12. Dezember 2022
Herr Didier Reynders
Kommissar für Justiz
Europäische Kommission
Rue de la Loi/Wetstraat 200
1049 Brüssel
Belgien
Sehr geehrter Herr Reynders,
im Namen der International Trade Administration („ITA“) darf ich Ihnen mitteilen, welche Verpflichtungen das Handelsministerium („Ministerium“) eingegangen ist, um den Schutz personenbezogener Daten durch die Verwaltung und Überwachung des Datenschutzrahmen-Programms zu gewährleisten. Der Abschluss des Datenschutzrahmens EU-USA („Datenschutzrahmen“) ist ein großer Erfolg für den Datenschutz und die Unternehmen auf beiden Seiten des Atlantiks, da er den EU-Bürgern die Gewissheit bieten wird, dass ihre Daten geschützt werden und sie bei etwaigen Bedenken über Rechtsmittel verfügen, und er wird es Tausenden von Unternehmen ermöglichen, weiterhin Investitionen zu tätigen und sich anderweitig am transatlantischen Handel zu beteiligen, was unseren jeweiligen Volkswirtschaften und Bürgern zugutekommt. Der Datenschutzrahmen EU-USA ist das Ergebnis langjähriger harter Arbeit und Kooperation mit Ihnen und Ihren Kolleginnen und Kollegen in der Europäischen Kommission („Kommission“). Wir freuen uns, unsere Kooperation mit der Kommission im Sinne eines wirksamen Funktionierens dieser Zusammenarbeit fortzusetzen.
Siehe
Das Ministerium ist bestrebt, eng und produktiv mit unseren Kolleginnen und Kollegen in der EU zusammenzuarbeiten, um das Datenschutzrahmen-Programm wirksam zu verwalten und zu überwachen. Dieses Engagement zeigt sich in der Entwicklung und kontinuierlichen Optimierung eines breiten Spektrums von Ressourcen durch das Ministerium, um Organisationen bei der Selbstzertifizierung zu unterstützen, in der Einrichtung einer Website mit gezielten Informationen für interessierte Kreise, in der Zusammenarbeit mit der Kommission und den europäischen Datenschutzbehörden bei der Entwicklung von Leitlinien zur Klärung wichtiger Elemente des Datenschutzrahmens EU-USA, in der Öffentlichkeitsarbeit zur Förderung des Verständnisses der Datenschutzverpflichtungen von Organisationen und in der Überwachung und Kontrolle der Einhaltung der Anforderungen des Programms durch die Organisationen.
Unsere kontinuierliche Zusammenarbeit mit unseren geschätzten Kolleginnen und Kollegen in der EU wird es dem Ministerium ermöglichen, sicherzustellen, dass der Datenschutzrahmen EU-USA wirksam funktioniert. Die Regierung der Vereinigten Staaten arbeitet seit Langem mit der Kommission zusammen, um gemeinsame Datenschutzgrundsätze zu fördern, die Unterschiede in unseren jeweiligen rechtlichen Ansätzen zu überbrücken und gleichzeitig den Handel und das Wirtschaftswachstum in der Europäischen Union und den Vereinigten Staaten zu fördern. Wir glauben, dass der Datenschutzrahmen EU-USA, der ein Beispiel für diese Zusammenarbeit ist, es der Kommission ermöglichen wird, einen neuen Angemessenheitsbeschluss zu erlassen, der es Organisationen erlaubt, den Datenschutzrahmen EU-USA zu nutzen, um personenbezogene Daten aus der Europäischen Union in die Vereinigten Staaten im Einklang mit dem EU-Recht zu übermitteln.
