Skip to content

EU-Kommission legt Entwurf des Safe-Harbor-Nachfolgers EU-US Privacy Shield vor - Skepsis bleibt - Problem Patriot Act

Die EU-Kommission hat inzwischen einen Entwurf des Safe-Harbor-Nachfolgers EU-US Privacy Shield oder auf Deutsch "EU-US-Datenschutzschild" vorgelegt. Es ist fraglich, ob wirklich alle Vorgaben des EuGH eingehalten werden. Nach wir vor macht der Patriot Act der USA eine wirklich den europäischen Datenschutzvorgaben entsprechende Lösung unmöglich. Auch die EU-US Privacy Shield wird sicher wieder vor dem EuGH landen. Dort wird sich entscheiden, ob man eine pragmatische oder rechtskonforme Lösung verlangt.

Siehe auch zum Thema "EU-US Privacy Shield - EU-Kommission und USA einigen sich auf Safe Harbor-Nachfolgeregelung".

Die Pressemitteilung des EU-Kommission:

"Die Europäische Kommission hat heute das Legislativpaket zum EU-US-Datenschutzschild und eine Mitteilung vorgelegt, in der sie zusammenfasst, was alles in den letzten Jahren unternommen worden ist, um das seit den Enthüllungen 2013 erschütterte Vertrauen in den transatlantischen Datenverkehr wiederherzustellen. Entsprechend den Politischen Leitlinien von Kommissionspräsident Juncker hat die Kommission i) die Reform des EU-Datenschutzrechts zum Abschluss gebracht, das für alle Unternehmen gilt, die Dienstleistungen im EU-Binnenmarkt anbieten, ii) das EU-US-Rahmenabkommen ausgehandelt, das hohe Datenschutzstandards für der Strafverfolgung dienende Datenübermittlungen über den Atlantik gewährleistet, und iii) einen neuen soliden Rahmen für den Austausch kommerzieller Daten geschaffen: den EU-US-Datenschutzschild.
Angenommen hat die Kommission zudem den Entwurf eines sogenannten Angemessenheitsbeschlusses und eine Reihe von Texten zum EU-US-Datenschutzschild. Dabei handelt es sich unter anderem um die von den Unternehmen einzuhaltenden Datenschutzgrundsätze sowie um schriftliche (im US-Bundesregister zu veröffentlichende) Zusicherungen der US-Regierung, die der Durchsetzung der Vereinbarung dienen, darunter Garantien und Beschränkungen für den Datenzugriff durch Behörden.
„Der EU-US-Datenschutzschild wird in Kürze aktiviert“, sagte Vizepräsident Ansip. „Diesseits und jenseits des Atlantiks sind Arbeiten im Gange, die die persönlichen Daten unserer Bürgerinnen und Bürger umfassend schützen und sicherstellen sollen, dass wir die Chancen des digitalen Zeitalters nutzen können. Umgesetzt werden die Regeln von den Unternehmen. Wir sind jeden Tag in Kontakt, um sicherzustellen, dass die Vorbereitungen optimal vonstattengehen. Wir werden unsere Anstrengungen innerhalb der EU und weltweit fortsetzen, um das Vertrauen in die Online-Welt zu festigen. Ohne Vertrauen geht nichts - Vertrauen ist der Motor unserer digitalen Zukunft.“
„Der Schutz personenbezogener Daten hat für mich innerhalb wie auch außerhalb der EU Priorität“, so Justizkommissarin Jourová. „Der EU-US-Datenschutzschild bietet eine neue solide Regelung, die auf robuster Durchsetzung und Kontrolle basiert, einem besseren Rechtsschutz für den Bürger und erstmals einer schriftlichen Zusicherung unserer amerikanischen Partner zu den Garantien und Beschränkungen für den Datenzugriff der Behörden aus Gründen der nationalen Sicherheit. Jetzt, wo Präsident Obama den Judicial Redress Act unterzeichnet hat, der EU-Bürgern das Recht garantiert, Datenschutzrechte vor den US-Gerichten geltend zu machen, werden wir in Kürze die Unterzeichnung des Datenschutz-Rahmenabkommens zwischen der EU und den USA vorschlagen, das Garantien für die Übermittlung von Daten zu Strafverfolgungszwecken enthält. Mit diesen robusten Garantien wird es Europa und Amerika gelingen, das Vertrauen in den transatlantischen Datenverkehr wiederherzustellen.“
Mit dem Angemessenheitsbeschluss wird bescheinigt, dass die Garantien für die Übermittlung von Daten auf der Grundlage des neuen EU-US-Datenschutzschilds den Datenschutzstandards in der EU entsprechen. Der neue Rahmen wird den Vorgaben, die der Gerichtshof der Europäischen Union in seinem Urteil vom 6. Oktober 2015 formuliert hatte, gerecht. Die US-Regierung gab überzeugende Zusicherungen dahingehend ab, dass auf die strenge Einhaltung der Datenschutzbestimmungen geachtet wird und die nationalen Sicherheitsbehörden Daten nicht unterschiedslos oder massenhaft überwachen.
