Daten(schutz)rechtlicher Jahresrückblick: Wichtigste Rechtsgrundlagen, Guidelines und Entscheide

2022 neigt sich dem Ende zu - aus einer daten(schutz)rechtlichen Perspektive betrachtet, war es ein sehr ereignisreiches Jahr mit zahlreichen neuen Rechtsgrundlagen, Guidelines und Entscheiden (Tendenz: steigend!). Die nachfolgende Übersicht stellt eine subjektive Auswahl daten(schutz)rechtlicher "Höhepunkte" dar und soll dem interessierten Leser eine Orientierungshilfe bieten:

Schweiz
(i) Totalrevision des schweizerischen Datenschutzgesetzes (DSG) und der dazugehörigen Verordnungen: Link
(ii) Übersicht Guidelines zu Cloud Computing: Link
(iii) Herausforderungen der künstlichen Intelligenz - Bericht der interdepartementalen Arbeitsgruppe "Künstliche Intelligenz" des Bundes an den Bundesrat: Link
(iv) FINMA: Totalrevidiertes Rundschreiben FINMA-RS 23/01: Operationelle Risiken und Resilienz - Banken: Link
(v) Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) und Privatim: Leitfaden zu Wahlen und Abstimmungen: Link
(vi) EDÖB: 29. Tätigkeitsbericht 2021/2022 ("Geringschätzung der Privatsphäre"): Link
(vii) European Union-U.S. Data Privacy Framework (EU-U.S. DPF): Link

Europa
(i) Deutsche Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK): Petersberger Erklärung zur datenschutzkonformen Verarbeitung von Gesundheitsdaten in der wissenschaftlichen Forschung: Link
(ii) European Data Protection Board (EDPB): Guidelines 9/2022 on personal data breach notification under GDPR: Link
(iii) EDPB Guidelines 8/2022 on identifying a controller or processor’s lead supervisory authority: Link
(iv) EDPB Guidelines 01/2021 on Examples regarding Personal Data Breach Notification: Link
(v) EDPB Guidelines 01/2022 on data subject rights - Right of access: Link
(vi) EDPB Guidelines 04/2022 on the calculation of administrative fines under the GDPR: Link
(vii) EDPB Guidelines 07/2022 on certification as a tool for transfers: Link
(viii) EDPB-EDPS Joint Opinion 03/2022 on the Proposal for a Regulation on the European Health Data Space: Link
(ix) European Data Protection Supervisor (EDPS) Conference 2022 - The future of data protection: effective enforcement in the digital world: Link
(x) EDPS Opinion on the Proposal for a Regulation of the European Parliament and of the Council on horizontal cybersecurity requirements for products with digital elements and amending Regulation (EU) 2019/1020: Link
(xi) UK Information Commissioner’s Office (ICO) - New Direct Marketing Guidance and Checklists: Link
(xii) ICO's Transfer risk assessments (TRA) of personal data outside the UK: Link

USA
(i) Executive Order On Enhancing Safeguards For United States Signals Intelligence Activities: Link
(ii) Data Protection: EU Commission starts process to adopt adequacy decision for safe data flows with the USA: Link
(iii) U.S. Department of Justice Announces U.S. – UK CLOUD Act Agreement: Link

Michal Cichocki

NIST veröffentlicht White Paper mit Prinzipien für Nachvollziehbarkeit von Entscheidungen durch KI-Systeme

Im Rahmen der „Foundational Research on AI Systems“ untersucht das us-amerikanische National Institute of Standards and Technology (NIST) bereits seit geraumer Zeit unterschiedliche Aspekte von Systemen mit künstlicher Intelligenz (KI-Systeme). Am 20. August 2020 veröffentlichte das NIST ein White Paper als „draft report“ mit vier Prinzipien zur Nachvollziehbarkeit von Entscheidungen durch KI-Systeme. Diese Four Principles of Explainable Artificial Intelligence (Draft NISTIR 8312) lauten wie folgt:

(i) Explanation: AI systems should deliver accompanying evidence or reasons for all outputs.
(ii) Meaningful: Systems should provide explanations that are understandable to individual users.
(iii) Explanation Accuracy: The explanation should correctly reflect the system’s process for generating the output.
(iv) Knowledge Limits: The system only operates under conditions for which it was designed or when the system reaches a sufficient level of confidence in its output.

