Datenschutzerklärung

Wir übermitteln personenbezogenen Daten an Stellen, die außerhalb der Europäischen Union sitzen oder dies zumindest nicht ausschließen können (fortan: Drittlandstelle). Gemäß Art. 44 Datenschutzgrundverordnung (DSGVO) sind wir verpflichtet zu garantieren, dass das Schutzniveau der Datenschutzgrundverordnung in diesen Fällen nicht unterschritten wird. Wir weisen darauf hin, dass die Drittlandstelle sowohl ein Verantwortlicher als auch ein Auftragsverarbeiter sein kann.

Art. 45 DSGVO enthält die Datenübermittlung auf der Grundlage eines Angemessenheitsbeschlusses. Sofern wir uns in dieser Datenschutzerklärung darauf berufen bedeutet dies, dass die Drittlandstelle in einem Land, Gebiet oder spezifischen Sektor sitzt, bei dem die EU-Kommission beschlossen hat, dass ein der DSGVO vergleichbar angemessenes Datenschutzniveau besteht. 

Art. 46 Abs. 1 und 5 DSGVO sieht vor, dass eine Datenübermittlung auch aufgrund von sog. Standardvertragsklauseln möglich ist. Sofern wir uns auf Standardvertragsklauseln berufen ist sichergestellt, dass die Drittlandstelle diese akzeptiert und sich damit zur Einhaltung eines der DSGVO vergleichbaren Datenschutzniveaus verpflichtet hat.

Abschließend besteht die Möglichkeit, dass wir uns bei der Datenübermittlung an die Drittlandstelle auf Ihre Einwilligung gemäß Art. 29 Abs. 1 lit. a DSGVO berufen. Dies bedeutet, dass Sie über alle bestehenden möglichen Risiken hinsichtlich einer Datenübermittlung, bei der kein Angemessenheitsbeschluss oder andere Garantien bestehen, informiert wurden und der Datenübermittlung dennoch zugestimmt haben.

Die entsprechenden Risiken schildern wir Ihnen an den entsprechenden Stellen dieser Datenschutzerklärung.

Information: EU-Standardvertragsklauseln und Drittlandstellen mit Sitz in den USA

Ergänzend zu den Ausführungen unter „Datenübermittlung an Stellen außerhalb der Europäischen Union“ – weisen wir Sie auf eine Sonderkonstellation hin.

Bei Datenübermittlungen an Stellen mit Sitz in den USA besteht die Möglichkeit, sich auf die EU-Standardvertragsklauseln zu berufen, nur eingeschränkt. Sofern wir also beabsichtigen, uns in diesem Zusammenhang auf die EU-Standardvertragsklauseln zu berufen (oder dies bereits tun), weisen wir auf folgendes hin:

Wir stützen die Übermittlung personenbezogener Daten an Stellen in den USA nur dann auf Standardvertragsklauseln, wenn wir den Sachverhalt zuvor gründlich geprüft haben. Wir führen hierzu zunächst eine Risikobewertung durch. Hierbei beachten wir insbesondere die Art und Sensibilität der betroffenen Daten, den Umfang und Zweck der Datenverarbeitung sowie die Missbrauchsanfälligkeit.

Daraufhin prüfen wir, ob die betreffende Stelle, die die personenbezogenen Daten verarbeitet ausreichende technische und organisatorische Maßnahmen (z.B. Verarbeitung von Daten ausschließlich in europäischen Rechenzentren, Verschlüsselungen) getroffen hat, um die vorab festgestellten Risiken ausreichend zu minimieren. Nur sofern wir nach dieser umfassenden Prüfung zu dem Ergebnis gekommen sind, dass die EU-Standardvertragsklauseln ausnahmsweise ein hinreichendes Datenschutzniveau gewährleisten, werden wir uns darauf berufen.

Wir weisen auf diese Möglichkeit lediglich vorsorglich hin. Es besteht auch die Möglichkeit, dass wir in dieser Erklärung hierauf keinen Bezug nehmen, da wir davon keinen Gebrauch machen.

Information: Einwilligung in die Übermittlung an Drittlandstellen mit Sitz in den USA, einschließlich der Risikohinweise

Ergänzend zu den Ausführungen unter „Datenübermittlung an Stellen außerhalb der Europäischen Union“ – weisen wir Sie auf eine weitere Sonderkonstellation hin.

Wie bereits geschildert ist die Möglichkeit sich bei einer Datenübertragung an eine Stelle in den USA auf EU-Standardvertragsklauseln zu berufen nur eingeschränkt möglich. Daher bleibt in einigen Fällen nur die Möglichkeit Ihre Einwilligung zur Übermittlung der Daten einzuholen.

Vor Erteilung dieser Einwilligung, bitten wir Sie die folgenden Risiken zur Kenntnis zu nehmen und bei Ihrer Entscheidung zu berücksichtigen, ob Sie Ihre Einwilligung erteilen.

Wir weisen Sie mit Nachdruck darauf hin, dass eine Datenübermittlung in die USA ohne den Schutz eines Angemessenheitsbeschlusses unter Umständen mit erheblichen Risiken verbunden ist. Es ist insbesondere auf folgende Risiken hinzuweisen:

1. In den USA existiert kein einheitliches Datenschutzrecht; insbesondere nicht ein solches, das mit dem in der EU geltenden DSGVO vergleichbar wäre. Das bedeutet, dass sowohl US-Unternehmen als auch staatliche Stellen mehr Möglichkeiten haben, Ihre personenbezogenen Daten zu verarbeiten, insbesondere zur werblichen Ansprache, Profilbildung und Durchführung von (strafrechtlichen) Ermittlungen. Unsere Möglichkeiten, dagegen vorzugehen sind erheblich eingeschränkt.
2. Der US-Gesetzgeber hat sich zahlreiche Zugriffsrechte auf Ihre personenbezogenen Daten zugebilligt (vgl. etwa Section 702 des FISA oder die E.O. 12333 i.V.m. PPD-28 und Cloud Act 2018), die mit unserem Rechtsverständnis nicht vereinbar sind. Insbesondere findet vor dem Zugriff keine Verhältnismäßigkeitsprüfung statt, wie es in der EU üblich ist.
3. Bürger der Europäischen Union haben in den USA keinen effektiven Rechtsschutz zu erwarten.
4. Wir werden Sie in der Regel nur dann um eine solche Einwilligung bitten, wenn wir zu dem Ergebnis gekommen sind, dass die US-Drittlandstelle sich nicht erfolgreich auf EU-Standardvertragsklauseln berufen kann.