahren bei unabhängigen Schiedsstellen informiert werden, dass sie ihre Arbeitnehmer systematisch in der Praxis des Datenschutzes unterweist und Verstöße gegen die Datenschutzregeln ahndet und dass es bei ihr interne Verfahren gibt, nach denen die Einhaltung der Datenschutzvorschriften regelmäßig und objektiv überprüft wird. Die Selbstkontrolle muss mindestens einmal jährlich stattfinden, eine Erklärung über ihre Durchführung ist von einem leitenden Angestellten oder einem bevollmächtigten Vertreter der Organisation zu unterzeichnen; sie ist vorzulegen auf Verlangen von Privatpersonen, im Rahmen einer Untersuchung oder bei einer Beschwerde wegen Nichteinhaltung von Datenschutzvorschriften.
d) Bei einer externen anlassunabhängigen Kontrolle ist nachzuweisen, dass die Bestimmungen der Organisation für den Schutz personenbezogener Daten aus der EU korrekt, umfassend und leicht zugänglich sind, den Grundsätzen entsprechen und vollständig umgesetzt werden (d. h. dass diese Regeln eingehalten werden). Ferner ist anzugeben, dass Privatpersonen über die Beschwerdewege informiert werden, die ihnen offenstehen. Dazu können ohne Einschränkung Buchprüfungen und Zufallskontrollen durchgeführt sowie „Köder“ und jede Art von technischen Hilfsmitteln eingesetzt werden. Die externe Kontrolle muss mindestens einmal jährlich stattfinden, eine Erklärung über ihre Durchführung ist entweder vom Prüfer oder von einem leitenden Angestellten bzw. einem bevollmächtigten Vertreter der Organisation zu unterzeichnen; sie ist vorzulegen auf Verlangen von Privatpersonen, im Rahmen einer Untersuchung oder bei einer Beschwerde wegen Nichteinhaltung von Datenschutzvorschriften.
e) Organisationen müssen ihre Unterlagen zur Umsetzung ihrer nach den Grundsätzen des Datenschutzrahmens EU-USA konzipierten Datenschutzbestimmungen dokumentieren und im Fall einer Untersuchung oder einer Beschwerde wegen Verletzung der Datenschutzvorschriften ihre Unterlagen der unabhängigen Beschwerdestelle übergeben, die für die Prüfung von Beschwerden zuständig ist, oder der gesetzlichen Aufsichtsbehörde, die bei unlauteren und irreführenden Geschäftspraktiken entscheidungsbefugt ist. Die Organisationen müssen zudem unverzüglich auf Anfragen und andere Auskunftsbegehren des Ministeriums reagieren, die sich auf die Einhaltung der Grundsätze beziehen.
i) Nach den Grundsätzen ist das Auskunftsrecht grundlegend für den Schutz der Privatsphäre. Es ermöglicht dem Einzelnen, die Richtigkeit von Daten zu überprüfen, die über ihn gespeichert sind. Das Auskunftsrecht bedeutet, dass Privatpersonen einen Anspruch darauf haben,
ii) Wer Zugang zu den ihn betreffenden Daten verlangt, muss das nicht begründen. Verlangt jemand Zugang zu den über ihn gespeicherten Daten, sollte sich die angesprochene Organisation zunächst fragen, welche Gründe die Person dazu veranlassen. Ist beispielsweise eine Anfrage vage formuliert oder betrifft sie einen sehr weiten Bereich, so kann die Organisation mit der Person in Dialog treten, um die Gründe für die Anfrage besser zu verstehen und die gewünschten Daten zu ermitteln. Die Organisation kann sich danach erkundigen, mit welchen Teilen der Organisation die Person Kontakt hatte oder um welche Art von Daten bzw. deren Nutzung es geht.
iii) Wegen seines grundlegenden Charakters sollen Organisationen das Auskunftsrecht nie ohne Not beschränken. Müssen z. B. bestimmte Daten geschützt werden und lassen sie sich leicht von den personenbezogenen Daten trennen, zu denen Zugang verlangt wird, sollte die Organisation die geschützten Daten unkenntlich machen und die übrigen zur Verfügung stellen. Beschließt eine Organisation in einem bestimmten Fall, den Zugang einzuschränken, sollte sie der Person, die um Zugang ersucht hat, ihre Entscheidung begründen und ihr eine Kontaktstelle nennen, die weitere Auskünfte erteilt.
i) Das Recht auf Zugang zu personenbezogenen Daten darf nur in Ausnahmefällen eingeschränkt werden, wenn legitime Rechte Dritter verletzt würden oder wenn die Zugangsgewährung mit Kosten oder Aufwand verbunden ist, die im Einzelfall in keinem Verhältnis zum Nachteil für die Privatsphäre des Betroffenen stehen. Zwar sind bei der Beurteilung der Zumutbarkeit die Kosten und der Aufwand zu berücksichtigen, die die Gewährung des Zugangs erfordert, sie sind aber nicht entscheidend.
ii) Bilden die personenbezogenen Daten etwa die Grundlage für Entscheidungen, die für die Person von großer Tragweite sind (z. B. die Gewährung oder Versagung erheblicher Vorteile wie eine Versicherung, einen Kredit oder einen Arbeitsplatz), dann ist es der Organisation im Einklang mit den anderen Bestimmungen dieser Zusatzgrundsätze zumutbar, über diese Daten Auskunft zu geben, selbst wenn das einen relativ hohen Kosten- und Arbeitsaufwand erfordert. Wenn die angeforderten personenbezogenen Daten nicht sensibel sind oder nicht für Entscheidungen verwendet werden, die für die Person von großer Tragweite sind, die Daten aber leicht zugänglich sind und kostengünstig zur Verfügung gestellt werden können, muss die Organisation Zugang zu diesen Daten gewähren.
i) Vertrauliche Geschäftsdaten sind Daten, die ihr Inhaber durch besondere Vorkehrungen vor unbefugtem Zugriff geschützt hat, weil ihre Kenntnis Konkurrenten Vorteile verschaffen würde. Eine Organisation kann den Zugang zu personenbezogenen Daten verwehren oder einschränken, wenn durch einen vollständigen Zugang eigene vertrauliche Geschäftsdaten, wie z. B. von der Organisation erarbeitete Marketingkonzepte und Klassifikationen, oder aber Geschäftsdaten anderer, die einer vertraglichen Geheimhaltungspflicht unterliegen, offenbart würden.
ii) Können vertrauliche Geschäftsdaten leicht von den personenbezogenen Daten getrennt werden, zu denen Zugang verlangt wird, sollte die Organisation die vertraulichen Daten unkenntlich machen und die nichtvertraulichen zur Verfügung stellen.
i) Es genügt, wenn Organisationen der betreffenden Person mitteilen, welche personenbezogenen Daten über sie gespeichert sind; der Person muss kein Zugang zur Datenbank der Organisation gewährt werden.
ii) Die Organisation muss nur Auskunft über die von ihr gespeicherten personenbezogenen Daten geben. Das Auskunftsrecht begründet keine Pflicht, Dateien mit personenbezogenen Daten aufzubewahren, zu pflegen oder erforderlichenfalls umzustrukturieren.
i) Da Organisationen sich immer redlich bemühen müssen, Privatpersonen Zugang zu ihren personenbezogenen Daten zu verschaffen, ist eine Beschränkung des Zugangs nur in wenigen Fällen möglich und muss stets konkret begründet werden. Wie im Rahmen der Datenschutz-Grundverordnung kann eine Organisation den Zugang zu personenbezogenen Daten insoweit beschränken, als ihre Bekanntgabe wesentliche öffentliche Belange gefährden würde wie die nationale Sicherheit, die Verteidigung oder die öffentliche Sicherheit. Außerdem kann der Zugang verwehrt werden, wenn personenbezogene Daten ausschließlich für wissenschaftliche oder statistische Zwecke verarbeitet werden sollen. Weitere Gründe für die Verweigerung oder Beschränkung des Zugangs sind:
ii) Eine Organisation, die sich auf einen dieser Ausnahmefälle beruft, muss nachweisen, dass er tatsächlich vorliegt, und der anfragenden Person die Gründe für die Beschränkung des Zugangs sowie eine Kontaktstelle für weitere Fragen mitteilen.
i) Personen haben das Recht, eine Bestätigung darüber zu erhalten, ob die Organisation sie betreffende personenbezogene Daten besitzt. Ebenso haben Personen ein Recht darauf, dass ihnen die sie betreffenden personenbezogenen Daten mitgeteilt werden. Eine Organisation kann eine Gebühr erheben, die nicht überhöht sein darf.
ii) Die Erhebung einer Gebühr kann beispielsweise gerechtfertigt sein, wenn das Auskunftsbegehren offenkundig überzogen ist, insbesondere bei ständiger Wiederholung.
iii) Der Zugang darf nicht aus Kostengründen verwehrt werden, wenn die Personen, die den Zugang verlangen, bereit sind, diese Kosten zu übernehmen.
i) Eine Organisation kann die Zahl der Anfragen einer Person innerhalb eines bestimmten Zeitraums angemessen begrenzen. Bei der Festlegung dieser Grenze sind Faktoren zu berücksichtigen wie die Häufigkeit, mit der Daten aktualisiert werden, der Zweck, für den die Daten verwendet werden, und die Art der Daten.
i) Eine Organisation muss nur Auskunft erteilen, wenn die anfragende Person ihre Identität zweifelsfrei nachweist.
i) Eine Organisation soll innerhalb angemessener Frist auf angemessene und eine für die anfragenden Personen leicht verständliche Weise auf Auskunftsbegehren antworten. Organisationen, die betroffene Personen regelmäßig informieren, können einem einzelnen Auskunftsbegehren im Rahmen ihrer regelmäßigen Auskünfte nachkommen, wenn es dadurch nicht zu einer übermäßigen Verzögerung kommt.
i) Übermittelt eine in der EU ansässige Organisation im Rahmen des Beschäftigungsverhältnisses erhobene personenbezogene Daten über ihre (früheren oder derzeitigen) Arbeitnehmer an eine Mutterorganisation, eine verbundene Organisation oder eine nicht verbundene Dienstleistungsorganisation in den USA, die dem Datenschutzrahmen EU-USA angehört, so fällt diese Übermittlung in den Anwendungsbereich der Grundsätze des Datenschutzrahmens EU-USA. In einem solchen Fall gelten für die Erhebung der Daten und ihre Verarbeitung vor der Übermittlung die Rechtsvorschriften des EU-Mitgliedstaats, aus dem sie stammen; sämtliche nach diesen Rechtsvorschriften geltende Bedingungen und Beschränkungen der Übermittlung müssen beachtet werden.
ii) Die Grundsätze gelten nur für die Übermittlung von und den Zugriff auf Daten über identifizierte oder identifizierbare Privatpersonen. Die Verwendung von statistischen Informationen, die auf aggregierten Beschäftigungsdaten beruhen und keine personenbezogenen Daten enthalten, oder von anonymisierten Daten ist unter dem Datenschutzaspekt unbedenklich.
i) Eine Organisation in den USA, die unter Anwendung der Grundsätze des Datenschutzrahmens EU-USA Personaldaten aus der EU empfangen hat, darf diese Dritten nur offenlegen oder diese nur für andere Zwecke nutzen, wenn das mit den Grundsätzen der Informationspflicht und der Wahlmöglichkeit vereinbar ist. Will beispielsweise eine Organisation in den USA Personaldaten einer Organisation in der EU für Zwecke wie Direktmarketing nutzen, muss sie zuvor den betroffenen Personen die Wahlmöglichkeit geben, es sei denn, diese haben bereits der Nutzung der Daten für die jeweiligen Zwecke zugestimmt. Diese Nutzung darf nicht mit den Zwecken unvereinbar sein, zu denen die personenbezogenen Daten erhoben wurden oder denen der Betroffene nachträglich zugestimmt hat. Macht ein Arbeitnehmer von seinem Recht Gebrauch, die Erlaubnis zu versagen, darf das keine Minderung seiner Berufschancen und keine Sanktionen gegen ihn zur Folge haben.
ii) Es ist darauf hinzuweisen, dass aufgrund einiger allgemeingültiger Bedingungen für die Übermittlung von Daten durch bestimmte EU-Mitgliedstaaten die Nutzung der Daten für andere Zwecke auch nach der Übermittlung in Länder außerhalb der EU ausgeschlossen werden kann; solche Bedingungen müssen eingehalten werden.
iii) Außerdem ist den individuellen Datenschutzbedürfnissen der Arbeitnehmer angemessen Rechnung zu tragen. Auf Wunsch könnte etwa der Zugriff auf bestimmte personenbezogene Daten beschränkt werden oder Daten könnten anonymisiert oder Codes/Pseudonymen zugeordnet werden, wenn der tatsächliche Name für den vorgesehenen Zweck nicht benötigt wird.
iv) Die Organisation ist in dem Maß und so lange von der Pflicht zur Information und zur Beachtung der Wahlmöglichkeit befreit, wie es für Beförderungen, Ernennungen und ähnliche Personalentscheidungen notwendig ist.
i) Im Zusatzgrundsatz „Auskunftsrecht“ wird ausgeführt, aus welchen Gründen der Zugang zu Personaldaten beschränkt oder verwehrt werden kann. Selbstverständlich müssen EU-Arbeitgeber den EU-Arbeitnehmern nach den Rechtsvorschriften ihres Landes Zugang zu Personaldaten gewähren, unabhängig davon, wo diese Daten verarbeitet oder gespeichert werden. Nach dem Datenschutzrahmen EU-USA muss eine Organisation, die solche Daten in den USA verarbeitet, diesen Zugang direkt oder unter Einschaltung des EU-Arbeitgebers gewährleisten.
i) Soweit personenbezogene Daten nur im Rahmen des Beschäftigungsverhältnisses verwendet werden, bleibt gegenüber dem Arbeitnehmer in erster Linie die in der EU ansässige Organisation verantwortlich. Folglich ist ein europäischer Arbeitnehmer, der gegen die Verwendung der ihn betreffenden Daten Beschwerde erhoben hat (organisationsintern, bei einer externen Stelle oder nach einem tarifvertraglich vorgesehenen Verfahren) und mit dem Ergebnis nicht zufrieden ist, an den zuständigen Datenschutzbeauftragten oder die für arbeitsrechtliche Fragen zuständige Behörde des Landes zu verweisen, in dem er beschäftigt ist. Das gilt auch, wenn für den als unzulässig betrachteten Umgang mit den personenbezogenen Daten die US-Organisation verantwortlich ist, die die Informationen von dem Arbeitgeber erhalten hat, und somit ein Verstoß gegen die Grundsätze vorliegt. So lässt sich am ehesten klären, wie die einander überschneidenden Bestimmungen des Arbeitsrechts, der Tarifverträge und des Datenschutzrechts miteinander in Einklang zu bringen sind.
ii) Eine dem Datenschutzrahmen EU-USA angehörende US-Organisation, die Personaldaten, die im Rahmen eines Beschäftigungsverhältnisses aus der EU übermittelt wurden, verwendet und wünscht, dass auf solche Übermittlungen die Grundsätze des Datenschutzrahmens EU-USA angewandt werden, muss sich also verpflichten, gegebenenfalls bei Untersuchungen der in der EU jeweils zuständigen Behörden mitzuwirken und deren Empfehlungen zu befolgen.
i) Bei gelegentlichen beschäftigungsbezogenen operativen Erfordernissen der dem Datenschutzrahmen angehörenden Organisation im Hinblick auf im Rahmen des Datenschutzrahmens EU-USA übertragene personenbezogene Daten, wie z. B. die Buchung von Flügen, Hotelzimmern oder den Abschluss von Versicherungen, kann die Übertragung personenbezogener Daten einer geringen Zahl von Arbeitnehmern an für die Verarbeitung Verantwortliche ohne Anwendung des Auskunftsrechtgrundsatzes oder Abschluss eines Vertrags mit dem als für die Verarbeitung Verantwortlicher tätigen Dritten erfolgen, wie es ansonsten entsprechend dem Grundsatz der Verantwortlichkeit für die Weitergabe notwendig wäre, vorausgesetzt, die dem Datenschutzrahmen angehörende Organisation hat die Grundsätze der Informationspflicht und der Wahlmöglichkeit eingehalten.
i) Wenn personenbezogene Daten aus der EU in den USA im Auftrag verarbeitet werden sollen, muss dafür ein Vertrag geschlossen werden unabhängig davon, ob der Auftragsverarbeiter der Vereinbarung zum Datenschutzrahmen EU-USA beigetreten ist oder nicht.
ii) Werden Daten lediglich zur Verarbeitung im Auftrag übermittelt, muss der in der EU für die Verarbeitung Verantwortliche darüber stets einen Vertrag schließen, gleich ob die Verarbeitung in oder außerhalb der EU stattfindet und ob der Auftragsverarbeiter dem Datenschutzrahmen EU-USA angehört oder nicht. Mit dem Vertrag soll sichergestellt werden, dass der Auftragsverarbeiter
iii) Da die dem Datenschutzrahmen angehörenden Organisationen einen angemessenen Schutz gewähren, ist bei reinen Verarbeitungsverträgen mit diesen Organisationen keine vorherige Genehmigung erforderlich.