Zu diesen Prinzipien hält das NIST u.a. folgendes fest: „(…) These principles are heavily influenced by an AI system’s interaction with the human receiving the information. The requirements of the given application, the task, and the consumer of the explanation will influence the type of explanation deemed appropriate. Our four principles are intended to capture a broad set of motivations, applications, and perspectives".

Das NIST nimmt bis 15. Oktober 2020 Kommentare zum „draft report“ entgegen.

Michal Cichocki

Cloud Computing: Modell und Berechnungstool zur Risikobeurteilung eines Lawful Access durch ausländische Behörden

Am 10. August 2020 veröffentlichte der Datenschutzexperte David Rosenthal ein Modell zur Risikobeurteilung eines Lawful Access durch ausländische Behörden auf seiner Webseite. 

Das Modell basiert im Wesentlichen auf der Aussage, dass sieben Voraussetzungen für einen erfolgreichen (foreign) Lawful Access nötig sind und auf diese mit angemessenen technischen sowie organisatorischen (und damit nicht rechtlichen) Massnahmen (TOM) eingewirkt werden kann.

Ein entsprechendes Berechnungstool samt Anleitung wird von Herrn Rosenthal im Rahmen einer kostenlosen Creative Commons "Namensnennung 4.0 International" (CC BY 4.0) Lizenz zur Verfügung gestellt.

Michal Cichocki

Datenschutz in den USA: California Consumer Privacy Act (CCPA) am 1. Januar 2020 in Kraft getreten

Seit dem 1. Januar 2020 ist im US-Gliedstaat Kalifornien der California Consumer Privacy Act (CCPA) in Kraft. Neben Nevada sowie Maine verfügt Kalifornien damit als dritter US-Gliedstaat über ein umfassendes Datenschutzgesetz. Der CCPA wird als Meilenstein für den Datenschutz in den  USA bezeichnet; Kalifornien ist ein wichtiger Standort zahlreicher US-Techunternehmen, welche die Vorgaben des CCPA berücksichtigen müssen.

Gemäss CCPA können kalifornische Konsumenten u.a. neu folgende Rechtsansprüche geltend machen:

(i) Auskunft: The right to know what personal information is collected, used, shared or sold, both as to the categories and specific pieces of personal information.

(ii) Löschung: The right to delete personal information held by businesses and by extension, a business’s service provider.

(iii) Widerspruch („Verkaufsstop“): The right to opt-out of sale of personal information. Consumers are able to direct a business that sells personal information to stop selling that information.

(iv) Diskriminierungsverbot: The right to non-discrimination in terms of price or service when a consumer exercises a privacy right under CCPA.

Schliesslich ist bemerkenswert, dass kalifornische Konsumenten ihre Rechtsansprüche auch an ausländische Unternehmen (z.B. mit Sitz in der Schweiz) richten können. Unternehmen fallen bereits dann in den Anwendungsbereich des CCPA, wenn sie im US-Gliedstaat Kalifornien tätig sind („doing business“), dabei „personal information“ von kalifornischen Konsumenten bearbeiten und zusätzlich eines der nachfolgenden Kriterien erfüllen:

(i) Has gross annual revenues in excess of $25 million.

(ii) Buys, receives, or sells the personal information of 50,000 or more consumers, households, or devices.

(iii) Derives 50 percent or more of annual revenues from selling consumers’ personal information.

Michal Cichocki

Wichtigste US-amerikanische Datenschutzgesetze - eine Übersicht

Aus Sicht der Schweiz sowie der EU verfügen die USA über kein angemessenes Datenschutzniveau; ein US-Bundesgesetz für Datenschutz existiert (bisher) nicht und die übrige US-amerikanische Gesetzgebung bietet insgesamt keinen gleichwertigen Schutz für Personendaten.

Aus diesem Grund müssen bei einer Bekanntgabe von Personendaten beispielsweise von der Schweiz in die USA zusätzliche Massnahmen getroffen werden, wie z.B. der Abschluss von Standarddatenschutzklauseln mit dem Empfänger in den USA, die Zertifizierung des US-Empfängers gemäss Swiss-US Privacy Shield oder die Einwilligung der betroffenen Personen etc.

