\documentclass{scrartcl}
\usepackage[mathletters]{ucs}
\usepackage[utf8x]{inputenc}
\usepackage{amssymb}
\usepackage{amsmath}
\usepackage[usenames]{color}
\usepackage{hyperref}
\usepackage{wasysym}
\usepackage{graphicx}
\usepackage[normalem]{ulem}
\usepackage{enumerate}

\usepackage{listings}

\lstset{ %
basicstyle=\footnotesize,       % the size of the fonts that are used for the code
showspaces=false,               % show spaces adding particular underscores
showstringspaces=false,         % underline spaces within strings
showtabs=false,                 % show tabs within strings adding particular underscores
frame=single,                   % adds a frame around the code
tabsize=2,                      % sets default tabsize to 2 spaces
breaklines=true,                % sets automatic line breaking
breakatwhitespace=false,        % sets if automatic breaks should only happen at whitespace
}


\title{NoName e.V.:Chaotische Viertelstunde:01 Das Ende von Safe Harbour}
\date{Donnerstag 22 Oktober 2015}
\author{}

\begin{document}

\maketitle

		\section{01 Das Ende von Safe Harbor}

Created Dienstag 13 Oktober 2015



\subsubsection{Teil 0: Disclaimer}



\begin{itemize}
\item ich (die Vortragende bzw. Erstellerin dieser Notizen) habe keine juristische Ausbildung
\item während ich versucht habe, nach bestem Wissen und Gewissen die Aussagen zusammenzutragen, bitte ich folgendes zu beachten
	\begin{itemize}
	\item der Vortrag / diese Notizen können Aussagen enthalten, die nicht vollständig und / oder korrekt wiedergegeben wurden, oder die nicht mehr aktuell sind
		\begin{itemize}
		\item der Vortrag / diese Notizen enthalten Zusammenfassungen, und erheben damit keinen Anspruch auf Vollständigkeit
		\item der Vortrag / diese Notizen enthalten Aussagen, die aus dem Englischen in das Deutsch von mir übersetzt wurden, und die deswegen unter Umständen nicht korrekt wiedergegeben sind
		\end{itemize}
	\end{itemize}
\item die Quellen zu den Aussagen befinden sich als Link in dem Punkt *vor* den Aussagen
\end{itemize}


