Anhang I

Schreiben von US-Handelsministerin Penny Pritzker

7. Juli 2016

Frau Věra Jourová
Kommissionsmitglied für Justiz, Verbraucherschutz und Gleichstellungsfragen
Europäische Kommission
Rue de la Loi/Westraat 200
1049 Brüssel
Belgien

Sehr geehrte Frau Jourová,

es ist mir eine große Freude, Ihnen im Namen der Vereinigten Staaten mit diesem Schreiben eine Materialsammlung zum EU-US-Datenschutzschild zukommen zu lassen, die das Ergebnis zweijähriger produktiver Gespräche zwischen den Teams unserer beiden Seiten ist. In Kombination mit anderen öffentlichen Quellen, die der Kommission zur Verfügung stehen, bietet diese Sammlung der Kommission eine fundierte Grundlage, um eine aktuelle Angemessenheitsfeststellung vorzunehmen [1].

Meines Erachtens können wir auf beiden Seiten stolz auf die erzielten Verbesserungen der Regelung sein. Der Datenschutzschild stützt sich auf Grundsätze, über die beiderseits des Atlantiks ein breiter Konsens besteht und denen wir zu mehr Wirksamkeit verholfen haben. Dank unserer Zusammenarbeit bietet sich uns eine wirkliche Gelegenheit, weltweit zur Stärkung des Datenschutzes beizutragen.

Die Materialsammlung zum Datenschutzschild umfasst die Datenschutzgrundsätze sowie ein in Anlage 1 beigefügtes Schreiben der für die Programmverwaltung zuständigen International Trade Administration (ITA) des US-Handelsministeriums, in dem die Verpflichtungen erläutert werden, die unser Ministerium mit Blick auf eine wirksame Umsetzung des Datenschutzschildes eingegangen ist. Die Sammlung umfasst ferner Anlage 2 mit den Zusagen des Ministeriums zum neuen Schiedssystem, das im Rahmen des Datenschutzschildes zur Verfügung steht.

Meine Mitarbeiter sind angewiesen, alle notwendigen Ressourcen unverzüglich und vollständig auf die Realisierung des Datenschutzschildes zu konzentrieren und eine fristgemäße Umsetzung der in Anlage 1 und Anlage 2 aufgeführten Zusagen sicherzustellen.

Ferner beinhaltet die Sammlung zum Datenschutzschild weitere Dokumente anderer US-Behörden, darunter:

• ein Schreiben der Federal Trade Commission (FTC) zur internen Durchsetzung des Datenschutzschilds;

• ein Schreiben des Verkehrsministeriums zur internen Durchsetzung des Datenschutzschilds;

• zwei Schreiben des Amts des Director of National Intelligence (ODNI) zu den für die nationalen Sicherheitsbehörden in den USA geltenden Garantien und Beschränkungen;

• ein Schreiben des Außenministeriums mit einer Absichtserklärung, in der die Zusage des Außenministeriums zur Einsetzung einer neuen Ombudsstelle für den Datenschutzschild erläutert wird, die für Anfragen zu Vorgängen im Zusammenhang mit der signalerfassenden Aufklärung in den USA zuständig ist und

• ein Schreiben des Justizministeriums zu den Garantien und Beschränkungen der Abfrage von Daten durch die US-Regierung aus Gründen der Strafverfolgung und des öffentlichen Interesses.

Seien Sie versichert, dass die USA diese Zusagen sehr ernst nimmt.

Innerhalb von 30 Tagen nach der endgültigen Annahme der Angemessenheitsfeststellung wird das vollständige Paket zum Datenschutzschild zur Veröffentlichung an das Bundesregister übermittelt.

Wir freuen uns auf unsere Zusammenarbeit bei der Umsetzung des Datenschutzschildes und der Einleitung der nächsten Phase in diesem Prozess.

Hochachtungsvoll
Penny Pritzker

Anlage 1

Schreiben des geschäftsführenden Staatssekretärs für internationalen Handel Ken Hyatt

Frau Věra Jourová
Kommissionsmitglied für Justiz, Verbraucherschutz und Gleichstellungsfragen
Europäische Kommission
Rue de la Loi/Westraat 200
1049 Brüssel
Belgien

Sehr geehrte Frau Jourová,

es ist mir eine große Freude, im Namen der International Trade Administration zu erläutern, welche Verbesserungen für den Schutz personenbezogener Daten mit den Rahmengrundsätzen des EU-US-Datenschutzschilds („Datenschutzschild“ oder „Regelung“) verbunden sind und welche Verpflichtungen das Handelsministerium („Ministerium“) eingegangen ist, um eine wirksame Funktionsweise des Datenschutzschilds zu gewährleisten. Mit dem Abschluss dieser historischen Regelung sind wichtige Fortschritte für den Datenschutz und für Unternehmen auf beiden Seiten des Atlantiks verknüpft. EU-Bürgern bietet sie die Gewissheit, dass ihre Daten geschützt werden und sie bei etwaigen Bedenken über Rechtsmittel verfügen. Zudem trägt die damit verbundene Sicherheit zum Wachstum der transatlantischen Wirtschaft bei, weil sie ein Garant dafür ist, dass Tausende von Unternehmen in Europa und den USA auch weiterhin grenzüberschreitend investieren und Geschäfte abschließen können. Das Datenschutzschild ist das Ergebnis unserer zweijährigen umfassenden Bemühungen und Zusammenarbeit mit Ihnen, unseren Kolleginnen und Kollegen in der Europäischen Kommission („Kommission“). Wir freuen uns, unsere Kooperation mit der Kommission im Sinne einer ordnungsgemäßen Funktionsweise des Datenschutzschildes fortzusetzen.

