Archiv für das Monat: Oktober, 2016

Von Anfang an stand Privacy Shield, das Datenschutzabkommen zwischen der EU und den USA, in der Kritik. Nun hat Digital Rights Ireland beim Gericht der Europäischen Union eine Klage eingereicht.

Nachdem der Europäische Gerichtshof vor einem Jahr das Safe Harbor-Abkommen gekippt hatte, das den Schutz personenbezogener Daten bei der Übermittlung von der EU in die USA regelte, wurde mit Privacy Shield schnell ein Nachfolger aufgesetzt. Zu schnell, hatten Kritiker bemängelt – im Prinzip sei es nur ein neuer Name, am unzureichenden Datenschutz habe sich nichts geändert. Diese Auffassung vertritt auch Digital Rights Ireland, das Reuters zufolge eine Nichtigkeitsklage beim Gericht der Europäischen Union (EuG) eingereicht hat, um das Abkommen zu kippen. Die irischen Datenschützer zweifeln an, dass mit Privacy Shield tatsächlich adäquate Mechanismen implementiert wurden, die eine Speicherung und Verarbeitung der Daten von EU-Bürgern in den USA nach europäischen Normen sicherstellen.

Reuters zufolge kann es ein Jahr oder länger dauern, bis das Gericht über die Klage entschieden hat. Zudem sei noch gar nicht sicher, ob sie überhaupt zulässig ist. Insidern zufolge muss zunächst geklärt werden, ob Digital Rights Ireland überhaupt von Privacy Shield betroffen ist und gegen das Abkommen vorgehen kann. Allerdings mussten die Datenschützer rasch handeln, da mit der Veröffentlichung im Amtsblatte am 1. August dieses Jahres die zweimonatige Frist für solche Nichtigkeitsklagen zu laufen begann.

Mehr als 500 Unternehmen haben sich bereits für Privacy Shield registriert, darunter praktisch alle wichtigen Cloud-Anbieter und Internet-Konzerne wie Amazon, Facebook, Google, Microsoft und Salesforce.

Die  Europäische  Kommission  hat  einen  Leitfaden  zum  Privacy-Shield veröffentlicht. Diesen können Interessierte auch in der deutschen Übersetzung abrufen.

Der Leitfaden gibt nicht nur Antworten auf die Frage „Was ist der EU-US-Datenschutzschild und warum brauchen wir ihn?“, sondern gibt auch eine Erklärung zu der Frage, wie genau denn der Schutzschild überhaupt funktioniert.

Für  Betroffene  besonders  interessant  dürften  die  Ausführungen  sein,  welche  Verpflichtungen,  die  dem  Datenschutzschild  angeschlossenen  Unternehmen  haben  und  welche  Rechte  im  Zusammenhang  mit  der  Verwendung  personenbezogenen  Daten  der  Betroffenen bestehen.

Quelle: Europäische Kommission

Zum Datenschutzbeauftragten können jedoch nicht Personen bestellt werden, die daneben im Unternehmen noch solche Aufgaben wahrnehmen, die zu Interessenkonflikten mit den Aufgaben eines Datenschutzbeauftragten führen können. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat in einem solchen Fall eine Geldbuße gegen ein Unternehmen ausgesprochen.

Unternehmen und andere Stellen müssen einen Datenschutzbeauftragten bestellen, wenn bei ihnen mindestens zehn Personen mit der automatisierten Verarbeitung  personenbezogener Daten befasst sind. Zahlreiche Unternehmen erfüllen diese  Voraussetzungen. Das Gesetz stellt es Unternehmen und anderen Stellen frei, ob die Funktion des Datenschutzbeauftragten an eine externe Person vergeben wird („externer Datenschutzbeauftragter“) oder aber durch einen Mitarbeiter („interner Datenschutzbeauftragter“) erfüllt wird. Wird ein Mitarbeiter zum Datenschutzbeauftragten  bestellt, so darf er jedoch daneben  nicht  noch  für solche Aufgaben  zuständig sein,  die die Gefahr von Interessenkonflikten mit seiner Funktion als Datenschutzbeauftragter mit sich bringen können.

Eine solche Interessenkollision lag nach Auffassung des BayLDA im Falle eines Datenschutzbeauftragten eines bayerischen Unternehmens vor, der die Position des „IT-Managers“ des Unternehmens bekleidete. Eine  derart exponierte Position im Hinblick auf die Datenverarbeitungsprozesse im Unternehmen ist in aller Regel unvereinbar mit den Aufgaben eines Datenschutzbeauftragten. Dies liefe letztlich auf eine Datenschutzkontrolle eines der maßgeblichen zu kontrollierenden Funktionsträger im Unternehmen durch sich selbst hinaus. Eine solche Selbstkontrolle widerspricht der Funktion eines Datenschutzbeauftragten, der gerade eine unabhängige Instanz sein soll, die im Unternehmen auf die Einhaltung des Datenschutzes hinwirkt. Diese Aufgabe kann der Datenschutzbeauftragte nicht erfüllen, wenn er gleichzeitig maßgebliche operative Verantwortung für Datenverarbeitungsprozesse besitzt.

Das BayLDA hatte das Unternehmen auf diesen Umstand hingewiesen und zur Bestellung eines Datenschutzbeauftragten aufgefordert, der keiner derartigen Interessenkollision unterliegt. Das Unternehmen kündigte zwar wiederholt an, im Zuge von Umstrukturierungen auch die Funktion des Datenschutzbeauftragten neu zu bekleiden. Es versäumte es jedoch über Monate, dem BayLDA den Nachweis für die Bestellung eines geeigneten Datenschutzbeauftragten vorzulegen. Vor  diesem  Hintergrund hat  das  BayLDA  gegen  das  Unternehmen  eine Geldbuße festgesetzt, die inzwischen bestandskräftig ist.

„Der betriebliche Datenschutzbeauftragte ist ein Erfolgsmodell und  ein  sehr  wichtiges  Element der  Datenschutzorganisation in Deutschland. Die Funktion des Datenschutzbeauftragten kann aber nicht durch eine Person wahrgenommen werden, die daneben im Unternehmen noch Aufgaben innehat, die in einem Spannungsverhältnis mit einer  unabhängigen,  effektiven  internen  Aufsicht  über  den  Datenschutz  stehen. Unternehmen,  die  gesetzlich  zur Bestellung  eines  Datenschutzbeauftragten  verpflichtet  sind, können daher  nur  eine  solche Person  zum  Datenschutzbeauftragten  bestellen,  die  in der  Lage  ist,  diese  Aufgabe  frei  von  sachfremden  Zwängen  auszuüben.  Und wenn sie das trotz wiederholter Aufforderung nicht machen, müssen sie notfalls mit Bußgeld dazu gezwungen werden.“, betont Thomas Kranig, der Präsident des BayLDA.

Quelle: https://www.lda.bayern.de/media/pm2016_08.pdf