Garantiert wird dies auf folgende Weise:
- Strenge Auflagen für Unternehmen und konsequente Durchsetzung: Die neue Regelung ist transparent und sieht wirksame Aufsichtsmechanismen vor, um sicherzustellen, dass die Unternehmen ihren Pflichten nachkommen, einschließlich Sanktionen und die Streichung aus der Liste, falls sie gegen die Regeln verstoßen. Die Weiterübermittlung von Daten durch die teilnehmenden Unternehmen an andere Partner ist jetzt an strengere Bedingungen geknüpft.
- Klare Schutzvorkehrungen und Transparenzpflichten beim behördlichen Datenzugriff: Zum ersten Mal hat die US-Regierung der EU über das Büro des Direktors der nationalen Nachrichtendienste schriftlich zugesichert, dass der Datenzugriff von Behörden aus Gründen der nationalen Sicherheit klaren Beschränkungen, Garantien und Aufsichtsmechanismen unterworfen wird, die einen allgemeinen Zugriff auf personenbezogene Daten ausschließen. US-Außenminister John Kerry hat zugesagt, im Außenministerium eine von den nationalen Nachrichtendiensten unabhängige Ombudsstelle einzurichten, an die sich EU-Bürger mit Rechtsschutzbegehren, die den Bereich der nationalen Sicherheit betreffen, wenden können. Die Ombudsstelle wird Beschwerden und Anfragen von Personen nachgehen und ihnen mitteilen, ob die einschlägigen Gesetze beachtet wurden. Alle schriftlichen Zusicherungen werden im US-Bundesregister veröffentlicht.
- Wirksamer Schutz der Rechte der EU-Bürgerinnen und -Bürger durch verschiedene Rechtsbehelfe: Unternehmen müssen Beschwerden innerhalb von 45 Tagen nachgehen. Außerdem steht ein kostenloses Verfahren der alternativen Streitbeilegung zur Verfügung. Die betroffenen EU-Bürger können sich auch an ihre nationalen Datenschutzbehörden wenden, die dann zusammen mit der Federal Trade Commission dafür sorgen, dass Beschwerden nachgegangen und abgeholfen wird. Kann der Fall nicht auf andere Weise gelöst werden, gibt es als letztes Mittel ein Schiedsverfahren mit einem vollstreckbaren Schiedsspruch. Die Unternehmen können sich zudem verpflichten, den Empfehlungen europäischer Datenschutzbehörden nachzukommen. Für Unternehmen, die Personaldaten verarbeiten, ist dies Pflicht.
- Gemeinsame jährliche Überprüfung: Überprüft wird die Funktionsweise des Datenschutzschilds einschließlich der Zusicherungen und Zusagen hinsichtlich des Datenzugriffs zu Zwecken der Strafverfolgung und der nationalen Sicherheit. Die Europäische Kommission und das US-amerikanische Handelsministerium werden diese Überprüfung gemeinsam durchführen und Sachverständige der US-Nachrichtendienste und der europäischen Datenschutzbehörden hinzuziehen. Die Kommission wird darüber hinaus alle anderen Informationsquellen wie Transparenzberichte von Unternehmen über den Umfang der von Behörden angeforderten Daten heranziehen. Sie wird einmal pro Jahr interessierte NRO und sonstige Beteiligte zu einem Datenschutzgipfel einladen, um allgemeine Entwicklungen im amerikanischen Datenschutzrecht und deren Auswirkungen auf EU-Bürger zu erörtern. Die Kommission wird auf der Grundlage der jährlichen Überprüfung einen öffentlichen Bericht an das Europäische Parlament und den Rat vorlegen.
Nächste Schritte
Bevor das Kollegium abschließend entscheidet, wird ein Ausschuss aus Vertretern der Mitgliedstaaten und EU-Datenschutzbehörden (Artikel-29-Datenschutzgruppe) konsultiert, der zu dem Datenschutzschirm Stellung nimmt. In der Zwischenzeit treffen die USA die notwendigen Vorkehrungen zur Einrichtung des neuen Rahmens, der neuen Überwachungsmechanismen und der neuen Ombudsstelle.
Nach Verabschiedung des von Präsident Obama am 24. Februar unterzeichneten Judicial Redress Act im US-Kongress wird die Kommission jetzt in Kürze die Unterzeichnung des Datenschutz-Rahmenabkommens vorschlagen. Über den Abschluss des Abkommens entscheidet der Rat nach Zustimmung des Europäischen Parlaments.



EU-US Privacy Shield - EU-Kommission und USA einigen sich auf Safe Harbor-Nachfolgeregelung

Die EU-Kommission und die USA haben auf eine Nachfolgeregelung für das vom EuGH (siehe EuGH: Safe-Harbor-Abkommen zwischen USA und EU ungültig - kein ausreichender Schutz in den USA für personenbezogene Daten vor Zugriff durch Behörden ) zu Recht kassierte Safe-Harbor-Abkommen geeinigt.