i) Werden personenbezogene Daten zwischen zwei für die Verarbeitung Verantwortlichen innerhalb einer kontrollierten Gruppe von Unternehmen übermittelt, ist ein Vertrag nach dem Grundsatz der Vertraulichkeit der Weitergabe nicht immer erforderlich. Für die Verarbeitung Verantwortliche innerhalb einer kontrollierten Gruppe von Unternehmen können für diese Übermittlungen andere Instrumente zugrunde legen, wie z. B. verbindliche unternehmensinterne Vorschriften der EU oder andere konzerninterne Instrumente (z. B. Compliance- und Kontrollprogramme), um die Kontinuität des Schutzes personenbezogener Daten im Rahmen der Grundsätze zu sichern. Bei einer derartigen Übermittlung bleibt die dem Datenschutzrahmen EU-USA angehörende Organisation für die Einhaltung der Grundsätze verantwortlich.
i) Bei der Übermittlung von Daten zwischen Verantwortlichen muss der Empfänger keine dem Datenschutzrahmen angehörende Organisation sein oder über eine unabhängige Beschwerdestelle verfügen. Die dem Datenschutzrahmen angehörende Organisation muss einen Vertrag mit dem empfangenden externen für die Verarbeitung Verantwortlichen schließen, der das gleiche Schutzniveau wie im Rahmen des Datenschutzrahmens EU-USA vorsieht, wobei es nicht erforderlich ist, dass der als Verantwortlicher tätige Dritte eine dem Datenschutzrahmen angehörende Organisation ist oder über eine unabhängige Beschwerdestelle verfügen muss, vorausgesetzt, er stellt ein gleichwertiges Beschwerdeverfahren zur Verfügung.
a) Im Grundsatz des Rechtsschutzes, der Durchsetzung und der Haftung ist festgelegt, wie dem Datenschutzrahmen EU-USA Geltung zu verschaffen ist. Wie Punkt a)ii) des Grundsatzes zu entsprechen ist, wird im Zusatzgrundsatz „Anlassunabhängige Kontrolle“ ausgeführt. Der vorliegende Zusatzgrundsatz befasst sich mit den Punkten a)i) und a)iii), die beide die Forderung nach unabhängigen Beschwerdestellen enthalten. Das Beschwerdeverfahren kann auf verschiedene Weise ausgestaltet werden, es muss aber die im Grundsatz des Rechtsschutzes, der Durchsetzung und der Haftung genannten Anforderungen erfüllen. Organisationen erfüllen diese Forderungen des Durchsetzungsgrundsatzes, indem sie i) von der Privatwirtschaft entwickelte Datenschutzprogramme befolgen, in deren Regeln die Grundsätze integriert sind und die wirksame Durchsetzungsmechanismen vorsehen, wie sie im Grundsatz des Rechtsschutzes, der Durchsetzung und der Haftung beschrieben sind, ii) sich gesetzlich oder durch Rechtsverordnung vorgesehenen Kontrollorganen unterwerfen, die Beschwerden von Privatpersonen nachgehen und Streitigkeiten schlichten, iii) sich verpflichten, mit den Datenschutzbehörden in der Europäischen Union oder mit deren bevollmächtigten Vertretern zusammenzuarbeiten.
b) Die hier angeführten Möglichkeiten sind Beispiele, es handelt sich nicht um eine abschließende Aufzählung. Die Privatwirtschaft kann auch andere Durchsetzungsmechanismen einführen, sie müssen nur die Forderungen erfüllen, die im Grundsatz des Rechtsschutzes, der Durchsetzung und der Haftung und in den Zusatzgrundsätzen niedergelegt sind. Zu beachten ist, dass die Forderungen des Grundsatzes des Rechtsschutzes, der Durchsetzung und der Haftung die Forderung ergänzen, wonach auch bei freiwilliger Selbstkontrolle Verstöße gegen die Grundsätze gemäß Abschnitt 5 FTC Act (15 U.S.C. § 45) zur Verhinderung unlauterer oder irreführender Praktiken, gemäß 49 U.S.C. § 41712 zur Verhinderung unlauterer oder irreführender Praktiken im Luftverkehr oder beim Verkauf von Luftverkehrsdienstleistungen durch Luftfahrtunternehmen oder Vermittler, oder nach anderen Gesetzen oder Verordnungen, die solche Handlungen verbieten, verfolgbar sein müssen.
c) Um die Einhaltung ihrer Verpflichtungen im Rahmen des Datenschutzrahmens zu gewährleisten und die Verwaltung des Programms zu unterstützen, müssen Organisationen sowie deren unabhängige Beschwerdestellen dem Ministerium auf Anfrage Informationen zum Datenschutzrahmen übermitteln. Darüber hinaus müssen die Organisationen umgehend auf von den Datenschutzbehörden über das Ministerium an sie weitergeleitete Beschwerden bezüglich ihrer Einhaltung der Grundsätze antworten. In der Antwort soll darauf eingegangen werden, ob die Beschwerde begründet ist, und wenn ja, wie die Organisation den Missstand zu beheben gedenkt. Das Ministerium wird die Vertraulichkeit der bei ihm eingegangenen Informationen gemäß dem US-Recht wahren.
d) Anrufung unabhängiger Beschwerdestellen:
e) Rechtsbehelfe und Sanktionen
f) Befassung der FTC:
g) Fortgesetzte Missachtung der Grundsätze
a) Allgemein soll der Grundsatz der Wahlmöglichkeit gewährleisten, dass personenbezogene Daten in einer Weise genutzt und weitergegeben werden, die mit den Erwartungen und Entscheidungen des Betroffenen übereinstimmt. Dementsprechend sollte der Betroffene zu jeder Zeit entscheiden können, ob seine personenbezogenen Daten für das Direktmarketing verwendet werden dürfen oder nicht; hierfür können die Organisationen aber eine angemessene Frist festlegen, die sie zur effektiven Berücksichtigung eines Widerspruchs („Opt-out“) benötigen. Daneben kann die Organisation hinreichende Informationen anfordern, die die Identität der Person bestätigen, die Widerspruch einlegt. In den Vereinigten Staaten können Betroffene von der Wahlmöglichkeit Gebrauch machen, indem sie auf ein zentrales „Widerspruchsprogramm“ zurückgreifen. Auf jeden Fall sollte den Betroffenen ein leicht zugänglicher und erschwinglicher Mechanismus zur Verfügung gestellt werden, um diese Möglichkeit nutzen zu können.
b) Gleichermaßen kann eine Organisation Daten für bestimmte Zwecke des Direktmarketings verwenden, wenn es unmöglich ist, dem Betroffenen vor Nutzung der Daten eine Widerspruchsmöglichkeit einzuräumen, sofern die Organisation dem Betroffenen unmittelbar danach (und auf Verlangen jederzeit) die Möglichkeit einräumt, den Erhalt weiterer Direktwerbung (ohne Kosten für den Verbraucher) abzulehnen, und die Organisation den Wünschen des Betroffenen nachkommt.
a) Flugreservierungsdaten und andere Reisedaten wie Daten über Vielflieger, über Hotelreservierungen und über spezielle Bedürfnisse wie religiös begründete besondere Speisewünsche oder die Notwendigkeit pflegerischer Betreuung dürfen in bestimmten Fällen an Organisationen außerhalb der EU weitergegeben werden. Nach der DSGVO können personenbezogene Daten in Ermangelung eines Angemessenheitsbeschlusses in ein Drittland übermittelt werden, wenn angemessene Datenschutzgarantien gemäß Artikel 46 DSGVO vorgesehen sind oder in bestimmten Situationen eine der Bedingungen von Artikel 49 DSGVO erfüllt ist (z. B. wenn die betroffene Person der Übermittlung ausdrücklich zugestimmt hat). US-Organisationen, die sich dem Datenschutzrahmen angeschlossen haben, bieten ein angemessenes Schutzniveau für personenbezogene Daten und können daher Datenübermittlungen aus der EU auf der Grundlage von Artikel 45 DSGVO erhalten, ohne ein Übermittlungsinstrument gemäß Artikel 46 DSGVO einrichten oder die Bedingungen von Artikel 49 DSGVO erfüllen zu müssen. Da das Konzept des Datenschutzrahmens EU-USA besondere Regeln für den Umgang mit sensiblen Daten vorsieht, können auch solche Daten (die etwa für die pflegerische Betreuung eines Kunden benötigt werden) an Organisationen übermittelt werden, die dem Datenschutzrahmen angehören. Allerdings ist die übermittelnde Organisation stets dem Recht des EU-Mitgliedstaats unterworfen, in dem sie tätig ist, und das kann unter anderem bedeuten, dass sie im Umgang mit sensiblen Daten besondere Vorschriften zu beachten hat.
i) Das Recht der EU/Mitgliedstaaten gilt für die Erhebung der personenbezogenen Daten und für ihre Verarbeitung vor der Übermittlung in die USA. Die Grundsätze gelten, nachdem die Daten in die USA übermittelt worden sind. Daten, die für die pharmazeutische Forschung oder sonstige Zwecke benutzt werden, sollten gegebenenfalls anonymisiert werden.
i) In medizinischen und pharmazeutischen Studien gewonnene personenbezogene Daten sind oft sehr wertvoll für künftige Forschungsarbeiten. Wenn für ein Forschungsvorhaben erhobene personenbezogene Daten an eine dem Datenschutzrahmen angehörende US-Organisation übermittelt werden, darf die Organisation diese Daten für ein anderes Forschungsvorhaben verwenden, wenn das dem Betroffenen schon zu Anfang ordnungsgemäß mitgeteilt und wenn ihm eine Wahlmöglichkeit eingeräumt wurde. Eine Mitteilung muss Angaben über die künftige Verwendung der Daten enthalten wie Angaben über regelmäßige Folgeuntersuchungen, ähnliche Forschungsvorhaben, für die sie verwendet werden sollen, oder ihre kommerzielle Nutzung.
ii) Es versteht sich, dass dabei nicht jede künftige Verwendung der Daten angegeben werden kann. Die Verwendung für einen anderen Forschungszweck kann sich aus neuen Erkenntnissen über die ursprünglichen Daten, aus neuen medizinischen Entdeckungen und Fortschritten sowie aus Entwicklungen im Gesundheitswesen und in der Gesetzgebung ergeben. Gegebenenfalls ist in der Mitteilung darauf hinzuweisen, dass personenbezogene Daten für künftige medizinische und pharmazeutische Forschungsarbeiten verwendet werden können, die nicht vorauszusehen sind. Entspricht die neue Verwendung nicht dem allgemeinen Forschungszweck, für den die personenbezogenen Daten ursprünglich erhoben wurden oder in den der Betroffene später eingewilligt hat, muss erneut seine Einwilligung eingeholt werden.
i) Ein Teilnehmer kann sich jederzeit aus einem klinischen Versuch zurückziehen oder dazu aufgefordert werden. Personenbezogene Daten, die vor seinem Rückzug erhoben wurden, können jedoch weiterhin verarbeitet werden wie die übrigen im Rahmen des Versuchs erhobenen Daten, wenn er darauf hingewiesen wurde, als er seine Bereitschaft zur Teilnahme erklärte.
i) Hersteller von Arzneimitteln und Medizinprodukten dürfen in klinischen Versuchen in der EU gewonnene personenbezogene Daten zur Überprüfung an Aufsichtsbehörden in den USA übermitteln. Unter Beachtung der Grundsätze der Informationspflicht und der Wahlmöglichkeit dürfen sie die Daten auch an andere Stellen wie Organisationen und Wissenschaftler übermitteln.
i) Zur Wahrung der Objektivität dürfen bei klinischen Versuchen die Teilnehmer und oft auch die Forscher selbst nicht erfahren, wer wie behandelt wird. Dies würde die Aussagefähigkeit der Ergebnisse infrage stellen. Teilnehmern an solchen sogenannten Blindversuchen muss kein Zugang zu Daten über ihre Behandlung während des Versuchs gewährt werden, wenn ihnen diese Beschränkung vor ihrer Teilnahme erklärt wurde und die Offenlegung der Daten den Nutzen der Forschungsarbeit gefährden würde.
ii) Wer sich dennoch zur Teilnahme an dem Versuch entschließt, muss hinnehmen, dass die ihn betreffenden Daten unter Verschluss gehalten werden. Nach Abschluss des Versuchs und Auswertung der Ergebnisse müssen die Teilnehmer allerdings auf Verlangen Zugang zu ihren Daten erhalten. Dafür sollten sie sich in erster Linie an den Arzt oder an anderes medizinisches Personal wenden, von dem sie während des Versuchs behandelt wurden, hilfsweise an die Organisation, in deren Auftrag der Versuch durchgeführt wurde.
i) Wenn ein Hersteller von Arzneimitteln oder Medizinprodukten Maßnahmen zur Überwachung der Sicherheit und Wirksamkeit seiner Produkte trifft und u. a. über Zwischenfälle berichtet und laufend Daten über Patienten/Versuchspersonen erhebt, die bestimmte Arzneimittel oder Medizinprodukte nutzen, muss er die im Datenschutzrahmen verankerten Grundsätze der Informationspflicht, der Wahlmöglichkeit, der Weiterübermittlung und des Auskunftsrechts nicht beachten, soweit die Grundsätze mit gesetzlichen Pflichten kollidieren. Das gilt sowohl für Berichte von Dienstleistern des Gesundheitswesens an Arzneimittel- und Medizinprodukthersteller als auch für Berichte von Arzneimittel- und Medizinproduktherstellern an Behörden wie die amerikanische Food and Drug Administration.
i) Forschungsdaten werden stets an der Quelle verschlüsselt, damit aus ihnen nicht die Identität einzelner Personen zu ersehen ist. Den Pharmaorganisationen, also den Projektträgern, wird der Schlüssel nicht ausgehändigt. Er verbleibt beim Forscher, sodass er unter bestimmten Umständen (z. B. wenn eine nachträgliche medizinische Überwachung notwendig ist) einzelne Versuchspersonen identifizieren kann. Die Übermittlung derart verschlüsselter Daten von der EU in die USA, bei denen es sich nach EU-Recht um personenbezogene Daten handelt, würde unter die Grundsätze fallen.
a) Eine Organisation muss die Grundsätze der Sicherheit, Datenintegrität und Zweckbindung sowie des Rechtschutzes, der Durchsetzung und der Haftung auf personenbezogene Daten aus öffentlich zugänglichen Quellen anwenden. Diese Grundsätze gelten auch für personenbezogene Daten, die aus öffentlichen Datenbeständen erhoben werden (d. h. aus Datenbeständen, die von Ämtern aller Ebenen geführt werden und der Öffentlichkeit zur Einsichtnahme offenstehen).
b) Die Grundsätze der Informationspflicht, der Wahlmöglichkeit und der Verantwortlichkeit für die Weitergabe sind nicht auf Daten in öffentlichen Registern anzuwenden, wenn diese nicht mit nichtöffentlichen Daten kombiniert sind und solange die von der zuständigen Behörde festgelegten Bedingungen für ihre Abfrage beachtet werden. Im Allgemeinen gelten die Grundsätze der Informationspflicht, der Wahlmöglichkeit und der Verantwortlichkeit für die Weitergabe auch nicht für öffentlich verfügbare Daten, es sei denn, der europäische Übermittler weist darauf hin, dass diese Daten Beschränkungen unterliegen, aufgrund derer die Organisation die genannten Grundsätze im Hinblick auf die von ihr geplanten Verwendungen anwenden muss. Organisationen haften nicht dafür, wie diese Daten von denen genutzt werden, die sie aus veröffentlichtem Material entnommen haben.
c) Wird festgestellt, dass eine Organisation unter Missachtung der obigen Grundsätze absichtlich personenbezogene Daten offengelegt hat, sodass diese Ausnahme von der Regel für die Organisation selbst oder aber für andere von Nutzen ist, verliert sie die Vorteile aus dem Datenschutzrahmen EU-USA.
d) Das Auskunftsrecht gilt für Daten in öffentlichen Registern nur, wenn sie mit anderen personenbezogenen Daten kombiniert sind (außer bei kleinen Mengen, die verwendet wurden, um die öffentlichen Daten zu indexieren oder zu ordnen). Die Bestimmungen der einschlägigen Rechtsvorschriften über die Einsichtnahme in Datenbestände sind jedoch einzuhalten. Sind dagegen Daten aus öffentlichen Beständen mit anderen als den genannten Datenmengen aus nichtöffentlichen Quellen kombiniert, muss die Organisation Zugang zu allen personenbezogenen Daten gewähren, sofern nicht einer der genannten Ausnahmefälle vorliegt.
e) Wie bei Daten, die aus öffentlichen Beständen gewonnen wurden, ist das Auskunftsrecht nicht auf Daten anzuwenden, die bereits der Öffentlichkeit zur Verfügung stehen, sofern sie mit nicht öffentlich verfügbaren Daten kombiniert sind. Organisationen, die öffentlich zugängliche Informationen gegen Entgelt anbieten, können ihre üblichen Gebühren erheben. Alternativ können Personen Zugang zu sie betreffenden Daten von der Organisation verlangen, die sie ursprünglich erhoben hat.
a) Um für Transparenz bei rechtmäßigen Anträgen von Behörden auf Zugang zu personenbezogenen Daten zu sorgen, können die dem Datenschutzrahmen angehörenden Organisationen freiwillig in regelmäßigen Abständen Transparenzberichte über die Anzahl der Anträge von Behörden auf Datenzugriff aus Gründen der Strafverfolgung oder nationalen Sicherheit veröffentlichen, soweit diese Offenlegungen nach geltendem Recht zulässig sind.
b) Die von den Organisationen in diesen Berichten aufgeführten Angaben können zusammen mit veröffentlichten nachrichtendienstlichen sowie mit sonstigen Informationen in die gemeinsame regelmäßige Überprüfung der Funktionsweise des Datenschutzrahmens EU-USA im Einklang mit den Grundsätzen einfließen.
c) Auch wenn keine Information gemäß Punkt a)xii) des Grundsatzes der Informationspflicht erfolgt ist, behindert oder beeinträchtigt dies nicht die Möglichkeiten einer Organisation rechtmäßigen Anfragen nachzukommen.
