Das gilt für Datentransfer in die USA
15. Juli 2016
Was genau ist mit »höherem Datenschutzniveau« gegenüber Safe Harbor gemeint?
Thilo Weichert: Das habe ich mich auch lange gefragt. Tatsächlich gibt es bei den datenschutzrechtlichen Knackpunkten, die zur Aufhebung von Safe Harbor durch den Europäischen Gerichtshof geführt haben, keine wesentlichen Verbesserungen – also beim Datenzugriff durch Geheimdienste, bei der Zweckänderung der Daten, bei der Datenschutzaufsicht und beim Rechtsschutz. Wer sich die Regeln genauer anschaut, wird aber schon fündig. So sind z. B. das Kontrollverfahren und der Beschwerdeprozess von Betroffenen präziser geregelt mit konkreten Abläufen und sogar Antwortfristen. Erstmals gibt es überhaupt minimale Rechtsschutzmöglichkeiten, die aber nicht ansatzweise europäischen Standards genügen. Andere vermeintliche Verbesserungen, z. B. die Beschwerdemöglichkeit gegen Geheimdienstaktivitäten bei einer Ombudsperson, sind Kosmetik, ja pure Verarschung.Stellt der EU-US-Privacy-Shield aus Arbeitnehmersicht eine Verbesserung gegenüber der Vorgängerregelung Safe Harbor dar?
Thilo Weichert: Im Bereich des Beschäftigtendatenschutzes gibt es Verbesserungen: Erstmals sind spezifische Regelungen vorgesehen. Danach werden Beschwerden von Beschäftigten primär über den Arbeitgeber in Europa und die hiesigen Aufsichtsbehörden abgewickelt; die US-Unternehmen sind hierbei zur Kooperation verpflichtet. Insofern geht der Privacy Shield weiter als in allen anderen Bereichen. Dies ändert aber nur ein wenig am Gesamtbild. Insbesondere sind – außer für Werbezwecke – Zweckänderungen in einem weiten Umfang erlaubt. Und der Zugriff von Geheimdiensten und anderen Sicherheitsbehörden unterscheidet sich nicht von sonstigen Personendaten.Besteht Sorge, dass auch Safe Harbor 2.0 vor dem EuGH landet?
Thilo Weichert: Das ist sicher, es fragt sich nur, wann. Die US-Unternehmen gewinnen voraussichtlich zwei oder gar mehr weitere Jahre, während der sie relativ ungestraft mit europäischen Daten ihre Geschäftsmodelle fortsetzen können. In Irland ist ja weiterhin die Beschwerde von Max Schrems gegen Facebook anhängig. Wenn Facebook auf den Privacy Shield umschwenkt, könnte darüber der EuGH sehr schnell wieder mit dem Thema befasst werden.Was ist jetzt Betriebs- und Personalräten zu empfehlen?
Thilo Weichert: Kurzfristig sollten die Betriebsräte beim Arbeitgeber klären, wie – wenn Übermittlungen in die USA erfolgen – dies künftig rechtlich geregelt sein soll. Außer dem Privacy Shield kommen ja auch Binding Corporate Rules, Standardvertragsklauseln oder eigenständige Unternehmensregelungen in Betracht. Das Netzwerk Datenschutzexpertise, dem ich angehöre, hat hierzu Vorschläge gemacht, die effektiven Datenschutz vorsehen. Diese bringen mehr Rechtssicherheit als der Privacy Shield, das mittelfristig garantiert wieder aufgehoben werden muss. Da jede Form einer Einbindung von US-Unternehmen bei der Personaldatenverarbeitung mitbestimmungspflichtig ist, sollten in jedem Fall über eine Betriebsvereinbarung zusätzlich Sicherungen vorgesehen werden, insbesondere in Bezug auf die Betroffenenrechte wie auch auf die Einbindung des Betriebsrats.Die Fragen stellte die Redaktion von »Computer und Arbeit« (CuA).
Dr. Thilo Weichert ist Jurist und war von 2004 bis 2015 Datenschutzbeauftragter des Landes Schleswig-Holstein.Stichwort: EU-US-Privacy-Shield
Der »EU-US-Privacy-Shield« ist ein Datenschutzabkommen für die Übermittlung personenbezogener Daten von EU-Bürgern in die USA. Die Vereinbarung ist am 12.07.2016 in Kraft getreten. Die deutschsprachige Mitteilung der Europäischen Kommission zum Abkommen finden Sie hier: http://ec.europa.eu/news/2016/07/20160712_de.htm.Lesetipps:
Thilo Weichert, »Das Safe Harbor-Urteil und die Folgen«, in: Computer und Arbeit 2/2016, S. 8-13.Bruno Schierbaum, »Datentransfer im Konzern« in: Computer und Arbeit 6/2016, S. 32-36.
© bund-verlag.de (lu)
