Die Arti­kel-29-Daten­schutz­grup­pe hat den Ent­wurf von Leit­li­ni­en zu Art. 49 DSGVO vor­ge­legt. Bis am 26. März 2018 kön­nen sich inter­es­sier­te Krei­se dazu äussern.

Art. 49 DSGVO erlaubt die Bekannt­ga­be von Per­so­nen­da­ten in einen Dritt­staat in bestimm­ten Aus­nah­me­fäl­len, u.a. mit der aus­drück­li­chen Ein­wil­li­gung der betrof­fe­nen Per­so­nen, für die Erfül­lung oder die Vor­be­rei­tung eines Ver­trags das ande­ren Grün­den. Die Art.-29-Gruppe schlägt dar­in u.a. fol­gen­de Leit­li­ni­en vor:

    • Die Aus­nah­me­be­stim­mun­gen von Art. 49 DSGVO sind gene­rell restrik­tiv aus­zu­le­gen und kön­nen nur in Ein­zel­fäl­len ange­ru­fen wer­den;
    • Art. 49 DSGVO kann nicht ange­ru­fen wer­den, um Art. 48 DSGVO aus­zu­he­beln. Daten­über­mitt­lun­gen, die auf ein Rechts­hil­fe­über­ein­kom­men (Mutu­al Legal Assi­stan­ce Trea­ty, MLAT) gestützt wer­den kön­nen, soll­ten daher nicht auf durch Art. 49 DSGVO legi­ti­miert wer­den;
    • die Ein­wil­li­gung in die über­mitt­lung von Per­so­nen­da­ten in Dritt­län­der ist nur wirk­sam, wenn sie aus­drück­lich erfolgt und sich spe­zi­fisch auf die Daten­über­mitt­lung bezieht; die ein­wil­li­gen­de Per­son muss zudem aus­rei­chend infor­miert wer­den, u.a. über die fol­gen­den Punk­te:
      • die kon­kre­ten Risi­ken, die mit der Bekannt­ga­be ver­bun­den sind, etwa dass Bear­bei­tungs­grund­sät­ze nicht gel­ten oder kei­ne Auf­sichts­be­hör­de exi­stiert (je nach­dem; die­se Hin­wei­se kön­nen aber aus­drück­lich stan­dar­di­siert wer­den, müs­sen also nicht in jeden Ein­zel­fall ange­passt wer­den);
      • die Emp­fän­ger,
      • die Emp­fän­ger­staa­ten,
      • die Tat­sa­che, dass die Über­mitt­lung auf der Ein­wil­li­gung beru­hen soll,
      • die Tat­sa­che, dass für die Emp­fän­ger­staa­ten ein Ade­qua­cy Fin­ding fehlt.
    • bei der Über­mitt­lung zur Ver­trags­er­fül­lung bzw. -anbah­nung wird ein stren­ger Mas­stab ange­wandt. Die Über­mitt­lung an ande­re Kon­zern­ge­sell­schaf­ten für Sha­red Ser­vices im HR-Bereich etwa kön­ne nicht auf die­sen Tat­be­stand gestützt wer­den;
    • die Über­mitt­lung aus wich­ti­gen Grün­den des öffentlichen Interesses kom­me nicht schon des­halb infra­ge, weil eine aus­län­di­sche Behör­de eine Unter­su­chung im öffent­li­chen Inter­es­se füh­re. Erfor­der­lich sei viel­mehr, dass auch die Über­mitt­lung an die unter­su­chen­de aus­län­di­sche Behör­de im öffent­li­chen Inter­es­se der EU oder eines Mit­glied­staats lie­ge; dabei sei­en auch Gegen­sei­tig­keits­er­wä­gun­gen zu beach­ten (dazu vgl. hier);
    • die Über­mitt­lung zur Gel­tend­ma­chung, Aus­übung oder Ver­tei­di­gung von Rechtsansprüchen umfasst u.a. die Über­mitt­lung im Zusam­men­hang mit straf- oder ver­wal­tungs­recht­li­chen Ver­fah­ren, auch etwa im Rah­men einer pre-tri­al-Dis­co­very oder zur Pro­zess­vor­be­rei­tung, solan­ge das ent­spre­chen­de Ver­fah­ren nicht nur eine theo­re­ti­sche Mög­lich­keit dar­stellt. Zuläs­sig sei jeweils aber nur die für die betref­fen­den Zwecke not­wen­di­gen Daten.

Posted by David Vasella

RA Dr. David Vasella ist Rechtsanwalt bei FRORIEP. Er ist auf IT-, Datenschutz- und Immaterialgüterrecht spezialisiert und ist Lehrbeauftragter der Universität Zürich. Er ist Gründer von swissblawg.