Das Schiedsverfahren kann nicht in Anspruch genommen werden, wenn der von der Person geltend gemachte Verstoß 1) bereits Gegenstand eines verbindlichen Schiedsverfahrens war, 2) Gegenstand eines rechtskräftigen Urteils in einem Gerichtsverfahren mit der Person als Prozesspartei war oder 3) von den Parteien bereits geregelt wurde. Darüber hinaus kann diese Option nicht in Anspruch genommen werden, wenn eine Datenschutzbehörde 1) nach dem Zusatzgrundsatz „Rolle der Datenschutzbehörden“ oder dem Zusatzgrundsatz „Personaldaten“ zuständig ist oder 2) befugt ist, den geltend gemachten Verstoß direkt mit der Organisation zu klären. Die Befugnis einer Datenschutzbehörde, den gleichen Anspruch gegen einen Verantwortlichen in der EU geltend zu machen schließt die Inanspruchnahme des Schiedsverfahrens gegen eine nicht an die Befugnis der Datenschutzbehörde gebundene andere rechtliche Einheit allein nicht aus.
Die Entscheidung einer Privatperson, dieses verbindliche Schiedsverfahren in Anspruch zu nehmen, ist vollkommen freiwillig. Die Schiedssprüche sind für alle beteiligten Parteien verbindlich. Mit der Inanspruchnahme verzichtet die betreffende Person auf die Möglichkeit, ein anderes Forum mit der Klärung des geltend gemachten Verstoßes zu befassen; wenn jedoch diesem Verstoß mit der Anerkennung nichtmonetärer Ansprüche nicht vollständig abgeholfen wird, kann die betreffende Person dennoch Schadensersatzansprüche vor Gericht geltend machen.
10. Juni 1958
Ebenda.
Ebenda.
Ebenda.
Ebenda.
Ebenda.
Ebenda.
Mit diesem Schiedsverfahren sollen individuelle Streitigkeiten geklärt werden, und die Schiedssprüche sollen nicht als zur Nachahmung empfohlener oder verbindlicher Präzedenzfall bei Angelegenheiten anderer Parteien dienen, einschließlich bei künftigen Schiedsverfahren oder an Gerichten der EU oder der USA oder in Verfahren der FTC.
Die Parteien wählen die Schiedsrichter für das Datenschutzrahmen-Panel aus dem im Folgenden erörterten Verzeichnis der Schiedsrichter aus.
Im Einklang mit dem geltenden Recht erstellen das Ministerium und die Kommission ein Verzeichnis mit mindestens 10 Schiedsrichtern, die aufgrund ihrer Unabhängigkeit, Integrität und Sachkenntnis ausgewählt werden. Dafür gilt Folgendes:
Die Schiedsrichter
1) verbleiben für einen Zeitraum von drei Jahren in dem Verzeichnis, sofern keine außergewöhnlichen Umstände oder wichtigen Gründe für die Streichung vorliegen; dieser Zeitraum kann vom Ministerium nach vorheriger Mitteilung an die Kommission um weitere drei Jahre verlängert werden,
2) sind gegenüber einer der Parteien oder einer dem Datenschutzrahmen angehörenden Organisation bzw. gegenüber den USA, der EU oder einem EU-Mitgliedstaat oder einer anderen Regierungsbehörde, öffentlichen Stelle oder Strafverfolgungsbehörde weder weisungsgebunden noch anderweitig verpflichtet und
3) müssen als Rechtsanwalt in den Vereinigten Staaten zugelassen und im US-Privatrecht bewandert sein und Sachkenntnis im EU-Datenschutzrecht aufweisen.
Das International Centre for Dispute Resolution (ICDR), die internationale Abteilung der American Arbitration Association (AAA) (im Folgenden zusammen „ICDR-AAA“), wurde vom Handelsministerium mit der Durchführung von Schiedsverfahren gemäß den Grundsätzen und der Verwaltung des in Anhang I der Grundsätze genannten Schiedsfonds beauftragt. Am 15. September 2017 einigten sich das Ministerium und die Kommission auf die Annahme einer Reihe von Schiedsregeln, mit denen die in Anhang I der Grundsätze beschriebenen verbindlichen Schiedsverfahren geregelt werden, sowie auf einen Verhaltenskodex für Schiedsrichter, der den allgemein anerkannten ethischen Standards für Handelsschiedsrichter und Anhang I der Grundsätze entspricht. Das Ministerium und die Kommission haben vereinbart, die Schiedsregeln und den Verhaltenskodex an die Aktualisierungen des Datenschutzrahmens EU-USA anzupassen, und das Ministerium wird mit dem ICDR-AAA zusammenarbeiten, um diese Aktualisierungen vorzunehmen.
1. Eine Person kann vorbehaltlich der vorstehend aufgeführten Voraussetzungen ein verbindliches Schiedsverfahren einleiten, indem sie der Organisation eine „Mitteilung“ zukommen lässt. Die Mitteilung enthält eine Zusammenfassung der gemäß Abschnitt C unternommenen Schritte zur Klärung einer Beschwerde, eine Beschreibung des geltend gemachten Verstoßes und, nach eigener Wahl, Belegunterlagen und -materialien und/oder eine Rechtserörterung mit Bezug zum geltend gemachten Verstoß.
2. Es werden Verfahren entwickelt, die sicherstellen, dass für einen geltend gemachten Verstoß nicht mehrere Verfahren geführt oder mehrere Abhilfemaßnahmen getroffen werden.
3. Die FTC kann parallel zum Schiedsverfahren tätig werden.
4. An den Schiedsverfahren dürfen keine Vertreter der USA, der EU oder eines EU-Mitgliedstaats oder einer anderen Regierungsbehörde, staatlichen Behörde oder Strafverfolgungsbehörde teilnehmen, wobei auf Antrag einer Person aus der EU die Datenschutzbehörden Hilfe ausschließlich bei der Erstellung der Mitteilung leisten können, jedoch keinen Zugang zu Offenlegungen und anderen Materialien in Bezug auf diese Schiedsverfahren haben dürfen.
5. Ort des Schiedsverfahrens sind die Vereinigten Staaten, und die betroffene Person kann sich für eine Teilnahme per Video oder Telefonkonferenz entscheiden, die für sie mit keinen Kosten verbunden ist. Eine persönliche Anwesenheit ist nicht erforderlich.
6. Verfahrenssprache ist Englisch, wenn von den Parteien nicht anders vereinbart. Auf einen begründeten Antrag hin und unter Berücksichtigung dessen, ob sich die Person von einem Anwalt vertreten lässt, werden Dolmetscher für die mündliche Verhandlung sowie Übersetzungen der Verfahrensunterlagen bereitgestellt, ohne dass sich daraus Kosten für die Person ergeben, es sei denn, das Datenschutzrahmen-Panel gelangt in einem konkreten Fall zu dem Schluss, dass eine Kostenübernahme nicht gerechtfertigt oder unverhältnismäßig wäre.
7. Den Schiedsrichtern vorgelegte Unterlagen werden vertraulich behandelt und nur in Verbindung mit dem Schiedsverfahren genutzt.
8. Wenn erforderlich, kann eine die Person betreffende Offenlegung zugelassen werden, wobei diese Offenlegung von den Parteien vertraulich behandelt und nur in Verbindung mit dem Schiedsverfahren genutzt wird.
9. Schiedsverfahren sollen innerhalb von 90 Tagen nach Zustellung der Mitteilung an die betreffende Organisation abgeschlossen werden, sofern von den Parteien nicht anderweitig vereinbart.
Die Schiedsrichter sollen angemessene Maßnahmen zur Minimierung der Kosten oder Gebühren der Schiedsverfahren ergreifen.
Das Ministerium ermöglicht im Einklang mit dem geltenden Recht die Aufrechterhaltung eines Fonds, in den die dem Datenschutzrahmen angehörenden Organisationen einen Beitrag einzahlen, der sich zum Teil nach der Größe der Organisation richtet und die Schiedskosten, einschließlich Schiedsrichtergebühren, bis zu einer Obergrenze deckt. Der Fonds wird von einem Dritten verwaltet, der dem Ministerium regelmäßig über die Tätigkeit des Fonds Bericht erstattet. Das Ministerium arbeitet mit dem Dritten zusammen, um die Tätigkeit des Fonds regelmäßig zu überprüfen, einschließlich der Notwendigkeit einer Anpassung des Beitrags oder der Obergrenze für die Schiedskosten, und prüft unter anderem die Anzahl der Schiedsverfahren sowie deren Kosten und Dauer, und zwar im Einvernehmen, dass den dem Datenschutzrahmen angehörenden Organisationen keine übermäßige finanzielle Belastung auferlegt wird. Das Ministerium wird die Kommission über das Ergebnis dieser Überprüfungen mit dem Dritten unterrichten und die Kommission im Voraus über etwaige Anpassungen der Höhe der Beiträge informieren. Rechtsanwaltsgebühren sind von dieser Bestimmung oder einem anderen Fonds im Rahmen dieser Bestimmung nicht erfasst.
ein Schreiben des Justizministeriums zu den Garantien und Beschränkungen der Abfrage von Daten durch die US-Regierung aus Gründen der Strafverfolgung und des öffentlichen Interesses.
Das vollständige Paket des Datenschutzrahmens EU-USA wird auf der Datenschutzrahmen-Website des Ministeriums veröffentlicht, und die Grundsätze und Anhang I der Grundsätze werden am Tag des Inkrafttretens des Angemessenheitsbeschlusses der Europäischen Kommission in Kraft treten.
Seien Sie versichert, dass die USA diese Zusagen sehr ernst nehmen. Wir freuen uns auf unsere Zusammenarbeit bei der Umsetzung des Datenschutzrahmens EU-USA und der Einleitung der nächsten Phase in diesem Prozess.
Mit freundlichen Grüßen
Raimondo
Das Ministerium ist fest entschlossen, das Datenschutzrahmen-Programm wirksam zu verwalten und zu überwachen, und wird angemessene Anstrengungen unternehmen und Ressourcen bereitstellen, um dies zu gewährleisten. Das Ministerium wird eine verbindliche Liste der US-Organisationen führen und der Öffentlichkeit zugänglich machen, die sich gegenüber dem Ministerium selbst zertifiziert und zugesichert haben, die Grundsätze zu befolgen („Datenschutzrahmen-Liste“). Diese Liste wird auf der Grundlage der jährlichen Anträge auf erneute Zertifizierung durch die dem Datenschutzrahmen angehörenden Organisationen und durch die Streichung von Organisationen aktualisiert, wenn diese sich freiwillig zurückziehen, die jährliche erneute Zertifizierung nicht in Übereinstimmung mit den Verfahren des Ministeriums durchführen oder wenn festgestellt wird, dass sie die Grundsätze dauerhaft nicht einhalten. Das Ministerium wird außerdem ein amtliches Verzeichnis der US-Organisationen führen, die von der Liste gestrichen wurden, und wird es der Öffentlichkeit zugänglich machen, wobei in jedem Falle die Gründe für die Streichung einzelner Organisationen angegeben werden. Die vorgenannte amtliche Liste und das Verzeichnis werden auf der Datenschutzrahmen-Website des Ministeriums öffentlich zugänglich bleiben. Die Website zum Datenschutzrahmen wird eine deutlich sichtbare Erklärung enthalten, dass jede Organisation, die von der Datenschutzrahmen-Liste gestrichen wird, nicht mehr behaupten darf, dass sie sich am Datenschutzrahmen EU-USA beteiligt oder ihn einhält, und dass sie unter dem Datenschutzrahmen EU-USA personenbezogene Daten erhalten kann. Eine solche Organisation muss jedoch weiterhin die Grundsätze auf die personenbezogenen Daten anwenden, die sie während ihrer Beteiligung am Datenschutzrahmen erhalten hat, solange sie diese Daten aufbewahrt. Das Ministerium verpflichtet sich im Rahmen seines übergreifenden, kontinuierlichen Engagements für die wirksame Verwaltung und Überwachung des Datenschutzrahmen-Programms insbesondere zu Folgendem:
Prüfung der Selbstzertifizierungs-Anforderungen
Bevor das Ministerium die erste Selbstzertifizierung oder die jährliche erneute Zertifizierung einer Organisation (zusammen „Selbstzertifizierung“) abschließt und eine Organisation in die Datenschutzrahmen-Liste aufnimmt bzw. darin belässt, prüft es, ob die Organisation zumindest die einschlägigen Anforderungen des Zusatzgrundsatzes zur Selbstzertifizierung in Bezug auf die Informationen erfüllt, die eine Organisation dem Ministerium im Rahmen ihrer Selbstzertifizierung übermitteln muss, und ob sie rechtzeitig einschlägige Datenschutzbestimmungen vorgelegt hat, die Privatpersonen über alle 13 im Grundsatz der Informationspflicht aufgeführten Punkte informieren. Das Ministerium wird überprüfen, ob die Organisationdie Organisation identifiziert hat, die ihre Selbstzertifizierung beantragt, sowie alle US-Einrichtungen oder US-Tochterunternehmen der selbstzertifizierenden Organisation, die sich ebenfalls an die Grundsätze halten, die die Organisation durch ihre Selbstzertifizierung abgedeckt haben möchte,die erforderlichen Kontaktinformationen bereitgestellt hat (z. B. Kontaktinformationen für bestimmte Personen und/oder Stellen innerhalb der selbstzertifizierenden Organisation, die für die Bearbeitung von Beschwerden, Auskunftsbegehren und anderen Fragen im Zusammenhang mit dem Datenschutzrahmen EU-USA zuständig sind),den/die Zweck(e) beschrieben hat, für den/die die Organisation die von der Europäischen Union erhaltenen personenbezogenen Daten erhebt und verwendet,angegeben hat, welche personenbezogenen Daten aus der Europäischen Union unter Berufung auf den Datenschutzrahmen EU-USA übermittelt werden und daher von ihrer Selbstzertifizierung erfasst sind,falls die Organisation über eine öffentlich zugängliche Website verfügt, die Internetadresse, unter der die einschlägigen Datenschutzbestimmungen auf dieser Website leicht zugänglich sind, oder, falls die Organisation über keine öffentlich zugängliche Website verfügt, eine Kopie der einschlägigen Datenschutzbestimmungen und den Ort, an dem die Datenschutzbestimmungen von den betroffenen Personen eingesehen werden können (d. h. von den betroffenen Mitarbeitern, wenn es sich um Datenschutzbestimmungen für Personaldaten handelt, oder von der Öffentlichkeit, wenn es sich bei den einschlägigen Datenschutzbestimmungen nicht um Datenschutzbestimmungen der Personalabteilung handelt) angegeben hat,zu gegebener Zeit (d. h. zunächst nur in einem mit dem Antrag eingereichten Entwurf der Datenschutzerklärung, wenn es sich um eine erste Selbstzertifizierung handelt; andernfalls in einer endgültigen Datenschutzerklärung, die gegebenenfalls veröffentlicht wird) eine Erklärung über die Einhaltung der Grundsätze sowie einen Hyperlink oder die Internetadresse der Datenschutzrahmen-Website des Ministeriums (z. B. die Homepage oder die Website mit der Datenschutzrahmen-Liste), angegeben hat,zu gegebener Zeit alle anderen zwölf im Grundsatz der Informationspflicht aufgeführten Punkte (z. B. die Möglichkeit für den betroffene EU-Bürger, unter bestimmten Bedingungen ein bindendes Schiedsverfahren in Anspruch zu nehmen; die Bestimmung, personenbezogene Daten auf rechtmäßige Anfrage von Behörden offenzulegen, um Erfordernissen der nationalen Sicherheit oder der Strafverfolgung nachzukommen und die Haftung der Organisation bei Weitergabe an Dritte) in ihre einschlägigen Datenschutzbestimmungen aufgenommen hat,die gesetzliche Aufsichtsbehörde benannt hat, die über Beschwerden gegen die Organisation wegen unlauteren oder irreführenden Geschäftsgebarens und wegen Verletzung von datenschutzrechtlichen Vorschriften entscheidungsbefugt ist (und in den Grundsätzen oder in einem künftigen Anhang zu den Grundsätzen aufgeführt ist),alle Datenschutzprogramme angegeben hat, an denen die Organisation teilnimmt,festgelegt hat, ob es sich bei der relevanten Methode (d. h. bei den von ihr bereitzustellenden Folgeverfahren) zur Überprüfung der Einhaltung der Grundsätze um eine „Selbstbewertung“ (d. h. eine interne Überprüfung) oder um eine „externe Überprüfung“ (d. h. eine Überprüfung durch Dritte) handelt, und, falls es sich bei der relevanten Methode um eine externe Überprüfung handelt, auch den Dritten genannt hat, der die Überprüfung durchgeführt hat,die angemessene unabhängige Beschwerdestelle bestimmt hat, die für die Behandlung von Beschwerden im Zusammenhang mit den Grundsätzen zur Verfügung steht, und der betroffenen Person kostenlos einen geeigneten Rechtsbehelf gewährt.Hat sich die Organisation für eine unabhängige Beschwerdestelle entschieden, die von einer privaten Stelle zur alternativen Streitbeilegung angeboten wird, so hat sie in ihren einschlägigen Datenschutzbestimmungen einen Hyperlink oder die Internetadresse der entsprechenden Website oder des entsprechenden Beschwerdeformulars anzugeben, die bzw. das für die Untersuchung ungelöster Beschwerden im Rahmen der Grundsätze zur Verfügung steht.Wenn die Organisation entweder dazu verpflichtet ist (z. B. in Bezug auf Personaldaten, die im Rahmen eines Arbeitsverhältnisses aus der Europäischen Union übermittelt werden) oder sich dafür entschieden hat, mit den zuständigen Datenschutzbehörden bei der Untersuchung und Beilegung von Beschwerden im Zusammenhang mit den Grundsätzen zusammenzuarbeiten, hat sie sich verpflichtet, im Rahmen dieser Zusammenarbeit mit den Datenschutzbehörden und der Befolgung ihrer diesbezüglichen Empfehlungen spezifische Maßnahmen zur Einhaltung der Grundsätze zu ergreifen.