Die Pressemitteilung:

EU Commission and United States agree on new framework for transatlantic data flows: EU-US Privacy Shield

Strasbourg, 2 February 2016

The European Commission and the United States have agreed on a new framework for transatlantic data flows: the EU-US Privacy Shield.

Today, the College of Commissioners approved the political agreement reached and has mandated Vice-President Ansip and Commissioner Jourová to prepare the necessary steps to put in place the new arrangement. This new framework will protect the fundamental rights of Europeans where their data is transferred to the United States and ensure legal certainty for businesses.
The EU-US Privacy Shield reflects the requirements set out by the European Court of Justice in its ruling on 6 October 2015, which declared the old Safe Harbour framework invalid. The new arrangement will provide stronger obligations on companies in the U.S. to protect the personal data of Europeans and stronger monitoring and enforcement by the U.S. Department of Commerce and Federal Trade Commission (FTC), including through increased cooperation with European Data Protection Authorities. The new arrangement includes commitments by the U.S. that possibilities under U.S. law for public authorities to access personal data transferred under the new arrangement will be subject to clear conditions, limitations and oversight, preventing generalised access. Europeans will have the possibility to raise any enquiry or complaint in this context with a dedicated new Ombudsperson.
Vice-President Ansip said: "We have agreed on a new strong framework on data flows with the US. Our people can be sure that their personal data is fully protected. Our businesses, especially the smallest ones, have the legal certainty they need to develop their activities across the Atlantic. We have a duty to check and we will closely monitor the new arrangement to make sure it keeps delivering. Today's decision helps us build a Digital Single Market in the EU, a trusted and dynamic online environment; it further strengthens our close partnership with the US. We will work now to put it in place as soon as possible."
Commissioner Jourová said: "The new EU-US Privacy Shield will protect the fundamental rights of Europeans when their personal data is transferred to U.S. companies. For the first time ever, the United States has given the EU binding assurances that the access of public authorities for national security purposes will be subject to clear limitations, safeguards and oversight mechanisms. Also for the first time, EU citizens will benefit from redress mechanisms in this area. In the context of the negotiations for this agreement, the US has assured that it does not conduct mass or indiscriminate surveillance of Europeans. We have established an annual joint review in order to closely monitor the implementation of these commitments."
The new arrangement will include the following elements:
Strong obligations on companies handling Europeans' personal data and robust enforcement: U.S. companies wishing to import personal data from Europe will need to commit to robust obligations on how personal data is processed and individual rights are guaranteed. The Department of Commerce will monitor that companies publish their commitments, which makes them enforceable under U.S. law by the US. Federal Trade Commission. In addition, any company handling human resources data from Europe has to commit to comply with decisions by European DPAs.
Clear safeguards and transparency obligations on U.S. government access: For the first time, the US has given the EU written assurances that the access of public authorities for law enforcement and national security will be subject to clear limitations, safeguards and oversight mechanisms. These exceptions must be used only to the extent necessary and proportionate. The U.S. has ruled out indiscriminate mass surveillance on the personal data transferred to the US under the new arrangement. To regularly monitor the functioning of the arrangement there will be an annual joint review, which will also include the issue of national security access. The European Commission and the U.S. Department of Commerce will conduct the review and invite national intelligence experts from the U.S. and European Data Protection Authorities to it.
Effective protection of EU citizens' rights with several redress possibilities: Any citizen who considers that their data has been misused under the new arrangement will have several redress possibilities. Companies have deadlines to reply to complaints. European DPAs can refer complaints to the Department of Commerce and the Federal Trade Commission. In addition, Alternative Dispute resolution will be free of charge. For complaints on possible access by national intelligence authorities, a new Ombudsperson will be created.
Next steps
The College has today mandated Vice-President Ansip and Commissioner Jourová to prepare a draft "adequacy decision" in the coming weeks, which could then be adopted by the College after obtaining the advice of the Article 29 Working Party and after consulting a committee composed of representatives of the Member States. In the meantime, the U.S. side will make the necessary preparations to put in place the new framework, monitoring mechanisms and new Ombudsman.
Background
On 6 October, the Court of Justice declared in the Schrems case that Commission’s Decision on the Safe Harbour arrangement was invalid. The judgment confirmed the Commission's approach since November 2013 to review the Safe Harbour arrangement, to ensure in practice a sufficient level of data protection as required by EU law.
On 15 October, Vice-President Ansip, Commissioners Oettinger and Jourová met business and industry representatives who asked for a clear and uniform interpretation of the ruling, as well as more clarity on the instruments they could use to transfer data.
On 16 October, the 28 national data protection authorities (Article 29 Working Party) issued a statement on the consequences of the judgment.
On 6 November, the Commission issued guidance for companies on the possibilities of transatlantic data transfers following the ruling until a new framework is put in place.
On 2 December, the College of Commissioners discussed the progress of the negotiations. Commissioner Jourová received a mandate to pursue the negotiations on a renewed and safe framework with the US.