Gemeinsam mit der Kommission haben wir uns darum bemüht, den Datenschutzschild so zu gestalten, dass in den USA niedergelassene Organisationen die Möglichkeit haben, die Angemessenheitsanforderungen an den Datenschutz nach dem EU-Recht einzuhalten. Mit dem neuen Rahmen sind zahlreiche grundlegende Vorteile sowohl für Privatpersonen als auch für Unternehmen verbunden. Erstens beinhaltet es einen umfassenden Katalog von Schutzbestimmungen für die Daten von EU-Bürgern. US-Organisationen sind verpflichtet, an der Entwicklung einer einheitlichen Datenschutzstrategie mitzuwirken, sich öffentlich zur Einhaltung der Grundsätze des Datenschutzschildes zu verpflichten, damit diese Verpflichtung nach US-Recht durchsetzbar wird, die Einhaltung beim Ministerium jährlich neu zu zertifizieren, EU-Bürgern eine kostenfreie unabhängige Streitbeilegung zu ermöglichen und sich der Zuständigkeit der Federal Trade Commission („FTC“), des Verkehrsministeriums (Department of Transportation, „DOT“) oder einer anderen Durchsetzungsstelle zu unterstellen. Zweitens bietet der Datenschutzschild Tausenden von Unternehmen in den USA sowie Tochtergesellschaften europäischer Unternehmen in den USA die Möglichkeit, personenbezogene Daten aus der Europäischen Union zu empfangen, was den Datenfluss im Sinne des transatlantischen Handels erleichtert. Bereits heute weist der transatlantische Geschäftsverkehr weltweit den größten Umfang auf, denn auf ihn entfallen die Hälfte der weltweiten Wirtschaftsleistung und ein Handelsvolumen im Bereich Waren und Dienstleistungen von nahezu einer Billion Dollar, was Millionen von Arbeitsplätzen diesseits und jenseits des Atlantiks sichert. Unternehmen, die den transatlantischen Datenverkehr nutzen, stammen aus allen Industriezweigen und umfassen sowohl große Vertreter aus der Gruppe der umsatzstärksten Unternehmen (Fortune Global 500) als auch viele kleine und mittlere Unternehmen (KMU). Dank des transatlantischen Datenverkehrs können US-Organisationen Daten verarbeiten, die erforderlich sind, um EU-Bürgern Waren, Dienstleistungen und Beschäftigungsmöglichkeiten anzubieten. Der Datenschutzschild orientiert sich an gemeinsamen Datenschutzgrundsätzen, mit denen die Unterschiede zwischen unseren beiden Rechtssystemen überbrückt werden, und trägt zur Förderung des Handels und der wirtschaftlichen Ziele sowohl in Europa als auch in den USA bei.

Die Entscheidung eines Unternehmens, sich mittels einer Selbstzertifizierung für diese neue Regelung zu registrieren, ist zwar freiwillig, sobald sich ein Unternehmen jedoch öffentlich zur Einhaltung des Datenschutzschildes verpflichtet hat, ist diese Zusage nach US-Recht entweder durch die Federal Trade Commission oder das Verkehrsministerium durchsetzbar, je nachdem welche Behörde die Zuständigkeit für die jeweilige Organisation übernimmt.

Positive Effekte der Grundsätze des Datenschutzschilds

Mit dem Datenschutzschild wird der Datenschutz wie folgt gestärkt:

• Bereitstellung zusätzlicher Informationen für Privatpersonen gemäß dem Grundsatz der Informationspflicht, darunter eine Erklärung über die Beteiligung einer Organisation am Datenschutzschild, ein Hinweis auf die Rechte des Einzelnen auf den Zugang zu personenbezogenen Daten und die Benennung der zuständigen unabhängigen Beschwerdestelle;

  Ausweitung des Schutzes personenbezogener Daten, die von einer dem Datenschutzschild angehörenden Organisation an für die Datenverarbeitung verantwortliche Dritte weitergegeben werden, indem die Parteien zum Abschluss eines Vertrags verpflichtet werden, der vorsieht, dass derartige Daten ausschließlich für begrenzte und genau bezeichnete Zwecke verarbeitet werden können, zu denen die Privatperson ihre Zustimmung erteilt hat, und dass der Datenempfänger dasselbe Schutzniveau gewährleistet, das auch in den Grundsätzen enthalten ist;

• Verbesserung des Schutzes personenbezogener Daten, die von einer dem Datenschutzschild angehörenden Organisation an einen Dritten weitergegeben werden, auch durch die Verpflichtung einer dem Datenschutzschild angehörenden Organisation, angemessene und geeignete Vorkehrungen zu treffen, um sicherzustellen, dass dieser Dritte die personenbezogenen Angaben tatsächlich auf eine Weise verarbeitet, die mit den Verpflichtungen der Organisation im Rahmen der Grundsätze vereinbar ist; nach Kenntnisnahme angemessene und geeignete Maßnahmen ergreift, um eine unrechtmäßige Verarbeitung zu unterbinden und zu beheben und dem Ministerium auf Anfrage eine Zusammenfassung oder eine aussagekräftige Kopie der in ihrem Vertrag mit diesem Dritten enthaltenen einschlägigen Datenschutzbestimmungen zur Verfügung zu stellen;

• Gewährleistung der Verantwortung einer dem Datenschutzschild angehörenden Organisation für die Verarbeitung der personenbezogenen Daten, die ihr auf Grundlage des Datenschutzschilds übermittelt werden und von ihr anschließend an einen Dritten weitergegeben werden, der in ihrem Auftrag tätig ist, sowie der fortgesetzten Haftung gemäß der Grundsätze für den Fall, dass der Auftragnehmer diese personenbezogenen Informationen auf eine Art und Weise verwendet, die nicht in Einklang mit den Grundsätzen steht, es sei denn, sie kann nachweisen, dass sie für den Umstand, durch den der Schaden eingetreten ist, nicht verantwortlich ist;

• Klarstellung, dass dem Datenschutzschild angehörende Organisationen personenbezogene Informationen auf diejenigen Daten beschränken müssen, die für den beabsichtigten Verwendungszweck erheblich sind;