Dessen ungeachtet gibt es eine Vielzahl US-amerikanischer Gesetze mit Regeln für den Umgang mit Personendaten. Aus diesem Grund lohnt sich ein Blick auf die wichtigsten „US-Datenschutzgesetze“:

(i) The Federal Trade Commission Act (FTC) – ein Bundesgesetz mit Regeln gegen unfairen Wettbewerb („unfair or deceptive commercial practices“). Diese beinhalten u.a. Regeln zur Einhaltung von „ privacy policies“ und für den angemessenen Schutz von Personendaten.

(ii) Electronic Communications Privacy Act (ECPA) - ein Bundesgesetz mit Regeln zum Schutz von u.a. elektronischer Kommunikation.

(iii) Computer Fraud & Abuse Act (CFAA) – ein Bundesgesetz mit Regeln gegen Missbrauch und Betrug im Bereich der Cybersecurity.

(iv) Children’s Online Privacy Protection Act (COPPA) - ein Bundesgesetz mit Regeln für Webseitenbetreiber für den Umgang mit Personendaten von Kindern.

(v) Controlling the Assault of Non-Solicited Pornography and Marketing Act (CAN-SPAM Act) – ein Bundesgesetz u.a. mit Regeln für Werbe-E-Mails.

(vi) Financial Services Modernization Act (GLBA) - ein Bundesgesetz u.a. mit Regeln für die Erhebung, Auswertung, Weitergabe etc. von Personendaten durch Finanzinstitute.

(vii) Fair and Accurate Credit Transactions Act (FACTA) - ein Bundesgesetz u.a. mit der Pflicht für Identitätsdiebstahlprogramme für Finanzinstitute.

(viii) California Consumer Privacy Act (CCPA) - ein Datenschutzgesetz für den Gliedstaat Kalifornien, das ab 1. Januar 2020 in Kraft treten wird.


(ix) Nevada Senate Bill 220 Online Privacy Law - ein Datenschutzgesetz des Gliedstaates Nevada für den Onlinebereich, das seit 1. Oktober 2019 in Kraft ist.

(x) Maine Act to Protect the Privacy of Online Consumer Information - ein Datenschutzgesetz des Gliedstaates Main für den Onlinebereich, das ab 1. Juli 2020 in Kraft treten wird.


Ferner gibt es noch zahlreiche Gliedstaatengesetze für die Bereiche Cybersecurity, Data Security und Data Breach Notification (z.B. in New York, Massachusetts und Texas).

Schliesslich haben zwei US-amerikanische Congresswomen kürzlich einen Entwurf für ein "Online Privacy Act" auf Bundesebene eingereicht. Es gilt abzuwarten, inwiefern die USA inskünftig ein „richtiges“ Datenschutzrahmengesetz analog dem schweizerischen DSG oder der EU-DSGVO erhalten.

Michal Cichocki

Privacy Shield: Neuste Entwicklungen

Gemäss der EU-Kommission und dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) verfügen die USA über kein angemessenes Datenschutzniveau. Folglich dürfen Personendaten nicht ohne Weiteres in die USA bekanntgegeben (d.h. Datenexport und -zugriff) werden.

Unternehmen, die sich nach Massgabe des EU-U.S. bzw. Swiss-U.S. Privacy Shield Frameworks zertifizieren lassen, können Personendaten aus der EU bzw. aus der Schweiz „empfangen“. Diesfalls wird für das konkrete Unternehmen ein angemessenes Datenschutzniveau in den USA gewährleistet. Aus diesem Grund sind sowohl der Datenexport aus der EU bzw. der Schweiz in die USA als auch der Zugriff auf Personendaten aus den USA in die EU bzw. Schweiz zulässig.

Im Zusammenhang mit dem Privacy Shield gab es in letzter Zeit folgende Entwicklungen:

(i) Die Art.-29-Datenschutzgruppe (WP29) veröffentlichte mit Datum vom 28. November 2017 ihre Opinion zum „EU – U.S. Privacy Shield – First annual Joint Review“.

(ii) Der EUGH entschied per Beschluss vom 22. November 2017, die Nichtigkeitsklage der Digital Rights Ireland gegen das EU-U.S. Privacy Shield sei mangels Aktivlegitimation der Klägerin unzulässig.