EuGH: Safe-Harbor-Abkommen zwischen USA und EU ungültig - kein ausreichender Schutz in den USA für personenbezogene Daten vor Zugriff durch Behörden

EuGH
Urteil vom 06.10.2015
C-362/14
Maximillian Schrems / Data Protection Commissioner


Der EuGH hat völlig zu Recht entschieden, dass das Safe-Harbor-Abkommen zwischen den USA und der EU ungültig ist, da die personenbezogenen Daten in den USA insbesondere nicht ausreichend vor dem Zugriff durch Behörden geschützt ist. Eine andere Entscheidung wäre juristisch auch nicht haltbar gewesen.

Die Pressemitteilung des EuGH:

Der Gerichtshof erklärt die Entscheidung der Kommission, in der festgestellt wird, dass die Vereinigten Staaten von Amerika ein angemessenes Schutzniveau übermittelter personenbezogener Daten gewährleisten, für ungültig


Während allein der Gerichtshof dafür zuständig ist, einen Rechtsakt der Union für ungültig zu erklären, können die mit einer Beschwerde befassten nationalen Datenschutzbehörden, auch wenn es eine Entscheidung der Kommission gibt, in der festgestellt wird, dass ein Drittland ein angemessenes Schutzniveau für personenbezogene Daten gewährleistet, prüfen, ob bei der Übermittlung der Daten einer Person in dieses Land die Anforderungen des Unionsrechts an den
Schutz dieser Daten eingehalten werden, und sie können, ebenso wie die betroffene Person, die nationalen Gerichte anrufen, damit diese ein Ersuchen um Vorabentscheidung zur Prüfung der Gültigkeit der genannten Entscheidung stellen
Die Richtlinie über die Verarbeitung personenbezogener Daten bestimmt, dass die Übermittlung solcher Daten in ein Drittland grundsätzlich nur dann zulässig ist, wenn das betreffende Drittland ein angemessenes Schutzniveau dieser Daten gewährleistet. Ferner kann nach der Richtlinie die Kommission feststellen, dass ein Drittland aufgrund seiner innerstaatlichen Rechtsvorschriften oder internationaler Verpflichtungen ein angemessenes Schutzniveau gewährleistet. Schließlich sieht die Richtlinie vor, dass jeder Mitgliedstaat eine oder mehrere öffentliche Stellen benennt, die
in seinem Hoheitsgebiet mit der Überwachung der Anwendung der zur Umsetzung der Richtlinie erlassenen nationalen Vorschriften beauftragt sind („Datenschutzbehörden“).

Herr Schrems, ein österreichischer Staatsangehöriger, nutzt seit 2008 Facebook. Wie bei allen anderen in der Union wohnhaften Nutzern von Facebook werden die Daten, die Herr Schrems Facebook liefert, von der irischen Tochtergesellschaft von Facebook ganz oder teilweise an Server, die sich in den Vereinigten Staaten befinden, übermittelt und dort verarbeitet. Herr Schrems legte bei der irischen Datenschutzbehörde eine Beschwerde ein, weil er im Hinblick auf die von Herrn Edward Snowden enthüllten Tätigkeiten der Nachrichtendienste der Vereinigten Staaten, insbesondere der National Security Agency (NSA), der Ansicht war, dass das Recht und die Praxis der Vereinigten Staaten keinen ausreichenden Schutz der in dieses Land übermittelten Daten vor Überwachungstätigkeiten der dortigen Behörden böten. Die irische Behörde wies die Beschwerde insbesondere mit der Begründung zurück, die Kommission habe in ihrer Entscheidung vom 26. Juli 20002 festgestellt, dass die Vereinigten Staaten im Rahmen der sogenannten „Safe-Harbor-Regelung“ ein angemessenes Schutzniveau der übermittelten personenbezogenen Daten gewährleisteten.