• Anforderung an eine Organisation, jährlich beim Ministerium eine Zertifizierung ihrer Verpflichtung zur Einhaltung der Grundsätze für alle Informationen vorzunehmen, die während ihrer Teilnahme am Datenschutzschild bei ihr eingegangen sind, nachdem sie den Datenschutzschild verlassen hat und sich für die Speicherung dieser Daten entscheidet;

• Erfordernis der Bereitstellung von für den Einzelnen kostenfreien unabhängigen Beschwerdestellen;

• Anforderung an Organisationen und ihre jeweiligen unabhängigen Beschwerdestellen, rasch auf Anfragen und Auskunftsbegehren des Handelsministeriums zu reagieren, die mit dem Datenschutzschild im Zusammenhang stehen;

• Anforderung an Organisationen, auf Beschwerden im Zusammenhang mit der Einhaltung der Grundsätze, die von den Behörden der EU-Mitgliedstaaten an das Ministerium übermittelt wurden, mit der gebotenen Eile zu reagieren und

• Anforderung an eine dem Datenschutzschild angehörende Organisation, jene Teile eines der FTC vorgelegten Compliance- oder Sachstandsberichts, die den Datenschutzschild betreffen, öffentlich zu machen, wenn Anordnungen der FTC oder Gerichtsbeschlüsse wegen Nichteinhaltung gegen sie ergehen.

Verwaltung und Überwachung des Datenschutzschild-Programms durch das Handelsministerium

Das Ministerium bekräftigt seine Zusage, ein amtliches Verzeichnis der Organisationen, die sich gegenüber dem Ministerium selbst zertifiziert und eine Befolgung der Grundsätze zugesichert haben (die „Datenschutzschild-Liste“) zu führen und der Öffentlichkeit zugänglich zu machen. Diese Liste wird durch das Ministerium aktualisiert, indem Organisationen gestrichen werden, die ihre Verpflichtung freiwillig zurückziehen, die jährliche Zertifizierung gemäß den geltenden Verfahren des Ministeriums versäumen oder offensichtlich fortgesetzt die Grundsätze missachten. Außerdem führt es ein amtliches Verzeichnis der Organisationen, die sich zu einem früheren Zeitpunkt gegenüber dem US-Handelsministerium selbst zertifiziert haben, aber von der Datenschutzschild-Liste gestrichen wurden, auch wegen fortgesetzten Verstoßes gegen die Grundsätze, und macht es der Öffentlichkeit zugänglich. Das Ministerium muss die Gründe für den Ausschluss der einzelnen Organisationen benennen.

Darüber hinaus verpflichtet sich das Ministerium, Verbesserungen bei der Verwaltung und Überwachung des Datenschutzschildes vorzunehmen. Dies beinhaltet insbesondere:

Die Bereitstellung zusätzlicher Informationen auf der Website des Datenschutzschilds

• die Pflege der Datenschutzschild-Liste sowie eines Verzeichnisses der Organisationen, die sich ursprünglich durch Selbstzertifizierung zu den Grundsätzen bekannten, aber keinen Anspruch mehr auf die Vorteile des Datenschutzschilds haben;

• Aufnahme einer Erläuterung an deutlich sichtbarer Stelle, in der klargestellt wird, dass alle von der Datenschutzschild-Liste gestrichenen Organisationen zwar keinen Anspruch mehr auf die Vorteile des Datenschutzschilds haben, jedoch mit Blick auf die personenbezogenen Informationen, die sie während ihrer Beteiligung am Datenschutzschild erhalten haben, weiterhin ihren Verpflichtungen nachkommen müssen, solange sie diese Informationen speichern und

• Erstellung eines Links zur Liste der FTC-Fälle, die mit dem Datenschutzschild in Verbindung stehen, auf der Website der FTC.

Prüfung der Selbstzertifizierungs-Anforderungen

• vor dem Abschluss der Selbstzertifizierung einer Organisation (oder der erneuten jährlichen Zertifizierung) und der Aufnahme einer Organisation in die Datenschutzschild-Liste ist zu prüfen, ob diese Organisation:

  • die erforderlichen Kontaktinformationen bereitgestellt hat;

  • die Tätigkeit der Organisation im Zusammenhang mit personenbezogenen Daten aus der EU beschrieben hat;

  • darauf hingewiesen hat, bei welchen personenbezogenen Informationen die Selbstzertifizierung zur Anwendung kommt;

  • bei Vorhandensein einer öffentlich zugänglichen Website der Organisation die Webadresse angegeben hat, auf der die Datenschutzbestimmungen eingesehen werden können, und die Datenschutzbestimmungen unter der genannten Webadresse zugänglich gemacht oder darauf hingewiesen hat, an welchem Ort die Datenschutzbestimmungen von der Öffentlichkeit eingesehen werden können, sofern eine Organisation keine öffentliche Website unterhält;

  • in die einschlägigen Datenschutzbestimmungen einen Hinweis aufgenommen hat, dass sie sich an die Grundsätze hält, und für den Fall, dass die Datenschutzbestimmungen online verfügbar sind, einen Hyperlink auf die Datenschutzschild-Website des Ministeriums angefügt hat;

  • die gesetzliche Aufsichtsbehörde benannt hat, die über Beschwerden gegen die Organisation wegen unlauteren oder irreführenden Geschäftsgebarens und wegen Verletzung von datenschutzrechtlichen Vorschriften entscheidungsbefugt ist (und in den Grundsätzen oder in einem künftigen Anhang zu den Grundsätzen aufgeführt ist);

  • sofern sie den Bestimmungen gemäß Absatz 1 Buchstabe a und Absatz 3 Buchstabe a des Grundsatzes des Rechtsschutzes, der Durchsetzung und der Haftung entsprechen will, indem sie sich zur Zusammenarbeit mit den entsprechenden Datenschutzbehörden verpflichtet, ihre Absicht erklärt hat, mit den entsprechenden Datenschutzbehörden bei der Behandlung von Beschwerden zusammenzuarbeiten, die unter Berufung auf die Grundsätze des Datenschutzschildes erhoben werden, und insbesondere dann Auskünfte zu erteilen, wenn betroffene Personen in der EU eine Beschwerde direkt an ihre nationale Datenschutzbehörde gerichtet haben;

