News
Neues Framework für Datenübermittlungen in die USA (coming soon)
Am 25. März 2022 gaben die Präsidentin der Europäischen Kommission Ursula von der Leyen und US-Präsident Joe Biden in einer gemeinsamen Pressekonferenz bekannt, dass man sich im Rahmen eines Trans-Atlantic Data Privacy Framework (TDPF) auf gemeinsame Regelungen bezüglich der Übermittlung personenbezogener Daten in die USA verständigt habe. Begleitend wurden von Seiten der EU-Kommission und des Weißen Hauses jeweils Fact Sheets mit den wesentlichen Inhalten der Vereinbarung bereitgestellt (EU / US).
Durch das TDPF wollen beide Seiten die Lücke schließen, die durch Aufhebung des Kommissionsbeschlusses zum Privacy Shield durch den europäischen Gerichtshof im „Schrems-II“-Urteil (vom 16. Juli 2020, Rs. C-311/18) entstanden ist. Das TDPF stellt damit nunmehr den dritten Anlauf dar, EU-weit einen einheitlichen, datenschutzkonformen Rahmen für die Übermittlungen von personenbezogenen Daten in die USA zu schaffen.
Rechtliche Einordnung der Ankündigung der EU-Kommission und des Weißen Hauses
Die wichtigste Info vorab: Zum jetzigen Zeitpunkt handelt es sich beim TDPF lediglich um eine gemeinsame Ankündigung von EU-Kommission und US-Regierung. Da es sich beim TDPF selbst um kein rechtsverbindliches Abkommen handelt, muss der Inhalt der Vereinbarung zunächst in das US-Recht umgesetzt werden. Erst anschließend kann die EU-Kommission einen neuen Angemessenheitsbeschluss betreffend die Übermittlung personenbezogener Daten in die USA erlassen. Entwürfe für diese Rechtsakte wurden nach offiziellen Angaben noch nicht erstellt.
Grundsätzlich scheint das TDPF geeignet zu sein, die rechtlichen Bedingungen für eine Übermittlung personenbezogener Daten in die USA zu verbessern. So soll das TDPF vor allem auch die Defizite des EU-US Privacy Shield adressieren, die der EuGH in der „Schrems II“-Entscheidung identifiziert hatte. Nach dem Inhalt des Fact Sheet des Weißen Hauses werden betroffene Personen z.B. die Möglichkeit erhalten, rechtlich gegen Maßnahmen von US-Überwachungsbehörden vorzugehen. Weiter sollen Privatsphäre und Grundfreiheiten von EU-Bürgern vor und bei Durchführung solcher Maßnahmen stärker berücksichtigt werden.
Im Idealfall führt das TDPF in Zukunft dazu, dass bei Datenübermittlungen in die USA nicht länger besondere Maßnahmen zum Schutz personenbezogener Daten vor Zugriffen durch US-Behörden getroffen werden müssen und auf den Abschluss von Standarddatenschutzklauseln (SCC) verzichtet werden kann. Im schlimmsten Fall wird auch der Kommissionsbeschluss zum TDPF innerhalb weniger Jahre vom EuGH aufgehoben.
Unmittelbare Reaktionen auf das TDPF
Die Ankündigung des TDPF wurde an vielen Stellen positiv aufgenommen. Zum Beispiel kündigte Microsoft bereits jetzt an, die aktuell noch unbekannten Anforderungen des Framework umsetzen zu wollen. Von anderer Seite wird das TDPF allerdings mit Skepsis betrachtet. Vor allem die von Max Schrems mitgegründete Datenschutzorganisation NOYB brachte in einer Pressemitteilung ihre deutliche Skepsis zum Ausdruck.
Nächste Schritte für Unternehmen
Wir raten dringend davon ab, bereits infolge der Ankündigung auf den Abschluss von SCC zu verzichten oder die Durchführung zusätzlicher Maßnahmen zum Schutz personenbezogener Daten zu unterlassen. Zum jetzigen Zeitpunkt ist noch nicht absehbar, ob und ab wann das TDPF die aktuell bestehenden Datenschutzprobleme bei der Übermittlung personenbezogener Daten in die USA lösen kann. Entsprechend empfehlen wir zunächst die Veröffentlichung des Entwurfs des Angemessenheitsbeschlusses der EU-Kommission abzuwarten.
Bei der Vorgängervereinbarung des TDPF, dem EU-US Privacy Shield, dauerte es in etwa einen Monat bis die Textentwürfe zum Angemessenheitsbeschluss veröffentlicht wurden und weitere fünf Monate bis der eigentliche Beschluss durch die EU-Kommission erlassen wurde. Aufgrund der geltenden Verfahrensvorgaben (so müssen etwa die EU-Mitgliedstaaten zustimmen und der EDSA eine Stellungnahme abgeben) erscheint es unwahrscheinlich, dass das TDPF wesentlich früher wirksam werden könnte.