(iii) Die erstmalige Prüfung des EU-U.S. Privacy Shields durch die EU-Kommission fiel mit Bericht vom 18. Oktober 2017 positiv aus. 

Michal Cichocki

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) veröffentlicht Leitfaden zum Swiss-US Privacy Shield und eine Stellungnahme für mehr Transparenz beim Outsourcing im medizinischen Bereich

Swiss-US Privacy Shield

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) veröffentlichte am 24. August 2017 einen Leitfaden zum Swiss-US Privacy Shield. Der Leitfaden ("praktische Broschüre zum Swiss-US Privacy Shield") ist in drei Teile gegliedert und soll "einfach und verständlich" über folgende Themenbereiche informieren:

(i) Verpflichtungen der für Privacy Shield zertifizierten Unternehmen und Rechte der betroffenen Personen.

(ii) Wie kann Beschwerde gegen ein für Privacy Shield zertifiziertes Unternehmen erhoben werden?

(iii) Die Ombudsstelle: Anlaufstelle für Beschwerden betreffend Personendatenbearbeitungen durch US Behörden.

Weitere Informationen zur Bekanntgabe von Personendaten in die USA sind auf der Webseite des EDÖB abrufbar.

Mehr Transparenz beim Outsourcing im medizinischen Bereich
Am 17. August 2017 wurde auf der Webseite des EDÖB eine Stellungnahme aufgeschaltet, wonach mehr Transparenz beim Outsourcing im medizinischen Bereich, insbesondere bei der Rechnungsstellung, gefordert wird. Der EDÖB hält hierzu u.a. Folgendes fest:

"(...) Damit die Privatsphäre des Patienten dabei geschützt bleibt, ist es wichtig, dass die Anbieter die Daten nur zu den angegebenen Zwecken bearbeiten. Auch müssen sie klar informieren, was mit den Daten der Patienten geschieht, nachdem sie vom Arzt bzw. der Ärztin übermittelt wurden.

Wie der EDÖB feststellte, besteht in dieser Hinsicht Verbesserungsbedarf. Um die Transparenz für die Patienten zu erhöhen, forderte er deshalb diese Woche die betroffenen Anbieter schriftlich dazu auf, die mustervertraglichen Bestimmungen, welche sich auf die Bearbeitung der Patientendaten beziehen, zusammen mit den aktuellen Allgemeinen Geschäftsbedingungen und Bearbeitungsreglementen zu publizieren (...)".

In diesem Zusammenhang verweist der EDÖB auf Ziff. 1.5.3 seines aktuellen Tätigkeitsberichts.

Michal Cichocki

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) veröffentlicht Hinweise zum Swiss-US Privacy Shield

Am 2. Mai 2017 veröffentlichte der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) auf seiner Webseite Hinweise zum Swiss-US Privacy Shield. Danach können sich amerikanische Unternehmen auf der Privacy Shield-Webseite des US-Departement of Commerce (DOC) registrieren und die Zertifizierungsvoraussetzungen erfüllen. Die Webseite enthält auch eine Übersicht mit FAQ.

Im Zusammenhang mit dem Swiss-US Privacy Shield sollten schweizerische Unternehmen gemäss EDÖB  u.a. folgende Hinweise beachten:

(i) Schweizer Unternehmen können bei der Datenübermittlung an amerikanische Unternehmen nur von den erleichterten Bedingungen profitieren, wenn letztere für das Swiss-US Privacy Shield zertifiziert sind und den EDÖB demzufolge als Aufsichtsorgan anerkennen. Eine Zertifizierung für das EU-US Privacy Shield genügt nicht.

(ii) Bevor Schweizer Unternehmen Personendaten an amerikanische Unternehmen übermitteln, müssen sie prüfen, ob diese für das Swiss-US Privacy Shield zertifiziert sind. (...) Ist ein amerikanisches Unternehmen nicht zertifiziert, so müssen andere Massnahmen getroffen werden, um Personendaten datenschutzkonform zu übermitteln. Dazu zählen vertragliche Garantien oder Binding Corporate Rules (...).

(iii) Behörden können sich nicht für das Swiss-US Privacy Shield zertifizieren lassen.

