Datenschutzrahmenwerk der Europäischen Union und der USA

Die Europäische Kommission kündigte diese Woche ihre Annahme des Datenschutzrahmens EU-USA (EU-USA-DSR) an. Der EU-USA-DSR stellt eine wichtige rechtliche Grundlage für Datenflüsse zwischen der EU und den USA wieder her, die aufgehoben wurde, als der Gerichtshof der Europäischen Union den vorherigen Datenschutzschild EU-USA als gültigen Datenübertragungsmechanismus unter EU-Recht kippte. In diesem Artikel beleuchten wir, was der EU-USA-DSR beinhaltet, seine Prinzipien, Verwaltung, Kontrolle und Durchsetzung.

Was ist der Datenschutzrahmen EU-USA (EU-USA-DSR)?

Der EU-USA-DSR ist ein Rahmen, durch den sich US-Organisationen zu einer Reihe von Datenschutzprinzipien verpflichten, um personenbezogene Daten zu schützen, die von der Europäischen Union an US-Organisationen übertragen werden.

Dieser Rahmen wird durch einen Angemessenheitsbeschluss ermöglicht, eines der Instrumente, die im Rahmen der Allgemeinen Datenschutzverordnung (GDPR) der EU zur Übertragung von personenbezogenen identifizierbaren Informationen (PII) von der EU in andere Länder bereitgestellt werden, die ein vergleichbares Schutzniveau personenbezogener Daten wie die Europäische Union bieten.

Um sich für die EU-USA-DSR-Zertifizierung zu qualifizieren, müssen Organisationen zustimmen, den Untersuchungs- und Durchsetzungsbefugnissen der Federal Trade Commission (FTC) oder des U.S. Department of Transportation (DoT) zu unterliegen. Die Grundsätze des EU-USA-Datenschutzrahmens gelten unmittelbar nach der Zertifizierung einer Organisation. Organisationen, die im EU-USA-DSR gelistet sind, sind verpflichtet, ihre Einhaltung der Prinzipien jährlich zu rezertifizieren.

Was soll der EU-USA-DSR schützen?

Der EU-USA-DSR bietet Schutz für alle persönlichen Daten, die von der EU an Organisationen in den USA übertragen werden, die ihre Einhaltung der vom Handelsministerium erlassenen Grundsätze des Rahmens zertifiziert haben. Persönliche identifizierbare Informationen wie Namen, E-Mail-Adressen, Telefonnummern usw. werden normalerweise von der EU in die USA von Organisationen wie Amazon, Meta (Facebook, Instagram usw.) und Apple unter anderem, die alle ihren Hauptsitz in den USA haben, übertragen.

Der Rahmen befreit jedoch Daten, die für die Veröffentlichung, Ausstrahlung oder andere Formen der öffentlichen Kommunikation von journalistischem Material und Informationen in zuvor veröffentlichtem Material, das aus Medienarchiven verbreitet wird, gesammelt wurden.

Verantwortliche und Auftragsverarbeiter im Rahmen des EU-USA-DSR

Der EU-USA-DSR gilt für Organisationen in den USA, die als Datenverantwortliche oder Auftragsverarbeiter qualifiziert sind. Der Rahmen definiert einen Datenverantwortlichen als eine Person oder Organisation, die allein oder gemeinsam mit anderen die Zwecke und Mittel der Verarbeitung personenbezogener Daten bestimmt. Er definiert Auftragsverarbeiter als Beauftragte, die im Auftrag eines Verantwortlichen handeln.

Die Datenverarbeitung im Rahmen des EU-USA-DSR wird definiert als jede Operation oder Reihe von Operationen, die auf personenbezogene Daten durchgeführt werden, unabhängig davon, ob sie automatisiert sind oder nicht, wie Sammlung, Aufzeichnung, Organisation, Speicherung, Anpassung oder Änderung, Abruf, Konsultation, Nutzung, Offenlegung oder Verbreitung, und Löschung oder Zerstörung.