Der mit der Rechtssache befasste irische High Court möchte wissen, ob diese Entscheidung der Kommission eine nationale Datenschutzbehörde daran hindert, eine Beschwerde zu prüfen, mit der geltend gemacht wird, dass ein Drittland kein angemessenes Schutzniveau gewährleiste, und gegebenenfalls die angefochtene Datenübermittlung auszusetzen.
In seinem heutigen Urteil führt der Gerichtshof aus, dass die Existenz einer Entscheidung der Kommission, in der festgestellt wird, dass ein Drittland ein angemessenes Schutzniveau für übermittelte personenbezogene Daten gewährleistet, die Befugnisse, über die die nationalen Datenschutzbehörden aufgrund der Charta der Grundrechte der Europäischen Union und der Richtlinie verfügen, weder beseitigen noch auch nur beschränken kann. Der Gerichtshof hebt insoweit das durch die Charta garantierte Recht auf den Schutz personenbezogener Daten sowie die den nationalen Datenschutzbehörden durch die Charta übertragene Aufgabe hervor. Der Gerichtshof stellt zunächst fest, dass keine Bestimmung der Richtlinie die nationalen Datenschutzbehörden an der Kontrolle der Übermittlungen personenbezogener Daten in Drittländer hindert, die Gegenstand einer Entscheidung der Kommission waren. Auch wenn die Kommission eine solche Entscheidung erlassen hat, müssen die nationalen Datenschutzbehörden daher, wenn sie mit einer Beschwerde befasst werden, in völliger Unabhängigkeit prüfen können, ob bei der Übermittlung der Daten einer Person in ein Drittland die in der Richtlinie aufgestellten Anforderungen gewahrt werden. Der Gerichtshof weist allerdings darauf hin, dass er allein befugt ist, die Ungültigkeit eines Unionsrechtsakts wie
einer Entscheidung der Kommission festzustellen. Ist eine nationale Behörde oder die Person, die sie angerufen hat, der Auffassung, dass eine Entscheidung der Kommission ungültig ist, muss diese Behörde oder diese Person folglich die nationalen Gerichte anrufen können, damit diese, falls sie ebenfalls Zweifel an der Gültigkeit der Entscheidung der Kommission haben, die Sache dem Gerichtshof vorlegen können. Letztlich hat somit der Gerichtshof darüber zu befinden, ob eine Entscheidung der Kommission gültig ist.

Der Gerichtshof prüft sodann die Gültigkeit der Entscheidung der Kommission vom 26. Juli 2000. Insoweit weist er darauf hin, dass die Kommission hätte feststellen müssen, dass die Vereinigten Staaten aufgrund ihrer innerstaatlichen Rechtsvorschriften oder internationaler Verpflichtungen tatsächlich ein Schutzniveau der Grundrechte gewährleisten, das dem in der Union aufgrund der Richtlinie im Licht der Charta garantierten Niveau der Sache nach gleichwertig ist. Eine solche Feststellung hat die Kommission nicht getroffen, sondern sie hat sich darauf beschränkt, die SafeHarbor-Regelung zu prüfen.

Ohne dass der Gerichtshof prüfen muss, ob diese Regelung ein Schutzniveau gewährleistet, das dem in der Union garantierten Niveau der Sache nach gleichwertig ist, ist festzustellen, dass sie nur für die amerikanischen Unternehmen gilt, die sich ihr unterwerfen, nicht aber für die Behörden der Vereinigten Staaten. Außerdem haben die Erfordernisse der nationalen Sicherheit, des öffentlichen Interesses und der Durchführung von Gesetzen der Vereinigten Staaten Vorrang vor der Safe-Harbor-Regelung, so dass die amerikanischen Unternehmen ohne jede Einschränkung verpflichtet sind, die in dieser Regelung vorgesehenen Schutzregeln unangewandt zu lassen, wenn sie in Widerstreit zu solchen Erfordernissen stehen. Die amerikanische SafeHarbor-Regelung ermöglicht daher Eingriffe der amerikanischen Behörden in die Grundrechte der
Personen, wobei in der Entscheidung der Kommission weder festgestellt wird, dass es in den Vereinigten Staaten Regeln gibt, die dazu dienen, etwaige Eingriffe zu begrenzen, noch, dass es einen wirksamen gerichtlichen Rechtsschutz gegen solche Eingriffe gibt.

Diese Analyse der Regelung wird durch zwei Mitteilungen der Kommission bestätigt, aus denen u. a. hervorgeht, dass die amerikanischen Behörden auf die aus den Mitgliedstaaten in die Vereinigten Staaten übermittelten personenbezogenen Daten zugreifen und sie in einer Weise verarbeiten konnten, die namentlich mit den Zielsetzungen ihrer Übermittlung unvereinbar war und über das hinausging, was nach Ansicht der Kommission zum Schutz der nationalen Sicherheit absolut notwendig und verhältnismäßig gewesen wäre. Desgleichen stellte die Kommission fest, dass es für die Betroffenen keine administrativen oder gerichtlichen Rechtsbehelfe gab, die es ihnen erlaubten, Zugang zu den sie betreffenden Daten zu erhalten und gegebenenfalls deren Berichtigung oder Löschung zu erwirken.

Zum Vorliegen eines Schutzniveaus, das den in der Union garantierten Freiheiten und Grundrechten der Sache nach gleichwertig ist, stellt der Gerichtshof fest, dass nach dem Unionsrecht eine Regelung nicht auf das absolut Notwendige beschränkt ist, wenn sie generell die Speicherung aller personenbezogenen Daten sämtlicher Personen, deren Daten
aus der Union in die Vereinigten Staaten übermittelt werden, gestattet, ohne irgendeine Differenzierung, Einschränkung oder Ausnahme anhand des verfolgten Ziels vorzunehmen und ohne objektive Kriterien vorzusehen, die es ermöglichen, den Zugang der Behörden zu den Daten und deren spätere Nutzung zu beschränken. Der Gerichtshof fügt hinzu, dass eine Regelung, die es den Behörden gestattet, generell auf den Inhalt elektronischer Kommunikation zuzugreifen, den Wesensgehalt des Grundrechts auf Achtung des Privatlebens verletzt.