(iv) Im privatrechtlichen Bereich können sich nur Unternehmen zertifizieren lassen, die der Aufsicht der Federal Trade Commission (FTC) und des Department of Transportation (DOT) unterstehen. Banken, Versicherungen und Telekommunikationsunternehmen können sich in der Regel nicht zertifizieren lassen (...).

Michal Cichocki

Swiss-US Privacy Shield

Gemäss Medienmitteilung vom 11. Januar 2017 hat der Bundesrat in seiner heutigen Sitzung die Einrichtung des Swiss-US Privacy Shields zur Kenntnis genommen.

Der Swiss-US Privacy Shield stellt eine weitere Grundlage für die Übermittlung von Personendaten aus der Schweiz in die USA dar. Er ersetzt das US-Swiss Safe Harbor Abkommen, welches vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) für ungenügend erklärt und vom Bundesrat heute formell aufgehoben wurde (vgl. auch EUGH C-362/14 – „Schrems“- bzw. „Facebook“- oder „Safe Harbor“-Urteil).

Durch den Swiss-US Privacy Shield soll die Anwendung der Datenschutzprinzipien verstärkt werden. Ausserdem sollen den betroffenen Personen „konkrete Instrumente“ zur Verfügung gestellt werden, um sich bei „zertifizierten US-Unternehmen oder den zuständigen Behörden direkt über Datenbearbeitungen zu informieren und Korrekturen und Löschungen durchzusetzen“. Zusätzlich soll ein "Ombudsmechanismus" indirekt auf die Bearbeitung von Personendaten durch US-Sicherheitsbehörden Einfluss nehmen können. In der Schweiz wird der EDÖB den betroffenen Personen als „Anlaufstelle bei Problemen in Zusammenhang mit Datenübermittlungen in die USA zur Verfügung stehen“.

Der Wortlaut des Swiss-US Privacy Shields ist noch nicht öffentlich verfügbar. Drei Monate nach seiner wohl baldigen Veröffentlichung können US-Unternehmen beim U.S. Department of Commerce (DOC) den Zertifizierungsprozess einleiten und anschliessend Personendaten in die USA übermitteln. Eine Liste aller zertifizierten Unternehmen wird auf der Webseite des DOC zur Verfügung gestellt.

Ferner wird der EDÖB seine Liste der Staaten mit einer angemessenen Datenschutzgesetzgebung („Staatenliste“ gemäss Art. 7 VDSG) zu Gunsten der nach Swiss-US Privacy Shield zertifizierten US-Unternehmen anpassen. Dies wird stattfinden, „sobald die USA alle Dokumente des Swiss-US Privacy Shield an die Schweiz übermittelt haben“.

Schliesslich will der EDÖB bei der jährlichen Evaluation des Swiss-US Privacy Shields auf die „tatsächliche Praxis“ sowie die Rechtsentwicklung „besonderen Wert“ legen und die Staatenliste anpassen, wenn dies „angezeigt“ sein sollte.

Michal Cichocki

Art.-29-Datenschutzgruppe (WP29) veröffentlicht Stellungnahme zum EU-US Umbrella Agreement

Die Art.-29-Datenschutzgruppe (WP29) besteht aus Vertretern der EU-Datenschutzbehörden, des Europäischen Datenschutzbeauftragten sowie der EU-Kommission. Sie veröffentlichte Ende Oktober 2016 eine Stellungnahme zum EU-US Umbrella Agreement:

Gemäss WP29 wurden datenschutzrechtliche Aspekte im Bereich der Kooperation der Strafverfolgung bis anhin unzureichend berücksichtigt. Die WP29 begrüsst daher die Schaffung des EU-US Umbrella Agreements; datenschutzrechtliche Sicherheitsmassnahmen werden dadurch wesentlich ausgebaut.

Für die WP29 ist u.a. entscheidend, dass Datensubjekte eine Möglichkeit erhalten, die Überprüfung ihrer Rechte vor US-Gerichten wirksam wahrzunehmen. Die anwendbaren US-Rechtsgrundlagen enthalten aber diesbezüglich Einschränkungen bzw. Voraussetzungen. Aus diesem Grund empfiehlt die WP29 u.a. folgendes:

(i) „(...) requesting from the U.S. government additional assurances explaining and confirming the scope of redress rights granted to data subjects in the EU through the Judicial Redress Act in the law enforcement context“.