Das Ministerium wird auch prüfen, ob die von der Organisation vorgelegte Selbstzertifizierung den einschlägigen Datenschutzbestimmungen entspricht. Wenn eine selbstzertifizierende Organisation ihre US-Einrichtungen oder US-Tochterunternehmen einbeziehen möchte, die über eigene einschlägige Datenschutzbestimmungen verfügen, wird das Ministerium auch die einschlägigen Datenschutzbestimmungen dieser einbezogenen Einrichtungen oder Tochterunternehmen überprüfen, um sicherzustellen, dass sie alle im Grundsatz der Informationspflicht geforderten Aspekte enthalten.
Das Ministerium wird mit den Behörden (z. B. der FTC und dem Verkehrsministerium) zusammenarbeiten, um zu überprüfen, ob die Organisationen in den Zuständigkeitsbereich der in der Selbstzertifizierung angegebenen Behörde fallen, wenn das Ministerium Grund hat, daran zu zweifeln.
Das Ministerium wird mit privaten Stellen für alternative Streitbeilegung zusammenarbeiten, um zu überprüfen, ob die Organisationen aktiv bei den unabhängigen Beschwerdestellen registriert sind, wie in der Selbstzertifizierung angegeben, und ob die Organisationen aktiv für die in der Selbstzertifizierung angegebene externe Überprüfung der Einhaltung der Grundsätze registriert sind, wenn diese Stellen beide Arten von Dienstleistungen anbieten können.
Das Ministerium wird mit dem vom Ministerium ausgewählten Dritten zusammenarbeiten, der als Verwahrer der durch die Gebühr für das Gremium der Datenschutzbehörden (d. h. die jährliche Gebühr zur Deckung der Betriebskosten des Gremiums der Datenschutzbehörden) eingenommenen Mittel fungiert, um zu überprüfen, ob die Organisationen diese Gebühr für das betreffende Jahr gezahlt haben, sofern die Organisationen die Datenschutzbehörden als die einschlägigen unabhängigen Beschwerdestellen angegeben haben.
Das Ministerium wird mit dem Dritten zusammenarbeiten, der vom Ministerium für die Durchführung der Schiedsverfahren gemäß den Grundsätzen und die Verwaltung des in Anhang I der Grundsätze genannten Schiedsfonds ausgewählt wurde, um zu überprüfen, ob die Organisationen einen Beitrag zu diesem Schiedsfonds geleistet haben.
Stellt das Ministerium bei der Prüfung der von den Organisationen eingereichten Anträge auf Selbstzertifizierung Mängel fest, wird es diesen Organisationen mitteilen, dass sie diese Mängel innerhalb der vom Ministerium festgesetzten Frist beheben müssen. Das Ministerium wird sie auch darauf hinweisen, dass eine Nichtbeantwortung innerhalb der vom Ministerium gesetzten Frist oder ein Versäumnis, die Selbstzertifizierung in Übereinstimmung mit den Verfahren des Ministeriums abzuschließen, dazu führt, dass diese Selbstzertifizierungsanträge als aufgegeben betrachtet werden, und dass jede falsche Darstellung hinsichtlich der Beteiligung einer Organisation am Datenschutzrahmen oder der Einhaltung dieses Rahmens durch die FTC, das Verkehrsministerium oder eine andere zuständige Regierungsbehörde zu Durchsetzungsmaßnahmen führen kann. Das Ministerium wird die Organisationen über die Kontaktkanäle informieren, die die Organisationen dem Ministerium mitgeteilt haben.
Erleichterung der Zusammenarbeit mit Stellen zur alternativen Streitbeilegung, die mit den Grundsätzen zusammenhängende Dienstleistungen erbringen
Das Ministerium wird mit privaten Stellen zur alternativen Streitbeilegung zusammenarbeiten, die unabhängige Beschwerdeverfahren zur Verfügung stellen und ungelöste Beschwerden im Zusammenhang mit den Grundsätzen daraufhin untersuchen können, ob sie zumindest die Anforderungen des Zusatzgrundsatzes „Beschwerdeverfahren und Durchsetzung“ erfüllen. Das Ministerium wird überprüfen, ob sieauf ihren öffentlichen Websites Informationen über die Grundsätze und die Dienstleistungen, die sie im Rahmen des Datenschutzrahmens EU-USA erbringen, bereitstellen, die Folgendes umfassen müssen: 1) Angaben über die Anforderungen an unabhängige Beschwerdestellen in den Grundsätzen oder einen Link zu diesen Anforderungen, 2) einen Hyperlink zur Website des Ministeriums zum Datenschutzrahmen, 3) einen Hinweis, dass das Beschwerdeverfahren im Rahmen des Datenschutzrahmens EU-USA für Privatpersonen kostenlos ist, 4) eine Beschreibung, wie eine Beschwerde im Zusammenhang mit den Grundsätzen eingereicht werden kann, 5) Bearbeitungsfristen für Beschwerden im Zusammenhang mit den Grundsätzen 6) eine Beschreibung der Palette möglicher Abhilfemaßnahmen. Das Ministerium wird die Beschwerdestellen rechtzeitig über wesentliche Änderungen bei der Überwachung und Verwaltung des Datenschutzrahmen-Programms durch das Ministerium informieren, wenn solche Änderungen bevorstehen oder bereits vorgenommen wurden und diese Änderungen für die Rolle der Stellen im Rahmen des Datenschutzrahmens EU-USA relevant sind,jährlich einen Bericht mit zusammengefassten statistischen Angaben zu ihren Dienstleistungen vorlegen, der Folgendes beinhaltet: 1) die Gesamtzahl der im Berichtsjahr eingegangen Beschwerden, die die Grundsätze betreffen, 2) die Art der eingegangenen Beschwerden, 3) die Qualität der Streitbeilegung, z. B. die Dauer der Bearbeitung von Beschwerden und 4) die Ergebnisse der eingegangenen Beschwerden, insbesondere die Anzahl und Art der auferlegten Abhilfemaßnahmen oder Sanktionen. Das Ministerium wird den Stellen spezifische zusätzliche Leitlinien zu den Informationen zur Verfügung stellen, die in diesen Jahresberichten enthalten sein sollten, und diese Anforderungen näher erläutern (z. B. eine Liste der spezifischen Kriterien, die eine Beschwerde erfüllen muss, damit sie für die Zwecke des Jahresberichts als Beschwerde im Zusammenhang mit den Grundsätzen betrachtet werden kann), sowie andere Arten von Informationen, die die Stellen zur Verfügung stellen sollten (z. B. eine Beschreibung, wie die Stelle tatsächliche oder potenzielle Interessenkonflikte in Situationen vermeidet, in denen sie für eine Organisation sowohl Überprüfungsdienste als auch Streitbeilegungsdienste erbringt, wenn die Stelle auch eine Dienstleistung im Zusammenhang mit den Grundsätzen erbringt). In den zusätzlichen Leitlinien des Ministeriums ist auch das Datum angegeben, bis zu dem die Jahresberichte der Stellen für den betreffenden Berichtszeitraum veröffentlicht werden müssen.
Weiterbehandlung der Fälle von Organisationen, die die Streichung von der Datenschutzrahmen-Liste beantragt haben oder von dieser Liste gestrichen wurden
Wenn eine Organisation aus dem Datenschutzrahmen EU-USA ausscheiden möchte, verlangt das Ministerium, dass die Organisation alle Verweise auf den Datenschutzrahmen EU-USA aus allen relevanten Datenschutzbestimmungen entfernt, die implizieren, dass die Organisation weiterhin dem Datenschutzrahmen EU-USA angehört und personenbezogene Daten im Rahmen des Datenschutzrahmens EU-USA erhalten kann (siehe Beschreibung der Verpflichtung des Ministeriums, nach falschen Angaben über die Beteiligung zu suchen). Das Ministerium verlangt außerdem, dass die Organisation einen entsprechenden Fragebogen ausfüllt und dem Ministerium vorlegt, damit Folgendes überprüft werden kann:ihren Wunsch, aus dem Datenschutzrahmen auszuscheiden,Informationen darüber, was sie mit den personenbezogenen Daten zu tun gedenkt, die sie während ihrer Beteiligung am Datenschutzrahmen EU-USA unter Berufung auf den Datenschutzrahmen EU-USA erhalten hat, d. h. ob sie a) diese Daten aufbewahren, die Grundsätze weiterhin auf diese Daten anwenden und gegenüber dem Ministerium jährlich ihre Verpflichtung zur Anwendung der Grundsätze auf diese Daten bestätigen wird, b) diese Daten aufbewahren und einen „angemessenen“ Schutz dieser Daten durch andere zulässige Mittel gewährleisten wird oder c) alle diese Daten innerhalb einer bestimmten Frist zurückgibt oder löscht sowiewer innerhalb der Organisation als ständige Kontaktperson für Fragen im Zusammenhang mit den Grundsätzen fungieren wird.
Wenn sich eine Organisation für Option a, wie oben beschrieben, entscheidet, wird das Ministerium auch verlangen, dass die Organisation jedes Jahr nach ihrem Ausscheiden (d. h. bis zum ersten Jahrestag ihres Ausscheidens und bis zu jedem weiteren Jahrestag, es sei denn, die Organisation gewährleistet einen „angemessenen“ Schutz dieser Daten durch andere zulässige Mittel oder sie gibt alle diese Daten zurück oder löscht sie und teilt dies dem Ministerium mit) einen entsprechenden Fragebogen ausfüllt und dem Ministerium vorlegt, um zu überprüfen, was sie mit diesen personenbezogenen Daten getan hat, was sie mit allen personenbezogenen Daten zu tun gedenkt, die sie weiterhin aufbewahren wird, und wer innerhalb der Organisation als ständige Kontaktperson für Fragen im Zusammenhang mit den Grundsätzen fungieren wird.
Wenn die Selbstzertifizierung einer Organisation abgelaufen ist (d. h. die Organisation hat weder die jährliche erneute Zertifizierung ihrer Einhaltung der Grundsätze abgeschlossen noch wurde sie aus einem anderen Grund von der Datenschutzrahmen-Liste gestrichen, wie z. B. Ausscheiden), wird das Ministerium die Organisation auffordern, einen entsprechenden Fragebogen auszufüllen und dem Ministerium vorzulegen, um zu prüfen, ob die Organisation ausscheiden oder sich erneut zertifiziert werden möchte.Wenn sie ausscheiden möchte, muss sie auch nachweisen, was sie mit den personenbezogenen Daten zu tun gedenkt, die sie unter Berufung auf den Datenschutzrahmen EU-USA erhalten hat, während sie am Datenschutzrahmen EU-USA beteiligt war (siehe die vorstehende Beschreibung dessen, was eine Organisation nachweisen muss, wenn sie aus dem Datenschutzrahmen ausscheiden möchte).Wenn sie eine erneute Zertifizierung anstrebt, muss sie auch nachweisen, dass sie während der Zeit, in der ihr Zertifizierungsstatus abgelaufen ist, die Grundsätze auf personenbezogene Daten angewandt hat, die sie im Rahmen des Datenschutzrahmens EU-USA erhalten hat, und angeben, welche Schritte sie unternehmen wird, um die noch offenen Fragen zu klären, die ihre erneute Zertifizierung verzögert haben.
Wenn eine Organisation aus einem der folgenden Gründe von der Datenschutzrahmen-Liste gestrichen wird: a) Ausscheiden aus dem Datenschutzrahmen EU-USA, b) Versäumnis, die jährliche erneute Zertifizierung ihrer Einhaltung der Grundsätze abzuschließen (d. h. entweder hat die Organisation das jährliche Verfahren zur erneuten Zertifizierung begonnen, aber nicht rechtzeitig abgeschlossen, oder sie hat das jährliche Verfahren zur erneuten Zertifizierung überhaupt nicht begonnen) oder c) „fortgesetzte Missachtung der Grundsätze“, wird das Ministerium eine Mitteilung an die im Antrag der Organisation auf Selbstzertifizierung angegebene(n) Kontaktperson(en) senden, in der der Grund für die Streichung angegeben wird und in der erklärt wird, dass die Organisation nicht länger ausdrücklich oder stillschweigend behaupten darf, dass sie dem Datenschutzrahmen EU-USA angehört oder die Grundsätze einhält, oder dass sie berechtigt ist, personenbezogene Daten gemäß dem Datenschutzrahmen EU-USA zu erhalten. In der Mitteilung, die auch andere Inhalte enthalten kann, die auf den Grund der Streichung zugeschnitten sind, wird darauf hingewiesen, dass Organisationen, die ihre Beteiligung am Datenschutzrahmen EU-USA oder ihre Einhaltung der Grundsätze falsch darstellen, einschließlich der Fälle, in denen sie nach der Streichung von der Datenschutzrahmen-Liste behaupten, am Datenschutzrahmen EU-USA beteiligt zu sein, Gegenstand von Durchsetzungsmaßnahmen der FTC, des Verkehrsministeriums oder anderer zuständiger Regierungsstellen sein können.
Aufdeckung und Handhabung von Fällen, in denen zu Unrecht eine Beteiligung an der Regelung geltend gemacht wird
Wenn eine Organisation a) aus dem Datenschutzrahmen EU-USA ausscheidet, b) die jährliche erneute Zertifizierung ihrer Einhaltung der Grundsätze nicht abschließt (d. h. entweder das jährliche Verfahren zur erneuten Zertifizierung begonnen, aber nicht rechtzeitig abgeschlossen hat, oder sie hat das jährliche Verfahren zur erneuten Zertifizierung überhaupt nicht begonnen), c) aus dem Datenschutzrahmen EU-USA gestrichen wird, insbesondere wegen „fortgesetzter Missachtung der Grundsätze“, oder d) eine erste Selbstzertifizierung ihrer Einhaltung der Grundsätze nicht abschließt (d. h. begonnen, aber nicht rechtzeitig abgeschlossen hat), wird das Ministerium von Amts wegen überprüfen, dass alle einschlägigen veröffentlichten Datenschutzbestimmungen der Organisation keine Verweise auf den Datenschutzrahmen EU-USA enthalten, die implizieren, dass die Organisation dem Datenschutzrahmen EU-USA angehört und berechtigt ist, personenbezogene Daten gemäß dem Datenschutzrahmen EU-USA zu erhalten. Stellt das Ministerium solche Verweise fest, wird es die Organisation darüber informieren, dass es die Angelegenheit gegebenenfalls an die zuständige Behörde weiterleiten wird, um mögliche Durchsetzungsmaßnahmen einzuleiten, falls die Organisation weiterhin falsche Angaben zu ihrer Beteiligung am Datenschutzrahmen macht. Das Ministerium informiert die Organisation mittels der Kontaktkanäle, die die Organisation dem Ministerium zur Verfügung gestellt hat, oder gegebenenfalls auf andere geeignete Weise. Wenn die Organisation weder die Verweise entfernt noch ihre Einhaltung der Grundsätze des Datenschutzrahmens EU-USA gemäß den Verfahren des Ministeriums selbst zertifiziert, wird das Ministerium die Angelegenheit von Amts wegen an die FTC, das Verkehrsministerium oder eine andere zuständige Behörde verweisen oder andere geeignete Maßnahmen ergreifen, um die ordnungsgemäße Verwendung des Datenschutzrahmens EU-USA sicherzustellen.