Ferner führt der Gerichtshof aus, dass eine Regelung, die keine Möglichkeit für den Bürger vorsieht, mittels eines Rechtsbehelfs Zugang zu den ihn betreffenden personenbezogenen Daten zu erlangen oder ihre Berichtigung oder Löschung zu erwirken, den Wesensgehalt des Grundrechts auf wirksamen gerichtlichen Rechtsschutz verletzt. Eine solche Möglichkeit ist dem Wesen eines Rechtsstaats inhärent.

Schließlich stellt der Gerichtshof fest, dass die Entscheidung der Kommission vom 26. Juli 2000 den nationalen Datenschutzbehörden Befugnisse entzieht, die ihnen für den Fall zustehen, dass eine Person die Vereinbarkeit der Entscheidung mit dem Schutz der Privatsphäre sowie der Freiheiten und Grundrechte von Personen in Frage stellt. Die Kommission hatte keine Kompetenz, die Befugnisse der nationalen Datenschutzbehörden in dieser Weise zu
beschränken.

Aus all diesen Gründen erklärt der Gerichtshof die Entscheidung der Kommission vom 26. Juli 2000 für ungültig. Dieses Urteil hat zur Folge, dass die irische Datenschutzbehörde die Beschwerde von Herrn Schrems mit aller gebotenen Sorgfalt prüfen und am Ende ihrer Untersuchung entscheiden muss, ob nach der Richtlinie die Übermittlung der Daten der europäischen Nutzer von Facebook in die Vereinigten Staaten auszusetzen ist, weil dieses Land kein angemessenes Schutzniveau für personenbezogene Daten bietet.

Den Volltext der Entscheidung finden Sie hier:

BVerwG: Klage gegen allgemeine Praxis der strategischen Telekommunikationsüberwachung durch BND mangels konkretem Feststellungsinteresse zurückgewiesen

BVerwG
Urteil vom 28.05.2014
6 A 1.13


Die Pressemitteilung des BVerwG:

"Klage gegen strategische Telekommunikationsüberwachung durch den BND im Jahre 2010 erfolglos

Das Bun­des­ver­wal­tungs­ge­richt in Leip­zig hat heute die Klage eines Rechts­an­walts ab­ge­wie­sen, der sich gegen die stra­te­gi­sche Te­le­kom­mu­ni­ka­ti­ons­über­wa­chung im Jahre 2010 durch den Bun­des­nach­rich­ten­dienst ge­wandt hat.

Nach dem Ge­setz zur Be­schrän­kung des Brief-, Post- und Fern­mel­de­ge­heim­nis­ses ist der Bun­des­nach­rich­ten­dienst im Rah­men sei­ner Auf­ga­ben be­rech­tigt, die Te­le­kom­mu­ni­ka­ti­on zu über­wa­chen und auf­zu­zeich­nen. Bei der so­ge­nann­ten stra­te­gi­schen Te­le­kom­mu­ni­ka­ti­ons­über­wa­chung wer­den be­stimm­te in­ter­na­tio­na­le Te­le­kom­mu­ni­ka­ti­ons­be­zie­hun­gen an­hand vor­her fest­ge­leg­ter Such­be­grif­fe durch­sucht. Nach dem Be­richt des Par­la­men­ta­ri­schen Kon­troll­gre­mi­ums wur­den dabei auf­grund der im Jahre 2010 ver­wen­de­ten Such­be­grif­fe (3 752 Such­be­grif­fe im Be­reich „In­ter­na­tio­na­ler Ter­ro­ris­mus“, 26 147 Such­be­grif­fe im Be­reich „Pro­li­fe­ra­ti­on und kon­ven­tio­nel­le Rüs­tung“ sowie 634 Such­be­grif­fe im Be­reich „Il­le­ga­le Schleu­sung“) 37 Mio. „Tref­fer“ er­zielt, die wei­ter be­ar­bei­tet wur­den. Sie be­tra­fen fast aus­schließ­lich den E-Mail-Ver­kehr. Von den so­ge­nann­ten Tref­fern wur­den schließ­lich 213 (davon zwölf E-Mails) als nach­rich­ten­dienst­lich re­le­vant ein­ge­stuft.