(ii) „(...) clarification as to how records from U.S. law enforcement authorities are exempted from the application of the Privacy Act and how this is compatible with the Umbrella Agreement“.

(iii) „(...) some clarifications may be needed in order to ensure that the level of protection of personal data afforded by the Umbrella Agreement is fully consistent with EU law“.

Laut WP29 soll u.a. dem Umstand Rechnung getragen werden, dass im US- sowie EU-Recht Unterschiede bei der Definition von „Personendaten“ sowie „Datenbearbeitung“ bestehen. Ausserdem seien die Einschränkungen für die Auskunftsrechte der Datensubjekte gross; der Zugang könnte durch die Einführung eines „indirect access right mechanism“ verbessert werden.

NB Beim EU-US Umbrella Agreement handelt es sich um ein künftiges Datenschutz-Rahmenabkommen zwischen den USA und der EU im Bereich der Strafverfolgung. Es wurde am 2. Juni 2016 unterzeichnet; die Zustimmung des EU-Parlaments ist noch ausstehend. Das Agreement verfolgt das Ziel, den Datenschutz beim Transfer persönlicher Daten für Strafverfolgungszwecke, namentlich zur „Vorbeugung, Aufdeckung, Untersuchung und Verfolgung von Straftaten, einschliesslich terroristischer Tätigkeiten“ sicherzustellen.

Michal Cichocki

EU-U.S. Privacy Shield ab 1. August 2016 anwendbar

Am 12. Juli 2016 hat die EU-Kommission die EU-U.S. Privacy Shield Regelung (Adäquanzerklärung/Angemessenheitsbeschluss) in Kraft gesetzt. Ab 1. August 2016 wird die Bekanntgabe personenbezogener Daten zwischen den USA und der EU auf der Grundlage des "Privacy Shields" möglich sein. Ausserdem will die EU-Kommission einen Leitfaden veröffentlichen, der die betroffenen Personen über ihre Ansprüche sowie Beschwerdemöglichkeiten orientieren soll.

Bereits am 8. Juli 2016 haben Vertreter der EU-Mitgliedstaaten (Ausschuss „Artikel 31“) der endgültigen Fassung der Privacy Shield Regelung zugestimmt und damit den Weg für die gestrige Inkraftsetzung durch die EU-Kommission geebnet.

Zuvor haben sich sowohl der Europäische Datenschutzbeauftragte sowie die Art. 29- Datenschutzgruppe zur Privacy Shield Regelung geäussert.

Weitere Unterlagen:

- EU-U.S. Privacy Shield Regelung (Text)

- Anhänge

- Q&A

- Factsheet

- Medienmitteilung

Michal Cichocki

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) veröffentlicht Tätigkeitsbericht 2015/2016

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) veröffentlichte am 27. Juni 2016 seinen 23. Tätigkeitsbericht. Dieser deckt den Zeitraum zwischen 1. April 2015 und 31. März 2016 ab und geht u.a. auf folgende Themen ein:

(i) Öffentlichkeitsgesetz: Steigende Anzahl von Zugangsgesuchen (Ziff. 2.2), Positionsbezug gegen die Beschränkung des Öffentlichkeitsprinzips bzw. gegen Ausnahmen von Aufsichts-, Inspektions-, Audit- oder Kontrollberichten vom Geltungsbereich des Öffentlichkeitsgesetzes (Ziff. 2.3.1).

(ii) Datenschutz im Internet: Zugriffsberechtigungen von Smartphone-Apps (Ziff. 1.3.3); Forderung nach einer differenzierten Wahlmöglichkeit für den Publikationskanal der eigenen Telefonnummer sowie Adresse im Rahmen der Revision des Fernmeldegesetzes (Ziff. 1.3.4).

(iii) Sachverhaltsabklärung: Der EDÖB hat eine Sachverhaltsabklärung eröffnet und Microsoft einen Fragekatalog zu den Datenbearbeitungen im Rahmen von Windows 10 zugestellt. Dabei stehen Fragen zum Umfang der übermittelten Daten, zur transparenten Information sowie zur Einwilligung der Datenbearbeitung im Vordergrund (Ziff. 1.3.1).