Das Ministerium wird weitere Anstrengungen unternehmen, um falsche Behauptungen über die Beteiligung am Datenschutzrahmen EU-USA und die missbräuchliche Verwendung des Gütesiegels für den Datenschutzrahmen EU-USA aufzudecken, auch durch Organisationen, die im Gegensatz zu den vorstehend beschriebenen Organisationen noch nicht einmal mit dem Selbstzertifizierungsprozess begonnen haben (z. B. durch Durchführung geeigneter Internetrecherchen, um Verweise auf den Datenschutzrahmen EU-USA in den Datenschutzbestimmungen von Organisationen zu finden). Wenn das Ministerium durch diese Bemühungen falsche Behauptungen über die Beteiligung am Datenschutzrahmen EU-USA und die missbräuchliche Verwendung des Gütesiegels des Datenschutzrahmens EU-USA feststellt, wird es die Organisation darüber informieren, dass es die Angelegenheit gegebenenfalls an die zuständige Behörde weiterleiten wird, um mögliche Durchsetzungsmaßnahmen einzuleiten, falls die Organisation weiterhin falsche Angaben zu ihrer Beteiligung am Datenschutzrahmen EU-USA macht. Das Ministerium informiert die Organisation mittels der Kontaktkanäle, die die Organisation dem Ministerium gegebenenfalls zur Verfügung gestellt hat, oder erforderlichenfalls auf andere geeignete Weise. Wenn die Organisation weder die Verweise entfernt noch ihre Einhaltung der Grundsätze des Datenschutzrahmens EU-USA gemäß den Verfahren des Ministeriums selbst zertifiziert, wird das Ministerium die Angelegenheit von Amts wegen an die FTC, das Verkehrsministerium oder eine andere zuständige Behörde verweisen oder andere geeignete Maßnahmen ergreifen, um die ordnungsgemäße Verwendung des Datenschutzrahmens EU-USA sicherzustellen.
Das Ministerium prüft und bearbeitet unverzüglich konkrete und ernst gemeinte Beschwerden über falsche Behauptungen im Zusammenhang mit dem Datenschutzrahmen EU-USA, die beim Ministerium eingehen (z. B. Beschwerden von Datenschutzbehörden, unabhängigen Beschwerdestellen, die im Rahmen von alternativen Streitbeilegungsverfahren des Privatsektors angeboten werden, von betroffenen Personen, Unternehmen aus der EU und den USA und anderen Dritten).
Das Ministerium kann auch andere geeignete Abhilfemaßnahmen ergreifen. Falsche Angaben gegenüber dem Ministerium unterliegen dem False Statements Act (18 U.S.C. § 1001).
Regelmäßige Durchführung der von Amts wegen vorgenommenen Kontrollen der Einhaltung und Bewertungen des Datenschutzrahmens
Das Ministerium wird die Einhaltung der Grundsätze durch Organisationen, die dem Datenschutzrahmen EU-USA angehören, fortlaufend überwachen, um Probleme zu ermitteln, die Folgemaßnahmen rechtfertigen könnten. Insbesondere wird das Ministerium von Amts wegen routinemäßige Stichprobenkontrollen bei nach dem Zufallsprinzip ausgewählten Organisationen, die dem Datenschutzrahmen EU-USA angehören, sowie Ad-hoc-Stichprobenkontrollen bei bestimmten Organisationen, die dem Datenschutzrahmen EU-USA angehören, durchführen, wenn potenzielle Mängel bei der Einhaltung der Grundsätze festgestellt werden (z. B. potenzielle Mängel bei der Einhaltung der Grundsätze, die dem Ministerium von Dritten zur Kenntnis gebracht werden), um zu überprüfen, dass a) die zuständige(n) Kontaktstelle(n) für die Bearbeitung von Beschwerden, Auskunftsbegehren und anderen Fragen im Zusammenhang mit dem Datenschutzrahmen EU-USA vorhanden ist (sind), b) gegebenenfalls die öffentlich zugänglichen Datenschutzbestimmungen der Organisation sowohl auf der öffentlichen Website der Organisation als auch über einen Hyperlink auf der Datenschutzrahmen-Liste öffentlich einsehbar sind, c) die Datenschutzbestimmungen der Organisation weiterhin die in den Grundsätzen beschriebenen Anforderungen an die Selbstzertifizierung erfüllen und d) die von der Organisation benannte unabhängige Beschwerdestelle für die Behandlung von Beschwerden im Rahmen des Datenschutzrahmens EU-USA zur Verfügung steht. Das Ministerium wird auch aktiv die Medien auf Berichte hin überwachen, die glaubwürdige Beweise für die Nichteinhaltung der Grundsätze durch Organisationen enthalten, die dem Datenschutzrahmen EU-USA angehören.
Im Rahmen der Überprüfung der Einhaltung der Grundsätze wird das Ministerium eine Organisation, die dem Datenschutzrahmen EU-USA angehört, auffordern, einen detaillierten Fragebogen auszufüllen und dem Ministerium zu übermitteln, wenn a) dem Ministerium ernst gemeinte Beschwerden über die Einhaltung der Grundsätze durch eine Organisation zugegangen sind, b) die Organisation keine zufriedenstellende Antwort auf eine mit dem Datenschutzrahmen EU-USA verbundene Anfrage des Ministeriums übermittelt oder c) deutliche Anhaltspunkte darauf schließen lassen, dass eine Organisation ihren Zusagen im Zusammenhang mit dem Datenschutzrahmen EU-USA nicht nachkommt. Hat das Ministerium einen solchen detaillierten Fragebogen an eine Organisation geschickt und die Organisation antwortet nicht zufriedenstellend auf den Fragebogen, informiert das Ministerium die Organisation darüber, dass das Ministerium die Angelegenheit gegebenenfalls an die zuständige Behörde für mögliche Durchsetzungsmaßnahmen verweist, wenn das Ministerium keine rechtzeitige und zufriedenstellende Antwort von der Organisation erhält. Das Ministerium informiert die Organisation mittels der Kontaktkanäle, die die Organisation dem Ministerium zur Verfügung gestellt hat, oder gegebenenfalls auf andere geeignete Weise. Wenn die Organisation nicht rechtzeitig und zufriedenstellend antwortet, wird das Ministerium die Sache von Amts wegen an die FTC, das Verkehrsministerium oder eine andere zuständige Vollzugsbehörde weiterleiten oder andere angemessene Maßnahmen ergreifen, um die Einhaltung der Vorschriften sicherzustellen. Das Ministerium stimmt diese Einhaltungskontrollen bei Bedarf mit den zuständigen Datenschutzbehörden ab und
bewertet regelmäßig die Verwaltung und Überwachung des Datenschutzrahmen-Programms, um sicherzustellen, dass die Kontrollbemühungen, einschließlich der Bemühungen durch den Einsatz von Suchwerkzeugen (z. B. zur Überprüfung fehlerhafter Links zu Datenschutzbestimmungen von Organisationen, die dem Datenschutzrahmen EU-USA angehören), für bestehende und neue Problemfelder angemessen sind.
Überarbeitung der Website zum Datenschutzrahmen mit Blick auf ausgewählte Zielgruppen
Das Ministerium überarbeitet die Website zum Datenschutzrahmen, um sie auf folgende Zielgruppen auszurichten: EU-Bürger, EU-Unternehmen, US-Unternehmen und Datenschutzbehörden. Durch die Aufnahme von speziell auf EU-Bürger und EU-Unternehmen zugeschnittenen Materialien kann die Transparenz auf vielfältige Weise gesteigert werden. In Bezug auf EU-Bürger wird auf der Website Folgendes klar erläutert: 1) die Rechte, die im Datenschutzrahmen EU-USA für EU-Bürger vorgesehen sind, 2) die Rechtsbehelfe, die EU-Bürgern zur Verfügung stehen, wenn sie der Ansicht sind, dass eine Organisation gegen ihre Verpflichtung zur Einhaltung der Grundsätze verstoßen hat und 3) Hinweise zur Selbstzertifizierung eines Unternehmens im Rahmen des Datenschutzrahmens EU-USA. Im Hinblick auf EU-Unternehmen wird die Überprüfung der folgenden Aspekte erleichtert: 1) ob eine Organisation dem Datenschutzrahmen EU-USA angehört, 2) welche Informationen von der Selbstzertifizierung einer Organisation im Rahmen des Datenschutzrahmens EU-USA abgedeckt werden, 3) welche Datenschutzbestimmungen auf diese Informationen zur Anwendung kommen und 4) anhand welcher Methoden eine Organisation die Einhaltung der Grundsätze prüft. Im Hinblick auf US-Unternehmen werden folgende Punkte klar erläutert: 1) die Vorteile der Beteiligung am Datenschutzrahmen EU-USA, 2) die Modalitäten für den Beitritt zum Datenschutzrahmen EU-USA sowie für die erneute Zertifizierung und das Ausscheiden aus dem Datenschutzrahmen EU-USA, und 3) die Verwaltung und Durchsetzung des Datenschutzrahmens EU-USA durch die Vereinigten Staaten. Die Aufnahme von speziell an die Datenschutzbehörden gerichteten Materialien (z. B. Informationen über die spezielle Kontaktstelle des Ministeriums für Datenschutzbehörden und ein Hyperlink zu Inhalten im Zusammenhang mit den Grundsätzen auf der FTC-Website) wird sowohl die Zusammenarbeit als auch die Transparenz erleichtern. Das Ministerium wird außerdem auf Ad-hoc-Basis mit der Kommission und dem Europäischen Datenschutzausschuss („EDSA“) zusammenarbeiten, um zusätzliches, aktuelles Material (z. B. Antworten auf häufig gestellte Fragen) für die Website zum Datenschutzrahmen zu entwickeln, wenn solche Informationen die effiziente Verwaltung und Überwachung des Datenschutzrahmen-Programms erleichtern würden.
Erleichterung der Zusammenarbeit mit den Datenschutzbehörden
Für den Ausbau der Kooperationsmöglichkeiten mit den Datenschutzbehörden unterhält das Ministerium eine spezielle Kontaktstelle, die als Bindeglied zu den Datenschutzbehörden fungiert. Sollte eine Datenschutzbehörde, auch aufgrund einer Beschwerde durch einen EU-Bürger, den Verdacht hegen, dass eine Organisation die Grundsätze nicht einhält, kann sie sich an die spezielle Kontaktstelle im Ministerium wenden, um eine weitere Kontrolle der Organisation zu veranlassen. Nach Eingang ist das Ministerium nach besten Kräften um eine Klärung der Beschwerde mit der dem Datenschutzrahmen EU-USA angehörenden Organisation bemüht. Innerhalb von 90 Tagen nach Eingang der Beschwerde unterrichtet das Ministerium die Datenschutzbehörde über den aktuellen Sachstand. Die spezielle Kontaktstelle wird auch Hinweise auf Organisationen entgegennehmen, die fälschlicherweise behaupten, am Datenschutzrahmen EU-USA beteiligt zu sein. In der speziellen Kontaktstelle werden alle von den Datenschutzbehörden an das Ministerium übermittelten Fälle erfasst, und das Ministerium erstellt bei der gemeinsamen Überprüfung einen Bericht, der in aggregierter Form die im Laufe des Jahres bei ihm eingegangenen Beschwerden enthält. Die spezielle Kontaktstelle unterstützt Datenschutzbehörden bei der Erfassung von Informationen zur Selbstzertifizierung oder zum bisherigen Beitritt einer Organisation zum Datenschutzrahmen EU-USA und beantwortet Anfragen der Datenschutzbehörden zur Umsetzung der spezifischen Anforderungen des Datenschutzrahmens EU-USA. Das Ministerium wird auch mit der Kommission und dem EDSA in Bezug auf verfahrenstechnische und administrative Aspekte des Gremiums der Datenschutzbehörden zusammenarbeiten, einschließlich der Festlegung geeigneter Verfahren für die Verteilung der Mittel, die durch die Gebühren des Gremiums der Datenschutzbehörden eingenommen werden. Wir hoffen, dass die Kommission mit dem Ministerium zusammenarbeiten wird, um die Lösung von Problemen zu erleichtern, die im Zusammenhang mit diesen Verfahren auftreten können. Darüber hinaus stellt das Ministerium den Datenschutzbehörden Material zum Datenschutzrahmen EU-USA zur Verfügung, das sie auf ihre eigenen Websites stellen können, um für mehr Transparenz zugunsten von EU-Bürgern und EU-Unternehmen zu sorgen. Ein stärkeres Bewusstsein für den Datenschutzrahmen und die damit verbundenen Rechte und Pflichten kann die Erkennung von Problemen unmittelbar nach ihrem Auftreten begünstigen und die Einleitung geeigneter Abhilfemaßnahmen begünstigen.
Erfüllung der in Anhang I der Grundsätze eingegangenen Verpflichtungen
Das International Centre for Dispute Resolution (ICDR), die internationale Abteilung der American Arbitration Association (AAA) (zusammen „ICDR-AAA“), wurde vom Handelsministerium mit der Durchführung von Schiedsverfahren gemäß den Grundsätzen und der Verwaltung des in Anhang I der Grundsätze genannten Schiedsfonds beauftragt.
Am 15. September 2017 einigten sich das Ministerium und die Kommission auf die Annahme einer Reihe von Schiedsregeln, mit denen die in Anhang I der Grundsätze beschriebenen verbindlichen Schiedsverfahren geregelt werden, sowie auf einen Verhaltenskodex für Schiedsrichter, der den allgemein anerkannten ethischen Standards für Handelsschiedsrichter und Anhang I der Grundsätze entspricht. Das Ministerium und die Kommission haben vereinbart, die Schiedsregeln und den Verhaltenskodex an die Aktualisierungen des Datenschutzrahmens EU-USA anzupassen, und das Ministerium wird mit dem ICDR-AAA zusammenarbeiten, um diese Aktualisierungen vorzunehmen.
Durchführung gemeinsamer Überprüfungen der Funktionsweise des Datenschutzrahmens EU-USA
Das Ministerium und andere Stellen werden in regelmäßigen Abständen Sitzungen mit der Kommission, interessierten Datenschutzbehörden und geeigneten Vertretern des EDSA abhalten, bei denen das Ministerium über den aktuellen Stand des Datenschutzrahmens EU-USA berichten wird. Auf den Sitzungen werden aktuelle Fragen im Zusammenhang mit der Funktionsweise, Umsetzung, Überwachung und Durchsetzung des Datenschutzrahmen-Programms erörtert. Gegebenenfalls können bei den Sitzungen auch verwandte Themen erörtert werden, z. B. andere Datenübermittlungsmechanismen, die von den Garantien des Datenschutzrahmens EU-USA profitieren.
Aktualisierung von Gesetzen
Das Ministerium wird die Kommission in angemessener Weise über wesentliche Änderungen des Rechts der Vereinigten Staaten unterrichten, wenn sie für den Datenschutzrahmen EU-USA relevant sind und den Datenschutz sowie die Beschränkungen und Schutzvorkehrungen für den Zugriff staatlicher Behörden auf personenbezogene Daten und deren anschließende Verwendung betreffen.
Staatlicher Zugriff auf personenbezogene Daten
Die Vereinigten Staaten haben die Executive Order 14086 mit dem Titel „Enhancing Safeguards for United States Signals Intelligence Activities“ und Titel 28 CFR Teil 201 zur Änderung der Vorschriften des Justizministeriums erlassen, um das Datenschutzüberprüfungsgericht (Data Protection Review Court, „DPRC“) einzurichten, die einen starken Schutz personenbezogener Daten im Hinblick auf den staatlichen Zugriff auf Daten für Zwecke der nationalen Sicherheit bieten. Der vorgesehene Schutz umfasst die Stärkung des Schutzes der Privatsphäre und der bürgerlichen Freiheiten, um sicherzustellen, dass die Maßnahmen im Zusammenhang mit der US-Signalaufklärung zur Verfolgung bestimmter nationaler Sicherheitsziele notwendig und verhältnismäßig sind, die Einrichtung einer neuen Beschwerdestelle mit unabhängigen und verbindlichen Befugnissen und Stärkung der bestehenden strengen und mehrstufigen Aufsicht über die US-Signalaufklärung. Dieser Schutz bietet EU-Bürgern einen neuen, mehrstufigen Rechtsbehelfsmechanismus, der auch ein unabhängiges DPRC umfasst, das sich aus Personen zusammensetzt, die nicht der US-Regierung angehören und die uneingeschränkte Befugnis haben, über Beschwerden zu entscheiden und gegebenenfalls Abhilfemaßnahmen anzuordnen. Das Ministerium führt eine Liste der EU-Bürger, die eine qualifizierte Beschwerde gemäß Executive Order 14086 und Titel 28 CFR Teil 201 eingereicht haben. Fünf Jahre nach dem Datum dieses Schreibens und danach alle fünf Jahre wird sich das Ministerium mit den zuständigen Stellen in Verbindung setzen, um festzustellen, ob die Informationen über die Überprüfung qualifizierter Beschwerden oder die Überprüfung von Anträgen auf Überprüfung, die dem DPRC vorgelegt wurden, freigegeben wurden. Wenn solche Informationen freigegeben werden, wird das Ministerium mit der zuständigen Datenschutzbehörde zusammenarbeiten, um die EU-Bürger zu informieren. Diese Verbesserungen bestätigen, dass personenbezogene Daten aus der EU, die in die Vereinigten Staaten übermittelt werden, in einer Weise verarbeitet werden, die den rechtlichen Anforderungen der EU in Bezug auf den Zugang von Behörden zu Daten entspricht.