Der Rahmen besagt, dass US-Auftragsverarbeiter vertraglich verpflichtet sind, nur auf Anweisung eines EU-Verantwortlichen zu handeln und diesen bei der Beantwortung von Einzelpersonen zu unterstützen, die ihre Rechte gemäß den Grundsätzen des Rahmens ausüben. Im Falle von Unterprozessen muss ein Verarbeiter einen Vertrag mit dem Unterprozessor abschließen, der das gleiche Schutzniveau wie die Grundsätze des Rahmens gewährleistet und Schritte zur Sicherstellung seiner ordnungsgemäßen Implementierung unternehmen.

Grundsätze des EU-USA-Datenschutzrahmens

Die Grundsätze des EU-USA-Datenschutzrahmens sind im Wesentlichen Anforderungen und Rechte für Datensubjekte (d.h. EU-Bürger und -Einwohner), deren personenbezogene Daten von Verantwortlichen verarbeitet werden, die diesem Rahmen unterliegen. Die Grundsätze beinhalten:

Das Prinzip der Zweckbeschränkung und Auswahl stellt sicher, dass Daten rechtmäßig verarbeitet werden

Eine der Schlüsselbestimmungen im EU-USA-Datenschutzrahmen ist dieses Prinzip, das vorschreibt, dass personenbezogene Informationen rechtmäßig und fair verarbeitet werden müssen. Es legt fest, dass solche Daten für einen klar definierten Zweck gesammelt werden sollten und nicht weiter in einer Weise verwendet werden dürfen, die diesem ursprünglichen Zweck widerspricht. Im Grunde genommen kann eine Organisation personenbezogene Daten nicht für einen Zweck umfunktionieren, der von ihrem ursprünglichen oder danach genehmigten Zweck abweicht, wie es die betroffene Person vereinbart hat.

Außerdem fordert das Prinzip der Auswahl, dass, wenn eine Organisation personenbezogene Informationen für einen neuen Zweck nutzen möchte, auch wenn dieser Zweck noch im Einklang mit dem ursprünglichen steht, oder wenn sie diese mit einer dritten Partei teilen will, die Person, die durch die personenbezogenen Daten identifiziert werden kann, die Möglichkeit haben muss, die Verwendung der personenbezogenen Daten für diesen neuen Zweck abzulehnen. Diese Ablehnung oder das Opt-out sollte durch eine unkomplizierte und leicht zugängliche Methode erleichtert werden.

Besondere Kategorien personenbezogener Daten müssen mit äußerster Sorgfalt verarbeitet werden

Dieses Prinzip betont im Wesentlichen die Notwendigkeit besonderer Vorsichtsmaßnahmen beim Umgang und der Verarbeitung von “sensiblen Informationen”. Dieser Begriff, wie er im Rahmenwerk definiert ist, beinhaltet personenbezogene Daten, die Details über den Gesundheitszustand einer Person, ihre rassische oder ethnische Herkunft, politische Meinungen, Überzeugungen, Gewerkschaftsmitgliedschaften oder andere als sensibel eingestufte Informationen liefern.

Das Prinzip verlangt, dass zertifizierte Organisationen im Rahmen des EU-USA-Datenschutzrahmens alle Daten, die nach EU-Datenschutzgesetz als sensibel eingestuft werden, mit dem gleichen Maß an Sensibilität behandeln. Im Wesentlichen müssen die Organisationen eine ausdrückliche Erlaubnis – ein “Opt-in” – von den Einzelpersonen einholen, um ihre sensiblen Informationen für Zwecke zu verwenden, die über die ursprünglich gesammelten oder später von der betreffenden Person autorisierten hinausgehen. Ausnahmen von dieser Regel sind nur unter bestimmten Umständen zulässig, wie z.B. wenn die Verarbeitung dieser sensiblen Daten für rechtliche Ansprüche, medizinische Versorgung, Diagnose unerlässlich ist oder wenn sie im lebenswichtigen Interesse einer Person liegt, im Einklang mit den bereits nach EU-Datenschutzgesetz festgelegten Ausnahmen.