(iv) Elektronisches Patientendossier: Hinweise auf noch abzuklärende Punkte (Ziff. 1.5.1).

(v) Revision des Urheberrechts: Der EDÖB ist der Ansicht, dass der Informationsanspruch im Zivilverfahren, die Zustellung von Warnhinweisen sowie das für bestimmte Fälle vorgesehene Stay-Down-Verfahren aus Datenschutzsicht problematisch seien (Ziff. 1.8.4).

(vi) Steueramtshilfegesetz: Der EDÖB ist der Auffassung, dass die Bearbeitung von Amtshilfegesuchen, die auf gestohlenen Daten beruhen, gegen das Rechtmässigkeitsprinzip verstösst (Ziff. 1.9.3).

(vii) Safe Harbor/Privacy Shield: Der EDÖB äussert sich zum Urteil des EuGH zu Safe Harbor und zu den Folgen für die Schweiz (Ziff. 1.8.1). Ende 2015 hat der Bundesrat das Staatssekretariat für Wirtschaft (SECO) mit der Aushandlung eines Nachfolgeabkommens mit den USA beauftragt. Damit die Schweiz auch in Zukunft über ein mit der EU vergleichbares Datenschutzniveau verfügt, muss das künftige Abkommen zwischen der Schweiz und den USA mit der "EU-U.S. Privacy Shield Regelung" ebenbürtig sein (vgl. Medienmitteilung vom 27. Juni 2016).

(viii) Privacy by Design: Des Weiteren hebt der EDÖB im Rahmen der Präsentation seines 23. Tätigkeitsberichts u.a. hervor, dass der "Privacy by Design"-Grundsatz ("Pflicht zur Planung und Risikoabschätzung") einen Schwerpunkt seiner Beratungs- sowie Kontrolltätigkeit darstellen wird. Darüber hinaus will sich der EDÖB dafür einsetzen, dass "eine ausdrückliche Verpflichtung zur rechtzeitigen Planung in die Revision der Datenschutzgesetzgebung Eingang findet".

(ix) Echte und faire Wahlmöglichkeiten: Schliesslich will sich der EDÖB dafür einsetzen, dass betroffene Personen "echte und faire Wahlmöglichkeiten" bei der Nutzung unterschiedlicher "staatlicher oder privater Angebote" haben. "Eine selbstbestimmte Wahl setzt voraus, dass alternative Angebote nicht mit Aufgeldern oder administrativen Schikanen verbunden werden" und AGB nachträglich nicht "aufgezwungen" werden dürfen. Für den EDÖB fehlen ausserdem "verbindliche rechtliche Bestimmungen", die "Privacy by Default"-Einstellungen verlangen (vgl. Präsentation 23. Tätigkeitsbericht).

Michal Cichocki

Europäischer Datenschutzbeauftragter veröffentlicht Stellungnahme zum EU-U.S. Privacy Shield

Am 30. Mai 2016 veröffentlichte der Europäische Datenschutzbeauftragte (EDSB) eine Pressemitteilung samt Stellungnahme zum Entwurf der EU-U.S. Privacy Shield Regelung („Opinion 4/2016 - Opinion on the EU-U.S. Privacy Shield draft adequacy decision“).

Der EDSB hält darin u.a. fest, dass wesentliche Verbesserungen ("significant improvements") notwendig seien, sofern die EU-Kommission die EU-U.S. Privacy Shield Regelung verabschieden wolle; dabei geht der EDSB u.a. auf Verbesserungen bei Schutzmechanismen für Datenschutzrechte, den Grundsatz der Verhältnismässigkeit sowie auf die Selbstzertifizierung als kurzfristige Lösung ein.

Ferner gibt der EDSB Empfehlungen zu folgenden Themenbereichen im Zusammenhang mit dem EU-U.S. Privacy Shield ab:

1. Main recommendations
i) Integrating all main data protection principles
ii) Limiting derogations
iii) Improving redress and oversight mechanisms

2. Additional recommendations
i) Provisions on transfers for commercial purposes
 

   a) Fully integrating the data minimisation and data retention principles
   b) Adding safeguards as regards automated processing
   c) Clarifying the purpose limitation principle
   d) Limiting exceptions
   e) Improving redress and oversight
ii) Recommendations regarding access by U.S. authorities
iii) Assessing the impact of other relevant statutes and rules
iv) A meaningful review
v) Interaction with the GDPR

Als Schlussfolgerung hält der EDSB Folgendes fest: „The EDPS welcomes the efforts shown by the parties to find a solution for transfers of personal data from the EU to the U.S. for commercial purposes under a system of self-certification. However, robust improvements are needed in order to achieve a solid framework, stable in the long term“.

NB Mitte April 2016 veröffentlichte die Art.-29-Datenschutzgruppe (WP29) eine "Opinion" sowie ein "Statement" zum EU-U.S. Privacy Shield.

Michal Cichocki

Neue FATCA-Ausnahmebestimmung für Konten von Anwälten und Notaren

Gemäss einer Mitteilung des eidgenössischen Finanzdepartements vom 1. März 2016 wurde zwischen der Schweiz und den USA eine Vereinbarung unterzeichnet, mit der eine Ausnahmebestimmung für Konten von Anwälten und Notaren in das FATCA-Abkommen aufgenommen wurde. Diese Ausnahmebestimmung hat den Vorteil, dass Kunden von Anwälten und Notaren nicht mehr identifiziert werden müssen und somit das Berufsgeheimnis der Anwälte respektive der Notare gewahrt werden kann.

Konkret werden Konten, die von Anwälten und Notaren für deren Kunden insbesondere in Zusammenhang mit gewissen vom gesetzlichen Berufsgeheimnis geschützten Tätigkeiten gehalten werden, neu vom Anwendungsbereich des Foreign Account Tax Compliance Act (FATCA) ausgenommen. Dies gilt bspw. auch für Vermögenswerte im Zusammenhang mit Erbteilungen. Das hat zur Folge, dass das kontoführende Finanzinstitut die Kunden der Anwälte und Notare nicht identifizieren muss, sofern die Anwälte und Notare gegenüber dem Finanzinstitut schriftlich bestätigen, dass die Konten in den Anwendungsbereich der Ausnahme fallen.

Unabhängig davon sind die laufenden Verhandlungen über das neue FATCA-Abkommen im Gang. Dieses wird neu auch den automatischen Datenaustausch zwischen den Steuerbehörden vorsehen.

Urs Kunz

EU-US Privacy Shield: Entwurf des Regelungstextes sowie weitere Dokumente veröffentlicht

Am 29. Februar 2016 veröffentlichte die EU-Kommission den Entwurf des EU-US Privacy Shield Regelungstextes ("Draft adequacy decision" – "Adäquanzerklärung"/"Angemessenheitsbeschluss") sowie zahlreiche weitere Dokumente:

– Draft adequacy decision der EU-Kommission
– Pressemitteilung der EU-Kommission vom 29.02.2016
– Mitteilung der EU-Kommission an das EU-Parlament und den EU-Rat vom 29.02.2016
– Frequently Asked Questions der EU-Kommission vom 29.02.2016
– Factssheet der EU-Kommission
– Schreiben US Department of Commerce an EU-Kommissarin Jourová vom 23.02.2016
– Richtlinien ("EU-US Privacy Shield Framework Principles")
– Schreiben US Aussenministerium an EU-Kommissarin Jourová vom 22.02.2016
– Schreiben US Federal Trade Commission (FTC) an EU-Kommissarin Jourová vom 23.02.2016
– Schreiben US Secretary of Transportation an EU-Kommissarin Jourová vom 19.02.2016
– Schreiben Director of National Intelligence an US Department of Commerce und US International Trade Administration vom 22.02.2016
– Schreiben US Department of Justice an US Department of Commerce und US International Trade Administration vom 19.02.2016

Weiteres Vorgehen
Der Entwurf des EU-US Privacy Shield Regelungstextes wird nun Vertretern der EU-Mitgliedsstaaten sowie der Art. 29-Datenschutzgruppe zur Konsultation bzw. Stellungnahme unterbreitet. Anschliessend wird die EU-Kommission definitiv entscheiden und die Regelung verabschieden. Zwischenzeitlich treffen die USA Vorbereitungen zur Umsetzung von Vorgaben der EU-US Privacy Shield Regelung (bspw. Einrichtung einer Ombudsstelle).

Michal Cichocki