Ausgehend von den Grundsätzen, der Executive Order 14086, dem Titel 28 CFR Teil 201 und den Begleitschreiben und -materialien, einschließlich der Zusagen des Ministeriums zur Verwaltung und Überwachung des Datenschutzrahmen-Programms, rechnen wir damit, dass die Kommission den Datenschutzrahmen EU-USA als ausreichend erachtet, um einen Schutz im Sinne der EU-Rechtsvorschriften zu gewährleisten, und dass Daten weiterhin an Organisationen übermittelt werden, die dem Datenschutzrahmen EU-USA angehören. Wir gehen auch davon aus, dass Übermittlungen an US-Organisationen, die auf der Grundlage von EU-Standardvertragsklauseln oder verbindlichen unternehmensinternen Vorschriften der EU erfolgen, durch die Bedingungen dieser Vereinbarungen weiter erleichtert werden.
Mit freundlichen Grüßen
Lago
Siehe
Siehe
11. August 2022
,
Siehe
30. März 2022
Siehe
16. Juni 2022
15 U.S.C. § 45(a)(4)(B). Darüber hinaus umfassen „unlautere oder irreführende Handlungen oder Praktiken“ solche Handlungen oder Praktiken, die den Außenhandel betreffen und i) tatsächlich oder wahrscheinlich einen nach vernünftigem Ermessen vorhersehbaren Schaden in den Vereinigten Staaten bewirken oder ii) bei denen entscheidungserhebliches Verhalten in den Vereinigten Staaten eine Rolle spielt. 15 U.S.C. § 45(a)(4)(A).
Die FTC setzt ferner weitere zielgerichtete Gesetze durch, die Bestimmungen zum Schutz von Verbrauchern außerhalb der USA beinhalten, darunter das Children’s Online Privacy Protection Act („COPPA“). Dieses Gesetz schreibt vor, dass Betreiber von Websites und Online-Diensten, die für Kinder bestimmt sind, sowie von allgemeinen Websites, die wissentlich personenbezogene Daten von Kindern unter 13 Jahren erfassen, die Eltern davon in Kenntnis setzen und deren nachprüfbare Zustimmung einholen müssen. In den USA betriebene Websites und Dienste, die dem COPPA unterliegen und personenbezogene Daten von ausländischen Kindern erheben, sind an die Bestimmungen des COPPA gebunden. Im Ausland betriebene Websites und Dienste müssen sich ebenfalls daran halten, wenn sie sich an Kinder in den USA richten oder wissentlich personenbezogene Daten von Kindern in den USA erheben. Neben den von der FTC durchgesetzten Bundesgesetzen können sich noch weitere Verbraucherschutz- und Datenschutzregelungen des Bundes und der Einzelstaaten als vorteilhaft für EU-Verbraucher erweisen.
Siehe
Siehe
25. Mai 2022
Siehe
15. März 2022
Siehe
22. Juni 2021
In der Rechtssache CafePress warf die FTC dem Unternehmen vor, sensible Verbraucherdaten nicht zu schützen, eine schwerwiegende Verletzung des Schutzes personenbezogener Daten zu verschleiern und gegen die Grundsätze 2 (Wahlmöglichkeit), 4 (Sicherheit) und 6 (Auskunftsrecht) des EU-US-Datenschutzschilds zu verstoßen. Gemäß der Anordnung der FTC muss das Unternehmen die unzureichenden Authentifizierungsmaßnahmen durch eine Multi-Faktor-Authentifizierung ersetzen, die Menge der erhobenen und gespeicherten Daten erheblich einschränken, die Sozialversicherungsnummern verschlüsseln und die Informationssicherheitsprogramme durch einen Dritten bewerten lassen und der FTC eine Kopie zur Veröffentlichung vorlegen.
In der Rechtssache Flo behauptete die FTC, dass die Fruchtbarkeits-App Gesundheitsinformationen der Nutzer an Drittanbieter von Datenanalysen weitergegeben habe, obwohl sie sich zur Geheimhaltung dieser Informationen verpflichtet hatte. Die Beschwerde der FTC bezog sich insbesondere auf die Interaktionen des Unternehmens mit EU-Verbrauchern und darauf, dass Flo gegen die Grundsätze 1 (Informationspflicht), 2 (Wahlmöglichkeit), 3 (Verantwortlichkeit für die Weitergabe) und 5 (Datenintegrität und Zweckbindung) des EU-US-Datenschutzschilds verstoßen habe. Gemäß der FTC-Verfügung ist Flo unter anderem verpflichtet, die betroffenen Nutzer über die Weitergabe ihrer personenbezogenen Daten zu informieren und Dritte, die Gesundheitsdaten der Nutzer erhalten haben, anzuweisen, diese Daten zu vernichten. Die Verfügungen der FTC schützen alle Verbraucher weltweit, die Kunden eines US-Unternehmens sind, und nicht nur jene unter ihnen, die Beschwerden eingereicht haben.
Schreiben von Marisa Lago, geschäftsführender Staatssekretärin für internationalen Handel, an Herrn Didier Reynders, Kommissar für Justiz, Europäische Kommission (12. Dezember 2022).
Wie bereits im Rahmen der US-EU-Safe-Harbor-Regelung und des EU-US-Datenschutzschilds verpflichtet sich die FTC, überwiesene Fälle des Handelsministeriums und der EU-Mitgliedstaaten im Zusammenhang mit den Grundsätzen des Datenschutzrahmens EU-USA vorrangig zu behandeln. Wir werden auch Fällen Vorrang einräumen, die uns von Selbstregulierungsorganisationen für den Datenschutz und anderen unabhängigen Streitbeilegungsgremien wegen Nichteinhaltung der Grundsätze des Datenschutzrahmens EU-USA überwiesen werden.
Um im Rahmen des Datenschutzrahmens EU-USA die Zuleitung von Fällen aus den EU-Mitgliedstaaten zu erleichtern, hat die FTC ein standardisiertes Verweisungsverfahren eingerichtet und den EU-Mitgliedstaaten eine Anleitung dazu gegeben, welche Art von Informationen für die FTC bei den Ermittlungen zu einem ihr zugeleiteten Fall besonders hilfreich ist. Zu diesem Zweck hat die FTC innerhalb der Behörde eine Kontaktstelle für aus den EU-Mitgliedstaaten weitergeleitete Fälle benannt. Es ist zweifellos von Vorteil, wenn die vorlegende Behörde bereits eine Voruntersuchung des mutmaßlichen Verstoßes eingeleitet hat und bei den Ermittlungen mit der FTC zusammenarbeiten kann.
Wenn das Handelsministerium, ein EU-Mitgliedstaat, eine Selbstregulierungsorganisation oder eine andere unabhängige Beschwerdestelle die FTC mit einer Sache befasst, kann diese eine Reihe von Maßnahmen ergreifen, um die aufgeworfenen Fragen zu klären. Beispielsweise können wir die Datenschutzpolitik der Organisation überprüfen; zusätzliche Informationen direkt bei der Organisation oder bei Dritten einholen; die vorlegende Stelle dazu befragen; untersuchen, ob die Verstöße systematisch erfolgen oder eine größere Anzahl von Verbrauchern betreffen; in Erfahrung bringen, ob der uns zugeleitete Fall Fragen berührt, die in den Zuständigkeitsbereich des Handelsministeriums fallen; prüfen, ob zusätzliche Bemühungen zur Unterrichtung der Marktteilnehmer hilfreich wären; und gegebenenfalls ein Verfahren einleiten.
Auch wenn die FTC keinen Beschwerden einzelner Verbraucher nachgeht oder dabei vermittelt, wird sie Fälle, die ihr von EU-Datenschutzbehörden im Zusammenhang mit den Grundsätzen des Datenschutzrahmens EU-USA zugeleitet werden, vorrangig behandeln. Zudem wertet die FTC Beschwerden für ihre Datenbank Consumer Sentinel aus, die vielen Strafverfolgungsbehörden zugänglich ist, um Trends zu erkennen, Schwerpunkte der Durchsetzung festzulegen und mögliche Ziele von Ermittlungen auszumachen. EU-Bürger können dasselbe Beschwerdesystem, das US-Verbrauchern zur Verfügung steht, für eine Beschwerde an die FTC unter https://reportfraud.ftc.gov/ nutzen. Bei Individualbeschwerden, die die Grundsätze des Datenschutzrahmens EU-USA betreffen, ist es aber für EU-Bürger am zweckmäßigsten, wenn sie ihre Beschwerde bei einer Datenschutzbehörde ihres Mitgliedstaats oder einer unabhängigen Beschwerdestelle einreichen.
50120
50120
15 U.S.C. § 45(m); 16 C.F.R. § 1.98. Dieser Betrag wird regelmäßig an die Inflation angepasst.
Siehe
1. Juli 2021
Siehe
Die FTC erkennt die wichtige Rolle an, die Datenschutzbehörden der EU bei der Einhaltung der Grundsätze des Datenschutzrahmens spielen kann, und befürwortet verstärkte Konsultationen und eine engere Zusammenarbeit bei der Durchsetzung. Ein koordinierter Ansatz zur Bewältigung der Herausforderungen, die sich aus den aktuellen digitalen Marktentwicklungen und datenintensiven Geschäftsmodellen ergeben, wird immer wichtiger. Die FTC wird auch mit den vorlegenden Durchsetzungsinstanzen Informationen über die ihr zugeleiteten Sachen austauschen, unter anderem zu deren Status im Hinblick auf Geheimhaltungsvorschriften und Einschränkungen. In dem Maße, wie es Anzahl und Art der überwiesenen Fälle erlauben, enthalten die Informationen eine Beurteilung der Fälle, einschließlich einer Beschreibung der aufgeworfenen Kernfragen und der Maßnahmen, die gegen Verstöße im Zuständigkeitsbereich der FTC ergriffen wurden. Die FTC unterrichtet die vorlegende Behörde auch über die Art der ihr zugeleiteten Fälle, um die Wirksamkeit der Bemühungen um die Ahndung gesetzwidrigen Verhaltens zu erhöhen. Wenn eine vorlegende Durchsetzungsinstanz um Informationen zum Status eines bestimmten Falles ersucht, um eigene Durchsetzungsmaßnahmen zu verfolgen, wird die FTC diesem Wunsch nachkommen, wobei sie die Anzahl der jeweils zu prüfenden Sachen ebenso berücksichtigt wie Geheimhaltungsvorschriften sowie andere rechtliche Vorgaben.
Zur Beantwortung der Frage, ob sie ihre Befugnisse nach dem U.S. SAFE WEB Act ausüben sollte, prüft die FTC unter anderem, „A) ob die vorlegende Behörde sich dazu bereit erklärt hat, ihrerseits der Kommission Amtshilfe zu leisten, B) ob die Befürwortung des Antrags dem öffentlichen Interesse der Vereinigten Staaten zuwiderlaufen würde, und C) ob die Ermittlungen oder Durchsetzungsmaßnahmen der vorlegenden Behörde Handlungen oder Praktiken zum Gegenstand haben, die einer größeren Zahl von Personen tatsächlich oder voraussichtlich zum Schaden gereichen.“ 15 U.S.C. § 46(j)(3). Die Befugnisse erstrecken sich nicht auf die Durchsetzung von Wettbewerbsvorschriften.
Über Rücksprachen mit vorlegenden EU-Datenschutzbehörden zu fallspezifischen Fragen hinaus wird die FTC an regelmäßigen Zusammenkünften mit dazu benannten Vertretern des Europäischen Datenschutzausschusses („EDSA“) teilnehmen, um in allgemeiner Form darüber zu diskutieren, wie sich die Zusammenarbeit bei der Durchsetzung verbessern lässt. Die FTC wird sich zudem gemeinsam mit dem Handelsministerium, der Europäischen Kommission und Vertretern des EDSA der regelmäßigen Überprüfung des Datenschutzrahmens EU-USA beteiligen, um die praktische Umsetzung zu erörtern. Die FTC wirkt auch auf die Entwicklung von Instrumenten hin, die eine verstärkte Zusammenarbeit mit Datenschutzbehörden der EU sowie ähnlichen Einrichtungen in der ganzen Welt bei Durchsetzungsmaßnahmen ermöglichen. Die FTC freut sich, ihr Engagement für die Durchsetzung der kommerziellen Aspekte des Datenschutzrahmens EU-USA zu bekräftigen. Wir betrachten unsere Partnerschaft mit unseren Kolleginnen und Kollegen in der EU als ein wesentliches Element des Datenschutzes für die US- und EU-Bürger.