  • alle Datenschutzprogramme angegeben hat, an denen die Organisation teilnimmt;

  • die Art der anlassunabhängigen Kontrolle (z. B. intern oder extern) benannt hat, mit der die Einhaltung der Grundsätze gewährleistet werden soll;

  • sowohl in ihrem Antrag auf Selbstzertifizierung als auch in ihren Datenschutzbestimmungen auf die unabhängige Beschwerdestelle verwiesen hat, die für die Prüfung und Lösung von Beschwerden zuständig ist;

  • in ihre entsprechenden Datenschutzbestimmungen, sofern diese online verfügbar sind, einen Hyperlink zur Website oder zum Beschwerdeformular der unabhängigen Beschwerdestelle, die ungeklärte Beschwerden prüft, eingefügt hat und

  • gegebenenfalls auf ihren Wunsch verwiesen hat, dass ihr Personaldaten zur Verwendung im Rahmen von Beschäftigungsverhältnissen aus der EU übermittelt werden, ihre Bereitschaft erklärt hat, mit den Datenschutzbehörden zusammenzuarbeiten und deren Rat zu befolgen, wenn es um die Lösung von Beschwerden über ihren Umgang mit diesen Daten geht, dem Ministerium eine Kopie ihrer Bestimmungen zum Schutz von Personaldaten übermittelt und mitgeteilt hat, wo die Datenschutzbestimmungen durch die betroffenen Mitarbeiter eingesehen werden können.

• In Zusammenarbeit mit den unabhängigen Beschwerdestellen ist zu prüfen, ob sich die Organisationen tatsächlich für die jeweiligen Mechanismen registriert haben, die in ihren Anträgen auf Selbstzertifizierung angegeben sind, sofern eine solche Registrierung erforderlich ist.

Verstärkte Bemühungen um eine Weiterbehandlung der Fälle von Organisationen, die von der Datenschutzschild-Liste gestrichen wurden

• Hinweis an Organisationen, die wegen „fortgesetzter Missachtung der Grundsätze“ von der Datenschutzschild-Liste gestrichen wurden, dass sie nicht befugt sind, im Rahmen des Datenschutzschildes erhobene Daten zu speichern und

• Übermittlung von Fragebögen an Organisationen, deren Selbstzertifizierung ausläuft oder die freiwillig aus dem Datenschutzschild ausgeschieden sind, um zu prüfen, ob die Organisation die personenbezogenen Daten, die sie während der Beteiligung am Datenschutzschild empfangen hat, zurückgibt, löscht oder auf sie weiterhin die Datenschutzgrundsätze anwendet, und um festzustellen, falls die Organisation die personenbezogenen Daten behält, wer innerhalb der Organisation als ständiger Ansprechpartner für Fragen im Zusammenhang mit dem Datenschutzschild fungieren wird.

Aufdeckung und Handhabung von Fällen, in denen zu Unrecht eine Beteiligung an der Regelung geltend gemacht wird

• Prüfung der Datenschutzbestimmungen von Organisationen, die sich bereits am Datenschutzschild beteiligt haben, jedoch von der Datenschutzschild-Liste gestrichen wurden, um mögliche Fälle zu ermitteln, in denen falsche Angaben zur Beteiligung am Datenschutzschild gemacht werden;

• Wenn eine Organisation: a) den Datenschutzschild verlassen hat, b) keinen Antrag auf erneute Zertifizierung ihres Beitritts zu den Grundsätzen stellt oder c) insbesondere aufgrund „fortgesetzter Missachtung der Grundsätze“ von der Beteiligung am Datenschutzschild ausgeschlossen wird, ist von Amts wegen kontinuierlich sicherzustellen, dass aus den relevanten veröffentlichten Datenschutzbestimmungen der Organisation alle Bezugnahmen auf den Datenschutzschild entfernt wurden, die auf eine weitere aktive Beteiligung der Organisation oder auf einen Anspruch auf die damit verbundenen Vorteile hindeuten. Stellt das Ministerium fest, dass diese Bezugnahmen nicht entfernt wurden, weist es die Organisation eindringlich darauf hin, dass sie die Angelegenheit einer anderen zuständigen Behörde zuzuleiten gedenkt, damit diese gegebenenfalls tätig wird, sofern die Angaben zur Beteiligung am Datenschutzschild nicht entfernt werden. Für den Fall, dass die Organisation die Bezugnahme weder entfernt noch ihren Beitritt zu den Grundsätzen des Datenschutzschildes erklärt, wird das Ministerium die Angelegenheit von Amts wegen an die FTC, das Verkehrsministerium oder eine andere zuständige Behörde verweisen oder gegebenenfalls Maßnahmen zur Einhaltung der Bestimmungen des Gütesiegels für den Datenschutzschild ergreifen;

• Einleitung weiterer Maßnahmen zur Ermittlung falscher Angaben über eine Beteiligung am Datenschutzschild oder einer missbräuchlichen Verwendung des entsprechenden Gütesiegels, auch im Rahmen von Internetrecherchen, um festzustellen, ob Abbildungen des Gütesiegels für den Datenschutzschild verwendet werden und Bezugnahmen auf den Datenschutzschild in den Datenschutzbestimmungen einer Organisation enthalten sind;

• unverzügliche Klärung aller Angelegenheiten, die bei einer Prüfung falscher Angaben zur Beteiligung am Datenschutzschild oder der missbräuchlichen Verwendung des entsprechenden Gütesiegels von Amts wegen ermittelt wurden, was auch eine im Vorangehenden beschriebene Warnung an Organisationen beinhaltet, die falsche Angaben zu ihrer Beteiligung am Datenschutzschild machen;

• Einleitung weiterer geeigneter Abhilfemaßnahmen, darunter die Beschreitung aller für das Ministerium zulässigen Rechtswege und Verweisung der Angelegenheit an die FTC, das Verkehrsministerium oder eine andere zuständige Durchsetzungsstelle und

• unverzügliche Prüfung und Behandlung von bei uns eingehenden Beschwerden über falsche Angaben zur Beteiligung.