Das Ministerium ist fest entschlossen, das Datenschutzrahmen-Programm wirksam zu verwalten und zu überwachen, und wird angemessene Anstrengungen unternehmen und Ressourcen bereitstellen, um dies zu gewährleisten. Das Ministerium wird eine verbindliche Liste der US-Organisationen führen und der Öffentlichkeit zugänglich machen, die sich gegenüber dem Ministerium selbst zertifiziert und zugesichert haben, die Grundsätze zu befolgen („Datenschutzrahmen-Liste“). Diese Liste wird auf der Grundlage der jährlichen Anträge auf erneute Zertifizierung durch die dem Datenschutzrahmen angehörenden Organisationen und durch die Streichung von Organisationen aktualisiert, wenn diese sich freiwillig zurückziehen, die jährliche erneute Zertifizierung nicht in Übereinstimmung mit den Verfahren des Ministeriums durchführen oder wenn festgestellt wird, dass sie die Grundsätze dauerhaft nicht einhalten. Das Ministerium wird außerdem ein amtliches Verzeichnis der US-Organisationen führen, die von der Liste gestrichen wurden, und wird es der Öffentlichkeit zugänglich machen, wobei in jedem Falle die Gründe für die Streichung einzelner Organisationen angegeben werden. Die vorgenannte amtliche Liste und das Verzeichnis werden auf der Datenschutzrahmen-Website des Ministeriums öffentlich zugänglich bleiben. Die Website zum Datenschutzrahmen wird eine deutlich sichtbare Erklärung enthalten, dass jede Organisation, die von der Datenschutzrahmen-Liste gestrichen wird, nicht mehr behaupten darf, dass sie sich am Datenschutzrahmen EU-USA beteiligt oder ihn einhält, und dass sie unter dem Datenschutzrahmen EU-USA personenbezogene Daten erhalten kann. Eine solche Organisation muss jedoch weiterhin die Grundsätze auf die personenbezogenen Daten anwenden, die sie während ihrer Beteiligung am Datenschutzrahmen erhalten hat, solange sie diese Daten aufbewahrt. Das Ministerium verpflichtet sich im Rahmen seines übergreifenden, kontinuierlichen Engagements für die wirksame Verwaltung und Überwachung des Datenschutzrahmen-Programms insbesondere zu Folgendem:
Prüfung der Selbstzertifizierungs-Anforderungen
Bevor das Ministerium die erste Selbstzertifizierung oder die jährliche erneute Zertifizierung einer Organisation (zusammen „Selbstzertifizierung“) abschließt und eine Organisation in die Datenschutzrahmen-Liste aufnimmt bzw. darin belässt, prüft es, ob die Organisation zumindest die einschlägigen Anforderungen des Zusatzgrundsatzes zur Selbstzertifizierung in Bezug auf die Informationen erfüllt, die eine Organisation dem Ministerium im Rahmen ihrer Selbstzertifizierung übermitteln muss, und ob sie rechtzeitig einschlägige Datenschutzbestimmungen vorgelegt hat, die Privatpersonen über alle 13 im Grundsatz der Informationspflicht aufgeführten Punkte informieren. Das Ministerium wird überprüfen, ob die Organisationdie Organisation identifiziert hat, die ihre Selbstzertifizierung beantragt, sowie alle US-Einrichtungen oder US-Tochterunternehmen der selbstzertifizierenden Organisation, die sich ebenfalls an die Grundsätze halten, die die Organisation durch ihre Selbstzertifizierung abgedeckt haben möchte,die erforderlichen Kontaktinformationen bereitgestellt hat (z. B. Kontaktinformationen für bestimmte Personen und/oder Stellen innerhalb der selbstzertifizierenden Organisation, die für die Bearbeitung von Beschwerden, Auskunftsbegehren und anderen Fragen im Zusammenhang mit dem Datenschutzrahmen EU-USA zuständig sind),den/die Zweck(e) beschrieben hat, für den/die die Organisation die von der Europäischen Union erhaltenen personenbezogenen Daten erhebt und verwendet,angegeben hat, welche personenbezogenen Daten aus der Europäischen Union unter Berufung auf den Datenschutzrahmen EU-USA übermittelt werden und daher von ihrer Selbstzertifizierung erfasst sind,falls die Organisation über eine öffentlich zugängliche Website verfügt, die Internetadresse, unter der die einschlägigen Datenschutzbestimmungen auf dieser Website leicht zugänglich sind, oder, falls die Organisation über keine öffentlich zugängliche Website verfügt, eine Kopie der einschlägigen Datenschutzbestimmungen und den Ort, an dem die Datenschutzbestimmungen von den betroffenen Personen eingesehen werden können (d. h. von den betroffenen Mitarbeitern, wenn es sich um Datenschutzbestimmungen für Personaldaten handelt, oder von der Öffentlichkeit, wenn es sich bei den einschlägigen Datenschutzbestimmungen nicht um Datenschutzbestimmungen der Personalabteilung handelt) angegeben hat,zu gegebener Zeit (d. h. zunächst nur in einem mit dem Antrag eingereichten Entwurf der Datenschutzerklärung, wenn es sich um eine erste Selbstzertifizierung handelt; andernfalls in einer endgültigen Datenschutzerklärung, die gegebenenfalls veröffentlicht wird) eine Erklärung über die Einhaltung der Grundsätze sowie einen Hyperlink oder die Internetadresse der Datenschutzrahmen-Website des Ministeriums (z. B. die Homepage oder die Website mit der Datenschutzrahmen-Liste), angegeben hat,zu gegebener Zeit alle anderen zwölf im Grundsatz der Informationspflicht aufgeführten Punkte (z. B. die Möglichkeit für den betroffene EU-Bürger, unter bestimmten Bedingungen ein bindendes Schiedsverfahren in Anspruch zu nehmen; die Bestimmung, personenbezogene Daten auf rechtmäßige Anfrage von Behörden offenzulegen, um Erfordernissen der nationalen Sicherheit oder