Der Klä­ger ist Rechts­an­walt und Mit­glied ver­schie­de­ner (deut­scher und in­ter­na­tio­na­ler) An­walts­or­ga­ni­sa­tio­nen. Nach sei­nen An­ga­ben kom­mu­ni­ziert er seit vie­len Jah­ren per E-Mail häu­fig mit aus­län­di­schen Man­dan­ten, Kol­le­gen und an­de­ren Ge­sprächs­part­nern, viel­fach in An­ge­le­gen­hei­ten, die dem An­walts­ge­heim­nis un­ter­lie­gen. Er müsse damit rech­nen, dass auch seine an­walt­li­che Kor­re­spon­denz er­fasst und ge­le­sen wor­den sei. Der Klä­ger hält die Vor­schrif­ten des Ge­set­zes zur Be­schrän­kung des Brief-, Post- und Fern­mel­de­ge­heim­nis­ses für ver­fas­sungs­wid­rig, so­weit sie die stra­te­gi­sche Te­le­kom­mu­ni­ka­ti­ons­über­wa­chung be­tref­fen, weil sie nicht ge­eig­net seien, die Menge ins­be­son­de­re der er­fass­ten E-Mails wirk­sam auf das Maß zu be­gren­zen, das für eine le­gi­ti­me Aus­lands­auf­klä­rung er­for­der­lich sei. Je­den­falls hät­ten die im Jahre 2010 ver­wen­de­ten Such­be­grif­fe wegen ihrer Weite eine un­ver­hält­nis­mä­ßi­ge Er­fas­sung des E-Mail-Ver­kehrs zur Folge ge­habt. Der Klä­ger hat des­halb beim erst­in­stanz­lich zu­stän­di­gen Bun­des­ver­wal­tungs­ge­richt Klage er­ho­ben und die Fest­stel­lung be­an­tragt, dass der Bun­des­nach­rich­ten­dienst durch die stra­te­gi­sche Te­le­kom­mu­ni­ka­ti­ons­über­wa­chung im Jahre 2010 ins­be­son­de­re be­zo­gen auf den E-Mail-Ver­kehr sein Fern­mel­de­ge­heim­nis ver­letzt hat.

Das Bun­des­ver­wal­tungs­ge­richt hat die Klage als un­zu­läs­sig ab­ge­wie­sen. Nach der Ver­wal­tungs­ge­richts­ord­nung muss die Fest­stel­lungs­kla­ge sich auf einen kon­kre­ten, ge­ra­de den Klä­ger be­tref­fen­den Sach­ver­halt be­zie­hen. Mit der Fest­stel­lungs­kla­ge kann nicht all­ge­mein, also los­ge­löst von einer ei­ge­nen, kon­kret fest­ste­hen­den Be­trof­fen­heit die Recht­mä­ßig­keit be­hörd­li­cher Maß­nah­men einer ver­wal­tungs­ge­richt­li­chen Über­prü­fung zu­ge­führt wer­den. Die er­ho­be­ne Fest­stel­lungs­kla­ge wäre des­halb nur zu­läs­sig ge­we­sen, wenn der Te­le­kom­mu­ni­ka­ti­ons­ver­kehr des Klä­gers, ins­be­son­de­re sein E-Mail-Ver­kehr im Jahre 2010 im Zuge der stra­te­gi­schen Te­le­kom­mu­ni­ka­ti­ons­über­wa­chung durch den Bun­des­nach­rich­ten­dienst tat­säch­lich er­fasst wor­den wäre. Hin­ge­gen ge­nügt es nicht, wenn sich nur die Mög­lich­keit nicht aus­schlie­ßen lässt, dass auch von ihm ver­sand­te oder an ihn ge­rich­te­te E-Mails von der Über­wa­chung er­fasst waren. Dass der E-Mail-Ver­kehr des Klä­gers im Jahre 2010 von der stra­te­gi­schen Te­le­kom­mu­ni­ka­ti­ons­über­wa­chung tat­säch­lich er­fasst war, hat das Bun­des­ver­wal­tungs­ge­richt nicht fest­stel­len kön­nen. Die Wahr­schein­lich­keit einer Er­fas­sung des Klä­gers war zudem be­grenzt, weil die stra­te­gi­sche Te­le­kom­mu­ni­ka­ti­ons­über­wa­chung durch den Bun­des­nach­rich­ten­dienst frag­men­ta­risch ist.

Auf­grund der ein­schlä­gi­gen Vor­schrif­ten des Ge­set­zes zur Be­schrän­kung des Brief-, Post- und Fern­mel­de­ge­heim­nis­ses, die für sich ver­fas­sungs­recht­lich nicht zu be­an­stan­den sind, sind alle 2010 er­fass­ten, aber nach­rich­ten­dienst­lich ir­re­le­van­ten E-Mails, ge­löscht. Das­sel­be gilt für die Daten über die vor­ge­schrie­be­ne Pro­to­kol­lie­rung die­ser Lö­schung. Zwar gerät ein Klä­ger durch die Heim­lich­keit der Über­wa­chung ei­ner­seits, die ge­setz­li­chen Lö­schungs­vor­schrif­ten an­de­rer­seits in eine Be­weis­not, für den Fall sei­ner tat­säch­li­chen Be­trof­fen­heit diese be­le­gen zu kön­nen. Den­noch ist es nicht zur Ge­wäh­rung ef­fek­ti­ven Rechts­schut­zes aus­nahms­wei­se ge­bo­ten, von dem Er­for­der­nis ab­zu­se­hen, dass die kon­kre­te Be­trof­fen­heit des Klä­gers selbst als Vor­aus­set­zung einer zu­läs­si­gen Klage fest­ste­hen muss. Weil sich die bloße Mög­lich­keit einer Be­trof­fen­heit schwer­lich aus­schlie­ßen lässt, würde damit letzt­lich eine all­ge­mei­ne Kon­trol­le durch die Ver­wal­tungs­ge­rich­te er­öff­net. Diese Kon­trol­le wird je­doch nach dem Ge­setz zur Be­schrän­kung des Brief-, Post- und Fern­mel­de­ge­heim­nis­ses schon durch die un­ab­hän­gi­ge und mit ef­fek­ti­ven Kon­troll­be­fug­nis­sen aus­ge­stat­te­te G-10-Kom­mis­si­on des Bun­des­ta­ges ge­währ­leis­tet.