Das Ministerium prüft die Datenschutzbestimmungen von Organisationen, um falsche Angaben zur Beteiligung am Datenschutzschild wirksamer aufdecken und dagegen vorgehen zu können. Diese Prüfung betrifft insbesondere die Datenschutzbestimmungen von Organisationen, deren Selbstzertifizierung ausgelaufen ist, weil sie es versäumt haben, ihren Betritt zu den Grundsätzen erneut zertifizieren zu lassen. Mit Hilfe dieser Prüfungen will das Ministerium feststellen, ob die Organisationen aus ihren relevanten veröffentlichten Datenschutzbestimmungen alle Bezugnahmen entfernt haben, die auf ihre weitere aktive Beteiligung am Datenschutzschild hindeuten. Im Rahmen der beschriebenen Prüfverfahren sollen Organisationen ermittelt werden, die derartige Bezugnahmen nicht entfernt haben, und anschließend in einem Schreiben der Rechtsabteilung des Ministeriums über mögliche Durchsetzungsmaßnahmen für den Fall unterrichtet werden, dass sie diese Bezugnahmen nicht streichen. Anhand von Folgemaßnahmen stellt das Ministerium sicher, dass die Organisationen die unzulässigen Bezugnahmen entweder entfernen oder ihren Beitritt zu den Grundsätzen erneut zertifizieren. Darüber hinaus ist das Ministerium auch darum bemüht, falsche Angaben zur Beteiligung am Datenschutzschild von Organisationen aufzudecken, die niemals am Datenschutzschild-Programm teilgenommen haben, und vergleichbare Abhilfemaßnahmen gegen diese Organisationen einzuleiten.

Regelmäßige Durchführung der von Amts wegen vorgenommenen Kontrollen der Einhaltung und Programmbewertungen

• kontinuierliche Überwachung der effektiven Einhaltung, auch durch die Zusendung detaillierter Fragebögen an teilnehmende Organisationen, um Problemfelder zu ermitteln, in denen es möglicherweise weiterer Folgemaßnahmen bedarf. Die genannten Einhaltungskontrollen sind insbesondere dann durchzuführen, wenn: a) dem Ministerium ernst gemeinte Beschwerden über die Einhaltung der Grundsätze durch eine Organisation zugegangen sind, b) eine Organisation keine zufriedenstellende Antwort auf eine mit dem Datenschutzschild verbundene Anfrage des Ministeriums übermittelt oder c) deutliche Anhaltspunkte darauf schließen lassen, dass eine Organisation ihren Zusagen im Zusammenhang mit dem Datenschutzschild nicht nachkommt. Das Ministerium stimmt diese Einhaltungskontrollen bei Bedarf mit den zuständigen Datenschutzbehörden ab, und

• bewertet regelmäßig die Verwaltung und Überwachung des Datenschutzschild-Programms, um sicherzustellen, dass die Kontrollbemühungen auch für neue Problemfelder geeignet sind.

Das Ministerium hat die Mittel für die Verwaltung und Überwachung des Datenschutzschild-Programms aufgestockt und darüber hinaus die Zahl der für die Verwaltung und Überwachung zuständigen Mitarbeiter verdoppelt. Wir werden auch weiterhin angemessene Mittel für derartige Maßnahmen bereitstellen, um eine effektive Überwachung und Verwaltung des Programms zu gewährleisten.

Überarbeitung der Website des Datenschutzschilds mit Blick auf ausgewählte Zielgruppen

Das Ministerium überarbeitet die Website des Datenschutzschilds, um sie auf drei Zielgruppen auszurichten: EU-Bürger, EU-Unternehmen und US-Unternehmen. Durch die Aufnahme von speziell auf EU-Bürger und EU-Unternehmen zugeschnittenen Materialien kann die Transparenz auf vielfältige Weise gesteigert werden. Für EU-Bürger werden folgende Punkte klar erläutert: 1) die Rechte, die für EU-Bürger mit dem Datenschutzschild verbunden sind, 2) die Rechtsbehelfe, die EU-Bürgern zur Verfügung stehen, wenn sie der Ansicht sind, dass eine Organisation ihrer Verpflichtung zur Einhaltung der Grundsätze nicht nachkommt und 3) die Verfügbarkeit von Informationen zur Selbstzertifizierung einer Organisation im Rahmen des Datenschutzschilds. Für EU-Unternehmen werden folgende Kontrollen erleichtert: 1) ob eine Organisation Anspruch auf die Vorteile aus dem Datenschutzschild hat, 2) welche Informationen von der Selbstzertifizierung einer Organisation im Rahmen des Datenschutzschilds abgedeckt werden, 3) welche Datenschutzbestimmungen auf diese Informationen zur Anwendung kommen und 4) anhand welcher Methoden eine Organisation die Einhaltung der Grundsätze prüft.

Ausbau der Zusammenarbeit mit den Datenschutzbehörden

Für den Ausbau der Kooperationsmöglichkeiten mit den Datenschutzbehörden richtet das Ministerium eine spezielle Kontaktstelle ein, die als Bindeglied zu den Datenschutzbehörden fungiert. Sollte eine Datenschutzbehörde, auch aufgrund einer Beschwerde durch einen EU-Bürger, den Verdacht hegen, dass eine Organisation die Grundsätze nicht einhält, kann sie sich an die spezielle Kontaktstelle im Ministerium wenden, um eine weitere Kontrolle der Organisation zu veranlassen. An die Kontaktstelle können auch Fälle überwiesen werden, in denen Organisationen falsche Angaben zu ihrer Beteiligung am Datenschutzschild machen, obgleich sie ihren Beitritt zu den Grundsätzen niemals selbst bescheinigt haben. Die Kontaktstelle unterstützt Datenschutzbehörden bei der Erfassung von Informationen zur Selbstzertifizierung oder zum bisherigen Beitritt einer Organisation zum Programm und beantwortet Anfragen der Datenschutzbehörden zur Umsetzung der spezifischen Datenschutzschild-Anforderungen. Darüber hinaus stellt das Ministerium den Datenschutzbehörden Material zum Datenschutzschild zur Verfügung, das sie auf ihre eigenen Websites stellen können, um für mehr Transparenz zugunsten von EU-Bürgern und EU-Unternehmen zu sorgen. Ein stärkeres Bewusstsein für den Datenschutzschild und die damit verbundenen Rechte und Pflichten kann die Erkennung von Problemen unmittelbar nach ihrem Auftreten begünstigen und die Einleitung geeigneter Abhilfemaßnahmen begünstigen.