der Strafverfolgung nachzukommen und die Haftung der Organisation bei Weitergabe an Dritte) in ihre einschlägigen Datenschutzbestimmungen aufgenommen hat,die gesetzliche Aufsichtsbehörde benannt hat, die über Beschwerden gegen die Organisation wegen unlauteren oder irreführenden Geschäftsgebarens und wegen Verletzung von datenschutzrechtlichen Vorschriften entscheidungsbefugt ist (und in den Grundsätzen oder in einem künftigen Anhang zu den Grundsätzen aufgeführt ist),alle Datenschutzprogramme angegeben hat, an denen die Organisation teilnimmt,festgelegt hat, ob es sich bei der relevanten Methode (d. h. bei den von ihr bereitzustellenden Folgeverfahren) zur Überprüfung der Einhaltung der Grundsätze um eine „Selbstbewertung“ (d. h. eine interne Überprüfung) oder um eine „externe Überprüfung“ (d. h. eine Überprüfung durch Dritte) handelt, und, falls es sich bei der relevanten Methode um eine externe Überprüfung handelt, auch den Dritten genannt hat, der die Überprüfung durchgeführt hat,die angemessene unabhängige Beschwerdestelle bestimmt hat, die für die Behandlung von Beschwerden im Zusammenhang mit den Grundsätzen zur Verfügung steht, und der betroffenen Person kostenlos einen geeigneten Rechtsbehelf gewährt.Hat sich die Organisation für eine unabhängige Beschwerdestelle entschieden, die von einer privaten Stelle zur alternativen Streitbeilegung angeboten wird, so hat sie in ihren einschlägigen Datenschutzbestimmungen einen Hyperlink oder die Internetadresse der entsprechenden Website oder des entsprechenden Beschwerdeformulars anzugeben, die bzw. das für die Untersuchung ungelöster Beschwerden im Rahmen der Grundsätze zur Verfügung steht.Wenn die Organisation entweder dazu verpflichtet ist (z. B. in Bezug auf Personaldaten, die im Rahmen eines Arbeitsverhältnisses aus der Europäischen Union übermittelt werden) oder sich dafür entschieden hat, mit den zuständigen Datenschutzbehörden bei der Untersuchung und Beilegung von Beschwerden im Zusammenhang mit den Grundsätzen zusammenzuarbeiten, hat sie sich verpflichtet, im Rahmen dieser Zusammenarbeit mit den Datenschutzbehörden und der Befolgung ihrer diesbezüglichen Empfehlungen spezifische Maßnahmen zur Einhaltung der Grundsätze zu ergreifen.
Erleichterung der Zusammenarbeit mit Stellen zur alternativen Streitbeilegung, die mit den Grundsätzen zusammenhängende Dienstleistungen erbringen
Das Ministerium wird mit privaten Stellen zur alternativen Streitbeilegung zusammenarbeiten, die unabhängige Beschwerdeverfahren zur Verfügung stellen und ungelöste Beschwerden im Zusammenhang mit den Grundsätzen daraufhin untersuchen können, ob sie zumindest die Anforderungen des Zusatzgrundsatzes „Beschwerdeverfahren und Durchsetzung“ erfüllen. Das Ministerium wird überprüfen, ob sieauf ihren öffentlichen Websites Informationen über die Grundsätze und die Dienstleistungen, die sie im Rahmen des Datenschutzrahmens EU-USA erbringen, bereitstellen, die Folgendes umfassen müssen: 1) Angaben über die Anforderungen an unabhängige Beschwerdestellen in den Grundsätzen oder einen Link zu diesen Anforderungen, 2) einen Hyperlink zur Website des Ministeriums zum Datenschutzrahmen, 3) einen Hinweis, dass das Beschwerdeverfahren im Rahmen des Datenschutzrahmens EU-USA für Privatpersonen kostenlos ist, 4) eine Beschreibung, wie eine Beschwerde im Zusammenhang mit den Grundsätzen eingereicht werden kann, 5) Bearbeitungsfristen für Beschwerden im Zusammenhang mit den Grundsätzen 6) eine Beschreibung der Palette möglicher Abhilfemaßnahmen. Das Ministerium wird die Beschwerdestellen rechtzeitig über wesentliche Änderungen bei der Überwachung und Verwaltung des Datenschutzrahmen-Programms durch das Ministerium informieren, wenn solche Änderungen bevorstehen oder bereits vorgenommen wurden und diese Änderungen für die Rolle der Stellen im Rahmen des Datenschutzrahmens EU-USA relevant sind,jährlich einen Bericht mit zusammengefassten statistischen Angaben zu ihren Dienstleistungen vorlegen, der Folgendes beinhaltet: 1) die Gesamtzahl der im Berichtsjahr eingegangen Beschwerden, die die Grundsätze betreffen, 2) die Art der eingegangenen Beschwerden, 3) die Qualität der Streitbeilegung, z. B. die Dauer der Bearbeitung von Beschwerden und 4) die Ergebnisse der eingegangenen Beschwerden, insbesondere die Anzahl und Art der auferlegten Abhilfemaßnahmen oder Sanktionen. Das Ministerium wird den Stellen spezifische zusätzliche Leitlinien zu den Informationen zur Verfügung stellen, die in diesen Jahresberichten enthalten sein sollten, und diese Anforderungen näher erläutern (z. B. eine Liste der spezifischen Kriterien, die eine Beschwerde erfüllen muss, damit sie für die Zwecke des Jahresberichts als Beschwerde im Zusammenhang mit den Grundsätzen betrachtet werden kann), sowie andere Arten von Informationen, die die Stellen zur Verfügung stellen sollten (z. B. eine Beschreibung, wie die Stelle tatsächliche oder potenzielle Interessenkonflikte in Situationen vermeidet, in denen sie für eine Organisation sowohl Überprüfungsdienste als auch Streitbeilegungsdienste erbringt, wenn die Stelle auch eine Dienstleistung im Zusammenhang mit den Grundsätzen erbringt). In den zusätzlichen Leitlinien des Ministeriums ist auch das Datum angegeben, bis zu dem die Jahresberichte der Stellen für den betreffenden Berichtszeitraum veröffentlicht werden müssen.
