Patriot Act & Datenschutz

2. Agenda'
Basics'des'Datenschutzrechts'–'Grundlagen'
Wich6gste'Begriffe'
Wer'ha8et'für'die'Daten?'
2'
Zulässigkeit'von'Cloud'Compu6ng'/'USA'Patriot'Act,'etc.'

3. Agenda'
Basics&des&Datenschutzrechts&–&Grundlagen&
Wich6gste'Begriffe'
Wer'ha8et'für'die'Daten?'
3'
Zulässigkeit'von'Cloud'Compu6ng'/'USA'Patriot'Act,'etc.'

4. Jedermann&hat'Anspruch'auf'Geheimhaltung&seiner&Daten!&
Ursprung:'Grundrecht'auf'Achtung'des'Privat9&und'Familienlebens&
Geheimhaltung'gegenüber'Staat'und'Privaten'
Schutz'vor'Ermi=lung&und'Weitergabe&
Voraussetzung:''
Personenbezogene'Daten'
Schutzwürdiges'Interesse'
Rechtsgrundlage'Datenschutzgesetz'2000'
Daten'öffentlich'/'anonym?'
4'
Bild:'www.lebensraumVbonn.com/datenschutz.html'

5. Bild:'www.lebensraumVbonn.com/datenschutz.html'
Wich6gste'Begriffe'des'Datenschutzgesetzes'
5'
Defini@onen&in&§&4&DSG&2000&
Personenbezogene&Daten:&
Iden6tät'bes@mmt'(Name)'oder'bes@mmbar&(Verschlüsselung)'
Wenn'nicht&feststellbar&!'DSG'nicht'anzuwenden'
AuIraggeber:&Tri'Entscheidung,'Daten'zu'verwenden'
...'verwendet'selbst'oder'setzt'dafür'Dienstleister'ein'
Dienstleister:&Verwendet'Daten''
(nur)'für'Durchführung'des'Au8rags'
AuskunIs9,&Rich@gstellungs9&und&Löschungsverpflichtungen&
treffen&immer&den&AuIraggeber!& !&

6. Rechtsgrundlage'Datenschutzgesetz'2000''
6'
§&6&–&§&8&DSG&
Ausnahme&von&diesem&Verbot?&
Zweck&und'Inhalt'von'
gesetzlichen&Zuständigkeiten&/&rechtlichen&Befugnissen&gedeckt'und'
schutzwürdige&Geheimhaltungsinteressen&gewahrt'
Verarbeitung&
von&Daten&ist&
grundsätzlich&
verboten!&

7. Agenda'
Basics'des'Datenschutzrechts'–'Grundlagen'
Wich@gste&Begriffe&
Wer'ha8et'für'die'Daten?'
7'
Zulässigkeit'von'Cloud'Compu6ng'/'USA'Patriot'Act,'etc.'

8. Wich6gste'Begriffe'des'Datenschutzgesetzes'
8'
Defini@onen&in&§&4&DSG&2000&
Personenbezogene&Daten:&
Iden6tät'bes@mmt'(Name)'oder'bes@mmbar&(Verschlüsselung)'
Wenn'nicht&feststellbar&!'DSG'nicht'anzuwenden'
AuIraggeber:&Tri'Entscheidung,'Daten'zu'verwenden'
...'verwendet'selbst'oder'setzt'dafür'Dienstleister'ein'
Dienstleister:&Verwendet'Daten''
(nur)'für'Durchführung'des'Au8rags'
Bild:'www.lebensraumVbonn.com/datenschutz.html'

9. AuIrag9&
geber'
Betroffener&
Dienstleister'
Dienstleister/&
vertrag&
Rechtschutzbehelfe&
Wich6gste'Begriffe'des'Datenschutzgesetzes'
9'
Entscheidung'über'
Datenverwendung'
Datenschutzrechtliche'
Verantwortung' Verwendet'überlassene'
Daten...'
zur'Durchführung'des'
Au8rags'

10. Wich6gste'Begriffe'des'Datenschutzgesetzes'
10'
AuIrag9&
geber'
Betroffener&
Dienstleister'
Dienstleister)*
vertrag*
Rechtschutzbehelfe&
Entscheidung'über'
Datenverwendung'
Datenschutzrechtliche'
Verantwortung' Verwendet'überlassene'
Daten...'
zur'Durchführung'des'
Au8rags'

11. Nutzung'Office'365'–'Was'passiert'rechtlich?'
11'
Datentransfer&
Cloud9Benützer&von'MS'Office'365'(Bank,'Unternehmen,'Arzt,'etc.)'ist'
AuIraggeber&im'Sinne'des'Datenschutzgesetzes'
Kunde'des'CloudVBenützers'ist'Betroffener&
Überlassung&von'Daten'an'Dienstleister&(='Microso8'='CloudVAnbieter)'
Microso8'tri'keine'eigene'Entscheidung'zur'Datenverwendung'
Bild:'www.slankerzonderdieet.nl/programma/paragraphVkopie/''