Erleichterung der Lösungsfindung bei Beschwerden wegen Verletzung der Datenschutzvorschriften

An das Ministerium gerichtete Beschwerden einer Datenschutzbehörde über die Nichteinhaltung der Grundsätze durch eine dem Datenschutzschild angehörende Organisation gehen dem Ministerium über die spezielle Kontaktstelle zu. Nach Eingang ist das Ministerium nach besten Kräften um eine Klärung der Beschwerde mit der dem Datenschutzschild angehörenden Organisation bemüht. Innerhalb von 90 Tagen nach Eingang der Beschwerde unterrichtet das Ministerium die Datenschutzbehörde über den aktuellen Sachstand. Um die Einreichung derartiger Beschwerden zu erleichtern, erstellt das Ministerium ein Standardformular für Datenschutzbehörden, das bei der speziellen Kontaktstelle im Ministerium eingereicht werden kann. In der speziellen Kontaktstelle werden alle von den Datenschutzbehörden an das Ministerium übermittelten Fälle erfasst, und das Ministerium erstellt bei der jährlichen Überprüfung einen Bericht, der in aggregierter Form die im Laufe des Jahres bei ihm eingegangenen Beschwerden enthält.

Annahme von Schiedsverfahren und Auswahl von Schiedsrichtern in Abstimmung mit der Kommission

Das Ministerium kommt seinen Zusagen gemäß Anhang I nach und macht die Verfahren im Anschluss an eine Einigung bekannt.

Gemeinsame Überprüfung der Funktionsweise des Datenschutzschilds

Das Handelsministerium, die FTC und andere Stellen werden bei Bedarf jährliche Sitzungen mit der Kommission, betroffenen Datenschutzbehörden und gegebenenfalls auch Vertretern der Artikel-29-Datenschutzgruppe organisieren, auf denen das Ministerium über den aktuellen Sachstand mit Blick auf das Datenschutzschild-Programm informiert. Bei den jährlichen Sitzungen werden aktuelle Probleme im Zusammenhang mit der Funktionsweise, Durchführung, Überwachung und Durchsetzung des Datenschutzschilds, darunter die von den Datenschutzbehörden an das Ministerium übermittelten Fälle, die Ergebnisse der von Amts wegen durchgeführten Kontrollen einer Einhaltung der Grundsätze sowie möglicherweise relevante Gesetzesänderungen, erörtert. Die erste jährliche Überprüfung und gegebenenfalls anschließende Überprüfungen werden einen Dialog zu weiteren Themen wie z. B. automatische Entscheidungsprozesse, einschließlich eines Meinungsaustauschs über Gemeinsamkeiten und Unterschiede der diesbezüglichen Konzepte der EU und der USA beinhalten.

Aktualisierung von Gesetzen

Das Ministerium wird die Kommission in angemessener Weise über wesentliche Änderungen des Rechts der Vereinigten Staaten unterrichten, wenn sie für den Datenschutzschild relevant sind und den Datenschutz sowie die Beschränkungen und Schutzvorkehrungen für den Zugriff staatlicher Behörden auf personengebundene Daten und deren anschließende Verwendung betreffen.

Ausnahmen aus Gründen der nationalen Sicherheit

Der Rechtsbeauftragte im Amt des Directors of National Intelligence, Robert Litt, hat Justin Antonipillai und Ted Dean im Handelsministerium zwei Schreiben zu den Einschränkungen bei der Einhaltung der Grundsätze des Datenschutzschildes aus Gründen der nationalen Sicherheit übermittelt, die an Sie weitergeleitet wurden. In diesen Schreiben werden unter anderem die Strategien, Garantien und Beschränkungen erläutert, die für signalerfassende Aufklärung in den USA gelten. Darüber hinaus enthalten diese Schreiben Erläuterungen zur Transparenz, die von den Nachrichtendiensten in dieser Hinsicht geschaffen wurde. Die Kommission kann bei ihrer Überprüfung der Datenschutzschild-Regelung aus den in diesen Schreiben enthaltenen Informationen mit Sicherheit schließen, dass der Datenschutzschild in Übereinstimmung mit den darin aufgeführten Grundsätzen ordnungsgemäß funktioniert. Wir gehen davon aus, dass Sie bei der jährlichen Überprüfung der Datenschutzschild-Regelung künftig auf von den Nachrichtendiensten öffentlich gemachte Informationen sowie auf weitere Informationen zurückgreifen werden.

Ausgehend von den Grundsätzen des Datenschutzschilds und den Begleitschreiben und -materialien, einschließlich der Zusagen des Ministeriums zur Verwaltung und Überwachung der Grundsätze des Datenschutzschilds, rechnen wir damit, dass die Kommission die EU-US-Datenschutzschild-Regelung als ausreichend erachtet, um einen Schutz im Sinne der EU-Rechtsvorschriften zu gewährleisten, und dass Daten weiterhin an Organisationen übermittelt werden, die sich am Datenschutzschild beteiligen.