Weiterbehandlung der Fälle von Organisationen, die die Streichung von der Datenschutzrahmen-Liste beantragt haben oder von dieser Liste gestrichen wurden
Wenn eine Organisation aus dem Datenschutzrahmen EU-USA ausscheiden möchte, verlangt das Ministerium, dass die Organisation alle Verweise auf den Datenschutzrahmen EU-USA aus allen relevanten Datenschutzbestimmungen entfernt, die implizieren, dass die Organisation weiterhin dem Datenschutzrahmen EU-USA angehört und personenbezogene Daten im Rahmen des Datenschutzrahmens EU-USA erhalten kann (siehe Beschreibung der Verpflichtung des Ministeriums, nach falschen Angaben über die Beteiligung zu suchen). Das Ministerium verlangt außerdem, dass die Organisation einen entsprechenden Fragebogen ausfüllt und dem Ministerium vorlegt, damit Folgendes überprüft werden kann:ihren Wunsch, aus dem Datenschutzrahmen auszuscheiden,Informationen darüber, was sie mit den personenbezogenen Daten zu tun gedenkt, die sie während ihrer Beteiligung am Datenschutzrahmen EU-USA unter Berufung auf den Datenschutzrahmen EU-USA erhalten hat, d. h. ob sie a) diese Daten aufbewahren, die Grundsätze weiterhin auf diese Daten anwenden und gegenüber dem Ministerium jährlich ihre Verpflichtung zur Anwendung der Grundsätze auf diese Daten bestätigen wird, b) diese Daten aufbewahren und einen „angemessenen“ Schutz dieser Daten durch andere zulässige Mittel gewährleisten wird oder c) alle diese Daten innerhalb einer bestimmten Frist zurückgibt oder löscht sowiewer innerhalb der Organisation als ständige Kontaktperson für Fragen im Zusammenhang mit den Grundsätzen fungieren wird.
Wenn sich eine Organisation für Option a, wie oben beschrieben, entscheidet, wird das Ministerium auch verlangen, dass die Organisation jedes Jahr nach ihrem Ausscheiden (d. h. bis zum ersten Jahrestag ihres Ausscheidens und bis zu jedem weiteren Jahrestag, es sei denn, die Organisation gewährleistet einen „angemessenen“ Schutz dieser Daten durch andere zulässige Mittel oder sie gibt alle diese Daten zurück oder löscht sie und teilt dies dem Ministerium mit) einen entsprechenden Fragebogen ausfüllt und dem Ministerium vorlegt, um zu überprüfen, was sie mit diesen personenbezogenen Daten getan hat, was sie mit allen personenbezogenen Daten zu tun gedenkt, die sie weiterhin aufbewahren wird, und wer innerhalb der Organisation als ständige Kontaktperson für Fragen im Zusammenhang mit den Grundsätzen fungieren wird.
Wenn die Selbstzertifizierung einer Organisation abgelaufen ist (d. h. die Organisation hat weder die jährliche erneute Zertifizierung ihrer Einhaltung der Grundsätze abgeschlossen noch wurde sie aus einem anderen Grund von der Datenschutzrahmen-Liste gestrichen, wie z. B. Ausscheiden), wird das Ministerium die Organisation auffordern, einen entsprechenden Fragebogen auszufüllen und dem Ministerium vorzulegen, um zu prüfen, ob die Organisation ausscheiden oder sich erneut zertifiziert werden möchte.Wenn sie ausscheiden möchte, muss sie auch nachweisen, was sie mit den personenbezogenen Daten zu tun gedenkt, die sie unter Berufung auf den Datenschutzrahmen EU-USA erhalten hat, während sie am Datenschutzrahmen EU-USA beteiligt war (siehe die vorstehende Beschreibung dessen, was eine Organisation nachweisen muss, wenn sie aus dem Datenschutzrahmen ausscheiden möchte).Wenn sie eine erneute Zertifizierung anstrebt, muss sie auch nachweisen, dass sie während der Zeit, in der ihr Zertifizierungsstatus abgelaufen ist, die Grundsätze auf personenbezogene Daten angewandt hat, die sie im Rahmen des Datenschutzrahmens EU-USA erhalten hat, und angeben, welche Schritte sie unternehmen wird, um die noch offenen Fragen zu klären, die ihre erneute Zertifizierung verzögert haben.