Wir möchten Sie außerdem bereits jetzt darauf hinweisen, dass sich US-Unternehmen für eine Übermittlung personenbezogener Daten im Rahmen des TDPF nach Angaben des Fact Sheets der EU-Kommission zunächst zertifizieren lassen müssen. Soweit ein Dienstleister nicht bereit sein sollte sich zertifizieren zu lassen, gelten die bestehenden Vorgaben an die Drittlandübermittlung (Vereinbarung von SCC und Durchführung zusätzlicher Maßnahmen).
News
Gesetz für faire Verbraucherverträge – Wichtige Änderungen und Handlungsbedarf für Unternehmen
Das „Gesetz für faire Verbraucherverträge“ ist seit dem 1. Oktober 2021 zu großen Teilen in Kraft. Durch die Änderung der entsprechenden Vorschriften des Bürgerlichen Gesetzbuches (BGB) und des Gesetzes gegen den unlauteren Wettbewerb (UWG) wird die Kündigung von Langzeitverträgen für Verbraucher erleichtert, das AGB-Recht verschärft und die Dokumentationspflichten für die Einwilligung bei Telefonwerbung erweitert. Da die Neuregelungen stufenweise in Kraft traten, gelten aktuell bereits neue Vorgaben für die Verwendung von AGB sowie die erweiterten Dokumentationspflichten für die Einwilligung in die Telefonwerbung. Ab dem 1. Juli 2022 gelten darüber hinaus die neuen Regeln für die Kündigung von Verbraucherverträgen, die über eine Website geschlossen wurden.
Datenschutzkonferenz zum Online-Handel – Behörden argumentieren für Pflicht zum Anbieten eines Gastzugangs und tendieren stark zur Einwilligung
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat einen Beschluss zum datenschutzkonformer Online-Handel mittels Gastzugang veröffentlicht. Der Beschluss enthält 4 Kernthesen zu Anforderungen, die laut der DSK für Online-Händler bestehen. Viele der darin enthaltenen Aussagen kann man zumindest als kontrovers bezeichnen. So verlangt die DSK von Online-Händlern, dass diese immer auch einen Gastzugang für Bestellungen anbieten. Zudem gehen die Behörden davon aus, dass für das Einrichten eines fortlaufen geführten Kundenkontos immer eine Einwilligung erforderlich sei und eine solche Einwilligung nicht freiwillig erteilt werden kann, wenn nicht auch ein Gastzugang ohne Registrierung angeboten werden würde. Die Nutzung von im Vertragsverhältnis erhobene Daten für Werbezwecke soll laut der DSK ebenfalls nur mit einer Einwilligung rechtfertigbar sein. Dasselbe gilt laut der Behördenansicht auch für die Speicherung von Zahlungsdaten. Im Folgenden werden die Kernaussagen der DSK zusammengefasst und hinterfragt.
Das Krankenhauszukunftsgesetz – Anforderungen an Datenschutz und IT-Sicherheit bei der Umsetzung von Digitalisierungsmaßnahmen in Krankenhäusern
Bereits am 18. September 2020 wurde vom Bundestag das Gesetz für ein Zukunftsprogramm Krankenhäuser (Krankenhauszukunftsgesetz - KHZG) verabschiedet. Das KHZG dient der Umsetzung des von der Bundesregierung im Juni 2020 beschlossenen „Zukunftsprogramms Krankenhäuser“ und soll vor allem Digitalisierungsmaßnahmen in Krankenhäusern fördern; hierfür werden insgesamt 4,3 Milliarden Euro bereitgestellt.
Neues Framework für Datenübermittlungen in die USA (coming soon)
Am 25. März 2022 gaben die Präsidentin der Europäischen Kommission Ursula von der Leyen und US-Präsident Joe Biden in einer gemeinsamen Pressekonferenz bekannt, dass man sich im Rahmen eines Trans-Atlantic Data Privacy Framework (TDPF) auf gemeinsame Regelungen bezüglich der Übermittlung personenbezogener Daten in die USA verständigt habe. Begleitend wurden von Seiten der EU-Kommission und des Weißen Hauses jeweils Fact Sheets mit den wesentlichen Inhalten der Vereinbarung bereitgestellt (EU / US).
Datenschutzbehörde Baden-Württemberg veröffentlicht umfassende FAQ zum Einsatz von Cookies und ähnlichen Technologien
Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg (LfDI BaWÜ) hat am 4. März 2022 eine FAQ zu Cookies und Tracking durch Betreiber von Websites und Hersteller von Smartphone-Apps veröffentlicht.