Hochachtungsvoll
Ken Hyatt

Anlage 2

Schiedsmodell

Anlage I

In dieser Anlage I sind die Bedingungen aufgeführt, unter denen dem Datenschutz angehörende Organisationen zur Behandlung von Ansprüchen im Schiedsverfahren nach dem Grundsatz des Rechtsschutzes, der Durchsetzung und der Haftung verpflichtet sind. Die im Folgenden beschriebene Möglichkeit des verbindlichen Schiedsverfahrens bezieht sich auf bestimmte „Restansprüche“ in Bezug auf Daten, die unter den EU-US-Datenschutzschild fallen. Damit soll Privatpersonen ein zeitnaher, unabhängiger und fairer Mechanismus bereitgestellt werden, der sich mit geltend gemachten Verstößen gegen die Grundsätze befasst, die nicht von einem der gegebenenfalls in Anspruch genommenen anderen Mechanismen des Datenschutzschilds geklärt werden konnten.

A. Anwendungsbereich

Mit dem Schiedsverfahren können Privatpersonen bei Restansprüchen feststellen lassen, ob eine dem Datenschutzschild angehörende Organisation ihre Pflichten im Rahmen der Grundsätze gegenüber der betreffenden Person verletzt hat und ob diese Verletzung vollständig oder teilweise ungeahndet bleibt. Diese Option steht nur für diese Zwecke zur Verfügung, nicht jedoch beispielsweise bei den geregelten Abweichungen von den Grundsätzen [2] oder im Hinblick auf eine Behauptung zur Angemessenheit des Datenschutzschilds.

B. Verfügbare Abhilfemaßnahmen

Im Rahmen dieses Schiedsverfahrens ist das Datenschutzschild-Panel (bestehend aus einem oder drei von den Parteien ausgewählten Schiedsrichtern) befugt, einzelfallabhängige nichtmonetäre billigkeitsrechtliche Ansprüche (wie z. B. Zugang, Korrektur, Löschung oder Rückgabe der betreffenden Daten der Person) anzuerkennen, um die Verstöße gegen die Grundsätze abzustellen. Dieses sind die einzigen Befugnisse des Schiedsforums in Bezug auf Abhilfemaßnahmen. Bei der Prüfung von Abhilfemaßnahmen muss das Schiedsforum andere bereits von anderen Mechanismen im Rahmen des Datenschutzschilds verhängte Abhilfemaßnahmen berücksichtigen. Schadenersatz, Kosten, Gebühren oder andere derartige Maßnahmen sind nicht verfügbar. Jede Partei muss selbst für die anfallenden Anwaltsgebühren aufkommen.

C. Voraussetzungen für das Schiedsverfahren

Wer das Schiedsverfahren in Anspruch nehmen möchte, muss vor der Einleitung einer Schiedsklage 1) den behaupteten Verstoß direkt bei der Organisation geltend machen und der Organisation Gelegenheit geben, die Angelegenheit innerhalb der in Abschnitt III.11 d)i) der Grundsätze aufgeführten Frist zu klären, 2) das kostenlose unabhängige Beschwerdeverfahren im Rahmen der Grundsätze in Anspruch nehmen und 3) die Angelegenheit kostenlos über seine zuständige Datenschutzbehörde dem Handelsministerium zuleiten und dem Handelsministerium die Gelegenheit geben, die Angelegenheit nach Möglichkeit innerhalb der im Schreiben der International Trade Administration des Handelsministeriums gesetzten Frist zu klären.

Das Schiedsverfahren kann nicht in Anspruch genommen werden, wenn der von der Person geltend gemachte Verstoß 1) bereits Gegenstand eines verbindlichen Schiedsverfahrens war, 2) Gegenstand eines rechtskräftigen Urteils in einem Gerichtsverfahren mit der Person als Prozesspartei war oder 3) von den Parteien bereits geregelt wurde. Darüber hinaus kann das Schiedsverfahren nicht in Anspruch genommen werden, wenn eine EU-Datenschutzbehörde 1) gemäß Abschnitt III.5 oder III.9 der Grundsätze zuständig ist oder 2) befugt ist, den geltend gemachten Verstoß direkt mit der Organisation zu klären. Die Befugnis einer Datenschutzbehörde, den gleichen Anspruch gegen einen für die Verarbeitung Verantwortlichen in der EU geltend zu machen, schließt die Inanspruchnahme des Schiedsverfahrens gegen eine nicht an die Befugnis der Datenschutzbehörde gebundene andere rechtliche Einheit allein nicht aus.

D. Verbindlichkeit von Schiedssprüchen

Die Entscheidung einer Einzelperson, dieses verbindliche Schiedsverfahren in Anspruch zu nehmen, ist vollkommen freiwillig. Die Schiedssprüche sind für alle beteiligten Parteien verbindlich. Mit der Inanspruchnahme verzichtet die betreffende Person auf die Möglichkeit, ein anderes Forum mit der Klärung des geltend gemachten Verstoßes zu befassen; wenn jedoch diesem Verstoß mit der Anerkennung nichtmonetärer Ansprüche nicht vollständig abgeholfen wird, kann die betreffende Person dennoch Schadensersatzansprüche vor Gericht geltend machen.

E. Überprüfung und Durchsetzung

Privatpersonen und dem Datenschutzschild angehörende Organisationen können eine gerichtliche Überprüfung und Durchsetzung der Schiedsentscheidungen nach US-Recht gemäß Federal Arbitration Act beantragen [3]. Derartige Fälle müssen bei dem Bundesbezirksgericht eingereicht werden, dessen territoriale Zuständigkeit sich auf den Hauptgeschäftsort der dem Datenschutzschild angehörenden Organisation erstreckt.

Mit diesem Schiedsverfahren sollen individuelle Streitigkeiten geklärt werden, und die Schiedsentscheidungen sollen nicht als zur Nachahmung empfohlener oder verbindlicher Präzedenzfall bei Angelegenheiten anderer Parteien dienen, einschließlich bei künftigen Schiedsverfahren oder an Gerichten der EU oder der USA oder in Verfahren der FTC.