Aufdeckung und Handhabung von Fällen, in denen zu Unrecht eine Beteiligung an der Regelung geltend gemacht wird
Wenn eine Organisation a) aus dem Datenschutzrahmen EU-USA ausscheidet, b) die jährliche erneute Zertifizierung ihrer Einhaltung der Grundsätze nicht abschließt (d. h. entweder das jährliche Verfahren zur erneuten Zertifizierung begonnen, aber nicht rechtzeitig abgeschlossen hat, oder sie hat das jährliche Verfahren zur erneuten Zertifizierung überhaupt nicht begonnen), c) aus dem Datenschutzrahmen EU-USA gestrichen wird, insbesondere wegen „fortgesetzter Missachtung der Grundsätze“, oder d) eine erste Selbstzertifizierung ihrer Einhaltung der Grundsätze nicht abschließt (d. h. begonnen, aber nicht rechtzeitig abgeschlossen hat), wird das Ministerium von Amts wegen überprüfen, dass alle einschlägigen veröffentlichten Datenschutzbestimmungen der Organisation keine Verweise auf den Datenschutzrahmen EU-USA enthalten, die implizieren, dass die Organisation dem Datenschutzrahmen EU-USA angehört und berechtigt ist, personenbezogene Daten gemäß dem Datenschutzrahmen EU-USA zu erhalten. Stellt das Ministerium solche Verweise fest, wird es die Organisation darüber informieren, dass es die Angelegenheit gegebenenfalls an die zuständige Behörde weiterleiten wird, um mögliche Durchsetzungsmaßnahmen einzuleiten, falls die Organisation weiterhin falsche Angaben zu ihrer Beteiligung am Datenschutzrahmen macht. Das Ministerium informiert die Organisation mittels der Kontaktkanäle, die die Organisation dem Ministerium zur Verfügung gestellt hat, oder gegebenenfalls auf andere geeignete Weise. Wenn die Organisation weder die Verweise entfernt noch ihre Einhaltung der Grundsätze des Datenschutzrahmens EU-USA gemäß den Verfahren des Ministeriums selbst zertifiziert, wird das Ministerium die Angelegenheit von Amts wegen an die FTC, das Verkehrsministerium oder eine andere zuständige Behörde verweisen oder andere geeignete Maßnahmen ergreifen, um die ordnungsgemäße Verwendung des Datenschutzrahmens EU-USA sicherzustellen.
Das Ministerium wird weitere Anstrengungen unternehmen, um falsche Behauptungen über die Beteiligung am Datenschutzrahmen EU-USA und die missbräuchliche Verwendung des Gütesiegels für den Datenschutzrahmen EU-USA aufzudecken, auch durch Organisationen, die im Gegensatz zu den vorstehend beschriebenen Organisationen noch nicht einmal mit dem Selbstzertifizierungsprozess begonnen haben (z. B. durch Durchführung geeigneter Internetrecherchen, um Verweise auf den Datenschutzrahmen EU-USA in den Datenschutzbestimmungen von Organisationen zu finden). Wenn das Ministerium durch diese Bemühungen falsche Behauptungen über die Beteiligung am Datenschutzrahmen EU-USA und die missbräuchliche Verwendung des Gütesiegels des Datenschutzrahmens EU-USA feststellt, wird es die Organisation darüber informieren, dass es die Angelegenheit gegebenenfalls an die zuständige Behörde weiterleiten wird, um mögliche Durchsetzungsmaßnahmen einzuleiten, falls die Organisation weiterhin falsche Angaben zu ihrer Beteiligung am Datenschutzrahmen EU-USA macht. Das Ministerium informiert die Organisation mittels der Kontaktkanäle, die die Organisation dem Ministerium gegebenenfalls zur Verfügung gestellt hat, oder erforderlichenfalls auf andere geeignete Weise. Wenn die Organisation weder die Verweise entfernt noch ihre Einhaltung der Grundsätze des Datenschutzrahmens EU-USA gemäß den Verfahren des Ministeriums selbst zertifiziert, wird das Ministerium die Angelegenheit von Amts wegen an die FTC, das Verkehrsministerium oder eine andere zuständige Behörde verweisen oder andere geeignete Maßnahmen ergreifen, um die ordnungsgemäße Verwendung des Datenschutzrahmens EU-USA sicherzustellen.