Genauigkeit, Minimierung und Sicherheit der Daten bewahren die Vertraulichkeit der Daten und halten sie nur so lange vor, wie sie benötigt werden

Dieses Prinzip unterstreicht die Bedeutung von Präzision, Relevanz und Sicherheit im Datenmanagement. Das Prinzip verlangt, dass Daten nicht nur aktuell und richtig sein müssen, sondern auch spezifisch und proportioniert zu ihrem beabsichtigten Zweck. Darüber hinaus sollten die Daten nicht über den für ihren beabsichtigten Gebrauch erforderlichen Zeitraum hinaus aufbewahrt werden. Wie bei dem Prinzip der Datenintegrität und Zweckbeschränkung stärkt das Prinzip der Genauigkeit, Minimierung und Sicherheit der Daten die entscheidende Notwendigkeit, Daten auf das zu beschränken, was für den Verarbeitungszweck relevant ist, während sichergestellt wird, dass die Daten vollständig, korrekt und zuverlässig sind.

In Bezug auf die Aufbewahrung von personenbezogenen Daten legt das Rahmenwerk fest, dass personenbezogene Daten nur so lange in identifizierbarer Form gespeichert werden dürfen, wie es für den ursprünglich festgelegten Zweck oder den von der betroffenen Person danach autorisierten Zweck erforderlich ist. Ausnahmen von dieser Regel sind spezielle Zwecke wie die Archivierung im öffentlichen Interesse und die statistische Analyse, vorausgesetzt, dass angemessene Schutzmaßnahmen vorhanden sind.

Dieses Prinzip betont auch die Bedeutung der Sicherheit und leitet die Organisationen dazu an, Maßnahmen zum Schutz der Daten vor unbefugtem Zugriff oder versehentlichen Verlusten oder Schäden zu implementieren, wobei die damit verbundenen Risiken und die Art der Datenverarbeitung berücksichtigt werden. Das Sicherheitsprinzip unterstreicht daher die Notwendigkeit, ein angemessenes und geeignetes Sicherheitsniveau für die Daten zu wahren.

Das Transparenzprinzip unterstreicht die Notwendigkeit einer vorab Benachrichtigung der betroffenen Personen

Das Transparenzprinzip verlangt, dass Betreffende über die wesentlichen Aspekte der Verarbeitung ihrer persönlichen Daten informiert werden. Dieses Prinzip erfordert, dass Organisationen die betroffenen Personen über folgendes informieren:

• Die Beteiligung der Organisation am DPF
• Die Art der gesammelten Daten
• Den Zweck der Verarbeitung
• Die Art oder Identität von Dritten, an die persönliche Daten offengelegt werden können, und die Gründe dafür
• Ihre individuellen Rechte
• Wie Sie die Organisation kontaktieren können
• Verfügbare Abhilfemaßnahmen

Dieses Prinzip unterstreicht die Notwendigkeit einer vorab Benachrichtigung an die betroffenen Personen, die gegeben werden sollte, wenn sie zum ersten Mal um ihre persönlichen Daten gebeten werden oder so schnell wie möglich. Es stipuliert auch, dass die betroffenen Personen benachrichtigt werden sollen, bevor ihre Daten für einen erheblich anderen (aber kompatiblen) Zweck, als den, für den sie ursprünglich gesammelt wurden, verwendet werden oder bevor sie mit einem Dritten geteilt werden.

Darüber hinaus sind Organisationen verpflichtet, ihre Datenschutzrichtlinien öffentlich bekannt zu machen, die eine Einhaltung dieser demonstrieren. Sie sollten auch Links zur Website des Handelsministeriums für weitere Informationen über die Zertifizierung, die Rechte der betroffenen Personen, verfügbare Rechtsbehelfe, die Liste der am Datenschutzrahmen beteiligten Organisationen und die Website eines geeigneten alternativen Streitbeilegungsanbieters enthalten.

Das Prinzip der individuellen Rechte gibt den betroffenen Personen Kontrolle über ihre persönlichen Daten

Individuelle Rechte, oder speziell Rechte der Betroffenen, können gegen diejenigen geltend gemacht werden, die Daten kontrollieren oder verarbeiten. Dieses Prinzip umfasst das Recht, auf persönliche Daten zuzugreifen, der Verarbeitung dieser Daten zu widersprechen und jegliche falschen Daten berichtigen oder löschen zu lassen.