Mit freundlichen Grüßen
Khan
Vorsitzende, Federal Trade Commission
| In der Sache Medable, Inc. |
| Medable |
| 11 | FTC-Fall Nr. 182 3189Aktenzeichen 9386 | In der Sache NTT Global Data Centers Americas, Inc. als Rechtsnachfolger von RagingWire Data Centers, Inc. | RagingWire |
| 12 | FTC-Fall Nr. 182 3196Aktenzeichen C-4702 | In der Sache Thru, Inc. | Thru |
| 13 | FTC-Fall Nr. 182 3188Aktenzeichen C-4698 | In der Sache DCR Workforce, Inc. | DCR Workforce |
| 14 | FTC-Fall Nr. 182 3194Aktenzeichen C-4700 | In der Sache LotaData, Inc. | LotaData |
| 15 | FTC-Fall Nr. 182 3195Aktenzeichen C-4701 | In der Sache EmpiriStat, Inc. | EmpiriStat |
| 16 | FTC-Fall Nr. 182 3193Aktenzeichen C-4699 | In der Sache 214 Technologies, Inc. auch d/b/a Trueface.ai | Trueface.ai |
| 17 | FTC-Fall Nr. 182 3107Aktenzeichen 9383 | In der Sache Cambridge Analytica, LLC | Cambridge Analytica |
| 18 | FTC-Fall Nr. 182 3152Aktenzeichen C-4685 | In der Sache SecureTest, Inc. | SecurTest |
| 19 | FTC-Fall Nr. 182 3144Aktenzeichen C-4664 | In der Sache VenPath, Inc. | VenPath |
| 20 | FTC-Fall Nr. 182 3154Aktenzeichen C-4666 | In der Sache SmartStart Employment Screening, Inc. | SmartStart |
| 21 | FTC-Fall Nr. 182 3143Aktenzeichen C-4663 | In der Sache mResourceLLC, d/b/a Loop Works LLC | mResource |
| 22 | FTC-Fall Nr. 182 3150Aktenzeichen C-4665 | In der Sache Idmission LLC | IDmission |
| 23 | FTC-Fall Nr. 182 3100Aktenzeichen C-4659 | In der Sache ReadyTech Corporation | ReadyTech |
| 24 | FTC-Fall Nr. 172 3173Aktenzeichen C-4630 | In der Sache Decusoft, LLC | Decusoft |
| 25 | FTC-Fall Nr. 172 3171Aktenzeichen C-4628 | In der Sache Tru Communication, Inc. | Tru |
| 26 | FTC-Fall Nr. 172 3172Aktenzeichen C-4629 | In der Sache Md7, LLC | Md7 |
| 30 | FTC-Fall Nr. 152 3198Aktenzeichen C-4543 | In der Sache Jhayrmaine Daniels (d/b/a California Skate-Line) | Jhayrmaine Daniels |
| 31 | FTC-Fall Nr. 152 3190Aktenzeichen C-4545 | In der Sache Dale Jarrett Racing Adventure, Inc. | Dale Jarrett |
| 32 | FTC-Fall Nr. 152 3141Aktenzeichen C-4540 | In der Sache Golf Connect, LLC | Golf Connect |
| 33 | FTC-Fall Nr. 152 3202Aktenzeichen C-4546 | In der Sache Inbox Group, LLC | Inbox Group |
| 34 | Aktenzeichen 152 3187Aktenzeichen C-4542 | In der Sache IOActive, Inc. | IOActive |
| 35 | FTC-Fall Nr. 152 3140Aktenzeichen C-4549 | In der Sache Jubilant Clinsys, Inc. | Jubilant |
| 36 | FTC-Fall Nr. 152 3199Aktenzeichen C-4547 | In der Sache Just Bagels Manufacturing, Inc. | Just Bagels |
| 37 | FTC-Fall Nr. 152 3138Aktenzeichen C-4548 | In der Sache NAICS Association, LLC | NAICS |
| 38 | FTC-Fall Nr. 152 3201Aktenzeichen C-4544 | In der Sache One Industries Corp. | One Industries |
| 39 | FTC-Fall Nr. 152 3137Aktenzeichen C-4550 | In der Sache Pinger, Inc. | Pinger |
| 40 | FTC-Fall Nr. 152 3193Aktenzeichen C-4552 | In der Sache SteriMed Medical Waste Solutions | SteriMed |
| 41 | FTC-Fall Nr. 152 3184Aktenzeichen C-4541 | In der Sache Contract Logix, LLC | Contract Logix |
| 42 | FTC-Fall Nr. 152 3185Aktenzeichen C-4551 | In der Sache Forensics Consulting Solutions, LLC | Forensics Consulting |
| 43 | FTC-Fall Nr. 152 3051Aktenzeichen C-4526 | In der Sache American Int'l Mailing, Inc. | AIM |
| 44 | FTC-Fall Nr. 152 3015Aktenzeichen C-4525 | In der Sache TES Franchising, LLC | TES |
| 45 | FTC-Fall Nr. 142 3036Aktenzeichen C-4459 | In der Sache American Apparel, Inc. | American Apparel |
| 46 | FTC-Fall Nr. 142 3026Aktenzeichen C-4469 | In der Sache Fantage.com, Inc. | Fantage |
| 47 | FTC-Fall Nr. 142 3017Aktenzeichen C-4461 | In der Sache Apperian, Inc. | Apperian |
| 48 | FTC-Fall Nr. 142 3018Aktenzeichen C-4462 | In der Sache Atlanta Falcons Football Club, LLC | Atlanta Falcons |
| 49 | FTC-Fall Nr. 142 3019Aktenzeichen C-4463 | In der Sache Baker Tilly Virchow Krause, LLP | Baker Tilly |
| 50 | FTC-Fall Nr. 142 3020Aktenzeichen C-4464 | In der Sache BitTorrent, Inc. | BitTorrent |
| 51 | FTC-Fall Nr. 142 3022Aktenzeichen C-4465 | In der Sache Charles River Laboratories, Int'l | Charles River |
| 52 | FTC-Fall Nr. 142 3023Aktenzeichen C-4466 | In der Sache DataMotion, Inc. | DataMotion |
| 53 | FTC-Fall Nr. 142 3024Aktenzeichen C-4467 | In der Sache DDC Laboratories, Inc., d/b/a DNA Diagnostics Center | DDC |
| 54 | FTC-Fall Nr. 142 3028Aktenzeichen C-4470 | In der Sache Level 3 Communications, LLC | Level 3 |
| 55 | FTC-Fall Nr. 142 3025Aktenzeichen C-4468 | In der Sache PDB Sports, Ltd., d/b/a the Denver Broncos Football Club, LLP | Broncos |
| 56 | FTC-Fall Nr. 142 3030Aktenzeichen C-4471 | In der Sache Reynolds Consumer Products, Inc. | Reynolds |
| 57 | FTC-Fall Nr. 142 3031Aktenzeichen C-4472 | In der Sache Receivable Management Services Corporation | Receivable Mgmt |
| 58 | FTC-Fall Nr. 142 3032Aktenzeichen C-4473 | In der Sache Tennessee Football, Inc. | Tennessee Football |
| 59 | FTC-Fall Nr. 102 3058Aktenzeichen C-4369 | In der Sache Myspace LLC | Myspace |
| 60 | FTC-Fall Nr. 092 3184Aktenzeichen C-4365 | In der Sache Facebook, Inc. |
| 61 | FTC-Fall Nr. 092 3081Civil Action No. 09-CV-5276 (C.D. Cal.) | FTC v. Javian Karnani, und Balls of Kryptonite, LLC, d/b/a Bite Size Deals, LLC, and Best Priced Brands, LLC | Balls of Kryptonite |
| 62 | FTC-Fall Nr. 102 3136Aktenzeichen C-4336 | In der Sache Google, Inc. |
| 63 | FTC-Fall Nr. 092 3137Aktenzeichen C-4282 | In der Sache Myspace LLC | World Innovators |
| 64 | FTC-Fall Nr. 092 3141Aktenzeichen C-4271 | In der Sache Progressive Gaitways LLC | Progressive Gaitways |
| 65 | FTC-Fall Nr. 092 3139Aktenzeichen C-4270 | In der Sache Onyx Graphics, LLC | Onyx Graphics |
| 66 | FTC-Fall Nr. 092 3138Aktenzeichen C-4269 | In der Sache ExpatEdge Partners, LLC | ExpatEdge |
| 67 | FTC-Fall Nr. 092 3140Aktenzeichen C-4281 | In der Sache Directors Desk LLC | Directors Desk |
| 68 | FTC-Fall Nr. 092 3142Aktenzeichen C-4272 | In der Sache Collectify LLC | Collectify |
Das Ministerium setzt sich konsequent dafür ein, die Geheimhaltung personenbezogener Daten, die Verbraucher den Luftverkehrsgesellschaften oder den Inhabern von Kartenverkaufsstellen überlassen, zu gewährleisten.
Die Handlungsbefugnisse des Ministeriums auf diesem Gebiet ergeben sich aus 49 U.S.C. 41712, zur Verhinderung unlauterer oder irreführender Praktiken im Luftverkehr oder beim Verkauf von Luftverkehrsdienstleistungen durch Luftfahrtunternehmen oder Vermittler. Abschnitt 41712 ist nach dem Vorbild von Abschnitt 5 des Federal Trade Commission (FTC) Act (15 U.S.C. 45) aufgebaut.
Vor Kurzem hat das Verkehrsministerium Vorschriften zur Definition unlauterer und irreführender Praktiken erlassen, die im Einklang mit der Entscheidungspraxis des Verkehrsministeriums und der FTC stehen (Titel 14 CFR § 399.79). Eine Handlung oder Praxis ist „unlauter”, wenn sie tatsächlich oder vermutlich einen erheblichen Schaden bewirkt, der von Verbrauchern unter normalen Umständen nicht zu vermeiden ist oder nicht durch ausgleichende Vorteile für die Verbraucher oder den Wettbewerb aufgewogen wird.
https://www.transportation.gov/individuals/aviation-consumer-protection/privacy.
Wie oben ausgeführt, verfügt das Ministerium gemäß Bundesgesetz über die alleinige Befugnis, die Datenschutzpraxis von Luftverkehrsgesellschaften zu regulieren, und mit der FTC über die gemeinsame Befugnis, die Datenschutzpraxis der Inhaber von Verkaufsstellen für Flugtickets zu regeln.
Sobald sich eine Luftverkehrsgesellschaft oder der Inhaber einer Verkaufsstelle für Flugtickets öffentlich zu den Grundsätzen des Datenschutzrahmens EU-USA bekennt, kann das Ministerium daher von den rechtlichen Befugnissen gemäß Abschnitt 41712 Gebrauch machen und die Einhaltung dieser Grundsätze sicherstellen. Gibt also ein Passagier Informationen an eine Luftverkehrsgesellschaft oder den Inhaber einer Verkaufsstelle, die sich zur Einhaltung der Grundsätze des Datenschutzrahmens EU-USA verpflichtet haben, dann würde ein Verstoß gegen diese Grundsätze eine Verletzung der Bestimmungen des Abschnitts 41712 darstellen.
Ehemals bekannt als Office of Aviation Enforcement and Proceedings (Dienststelle für Rechtsdurchsetzung und Verfahren im Luftverkehr).
http://www.transportation.gov/airconsumer/privacy-complaints.
37377
Das Ministerium hat nicht das Recht, beschwerdeführenden Privatpersonen Schadensersatz oder finanzielle Entschädigungen zuzuerkennen. Es kann allerdings Vereinbarungen genehmigen, die sich aus von der OACP eingebrachten Untersuchungen ergeben und dem Verbraucher als Ausgleich für andernfalls an die US-Regierung zu entrichtende Geldbußen einen unmittelbaren Vorteil (z. B. in Form von Bargeld, Gutscheinen) verschaffen. Dies wurde in der Vergangenheit so gehandhabt und kann auch im Zusammenhang mit den Grundsätzen des Datenschutzrahmens EU-USA weiterhin so gehandhabt werden, falls die Umstände dies erfordern. Sollte eine Luftverkehrsgesellschaft die Bestimmungen des Abschnitts 41712 wiederholt verletzen, würden Zweifel an der Bereitschaft der Gesellschaft zur Einhaltung der Grundsätze aufkommen, was in gravierenden Fällen dazu führen könnte, dass die Gesellschaft als nicht mehr betriebstauglich angesehen und ihr somit die wirtschaftliche Betriebsgenehmigung entzogen würde.
Bisher sind beim Ministerium relativ wenige Beschwerden wegen mutmaßlicher Verstöße gegen die Datenschutzbestimmungen durch Inhaber von Kartenverkaufsstellen und Luftverkehrsgesellschaften eingegangen. Bei Vorliegen einer Beschwerde wird diese gemäß den im Vorangehenden ausgeführten Grundsätzen geprüft.
Gemäß Abschnitt 41712 gilt das Verbot unlauterer und irreführender Praktiken im Luftverkehr oder beim Verkauf von Flugtickets für amerikanische oder ausländische Luftverkehrsgesellschaften oder Inhaber von Kartenverkaufsstellen. Das Ministerium geht häufig gegen amerikanische und ausländische Luftverkehrsgesellschaften wegen Praktiken vor, die sich sowohl auf ausländische als auch auf amerikanische Verbraucher nachteilig auswirken, sofern diese bei der Erbringung von Verkehrsdienstleistungen mit Ziel oder Ausgangspunkt in den USA stattgefunden haben. Das Ministerium nutzt alle ihm zur Verfügung stehenden Rechtsbehelfe und wird dies auch weiterhin tun, um ausländische wie amerikanische Verbraucher vor unlauteren und irreführenden Praktiken im Luftverkehr vonseiten beaufsichtigter Unternehmen zu schützen.
Im Zusammenhang mit Luftverkehrsgesellschaften setzt das Ministerium darüber hinaus weitere zielgerichtete Gesetze durch, die Bestimmungen zum Schutz von Verbrauchern außerhalb der USA beinhalten, darunter das Children’s Online Privacy Act (COPPA). Dieses Gesetz verlangt unter anderem von Betreibern von Websites und Online-Diensten, die an Kinder gerichtet sind, sowie von für die Allgemeinheit bestimmten Websites, die wissentlich personenbezogene Daten von Kindern unter 13 erheben, dass sie die Eltern darüber in Kenntnis setzen und die nachweisliche Zustimmung der Eltern einholen. In den USA betriebene Websites und Dienste, die dem COPPA unterliegen und personenbezogene Daten von ausländischen Kindern erheben, sind an die Bestimmungen des COPPA gebunden. Im Ausland betriebene Websites und Dienste müssen sich ebenfalls daran halten, wenn sie sich an Kinder in den USA richten oder wissentlich personenbezogene Daten von Kindern in den USA erheben. Für den Fall, dass amerikanische oder ausländische Luftverkehrsgesellschaften, die in den USA geschäftlich tätig sind, gegen das COPPA verstoßen, ist das Ministerium zur Einleitung von Durchsetzungsmaßnahmen befugt.
Sobald sich eine Luftverkehrsgesellschaft oder der Inhaber einer Kartenverkaufsstelle für eine Beteiligung am Datenschutzrahmen EU-USA entscheidet und beim Ministerium eine Beschwerde eingeht, wonach diese Luftverkehrsgesellschaft bzw. dieser Inhaber einer Kartenverkaufsstelle gegen die Grundsätze des Datenschutzrahmens EU-USA verstoßen hat, kann das Ministerium folgende Schritte einleiten, um dem Datenschutzrahmen EU-USA mit Nachdruck Geltung zu verschaffen.
Die OACP des Ministeriums prüft alle Beschwerden wegen mutmaßlicher Verstöße gegen den Datenschutzrahmen EU-USA, dazu gehören auch Beschwerden von EU-Datenschutzbehörden und leitet Durchsetzungsmaßnahmen ein, sofern es Anzeichen für einen Verstoß gibt.
Darüber hinaus arbeitet die OACP mit der FTC und dem Handelsministerium zusammen und befasst sich vorrangig mit Beschwerden über den Verstoß beaufsichtigter Unternehmen gegen im Rahmen des Datenschutzrahmens EU-USA eingegangenen Datenschutzverpflichtungen.
Nach Eingang einer Beschwerde über einen mutmaßlichen Verstoß gegen die Grundsätze des Datenschutzrahmens kann die OACP im Rahmen ihrer Ermittlungen eine Reihe von Maßnahmen ergreifen. So kann sie beispielsweise die Datenschutzbestimmungen des Inhabers einer Kartenverkaufsstelle oder der Luftverkehrsgesellschaft überprüfen, beim Inhaber der Kartenverkaufsstelle bei der Luftverkehrsgesellschaft oder bei Dritten zusätzliche Informationen einholen, die vorlegende Stelle dazu befragen und untersuchen, ob die Verstöße systematisch erfolgen oder eine größere Anzahl von Verbrauchern betreffen. Darüber hinaus stellt die Dienststelle fest, ob in dem vorliegenden Fall Sachverhalte berührt werden, die in den Zuständigkeitsbereich des Handelsministeriums oder der FTC fallen, sie prüft, ob Aufklärungsmaßnahmen für Verbraucher und Unternehmen hilfreich wären und leitet gegebenenfalls ein Verfahren ein.
Sollte das Ministerium Kenntnis von möglichen Verstößen gegen den Datenschutzrahmen EU-USA durch die Inhaber von Kartenverkaufsstellen erlangen, stimmt es sein weiteres Vorgehen mit der FTC ab. Darüber hinaus unterrichten wir die FTC und das Handelsministerium über die Ergebnisse von Durchsetzungsmaßnahmen im Rahmen des Datenschutzrahmens EU-USA.
Das Ministerium bekräftigt seine Zusage, im Falle von Verstößen gegen die Grundsätze des Datenschutzrahmens EU-USA, die auch falsche oder irreführende Angaben zur Beteiligung am Datenschutzrahmen EU-USA einschließen, Ermittlungen einzuleiten. Wir behandeln vorrangig Fälle, die uns durch das Handelsministerium übermittelt werden und Organisationen betreffen, die sich seinen Nachforschungen zufolge unrechtmäßig als Mitglied des Datenschutzrahmens EU-USA bezeichnen oder das Gütesiegel des Datenschutzrahmens EU-USA ohne Genehmigung verwenden.
Wenn im Übrigen eine Organisation in ihren Datenschutzbestimmungen zusichert, dass sie sich an die Grundsätze des Datenschutzrahmens EU-USA hält, reicht die bloße Tatsache, dass sie sich beim Handelsministerium nicht selbst zertifiziert oder ihre Selbstzertifizierung nicht verlängert, nicht aus, um sich der Durchsetzung dieser Zusicherungen durch das Handelsministerium zu entziehen.
Darüber hinaus bekräftigt die OACP des Ministeriums ihr Engagement für die Überwachung möglicher Durchsetzungsmaßnahmen, die zur Gewährleistung der Einhaltung der Grundsätze des Datenschutzrahmens EU-USA erforderlich sein können. Insbesondere wenn die Dienststelle eine Anordnung an eine Luftverkehrsgesellschaft oder einen Inhaber einer Kartenverkaufsstelle erlässt, in der künftige Verstöße gegen den Datenschutzrahmen EU-USA und gegen Abschnitt 41712 untersagt werden, überwacht sie in der Folge die Einhaltung der Vorgaben in der Unterlassungsanordnung durch die jeweilige Organisation. Die Dienststelle stellt zudem sicher, dass Anordnungen im Zusammenhang mit den Datenschutzrahmen EU-USA betreffenden Fällen auf ihrer Website eingesehen werden können.
Einer weiteren Zusammenarbeit mit unseren Partnern in den USA und mit den verantwortlichen Akteuren in der EU in allen den Datenschutzrahmen EU-USA betreffenden Angelegenheiten sehen wir erwartungsvoll entgegen.
Ich hoffe, dass Ihnen diese Ausführungen weiterhelfen. Falls Sie noch Fragen haben oder weitere Auskünfte benötigen, wenden Sie sich bitte vertrauensvoll an mich.
Mit freundlichen Grüßen
Buttigieg
Strafverfolgungsbehörden:
Bundesanwälte, die Beamte des Justizministeriums sind, und Ermittler des Bundes einschließlich Ermittler des Federal Bureau of Investigation (FBI), einer Strafverfolgungsbehörde innerhalb des Justizministeriums, können von Unternehmen in den USA die Herausgabe von Unterlagen und anderen Aufzeichnungen zu strafrechtlichen Ermittlungszwecken mithilfe mehrerer Arten von Zwangsmaßnahmen —, wie Anordnungen einer Grand Jury oder Behörde und Durchsuchungsbefehlen — erzwingen und auch sonstige Kommunikation gemäß den für das Abhören und für die Rufnummernerfassung zuständigen Bundesbehörden einholen.