Regelmäßige Durchführung der von Amts wegen vorgenommenen Kontrollen der Einhaltung und Bewertungen des Datenschutzrahmens
Das Ministerium wird die Einhaltung der Grundsätze durch Organisationen, die dem Datenschutzrahmen EU-USA angehören, fortlaufend überwachen, um Probleme zu ermitteln, die Folgemaßnahmen rechtfertigen könnten. Insbesondere wird das Ministerium von Amts wegen routinemäßige Stichprobenkontrollen bei nach dem Zufallsprinzip ausgewählten Organisationen, die dem Datenschutzrahmen EU-USA angehören, sowie Ad-hoc-Stichprobenkontrollen bei bestimmten Organisationen, die dem Datenschutzrahmen EU-USA angehören, durchführen, wenn potenzielle Mängel bei der Einhaltung der Grundsätze festgestellt werden (z. B. potenzielle Mängel bei der Einhaltung der Grundsätze, die dem Ministerium von Dritten zur Kenntnis gebracht werden), um zu überprüfen, dass a) die zuständige(n) Kontaktstelle(n) für die Bearbeitung von Beschwerden, Auskunftsbegehren und anderen Fragen im Zusammenhang mit dem Datenschutzrahmen EU-USA vorhanden ist (sind), b) gegebenenfalls die öffentlich zugänglichen Datenschutzbestimmungen der Organisation sowohl auf der öffentlichen Website der Organisation als auch über einen Hyperlink auf der Datenschutzrahmen-Liste öffentlich einsehbar sind, c) die Datenschutzbestimmungen der Organisation weiterhin die in den Grundsätzen beschriebenen Anforderungen an die Selbstzertifizierung erfüllen und d) die von der Organisation benannte unabhängige Beschwerdestelle für die Behandlung von Beschwerden im Rahmen des Datenschutzrahmens EU-USA zur Verfügung steht. Das Ministerium wird auch aktiv die Medien auf Berichte hin überwachen, die glaubwürdige Beweise für die Nichteinhaltung der Grundsätze durch Organisationen enthalten, die dem Datenschutzrahmen EU-USA angehören.
Im Rahmen der Überprüfung der Einhaltung der Grundsätze wird das Ministerium eine Organisation, die dem Datenschutzrahmen EU-USA angehört, auffordern, einen detaillierten Fragebogen auszufüllen und dem Ministerium zu übermitteln, wenn a) dem Ministerium ernst gemeinte Beschwerden über die Einhaltung der Grundsätze durch eine Organisation zugegangen sind, b) die Organisation keine zufriedenstellende Antwort auf eine mit dem Datenschutzrahmen EU-USA verbundene Anfrage des Ministeriums übermittelt oder c) deutliche Anhaltspunkte darauf schließen lassen, dass eine Organisation ihren Zusagen im Zusammenhang mit dem Datenschutzrahmen EU-USA nicht nachkommt. Hat das Ministerium einen solchen detaillierten Fragebogen an eine Organisation geschickt und die Organisation antwortet nicht zufriedenstellend auf den Fragebogen, informiert das Ministerium die Organisation darüber, dass das Ministerium die Angelegenheit gegebenenfalls an die zuständige Behörde für mögliche Durchsetzungsmaßnahmen verweist, wenn das Ministerium keine rechtzeitige und zufriedenstellende Antwort von der Organisation erhält. Das Ministerium informiert die Organisation mittels der Kontaktkanäle, die die Organisation dem Ministerium zur Verfügung gestellt hat, oder gegebenenfalls auf andere geeignete Weise. Wenn die Organisation nicht rechtzeitig und zufriedenstellend antwortet, wird das Ministerium die Sache von Amts wegen an die FTC, das Verkehrsministerium oder eine andere zuständige Vollzugsbehörde weiterleiten oder andere angemessene Maßnahmen ergreifen, um die Einhaltung der Vorschriften sicherzustellen. Das Ministerium stimmt diese Einhaltungskontrollen bei Bedarf mit den zuständigen Datenschutzbehörden ab und
Überarbeitung der Website zum Datenschutzrahmen mit Blick auf ausgewählte Zielgruppen
Das Ministerium überarbeitet die Website zum Datenschutzrahmen, um sie auf folgende Zielgruppen auszurichten: EU-Bürger, EU-Unternehmen, US-Unternehmen und Datenschutzbehörden. Durch die Aufnahme von speziell auf EU-Bürger und EU-Unternehmen zugeschnittenen Materialien kann die Transparenz auf vielfältige Weise gesteigert werden. In Bezug auf EU-Bürger wird auf der Website Folgendes klar erläutert: 1) die Rechte, die im Datenschutzrahmen EU-USA für EU-Bürger vorgesehen sind, 2) die Rechtsbehelfe, die EU-Bürgern zur Verfügung stehen, wenn sie der Ansicht sind, dass eine Organisation gegen ihre Verpflichtung zur Einhaltung der Grundsätze verstoßen hat und 3) Hinweise zur Selbstzertifizierung eines Unternehmens im Rahmen des Datenschutzrahmens EU-USA. Im Hinblick auf EU-Unternehmen wird die Überprüfung der folgenden Aspekte erleichtert: 1) ob eine Organisation dem Datenschutzrahmen EU-USA angehört, 2) welche Informationen von der Selbstzertifizierung einer Organisation im Rahmen des Datenschutzrahmens EU-USA abgedeckt werden, 3) welche Datenschutzbestimmungen auf diese Informationen zur Anwendung kommen und 4) anhand welcher Methoden eine Organisation die Einhaltung der Grundsätze prüft. Im Hinblick auf US-Unternehmen werden folgende Punkte klar erläutert: 1) die Vorteile der Beteiligung am Datenschutzrahmen EU-USA, 2) die Modalitäten für den Beitritt zum Datenschutzrahmen EU-USA sowie für die erneute Zertifizierung und das Ausscheiden aus dem Datenschutzrahmen EU-USA, und 3) die Verwaltung und Durchsetzung des Datenschutzrahmens EU-USA durch die Vereinigten Staaten. Die Aufnahme von speziell an die Datenschutzbehörden gerichteten Materialien (z. B. Informationen über die spezielle Kontaktstelle des Ministeriums für Datenschutzbehörden und ein Hyperlink zu Inhalten im Zusammenhang mit den Grundsätzen auf der FTC-Website) wird sowohl die Zusammenarbeit als auch die Transparenz erleichtern. Das Ministerium wird außerdem auf Ad-hoc-Basis mit der Kommission und dem Europäischen Datenschutzausschuss („EDSA“) zusammenarbeiten, um zusätzliches, aktuelles Material (z. B. Antworten auf häufig gestellte Fragen) für die Website zum Datenschutzrahmen zu entwickeln, wenn solche Informationen die effiziente Verwaltung und Überwachung des Datenschutzrahmen-Programms erleichtern würden.