F. Das Schiedsforum

Die Parteien wählen die Schiedsrichter aus dem im Folgenden erörterten Verzeichnis der Schiedsrichter aus.

Nach geltendem Recht erstellen das US-Handelsministerium und die Europäische Kommission ein Verzeichnis mit mindestens 20 Schiedsrichtern, die aufgrund ihrer Unabhängigkeit, Integrität und Sachkenntnis ausgewählt werden. Dafür gilt Folgendes:

Die Schiedsrichter

1. verbleiben für einen Zeitraum von 3 Jahren in dem Verzeichnis, sofern keine außergewöhnlichen Umstände oder wichtigen Gründe vorliegen; dieser Zeitraum kann um weitere drei Jahre verlängert werden;

2. sind gegenüber einer der Parteien oder einer dem Datenschutzschild angehörigen Organisation bzw. gegenüber den USA, der EU oder einem EU-Mitgliedstaat oder einer anderen Regierungsbehörde, öffentlichen Behörde oder Strafverfolgungsbehörde weder weisungsgebunden noch anderweitig verpflichtet;

3. müssen als Rechtsanwalt in den USA zugelassen und im US-Privatrecht bewandert sein und Sachkenntnis im EU-Datenschutzrecht aufweisen.

G. Schiedsverfahren

Im Einklang mit dem geltenden Recht vereinbaren das Handelsministerium und die Europäische Kommission innerhalb von 6 Monaten nach Annahme des Angemessenheitsbeschlusses die Übernahme einer Reihe von bestehenden, etablierten US-Schiedsverfahren (wie z. B. AAA oder JAMS) zur Regelung des Verfahrens vor dem Datenschutzschild-Panel, wobei die folgenden Aspekte zugrunde gelegt werden:

1. Eine Person kann vorbehaltlich der vorstehend aufgeführten Voraussetzungen ein verbindliches Schiedsverfahren einleiten, indem sie der Organisation eine Mitteilung zukommen lässt. Die Mitteilung enthält eine Zusammenfassung der gemäß Abschnitt C unternommenen Schritte zur Klärung einer Beschwerde, eine Beschreibung des geltend gemachten Verstoßes und, nach eigener Wahl, Belegunterlagen und -materialien und/oder eine Rechtserörterung mit Bezug zum geltend gemachten Verstoß.

2. Es werden Verfahren entwickelt, die sicherstellen, dass für einen geltend gemachten Verstoß nicht mehrere Verfahren geführt oder mehrere Abhilfemaßnahmen getroffen werden.

3. Die FTC kann parallel zum Schiedsverfahren tätig werden.

4. An den Schiedsverfahren dürfen keine Vertreter der USA, der EU oder eines EU-Mitgliedstaats oder einer anderen Regierungsbehörde, staatlichen Behörde oder Strafverfolgungsbehörde teilnehmen, wobei auf Antrag einer Person aus der EU die EU-Datenschutzbehörden Hilfe bei der Erstellung ausschließlich der Mitteilung leisten können, jedoch keinen Zugang zu Offenlegungen und anderen Materialien in Bezug auf diese Schiedsverfahren haben dürfen.

5. Ort des Schiedsverfahrens sind die Vereinigten Staaten, und die betroffene Person kann sich für eine Teilnahme per Video oder Telefonkonferenz entscheiden, die für sie mit keinen Kosten verbunden ist. Eine persönliche Anwesenheit ist nicht erforderlich.

6. Verfahrenssprache ist Englisch, wenn von den Parteien nicht anders vereinbart. Auf einen begründeten Antrag hin und unter Berücksichtigung dessen, ob sich die Person von einem Anwalt vertreten lässt, werden Dolmetscher für die mündliche Verhandlung sowie Übersetzungen der Verfahrensunterlagen bereitgestellt, ohne dass sich daraus Kosten für die Person ergeben, es sei denn, das Panel gelangt in einem konkreten Fall zu dem Schluss, dass eine Kostenübernahme nicht gerechtfertigt oder unverhältnismäßig wäre.

7. Den Schiedsrichtern vorgelegte Unterlagen werden vertraulich behandelt und nur in Verbindung mit dem Schiedsverfahren genutzt.

8. Wenn erforderlich, kann eine die Person betreffende Offenlegung zugelassen werden, wobei diese Offenlegung von den Parteien vertraulich behandelt und nur in Verbindung mit dem Schiedsverfahren genutzt wird.

9. Schiedsverfahren sollen innerhalb von 90 Tagen nach Zustellung der Mitteilung an die betreffende Organisation abgeschlossen werden, sofern von den Parteien nicht anderweitig vereinbart.

H. Kosten

Die Schiedsrichter sollen angemessene Maßnahmen zur Minimierung der Kosten oder Gebühren der Schiedsverfahren ergreifen.

Nach Maßgabe des geltenden Rechts wird das Handelsministerium in Abstimmung mit der Europäischen Kommission die Einrichtung eines Fonds ermöglichen, in den die dem Datenschutzschild angehörenden Organisationen einen Jahresbeitrag einzahlen, der sich zum Teil nach der Größe der Organisation richtet und die Schiedskosten, einschließlich Schiedsrichtergebühren, bis zu einer Obergrenze deckt. Der Fonds wird von einem Dritten verwaltet, der regelmäßig über die Tätigkeit des Fonds Bericht erstattet. Bei der jährlichen Überprüfung werden das Handelsministerium und die Europäische Kommission die Tätigkeit des Fonds, einschließlich der Notwendigkeit einer Anpassung des Beitrags oder der Obergrenze, kontrollieren und unter anderem die Anzahl der Schiedsverfahren sowie deren Kosten und Dauer prüfen, und zwar im gegenseitigen Einvernehmen, dass den am Datenschutzschild teilnehmenden Organisationen keine übermäßige finanzielle Belastung auferlegt wird. Rechtsanwaltsgebühren sind von dieser Bestimmung oder einem anderen Fonds im Rahmen dieser Bestimmung nicht erfasst.