Safe Harbor: Unterschied zwischen den Versionen

Aufgrund der [[#Aktuelle Ereignisse|Aktuellen Ereignisse]] sollte im Moment höchste Sorgfalt anwendet werden, falls sich jemand auf Safe Harbor berufen möchte und immer die aktuelle Fach-Berichterstattung zu Rate gezogen werden.

Safe Harbor war eine vom 06.07.2000 bis 6.10.2015 bestehende Vereinbarung zwischen der EU und dem Handelsministerium (Department of Commerce) der USA zu den Grundsätzen des sog. „sicheren Hafens“ (Safe Harbor, Kommissionsentscheidung 2000/520/EG <span id="FN1">[[#ref1|[1]]]</span>). Ausgangspunkt für diese Vereinbarung bilden die Vorschriften der Art. 25 und 26 der {{eur|dsrl}}, nach denen ein Datentransfer in Drittstaaten verboten ist, die über kein dem EU-Recht vergleichbares Datenschutzniveau verfügen. Dies trifft auf die USA zu, da es dort keine umfassenden gesetzlichen Regelungen zum Datenschutz gibt, die dem europäischen Standard entsprechen. Allerdings sieht Art. 25 Abs. 6 der Richtlinie vor, dass die Kommission der Europäischen Gemeinschaft die Angemessenheit des Datenschutzes in einem Drittland "feststellen" kann, wenn dieses bestimmte Anforderungen erfüllt. Ausführliches ist in den Erläuterungen zu Safe Harbor von BfDI nachzulesen <span id="FN2">[[#ref2|[2]]]</span>.

Für alle betroffenen Unternehmen stellt sich die Frage, wie sie als datenexportierende Stellen ihren Prüfpflichten in Bezug auf den Importeur in den USA nachkommen können und was hierfür konkret zu veranlassen ist. Die notwendigen Prüfmaßnahmen sind:

* Prüfung der "privacy policy" des Importeurs: Soweit hier Unklarheiten bestehen, z.B. in Bezug auf Konflikte mit den Safe-Harbor-Grundsätzen oder in Bezug auf die in der policy genannten Verarbeitungszwecke, müssen diese aufgeklärt werden;

Verbindliche Unternehmensregelungen (BCR) stellen grundsätzlich einen Unterfall vertraglicher Vereinbarungen dar. Für die Ausgestaltung solcher Unternehmensregelungen ist ausschlaggebend, dass sie in einer rechtlich verbindlichen, alle Konzernunternehmen und Unternehmensteile gleichermaßen verpflichtenden Weise beschlossen werden und dass dies nach innen in Form von Handlungsanweisungen der jeweiligen Arbeitgeber gegenüber allen Arbeitnehmern umgesetzt wird, beispielsweise mithilfe einer Betriebsvereinbarung [https://www.bfdi.bund.de/DE/Datenschutz/Themen/Arbeit_Bildung/PersonalArbeitnehmerdatenArtikel/PersonaldatenflussInternKonzern.html] <span id="FN1b">[[#ref1|[1]]]</span>.

1. <span id="ref1">[[#FN1|↑]]</span> [http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:32000D0520:DE:HTML 2000/520/EG]: Entscheidung der Kommission vom 26. Juli 2000 gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des von den Grundsätzen des "sicheren Hafens" und der diesbezüglichen "Häufig gestellten Fragen" (FAQ) gewährleisteten Schutzes, vorgelegt vom Handelsministerium der USA, Aktenzeichen K(2000) 2441<br/>

<span id="ref2">[[#FN2|2.↑]]</span> BfDI: [https://www.bfdi.bund.de/DE/Europa_International/International/Artikel/SafeHarbor.html Erläuterungen zu Safe Harbor]<br/>

<span id="ref3">[3 [[#FN3a|a]],[[#FN3b|b]]]</span> [https://www.bfdi.bund.de/SharedDocs/Publikationen/Entschliessungssammlung/DuesseldorferKreis/290410_SafeHarbor.html Beschluss des Düsseldorfer Kreises am 28./29. April 2010] Prüfung der Selbst-Zertifizierung des Datenimporteurs nach dem Safe-Harbor-Abkommen durch das Daten exportierende Unternehmen<br/>

[8][11]</span> Wiederherstellung des Vertrauens beim Datenaustausch zwischen der EU und den USA - [http://europa.eu/rapid/press-release_MEMO-13-1059_de.htm Häufig gestellte Fragen (MEMO/13/1059)]<br/>