Erleichterung der Zusammenarbeit mit den Datenschutzbehörden
Für den Ausbau der Kooperationsmöglichkeiten mit den Datenschutzbehörden unterhält das Ministerium eine spezielle Kontaktstelle, die als Bindeglied zu den Datenschutzbehörden fungiert. Sollte eine Datenschutzbehörde, auch aufgrund einer Beschwerde durch einen EU-Bürger, den Verdacht hegen, dass eine Organisation die Grundsätze nicht einhält, kann sie sich an die spezielle Kontaktstelle im Ministerium wenden, um eine weitere Kontrolle der Organisation zu veranlassen. Nach Eingang ist das Ministerium nach besten Kräften um eine Klärung der Beschwerde mit der dem Datenschutzrahmen EU-USA angehörenden Organisation bemüht. Innerhalb von 90 Tagen nach Eingang der Beschwerde unterrichtet das Ministerium die Datenschutzbehörde über den aktuellen Sachstand. Die spezielle Kontaktstelle wird auch Hinweise auf Organisationen entgegennehmen, die fälschlicherweise behaupten, am Datenschutzrahmen EU-USA beteiligt zu sein. In der speziellen Kontaktstelle werden alle von den Datenschutzbehörden an das Ministerium übermittelten Fälle erfasst, und das Ministerium erstellt bei der gemeinsamen Überprüfung einen Bericht, der in aggregierter Form die im Laufe des Jahres bei ihm eingegangenen Beschwerden enthält. Die spezielle Kontaktstelle unterstützt Datenschutzbehörden bei der Erfassung von Informationen zur Selbstzertifizierung oder zum bisherigen Beitritt einer Organisation zum Datenschutzrahmen EU-USA und beantwortet Anfragen der Datenschutzbehörden zur Umsetzung der spezifischen Anforderungen des Datenschutzrahmens EU-USA. Das Ministerium wird auch mit der Kommission und dem EDSA in Bezug auf verfahrenstechnische und administrative Aspekte des Gremiums der Datenschutzbehörden zusammenarbeiten, einschließlich der Festlegung geeigneter Verfahren für die Verteilung der Mittel, die durch die Gebühren des Gremiums der Datenschutzbehörden eingenommen werden. Wir hoffen, dass die Kommission mit dem Ministerium zusammenarbeiten wird, um die Lösung von Problemen zu erleichtern, die im Zusammenhang mit diesen Verfahren auftreten können. Darüber hinaus stellt das Ministerium den Datenschutzbehörden Material zum Datenschutzrahmen EU-USA zur Verfügung, das sie auf ihre eigenen Websites stellen können, um für mehr Transparenz zugunsten von EU-Bürgern und EU-Unternehmen zu sorgen. Ein stärkeres Bewusstsein für den Datenschutzrahmen und die damit verbundenen Rechte und Pflichten kann die Erkennung von Problemen unmittelbar nach ihrem Auftreten begünstigen und die Einleitung geeigneter Abhilfemaßnahmen begünstigen.
Erfüllung der in Anhang I der Grundsätze eingegangenen Verpflichtungen
Das International Centre for Dispute Resolution (ICDR), die internationale Abteilung der American Arbitration Association (AAA) (zusammen „ICDR-AAA“), wurde vom Handelsministerium mit der Durchführung von Schiedsverfahren gemäß den Grundsätzen und der Verwaltung des in Anhang I der Grundsätze genannten Schiedsfonds beauftragt.
Am 15. September 2017 einigten sich das Ministerium und die Kommission auf die Annahme einer Reihe von Schiedsregeln, mit denen die in Anhang I der Grundsätze beschriebenen verbindlichen Schiedsverfahren geregelt werden, sowie auf einen Verhaltenskodex für Schiedsrichter, der den allgemein anerkannten ethischen Standards für Handelsschiedsrichter und Anhang I der Grundsätze entspricht. Das Ministerium und die Kommission haben vereinbart, die Schiedsregeln und den Verhaltenskodex an die Aktualisierungen des Datenschutzrahmens EU-USA anzupassen, und das Ministerium wird mit dem ICDR-AAA zusammenarbeiten, um diese Aktualisierungen vorzunehmen.