BVerwG 6 A 1.13 - Ur­teil vom 28. Mai 2014"



CeBIT-Vortrag von RA Beckmann: ‚Cloud Computing nach dem NSA-Skandal, Prism & Co. - 14.03.2014

" ‚Cloud Computing nach dem NSA-Skandal, Prism & Co. - Was Unternehmen aus rechtlicher Sicht beachten müssen." lautet der Titel des Vortrags von Rechtsanwalt Marcus Beckmann am 14.03.2012 - 12.00 Uhr auf der CeBIT in Hannover im FORUM PUBLIC SECTOR PARC in Halle 7.

Weitere Informationen zur Veranstaltung finden Sie auf den Seiten der Arbeitsgemeinschaft Informationstechnologie im Deutschen Anwaltverein (DAVIT) sowie dem T-Systems-Flyer als PDF-Datei .

Sie haben Interesse an einem persönlichen Gespräch auf der CeBIT ? Senden Sie uns einfach eine kurze Mail (info@beckmannundnorda.de) mit Ihren Terminvorschlägen. Rechtsanwalt Marcus Beckmann steht am 14.03.2012 gerne für ein persönliches Treffen zur Verfügung.


US-Gericht: Sammlung von Metadaten durch NSA verstößt gegen 4th Amendment der US-Verfassung - Klayman v. Obama

Ein US-Gericht hat sich in dem Rechtsstreit Klayman v. Obama dahingehend geäußert, dass die Sammlung von Metadaten durch die NSA gegen den 4. Zusatzartikel zur Verfassung der Vereinigten Staaten verstößt.

Dort heißt es:
"The right of the people to be secure in their persons, houses, papers, and effects, against unreasonable searches and seizures, shall not be violated, and no Warrants shall issue, but upon probable cause, supported by Oath or affirmation, and particularly describing the place to be searched, and the persons or things to be seized."

Die vollständige Stellungnahme des US-Richters finden Sie hier:

Klayman V. Obama, NSA Metadata Collection Opinion (OCR)

EU-Generalanwalt: Vorratsdatenspeicherung verstößt gegen EU-Recht

Advocate General’s Opinion in Joined Cases
C-293/12 Digital Rights Ireland
C-594/12 Seitlinger and Others


Der zuständige EU-Generalanwalt kommt in einem Gutachten im Rahmen von zwei Verfahren zu dem zutreffenden Ergebnis, dass die geplante Vorratsdatenspeicherung jedenfalls in der geplanten Form nicht mit dem EU-Recht zu vereinbaren ist.

In der Pressemitteilung heißt es:
"According to the Advocate General, Mr Cruz Villalón, the Data Retention Directive is incompatible with the Charter of Fundamental Rights He proposes, however, that the effects of the finding of invalidity should be suspended in order to enable the EU legislature to adopt, within a reasonable period, the measures necessary to remedy the invalidity found to exist"



Die vollständige Pressemitteilung finden Sie hier:


Koalitionsvertrag: (Verfassungswidrige) Vorratsdatenspeicherung kommt - Cyberkriminalität, Datenschutz, IT-Sicherheit, NSA & Co.

Der Koalitionsvertrag der Großen Koalition liegt vor. Insbesondere ist erneut die Einführungen einer anlasslosen Vorratsdatenspeicherung geplant (siehe dazu "Bundesverfassungsgericht: Die anlasslose Speicherung von Telekommunkationsdaten ist verfassungswidrig - Vorratsdatenspeicherung").

Die relevanten Passagen zum Thema Vorratsdatenspeicherung, Cyberkriminalität, Datenschutz, IT-Sicherheit, NSA & Co. finden Sie hier:




"Koalitionsvertrag: (Verfassungswidrige) Vorratsdatenspeicherung kommt - Cyberkriminalität, Datenschutz, IT-Sicherheit, NSA & Co." vollständig lesen

Bundeskabinett beschließt "Maßnahmen für einen besseren Schutz der Privatsphäre" - Prism - NSA - XKeyscore

Das Bundeskabinett hat einen Maßnahmenkatalog "für einen besseren Schutz der Privatsphäre" beschlossen und einen entsprechenden Fortschrittsbericht veröffentlicht. Es bleibt abzuwarten, ob die gesetzten Ziele erreicht werden. Papier ist geduldig.

Die dazugehörige Pressemitteilung des Bundeskabinetts finden Sie hier: