Selbst-Zertifizierung des Datenimporteurs nach dem Safe Harbor-Abkommen

Der Düsseldorfer Kreis hat in der Sitzung vom 28./29. April 2010 eine Handlungsanweisung für deutsche Unternehmen geschaffen, die sich bei der Weitergabe von Daten in die USA auf das Safe-Harbor-Abkommen berufen wollen. Der DK stellt klar, dass eine bloße Berufung auf die Behauptung der Selbstzertifizierung nicht ausreicht sondern auch die Untenrehmenin Deutschland Prüfungs- und Kontrollpflichten haben um den europäischen Datenschutzvorschriften zu genügen.

Hintergrund

Aufgrund EU-Recht ist es unzulässig, Daten aus EG-Mitgliedsstaaten in Staaten zu übertragen, die über kein dem EG-Recht vergleichbares Datenschutzniveau verfügen. Dies trifft auf die USA zu, da diese keine umfassenden gesetzlichen Regelungen kennen, die den Standards der EU entsprechen.

Safe Harbor Wegen der weitgehenden Vernetzung beider Ökonomien wurde mit dem SafeHarborAbkommen eine Lösung gefunden damit der Datenfluss der EU und den USA nicht zum Erliegen kommt. Das Safe-Harbor-Abkommen (englisch für „Sicherer Hafen“) ist eine besondere Datenschutzvereinbarung zwischen der Europäischen Union und den USA, die es europäischen Unternehmen ermöglicht, personenbezogene Daten legal in die USA zu übermitteln.

US-Unternehmen können dem Safe Harbor beitreten und sich auf der entsprechenden Liste des US-Handelsministerium eintragen lassen, wenn sie sich verpflichten, die Safe Harbor Principles und die dazugehörenden – verbindlichen – FAQ zu beachten. Durch diese Meldung an die Federal Trade Commission zertifizieren sich US-Unternehmen quasi selbst. Bislang sind mehr als eintausend Unternehmen dem Safe-Harbor-Abkommen beigetreten, etwa Microsoft, Amazon, Google, Facebook.

Da eine flächendeckende Kontrolle der Selbstzertifizierungen US-amerikanischer Unternehmen durch die Kontrollbehörden in Europa und den USA nicht gewährleistet werden kann, dürfen sich exportierende Unternehmen allerdings nicht mit der bloßen Zertifizierung des us-amerikanischen Importeurs genügen.

Vielmehr müssen sie, darauf weist der Düsseldorfer Kreis in der Sitzung am 28./29. April 2010 hin, haben auch

die Unternehmen in Deutschland eine Verpflichtu…