Anordnungen einer Grand Jury oder eines Gerichts:
Behördliche Anordnungen:
Gerichtlich angeordnete Rufnummernerfassung:
Electronic Communications Privacy Act (ECPA):
Darüber hinaus ist die Regierung nach Abschnitt 2705(b) des SCA befugt, auf der Grundlage eines nachgewiesenen Bedürfnisses nach Schutz vor Offenlegung eine richterliche Anordnung zu erwirken, die es einem Anbieter von Kommunikationsdiensten untersagt, seine Nutzer freiwillig über den Eingang eines Gerichtsverfahrens nach dem SCA zu informieren. Im Oktober 2017 gab der stellvertretende Justizminister Rod Rosenstein ein Memorandum an Rechtsanwälte und Mitarbeiter des Justizministeriums heraus, das Leitlinien enthält, mit denen sichergestellt werden soll, dass Anträge auf solche Schutzanordnungen auf die spezifischen Fakten und Bedenken einer Ermittlung zugeschnitten sind, und in dem eine allgemeine Obergrenze von einem Jahr für den Zeitraum festgelegt wird, für den ein Antrag die Veröffentlichung verzögern kann. Im Mai 2022 gab die stellvertretende Justizministerin Lisa Monaco zusätzliche Leitlinien zu diesem Thema heraus, die unter anderem interne Genehmigungserfordernisse des Justizministeriums für Anträge auf Verlängerung einer Schutzanordnung über den ursprünglichen Zeitraum von einem Jahr hinaus und die Beendigung von Schutzanordnungen nach Abschluss der Ermittlungen vorsehen.
Gerichtlich angeordnete Überwachung nach dem Federal Wiretap Law (Bundesabhörgesetz):
Durchsuchungsbefehl – Fed. R. Crim. P. Artikel 41:
Leitlinien und Strategien des Justizministeriums:
Zivil- und Aufsichtsbehörden (öffentliches Interesse):
Auch die Zivil- oder Aufsichtsbehörden (die „im öffentlichen Interesse“ handeln) erhalten nur sehr eingeschränkt Zugriff auf Daten von Unternehmen in den Vereinigten Staaten. Behörden mit zivilen und aufsichtsrechtlichen Aufgaben können von Unternehmen die Herausgabe von Geschäftsunterlagen, elektronisch gespeicherten Informationen oder sonstigen materiellen Beweismitteln verlangen. Diese Behörden unterliegen in der Ausübung ihrer administrativen oder zivilen Anordnungsbefugnis Einschränkungen, und zwar nicht nur durch ihre jeweiligen Gründungsgesetze, sondern auch, weil die Anordnungen vor ihrer potenziellen gerichtlichen Umsetzung einer unabhängigen gerichtlichen Überprüfung unterzogen werden. Siehe z. B. Fed. R. Civ. P. 45. Die Behörden können nur den Zugriff auf Daten beantragen, die für Sachen innerhalb ihres Verantwortungsbereichs von Belang sind. Darüber hinaus kann ein Empfänger einer behördlichen Anordnung deren Umsetzung vor Gericht anfechten, indem er nachweist, dass die Behörde den Grundsatz der Zumutbarkeit missachtet hat, wie bereits oben dargelegt wurde.
Unternehmen, die sich Datenabfragen von Verwaltungsbehörden widersetzen möchten, können sich je nach Branche und Datenart auf weitere Rechtsgrundlagen stützen. So können Finanzinstitute beispielsweise behördliche Anordnungen anfechten, bei denen bestimmte Arten von Informationen abgerufen werden sollen, wodurch gegen das Bank Secrecy Act (Gesetz über das Bankgeheimnis) und dessen Durchführungsbestimmungen verstoßen wird. 31 U.S.C. § 5318; 31 C.F.R. Kapitel X. Andere Unternehmen wiederum können sich auf das Fair Credit Reporting Act (Gesetz zur Regelung des Datenschutzes bei Konsumentenkrediten), 15 U.S.C. § 1681b, oder andere branchenspezifische Gesetze berufen. Der Missbrauch einer Anordnungsbefugnis einer Behörde kann deren Haftung bzw. eine persönliche Haftung ihrer Beamten nach sich ziehen. Siehe z. B. das Right to Financial Privacy Act (Gesetz zum Schutz von Finanzdaten), 12 U.S.C. §§ 3401-3423. Somit schützen die Gerichte in den Vereinigten Staaten vor unangemessenen Anträgen der Regulierungsbehörden und vermitteln einen unabhängigen Überblick über die Maßnahmen der Bundesbehörden.
Jegliche gesetzliche Befugnis der Verwaltungsbehörden, Unterlagen eines Unternehmens in den Vereinigten Staaten nach einer behördlichen Durchsuchung zu beschlagnahmen, muss die Anforderungen des vierten Zusatzartikels erfüllen. Siehe See v. City of Seattle, 387 U.S. 541 (1967).
Schlussfolgerung:
Sämtliche Strafverfolgungsmaßnahmen und Aufsichtstätigkeiten in den Vereinigten Staaten müssen nach geltendem Recht erfolgen und im Einklang mit der Verfassung der USA sowie den Gesetzen, Regelungen und Vorschriften stehen. Außerdem müssen einschlägige Strategien wie die Leitlinien des Justizministers zur Regelung der Strafverfolgung auf Bundesebene befolgt werden. Mit dem oben beschriebenen Rechtsrahmen wird die Möglichkeit der amerikanischen Strafverfolgungs- und Aufsichtsbehörden eingeschränkt, Informationen von Unternehmen in den USA einzuholen – unabhängig davon, ob es sich dabei um Informationen über US-Bürger oder Drittstaatsangehörige handelt –, und die gerichtliche Überprüfung jeglicher Datenanfragen, die über diese Behörden erfolgen, ermöglicht.
Der erste Fragenkomplex betrifft Abschnitt 702 des FISA, nachdem es möglich ist, Auslandsaufklärungsdaten durch die gezielte Überwachung von Nicht-US-Bürgern zu sammeln, von denen vermutet wird, dass sie sich außerhalb der Vereinigten Staaten aufhalten, wobei amerikanische Anbieter elektronischer Kommunikationsdienste zur Unterstützung verpflichtet sind. Die Fragen beziehen sich insbesondere auf die Wechselwirkung zwischen dieser Bestimmung und der Executive Order 14086 sowie auf die anderen Garantien, die für Tätigkeiten nach Abschnitt 702 des FISA gelten.
Zunächst können wir bestätigen, dass die Nachrichtendienste die in der Executive Order 14086 festgelegten Garantien auf Tätigkeiten nach Abschnitt 702 des FISA anwenden werden.
Darüber hinaus unterliegt die Anwendung von Abschnitt 702 des FISA durch die Regierung zahlreichen weiteren Garantien. So müssen beispielsweise alle Zertifizierungen nach Abschnitt 702 des FISA sowohl vom Justizminister als auch vom Direktor der Nationalen Nachrichtendienste unterzeichnet werden, und die Regierung muss alle diese Zertifizierungen dem Foreign Intelligence Surveillance Court (Gericht der Vereinigten Staaten betreffend die Überwachung der Auslandsgeheimdienste, „FISC“) zur Genehmigung vorlegen, der sich aus unabhängigen Richtern zusammensetzt, die auf Lebenszeit ernannt werden und eine nicht verlängerbare Amtszeit von sieben Jahren haben. Die Zertifizierungen definieren Kategorien von ausländischen Signalaufklärungsdaten, die der gesetzlichen Definition von Daten zur Auslandsaufklärung entsprechen müssen, indem sie auf Nicht-US-Bürger abzielen, von denen angenommen wird, dass sie sich außerhalb der Vereinigten Staaten aufhalten. Die Zertifizierungen umfassten Informationen über den internationalen Terrorismus und andere Themen wie die Beschaffung von Informationen über Massenvernichtungswaffen. Jede jährliche Zertifizierung muss dem FISC in einem Zertifizierungsantragspaket zur Genehmigung vorgelegt werden, das die Zertifizierungen des Justizministers und des Direktors des Nationalen Nachrichtendienstes, eidesstattliche Erklärungen bestimmter Leiter von Nachrichtendiensten sowie für die Regierung verbindliche Verfahren für die zielgenaue Erfassung, Minimierung und Abfrage enthält. Die Verfahren zur zielgenauen Erfassung erfordern unter anderem, dass die Nachrichtendienste auf der Grundlage der Gesamtumstände vernünftigerweise davon ausgehen können, dass die gezielte Datenerhebung wahrscheinlich zur Erhebung der in einer Zertifizierung nach Abschnitt 702 des FISA aufgeführten Daten zur Auslandsaufklärung führen wird.
Darüber hinaus muss der Nachrichtendienst bei der Erhebung von Daten nach Abschnitt 702 des FISA eine schriftliche Erläuterung der Grundlage für seine Einschätzung zum Zeitpunkt der Zielauswahl vorlegen, dass die Zielperson wahrscheinlich über Daten zur Auslandsaufklärung verfügt, die in einer Zertifizierung nach Abschnitt 702 des FISA aufgeführt sind, diese erhält oder weitergibt, bestätigen, dass der in den Verfahren zur zielgenauen Erfassung nach Abschnitt 702 des FISA festgelegte Standard weiterhin erfüllt ist und die Erhebung einstellen, wenn der Standard nicht mehr erfüllt ist. Siehe U.S. Government Submission to Foreign Intelligence Surveillance Court, 2015 Summary of Notable Section 702 Requirements, S. 2–3 (15. Juli 2015).
Die Anforderung an die Nachrichtendienste, ihre Einschätzung, dass die zielgenaue Erfassung nach Abschnitt 702 des FISA den geltenden Standards entspricht, schriftlich festzuhalten und regelmäßig zu bestätigen, erleichtert dem FISC die Aufsicht über die zielgenaue Erfassung. Alle aufgezeichneten Bewertungen und Begründungen der zielgenauen Erfassung werden alle zwei Monate von den Anwälten der Nachrichtenaufsichtsabteilung des Justizministeriums überprüft, die diese Aufsichtsfunktion unabhängig von den Operationen der Auslandsaufklärungsdienste ausüben. Die Abteilung des Justizministeriums, die diese Funktion ausübt, ist dann gemäß einer seit Langem bestehenden Regel des FISC dafür verantwortlich, dem FISC alle Verstöße gegen die geltenden Verfahren zu melden. Diese Dokumentation und die regelmäßigen Treffen zwischen dem FISC und dieser Abteilung des Justizministeriums zur Überwachung der zielgenauen Erfassung nach Abschnitt 702 des FISA ermöglichen es dem FISC, die Einhaltung der Verfahren für zielgenaue Erfassung nach Abschnitt 702 des FISA und anderer Verfahren durchzusetzen und auf andere Weise sicherzustellen, dass die Handlungen der Regierung rechtmäßig sind. Das FISC kann dies auf verschiedene Weise tun, unter anderem durch den Erlass verbindlicher Beschlüsse über Abhilfemaßnahmen, mit denen die Befugnis der Regierung zur zielgenauen Erfassung aufgehoben oder die Datenerhebung nach Abschnitt 702 des FISA geändert oder aufgeschoben wird. Das FISC kann die Regierung auch auffordern, weitere Berichte oder Informationen über die Einhaltung der Verfahren zur zielgenauen Erfassung und anderer Verfahren vorzulegen oder Änderungen an diesen Verfahren zu verlangen.
Der zweite Fragenkomplex betrifft die „Sammelerhebung“ von Signalaufklärungsdaten, die in der Executive Order 14086 als „die genehmigte Erhebung großer Mengen von Signalaufklärungsdaten aus technischen oder operativen Gründen ohne Verwendung von Unterscheidungsmerkmalen (z. B. ohne Verwendung spezifischer Identifikatoren oder Suchbegriffe definiert wird)“.
Zu diesen Fragen ist zunächst festzustellen: Eine Sammelerhebung ist weder nach dem FISA noch nach den National Security Letters zulässig. In Bezug auf die FISA:
Nach Titel I und III des FISA, durch die elektronische Überwachung und Durchsuchung genehmigt werden, ist (mit wenigen Ausnahmen, z. B. Notfällen) eine richterliche Anordnung erforderlich und es muss in jedem Falle hinreichend Anlass zu der Vermutung bestehen, dass die Zielperson eine ausländische Macht oder ein Vertreter einer ausländischen Macht ist. Siehe 50 U.S.C. §§ 1805-1824.
Mit dem USA FREEDOM Act von 2015 wurde Titel IV des FISA, der den Einsatz von Geräten zur Rufnummernerfassung aufgrund einer richterlichen Anordnung (außer in Notfällen) erlaubt, dahin gehend geändert, dass die Regierung Anfragen anhand eines „konkreten Suchbegriffs“ stellen muss. Siehe 50 U.S.C. § 1842(c)(3).
Titel V des FISA, der es dem Federal Bureau of Investigation (FBI) erlaubt, bestimmte Arten von Geschäftsunterlagen zu erhalten, erfordert eine richterliche Anordnung auf der Grundlage eines Antrags, in dem dargelegt wird, dass „konkrete und nachvollziehbare Tatsachen vorliegen, die die Annahme rechtfertigen, dass es sich bei der Person, auf die sich die Unterlagen beziehen, um eine ausländische Macht oder einen Vertreter einer ausländischen Macht handelt“. Siehe 50 U.S.C. § 1862(b)(2)(B).
Schließlich gestattet Abschnitt 702 des FISA „die gezielte Überwachung von Personen, die sich mit hinreichender Bestimmtheit außerhalb der Vereinigten Staaten aufhalten, um Auslandsaufklärungsdaten zu erlangen“. Siehe 50 U.S.C. § 188la(a). Wie das Privacy and Civil Liberties Oversight Board (Stelle zur Überwachung des Schutzes der Privatsphäre und der bürgerlichen Freiheiten) feststellte, besteht die Datenerhebung durch die Regierung gemäß Abschnitt 702 des FISA „ausschließlich darin, einzelne Personen ins Visier zu nehmen und die mit diesen Personen verbundene Kommunikation zu erfassen, von der die Regierung Grund zu der Annahme hat, dass sie bestimmte Arten von Auslandsinformationen erhalten wird“, weshalb „das Programm nicht durch die Erfassung einer großen Menge von Kommunikationen funktioniert“. Privacy and Civil Liberties Oversight Board, Report on the Surveillance Program Operated Pursuant to Section 702 of the Foreign Intelligence Surveillance Act, S. 103 (2. Juli 2014).
In Bezug auf die National Security Letters schreibt der USA FREEDOM Act von 2015 einen „konkreten Suchbegriff“ für die Verwendung solcher Letters vor. Siehe 12 U.S.C. § 3414(a)(2); 15 U.S.C. § 1681u; 15 U.S.C. § 1681v(a); 18 U.S.C. § 2709(b).
Siehe
Siehe ebd.
Siehe ebd.
Siehe ebd.
Siehe ebd.
* * * * *
Wir hoffen, Ihnen mit diesen Erläuterungen gedient zu haben. Sollten Sie weitere Fragen zur Umsetzung der Executive Order 14086 durch die US-Nachrichtendienste haben, stehen wir Ihnen gerne zur Verfügung.
Sincerely,
Fonzone
General Counsel
| Federal Bureau of Investigation (Strafverfolgungsbehörde innerhalb des Justizministeriums) |
| FCRA | Fair Credit Reporting Act (Gesetz zur Regelung des Datenschutzes bei Konsumentenkrediten) |
| FISA | Foreign Intelligence Surveillance Act (Gesetz über die Überwachung der Auslandsgeheimdienste) |
| FISC | Foreign Intelligence Surveillance Court (Gericht zur Überwachung der Auslandsgeheimdienste) |
| FISCR | Foreign Intelligence Surveillance Court of Review (Rechtsmittelgericht für Entscheidungen im Bereich der Überwachung der Auslandsgeheimdienste) |
| FOIA | Freedom of Information Act (Gesetz über die Informationsfreiheit) |
| FRA | Federal Records Act |
| FTC | Federal Trade Commission (Wettbewerbsbehörde) |
| Gerichtshof | Gerichtshof der Europäischen Union |
| Grundsätze | Grundsätze des Datenschutzrahmens EU-USA |
| HIPAA | Health Insurance Portability and Accountability Act (Gesetz über die Übertragbarkeit und Rechenschaftspflicht der Krankenversicherung) |
| ICDR | International Centre for Dispute Resolution (internationale Abteilung der American Arbitration Association (AAA)) |
| IOB | Intelligence Oversight Board (Nachrichtendienstaufsichtsgremium) |
| NIST | National Institute for Standards and Technology (Normeninstitut) |
| NSA | National Security Agency (Nachrichtendienst) |
| NSL | National Security Letter(s) |
| ODNI | Office of the Director of National Intelligence (Büro des Direktors des Nationalen Nachrichtendienstes) |
| ODNI CLPO, CLPO | Civil Liberties Protection Officer of the Director of National Intelligence (Bürgerrechtsbeauftragter des Büros des Direktors des Nationalen Nachrichtendienstes) |
| OMB | Office of Management and Budget |
| OPCL | Office of Privacy and Civil Liberties of the Department of Justice (Büro für Datenschutz und Bürgerrechte des Justizministeriums) |
| PCLOB | Privacy and Civil Liberties Oversight Board (Stelle zur Überwachung des Schutzes der Privatsphäre und der bürgerlichen Freiheiten) |
| PIAB | President’s Intelligence Advisory Board (Beratungsgremium des Präsidenten für Nachrichtendienste) |
| PPD 28 | Presidential Policy Directive 28 |
| Verordnung (EU) 2016/679 | Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG |
| US | Vereinigte Staaten |
| Union | Europäische Union |
EUR-Lex