“Zugang zu Daten” bedeutet, dass Personen Informationen von jeder Organisation darüber anfordern können, ob ihre persönlichen Daten verarbeitet werden, ohne einen Grund angeben zu müssen. Sie haben auch das Recht, über die Art der verarbeiteten persönlichen Daten, den Zweck der Verarbeitung und die Einheiten, denen PII offen gelegt wird, informiert zu werden. Auf jeden Zugriffsantrag sollte zeitnah reagiert werden.

Personen haben das Recht, ihre Daten korrigieren oder löschen zu lassen, wenn sie ungenau sind oder im Widerspruch zu den vereinbarten Prinzipien verarbeitet wurden. Sie können auch der Verwendung ihrer Daten für Zwecke widersprechen, die erheblich von der ursprünglichen Absicht abweichen, und der Weitergabe ihrer Daten an Dritte. Sie haben auch das Recht, jederzeit der Nutzung ihrer persönlichen Daten für Direktmarketing zu widersprechen.

Einschränkungen bei Weiterübertragungen

Der Schutz, der persönlichen Daten gewährt wird, die aus der Europäischen Union an Organisationen in den Vereinigten Staaten übertragen werden, darf nicht durch eine weitere Übertragung dieser Daten an einen Empfänger in den Vereinigten Staaten oder einem anderen Land untergraben werden. Dieses Prinzip sieht vor, dass eine solche Weiterübertragung nur stattfinden kann:

• Für begrenzte und spezifizierte Zwecke
• Auf der Grundlage eines Vertrags zwischen der EU-US-DPF-Organisation und der Drittpartei (oder einer vergleichbaren Vereinbarung innerhalb einer Unternehmensgruppe)
• Nur wenn dieser Vertrag die Drittpartei dazu verpflichtet, den gleichen Schutzgrad wie der durch die Prinzipien garantierte zu bieten

Das Grundsatz der Verantwortlichkeit verpflichtet Organisationen zur Demonstration ihrer Compliance

Der Grundsatz der Verantwortlichkeit besagt, dass Organisationen, die Daten verarbeiten, verpflichtet sind, geeignete technische und organisatorische Maßnahmen zur Sicherstellung einer vollständigen Einhaltung der Datenschutzpflichten zu implementieren. Dies beinhaltet insbesondere den Nachweis dieser Compliance gegenüber den einschlägigen Aufsichtsbehörden. Eine Zertifizierung im Rahmen des EU-US-DPF ist eine freiwillige Wahl, aber sobald diese Verpflichtung eingegangen ist, wird die strenge Einhaltung der Prinzipien des Rahmens verbindlich und rechtlich bindend. Diese Organisationen sollten daher robuste Mechanismen für die Sicherstellung ihrer Compliance mit diesen Prinzipien aufbauen.

Sie sind auch dazu aufgefordert zu überprüfen, ob ihre Datenschutzrichtlinien mit den Prinzipien übereinstimmen und deren Umsetzung zu bestätigen. Dies kann durch Selbstbewertungssysteme mit internen Verfahren erreicht werden, die Mitarbeiterschulung über die Ausführung der Datenschutzrichtlinien des Unternehmens vorschreiben. Regelmäßige und objektive Überprüfungen der Compliance sind ebenfalls Teil dieses Prozesses. Alternativ können auch externe Compliance-Überprüfungen durchgeführt werden, beispielsweise durch Prüfungen, Stichproben oder den Einsatz von Technologiewerkzeugen.

Verwaltung, Aufsicht und Durchsetzung des EU-US-DPF

Das EU-US-DPF wird vom US-Handelsministerium (DoC) verwaltet und überwacht. Der Rahmen skizziert verschiedene Durchsetzungsmechanismen, die genutzt werden, um die Einhaltung der Richtlinien zu gewährleisten. Etwaige Verstöße gegen diese Grundsätze werden zeitnah addressiert.

Wie werden Organisationen zertifiziert und rezertifiziert?