12. Agenda'
Basics'des'Datenschutzrechts'–'Grundlagen'
Wich6gste'Begriffe'
Wer'ha8et'für'die'Daten?'
14'
Zulässigkeit&von&Cloud&Compu@ng&/&USA&Patriot&Act,&etc.&

13. Datenschutzrechtliche'Zulässigkeit'des'Cloud'Compu6ng'
15'
Zulässige&Datenverarbeitung:&&
Zweck'und'Inhalt'gedeckt,'keine'schutzwürdigen'Interessen'verletzt'
Innerhalb&EWR& Außerhalb&EWR&
Nur'Abschluss'Dienstleistervertrag'nö6g''
(hier:'Vertrag'mit'Microso8)'
Keine'Genehmigungspflicht'durch'
Datenschutzbehörde'
Grundsätzlich'Genehmigung'durch'
Datenschutzbehörde'erforderlich'
Außer'Ausnahmetatbestand'erfüllt''
(zB'Zus6mmung,'SafeVHarbor,'StandardV'
vertragsklauseln)'

14. Datenschutzrechtliche'Zulässigkeit'innerhalb'des'EWR'
16'
Keine&Genehmigungspflicht&des'Datentransfers'durch'Datenschutzbehörde!'
Abschluss'eines'schri8lichen'Dienstleistervertrags'erforderlich'
Gilt'für'Datenüberlassung'innerhalb:&
des'(inländischen)'Unternehmens''''
Österreichs'
des'EWR'

15. Datenschutzrechtliche'Zulässigkeit'außerhalb'des'EWR'
17'
Keine&Genehmigungspflicht&des'Datentransfers'in&gleichgestellte&Dri=staaten&
Schweiz,'Argen6nien,'Uruguay,'Neuseeland,'Kanada,'Israel'...&

16. 1'hmp://safeharbor.export.gov/list.aspx'
Datenschutzrechtliche'Zulässigkeit'außerhalb'des'EWR'
18'
Eintrag&in&&Safe&Harbor9Liste1&prüfen!& !&
Keine&Genehmigungspflicht&des'Datentransfers'in&gleichgestellte&Dri=staaten&
Schweiz,'Argen6nien,'Uruguay,'Neuseeland,'Kanada,'Israel'...'
...'und'Unternehmen'der'USA,'die'sich'zur'Einhaltung'des'„Safe&Harbor“9Abkommens&verpflichten&

17. hmp://safeharbor.export.gov/list.aspx'
Safe'Harbor'Liste'
19'
!&
Rechtsfolge:'
Genehmigungsfreie&
Datenübermimlung'in'USA'

18. 1'„Europe'vs'Facebook“'(Maximilian'Schrems):'Entscheidung'vom'18.'Juni'2014,'GZ:'2013'No.'765JR'
Exkurs:'Facebook'vs.'Max'Schrems:'EuGH'zu'Safe'Harbor'
20'
Safe&Harbor&Abkommen&–&Irisches&Höchstgericht&legt&EuGH&Fragen&zu&Rechtmäßigkeit&vor&
Aktuelles&Verfahren1&9&Ausgangslage:&&
Basierend'auf'Entscheidung&der&EU&Kommission&im'Jahr'2000:''''
Datenübermimlung'in'USA'zulässig'bei'Unterwerfung'unter'Safe'Harbor'
Snowden&Affäre&zeigt:'NSA'grei8'anscheinend'umfassend'auf'
personenbezogene'Daten'von'EUVBürgern'zu'
EuGH:&Prüfung&ob'Safe'Harbor'Abkommens'(immer'noch)''
mit'EUVGrundV'&'Datenschutzrechten'vereinbar'
Derzeit&keine&Änderung&–&„Safe&Harbor&is&s@ll&safe!“& !&

19. Datenschutzrechtliche'Zulässigkeit'außerhalb&des'EWR'
21'
Keine&Genehmigungspflicht&des'Datentransfers'in&gleichgestellte&Dri=staaten&
Schweiz,'Argen6nien,'Uruguay,'Neuseeland,'Kanada,'Israel'...'
...'und'Unternehmen'der'USA,'die'sich'zur'Einhaltung'des'„Safe&Harbor“9Abkommens&verpflichten&
(...oder'Verwendung'von'EU9Standardvertragsklauseln)'

20. 1'Inkl.'Standardvertragsklauseln:'Enterprise'Enrollment'Addendum'Microso8'Online'Services'Data'Processing'Agreement'&'Annex'1'
Verwendung'von'EUVStandardvertragsklauseln'
22'
Rechtsfolge:&Angemessenes&Datenschutzniveau&gilt'als'nachgewiesen'
In'Zukun8:'Bloße'Anzeige9&sta=&Genehmigungspflicht&durch'DSB'
Aber:&Bisher'keine'na6onale'Umsetzung'
Ar@kel&29&Gruppe:&MS&Datenverarbeitungsklauseln1&geprüI&
Unabhängige&EU9Datenschutzgruppe&bestä@gt&Datenschutzkonformität&von&MS&Office&365&
!&Derzeit'weiterhin'
Genehmigungspflicht!'
&9&Ergebnis:&Entspricht'DienstleisterVStandardvertragsklauseln'(2010/87/EG)'
'