Durchführung gemeinsamer Überprüfungen der Funktionsweise des Datenschutzrahmens EU-USA
Das Ministerium und andere Stellen werden in regelmäßigen Abständen Sitzungen mit der Kommission, interessierten Datenschutzbehörden und geeigneten Vertretern des EDSA abhalten, bei denen das Ministerium über den aktuellen Stand des Datenschutzrahmens EU-USA berichten wird. Auf den Sitzungen werden aktuelle Fragen im Zusammenhang mit der Funktionsweise, Umsetzung, Überwachung und Durchsetzung des Datenschutzrahmen-Programms erörtert. Gegebenenfalls können bei den Sitzungen auch verwandte Themen erörtert werden, z. B. andere Datenübermittlungsmechanismen, die von den Garantien des Datenschutzrahmens EU-USA profitieren.
Aktualisierung von Gesetzen
Das Ministerium wird die Kommission in angemessener Weise über wesentliche Änderungen des Rechts der Vereinigten Staaten unterrichten, wenn sie für den Datenschutzrahmen EU-USA relevant sind und den Datenschutz sowie die Beschränkungen und Schutzvorkehrungen für den Zugriff staatlicher Behörden auf personenbezogene Daten und deren anschließende Verwendung betreffen.
Staatlicher Zugriff auf personenbezogene Daten
Die Vereinigten Staaten haben die Executive Order 14086 mit dem Titel „Enhancing Safeguards for United States Signals Intelligence Activities“ und Titel 28 CFR Teil 201 zur Änderung der Vorschriften des Justizministeriums erlassen, um das Datenschutzüberprüfungsgericht (Data Protection Review Court, „DPRC“) einzurichten, die einen starken Schutz personenbezogener Daten im Hinblick auf den staatlichen Zugriff auf Daten für Zwecke der nationalen Sicherheit bieten. Der vorgesehene Schutz umfasst die Stärkung des Schutzes der Privatsphäre und der bürgerlichen Freiheiten, um sicherzustellen, dass die Maßnahmen im Zusammenhang mit der US-Signalaufklärung zur Verfolgung bestimmter nationaler Sicherheitsziele notwendig und verhältnismäßig sind, die Einrichtung einer neuen Beschwerdestelle mit unabhängigen und verbindlichen Befugnissen und Stärkung der bestehenden strengen und mehrstufigen Aufsicht über die US-Signalaufklärung. Dieser Schutz bietet EU-Bürgern einen neuen, mehrstufigen Rechtsbehelfsmechanismus, der auch ein unabhängiges DPRC umfasst, das sich aus Personen zusammensetzt, die nicht der US-Regierung angehören und die uneingeschränkte Befugnis haben, über Beschwerden zu entscheiden und gegebenenfalls Abhilfemaßnahmen anzuordnen. Das Ministerium führt eine Liste der EU-Bürger, die eine qualifizierte Beschwerde gemäß Executive Order 14086 und Titel 28 CFR Teil 201 eingereicht haben. Fünf Jahre nach dem Datum dieses Schreibens und danach alle fünf Jahre wird sich das Ministerium mit den zuständigen Stellen in Verbindung setzen, um festzustellen, ob die Informationen über die Überprüfung qualifizierter Beschwerden oder die Überprüfung von Anträgen auf Überprüfung, die dem DPRC vorgelegt wurden, freigegeben wurden. Wenn solche Informationen freigegeben werden, wird das Ministerium mit der zuständigen Datenschutzbehörde zusammenarbeiten, um die EU-Bürger zu informieren. Diese Verbesserungen bestätigen, dass personenbezogene Daten aus der EU, die in die Vereinigten Staaten übermittelt werden, in einer Weise verarbeitet werden, die den rechtlichen Anforderungen der EU in Bezug auf den Zugang von Behörden zu Daten entspricht.
Ausgehend von den Grundsätzen, der Executive Order 14086, dem Titel 28 CFR Teil 201 und den Begleitschreiben und -materialien, einschließlich der Zusagen des Ministeriums zur Verwaltung und Überwachung des Datenschutzrahmen-Programms, rechnen wir damit, dass die Kommission den Datenschutzrahmen EU-USA als ausreichend erachtet, um einen Schutz im Sinne der EU-Rechtsvorschriften zu gewährleisten, und dass Daten weiterhin an Organisationen übermittelt werden, die dem Datenschutzrahmen EU-USA angehören. Wir gehen auch davon aus, dass Übermittlungen an US-Organisationen, die auf der Grundlage von EU-Standardvertragsklauseln oder verbindlichen unternehmensinternen Vorschriften der EU erfolgen, durch die Bedingungen dieser Vereinbarungen weiter erleichtert werden.
Mit freundlichen Grüßen
Lago
EUR-Lex