Um eine jährliche Zertifizierung oder Rezertifizierung zu erreichen, müssen Organisationen öffentlich zusagen, die Prinzipien des EU-US-DPF einzuhalten. Dies beinhaltet den freien Zugang zu Datenschutzrichtlinien und die Gewährleistung ihrer ordnungsgemäßen Umsetzung. Im Rahmen des Zertifizierungs- oder Rezertifizierungsprozesses müssen Organisationen dem DoC folgende Informationen bereitstellen:

• Den Namen der betreffenden Organisation
• Eine Beschreibung der Zwecke, für die die Organisation personenbezogene Daten verarbeiten wird
• Die personenbezogenen Daten, die von der Zertifizierung abgedeckt werden
• Die gewählte Verifizierungsmethode
• Den relevanten unabhängigen Beschwerdemechanismus
• Die gesetzliche Einrichtung, die die Befugnis hat, die Einhaltung der Grundsätze durchzusetzen

Wie wird die Einhaltung des EU-US-DPF überwacht?

Die Einhaltung der Grundsätze des EU-US-DPF wird kontinuierlich vom DoC überwacht. Dies beinhaltet verschiedene Maßnahmen, einschließlich der Durchführung zufälliger “Spot-Checks” bei ausgewählten Organisationen und spezifischer ad-hoc-Kontrollen bei potenziellen Compliance-Problemen. Das DoC wird bewerten, ob:

• Kontaktpunkt(e) für die Bearbeitung von Beschwerden und Anfragen von betroffenen Personen verfügbar und ansprechbar sind
• Die Datenschutzrichtlinie der Organisation leicht verfügbar ist, sowohl auf ihrer Website als auch über einen Hyperlink auf der Website des DoC
• Die Datenschutzrichtlinie der Organisation weiterhin den Zertifizierungsanforderungen entspricht
• Der von der Organisation gewählte unabhängige Streitbeilegungsmechanismus zur Bearbeitung von Beschwerden verfügbar ist

Identifizierung und Adressierung falscher Teilnahmebehauptungen

Falsche Behauptungen über die Teilnahme am EU-US-DPF oder den Missbrauch des Zertifizierungssiegels werden vom DoC überwacht. Dies wird sowohl unabhängig als auch auf der Grundlage von Beschwerden, wie zum Beispiel denen von Datenschutzbehörden (DPAs), durchgeführt. Das DoC prüft kontinuierlich, ob Organisationen, die sich vom EU-US-DPF zurückgezogen haben, die anfängliche Zertifizierung oder jährliche Rezertifizierung nicht abgeschlossen haben, als Teilnehmer entfernt wurden und alle Bezugnahmen auf das EU-US-DPF aus ihren veröffentlichten Datenschutzrichtlinien entfernt haben. Das DoC wird auch Internetsuchen durchführen, um auf etwaige unrechtmäßige Bezugnahmen auf das EU-US-DPF in den Datenschutzrichtlinien von Organisationen zu prüfen.

Wie wird das EU-US-DPF durchgesetzt?

Ein gesondertes Aufsichtsgremium wird primär die Durchsetzung des EU-US Datenschutzrahmens überwachen. Dieser unabhängige Behörde wird die Verantwortung für die ständige Kontrolle der Einhaltung von Datenschutzbestimmungen übertragen, sowie Strafen bei Nichtbeachtung verhängen. Damit dieser Prozess effektiv ist, müssen Organisationen innerhalb des EU-US-DPF sich der zuständigen US-Regulierungsbehörden, vor allem der Federal Trade Commission und dem Department of Transportation, stellen. Diese US-Behörden besitzen die entscheidenden Untersuchungs- und Durchsetzungsbefugnisse, die notwendig sind, um die vollständige Einhaltung der Grundsätze des Rahmens zu gewährleisten.

Zugang und Verwendung von personenbezogenen Daten, die von den öffentlichen Behörden in den USA aus der Europäischen Union übertragen werden

Im Rahmen des EU-US-Daten­schutz­rahmens spielt der Umgang mit personenbezogenen Daten, die von den öffentlichen Behörden in den USA aus der Europäischen Union übertragen werden, eine entscheidende Rolle in den Bestimmungen des Rahmenwerks. Das Framework sieht vor, dass zertifizierte US-Organisationen solche Daten verarbeiten können, die anschließend für die strafrechtliche Verfolgung durch US-Bundesanwälte und Ermittler zugänglich gemacht werden können, und behandelt diese wie Informationen, die von jeder in den USA ansässigen Organisation beschafft wurden, unabhängig von der Staatsangehörigkeit oder dem Wohnort des Betroffenen.