21. 1'Bspw'§'54'ÄrzteG,'§'38'BWG,'§'9'RAO,'§'37'NO''
2'§'14'DSG'
Verschwiegenheitspflichten'&'branchenspezifische'
Zulässigkeit'
23'
Exkurs&
Daten'nur'im&Rahmen&der&AuIräge&des'CloudVBenutzers'verwenden'
Verschwiegenheits9&&&Geheimhaltungspflichten:&
Kein&allgemeines&Verbot&der'Überlassung'von'Daten'
Au8raggeber'muss'Sondergesetze1'beachten'–'„Was'darf'ich?“'
Einhaltung'der'Datensicherheitsmaßnahmen2,'uA:'
Muss'Mitarbeiter'zur'Einhaltung'des'Datengeheimnisses&verpflichten'
CloudVNutzer'muss'eigene&Verschwiegenheitspflichten&auf&Dienstleister&überbinden!&

22. 1'Electronic'Communica6ons'Privacy'Act'(1986)''
2'Foreign'Intelligence'Surveillance'Act'(1978)'
3'Microso8'Law'Enforcement'Requests'Report'2013,'2014'(Zeitraum'Juli'2013'V'Juni'2014)'
Vereinbarkeit'Datenschutzrecht'von'EU'&'USA'
Patriot&Act&&&PRISM&
USA&Patriot&Act&of&2001&
„Uni6ng'and'Strengthening'America'by'Providingg'Appropriate'Tools'
Required'to'Intercept'and'Obstruct'Terrorism'Act“''
PRISM&9&Digitales&Überwachungsprogramm&
Rechtsgrundlagen:'USA'Patriot'Act,'ECPA1,'FISA2'
Auf'Antrag'offengelegte'Inhaltsdaten'durch'MS3:'Null'
Vergleichbare'Überwachungsprogramme'exis6eren'
...'auch'in'Europa'
...'uzw'seit'Jahrzehnten'

23. Schutzniveau&vergleichbar&zu'EUVStaaten'(Bilaterale'Verträge!)'
Strenge&Rechtsfer@gungsgründe&für'Datenzugriff'auf'Cloud:''
Betri'nur'Strafsachen&&&Terror9/Spionagebekämpfung&
Nur'als'Ausnahme'von'konven6onellen'Methoden'
Gerichtsbeschluss/Durchsuchungsbefehl&
Hinreichender&Tatverdacht&&
Verbot'freiwilliger'Herausgabe''
Benachrich@gungspflicht&
des'Kunden'
Vereinbarkeit'Datenschutzrecht'von'EU'&'USA'
zwingende'Voraussetzung'
Patriot&Act&&&PRISM&
!&
Fazit:&
Datenzugriff'nur'in'Ausnahmefällen.'
Interna6onaler'Standard.'

24. 1'GZ:'13VMAGV2814;'M9V150'
2'Brief'for'Appellant,'08.12.2014;'Volltext:'hmp://digitalcons6tu6on.com/wpVcontent/uploads/2014/12/Microso8VOpeningVBriefV120820141.pdf'
Vereinbarkeit'Datenschutzrecht'von'EU'&'USA'
26'
US9Strafverfahren:&Zugriff&von&US9Behörden&auf&Daten&in&EU&
Aktuelles&Verfahren1&gegen&MicrosoI&–&Ausgangslage:&
US9Behörden'verlangen'Zugriff'auf'in&EU&gespeicherte&Daten&
Grundlage:&Durchsuchungsbefehl'in'USVStrafverfahren''
Microso8'in'2'Instanzen'zur&Herausgabe&verurteilt&&
Sank6onen'vorerst'ausgesetzt'(keine'Datenherausgabe)&
Neuester&Stand:'Microso8VRechtsmimel2'eingebracht'
!&
Top'aktuell:'
MicrosoI&Presseseite&&&&
hmp://digitalcons6tu6on.com'

25. Key'Points'to'Remember'
Ist'eine'Datenanwendung'zulässig,'kann'der'Kunde'die'Daten'
auch'in'die'Cloud'geben'(innerhalb'des'EWR)&
CloudVSpeicherung'in'EWR'&'Safe'Harbor'grds.'genehmigungsfrei&
Patriot'Act/PRISM:'Schreckgespenst!&Möglichkeit'des'Datenzugriffs'
durch'Behörden'nicht'höher'als'bei'uns'

26. Vielen'Dank'für'Ihre'Aufmerksamkeit!'
Dr.&Stephan&Winklbauer,&LL.&M.&
Partner,'Rechtsanwalt'
&
aringer&herbst&winklbauer&rechtsanwälte&
1010'Wien,'Grillparzerstraße'5'
+43'1'890'90'17'
winklbauer@ahwlaw.at'
28'