Darüber hinaus können die Daten, die von der EU an Organisationen unter dem EU-US-DPF übertragen werden, von US-Behörden aus Gründen der nationalen Sicherheit gesammelt werden. Diese unterliegen eigenen rechtlichen Bestimmungen, unter bestimmten Bedingungen und Schutzvorrichtungen. Sobald personenbezogene Daten von Organisationen in den USA empfangen worden sind, können die Geheimdienste aus Sicherheitsgründen auf die Daten zugreifen, sofern dies gesetzlich genehmigt ist, insbesondere nach Gesetzen wie dem Foreign Intelligence Surveillance Act (FISA) oder anderen Bestimmungen, die einen Zugang über National Security Letters (NSL) zulassen. Darüber hinaus behalten sich die US-Geheimdienste das Recht vor, personenbezogene Daten außerhalb ihrer Zuständigkeit zu erheben, einschließlich Daten, die zwischen der EU und den USA übertragen werden. Diese Datenerhebung basiert in erster Linie auf der Executive Order 12333 (EO 12333).

Kiteworks erleichtert die Einhaltung des EU-US-Daten­schutz­rahmens

Die Datenschutzbestimmungen erfordern eine strenge Kontrolle über die Bewegung und Verarbeitung von personenbezogenen Daten. Organisationen müssen in der Folge eine strenge Adhärenz nachweisen oder das Risiko von Nichtkonformität eingehen, was finanzielle Strafen, Rechtsverfahren, Kundenverlust und Markenschädigung einschließen kann. Das Kiteworks réseau de contenu privé (PCN) adressiert diese Datenschutz-Herausforderungen und mildert damit das Risiko der Nichtkonformität. Kiteworks bietet Organisationen die Werkzeuge, um das Vereinheitlichen, Schützen, Kontrollieren und Nachverfolgen der von ihnen weitergegebenen informations personnelles identifiables (PII) und anderer sensibler Inhalte zu ermöglichen. Mit Kiteworks können Organisationen sehen, wo PII gespeichert ist, wer Zugang dazu hat und was mit den Daten geschieht. Dies ermöglicht es den Organisationen, PII zu berichten, abzurufen, zurückzugeben oder zu löschen und somit die Einhaltung des EU-US-Daten­schutz­rahmens sicherzustellen.

Kiteworks bietet On-Premises- und private Cloud-Implementierungen, die den Anforderungen an die Datensouveränität entsprechen. Chiffrement de bout en bout für jeden Kommunikationskanal (einschließlich E-Mail, Web-Formulare, Partage sécurisé de fichiers, Anwendungsprogrammierschnittstellen [APIs], und dem transfert sécurisé de fichiers [MFT]) stellt sicher, dass sensible Daten während der Übertragung und im Ruhezustand sicher bleiben. Mit granularen Zugangskontrollen können Organisationen präzise steuern, wer auf spezifische Daten zugreifen kann. Detaillierte Audit-Protokolle und Echtzeit-Überwachungsfunktionen ermöglichen es Organisationen, die Einhaltung des EU-US-Daten­schutz­rahmens und zahlreicher anderer Datenschutzvorschriften und Standards nachzuweisen, einschließlich der General Data Protection Regulation (RGPD), des Information Security Registered Assessors Program (IRAP), des Health Insurance Portability and Accountability Act (HIPAA), des California Consumer Privacy Act (CCPA), Cyber Essentials Plus, des Internationalen Standards für die Organisation 27000 Standards (ISO 27001), und vielen weiteren.

Für mehr Informationen darüber, wie das Kiteworks Private Content Network Ihrer Organisation dabei helfen kann, den EU-US-Daten­schutz­rahmen einzuhalten, vereinbaren Sie noch heute eine individuell angepasste Demo.

 

Zurück zum Risk & Compliance Glossar