\subsubsection{Teil 1: Hintergründe}



\paragraph{Was ist das "Safe Harbor Framework" noch gleich?}

\begin{itemize}
\item \href{http://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:31995L0046&from=DE}{http://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:31995L0046\$from=DE}
\item Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24 Oktober 1995
	\begin{itemize}
	\item "die Übermittlung personenbezogener Daten ... in ein Drittland ... zulässig ist, wenn dieses Drittland ein angemessenes Schutzniveau gewährleistet." (Artikel 25 Absatz 1)
		\begin{itemize}
		\item "Stellt die Kommission fest ..., daß ein Drittland kein angemessenes Schutzniveau ... aufweist, so treffen die Mitgliedsstaaten die erforderlichen Maßnahmen, damit keine gleichartige Datenübermittlung in das Drittland erfolgt." (Artikel 25 Absatz 4)
		\item "Die Kommission kann ... feststellen, daß ein Drittland aufgrund seiner innerstaatlichen Rechtsvorschriften oder internationaler Verpflichtungen ... hinsichtlich des Schutzes der Privatsphäre sowie der Freiheiten und Grundrechte von Personen ein angemessenes Schutzniveau ... gewährleistet." (Artikel 25 Absatz 6)
		\end{itemize}
	\end{itemize}
\item \href{http://www.export.gov/safeharbor/index.asp}{http://www.export.gov/safeharbor/index.asp}
\item "Safe Harbor Framework"
	\begin{itemize}
	\item 7 Privacy Principles
	\item Einhaltung dieser Privacy Principles kann u.a. begrenzt sein durch
		\begin{itemize}
		\item nationale Sicherheit
		\item öffentliches Interesse
		\item Strafverfolgung
		\item Rechtssprechung
		\item Notice
			\begin{itemize}
			\item Zweck zu dem die Daten gesammelt werden
			\item Kontakt
			\item Typ von Dritten mit denen die Daten geteilt werden
			\end{itemize}
		\item Choice
			\begin{itemize}
			\item wenn die Daten an Dritte weitergegeben werden sollen / für einen anderen Zweck als die ursprünglich angegebenen
				\begin{itemize}
				\item für nicht-sensible Daten opt-out Mechanismus
				\item für sensible Daten opt-in Mechanismus
				\end{itemize}
			\end{itemize}
		\item Onward Transfer
			\begin{itemize}
			\item wenn Daten an Dritte weitergegeben werden, muss sichergegangen werden, daß sie entweder
				\begin{itemize}
				\item den EU-Datenschutzrichtlinien entsprechen, oder
				\item dem "Safe Harbour Framework", oder
				\item äquivalente Abkommen
				\end{itemize}
			\end{itemize}
		\item Security
			\begin{itemize}
			\item Daten müssen vor Verlust, Missbrauch, unberechtigtem Zugriff, Veröffentlichung, Veränderung und Zerstörung geschützt werden
			\end{itemize}
		\item Data Integrity
			\begin{itemize}
			\item die Daten müssen für den Zweck, für den sie erhoben worden sind, relevant sein
			\item die Daten müssen zuverlässig, korrekt, komplett und aktuell sein
			\end{itemize}
		\item Access
			\begin{itemize}
			\item es muss Zugang zu den Daten bestehen, um sie gegebenfalls verbessern, ergänzen oder löschen zu können, falls sie falsch sind
				\begin{itemize}
				\item falls der Aufwand diesen Zugang zu ermöglichen vertretbar ist
				\item falls nicht die Rechte einer anderen Person / Organisation dadurch verletzt werden
				\end{itemize}
			\end{itemize}
		\item Enforcement
			\begin{itemize}
			\item zugängliche und bezahlbare Einrichtungen um Beschwerden / Streitigkeiten zu untersuchen / Entschädigungen zu leisten
			\item Kontrollmechanismen für die tatsächliche Umsetzung des "Safe Harbor Framework"
			\item Verpflichtungen zur Umsetzung / Strafen für Nicht-Umsetzung
			\end{itemize}
		\item und 15 FAQ, betreffend
			\begin{itemize}
			\item Sensible Daten
				\begin{itemize}
				\item Fälle in denen der opt-in \textbf{nicht} nötig ist
				\end{itemize}
			\item Journalismus
				\begin{itemize}
				\item Pressefreiheit steht über dem "Safe Harbor Framework"
				\end{itemize}
			\item Selbstzertifizierung
			\item Verifizierung
				\begin{itemize}
				\item in-house
				\item externe Überprüfung
				\end{itemize}
			\item Access
				\begin{itemize}
				\item Zugangsrecht ist \textbf{nicht} garantiert
					\begin{itemize}
					\item z.B. bei Unverhältnismäßigkeit des Aufwands
					\item z.B. wenn nicht-vertrauliche Informationen nicht von vertraulichen Informationen getrennt werden können
					\end{itemize}
				\end{itemize}
			\item Choice
				\begin{itemize}
				\item \textbf{opt-out} sollte jederzeit möglich sein
					\begin{itemize}
					\item wenn praktikabel
					\end{itemize}
				\end{itemize}
			\item ...
			\end{itemize}
		\end{itemize}
	\item freiwillige Selbstzertifizierung
		\begin{itemize}
		\item bei der U.S. Department of Commerce anzeigen
			\begin{itemize}
			\item Brief mit
				\begin{itemize}
				\item Daten des Unternehmens
				\item Verarbeitung der Daten aus der E.U.
				\item Datenschutzrichtlinien für die Daten aus der E.U.
				\end{itemize}
			\item Brief + Eintrag in U.S.-E.U. Safe Harbor List werden veröffentlicht
			\item jährlich
			\end{itemize}
		\item U.S.-E.U. Safe Harbor List
		\end{itemize}
	\item Kontrollinstanz ist die U.S. Federal Trade Commission
	\item Entscheidung der Kommission vom 26. Juli 2000 (2000/520/EG)
	\end{itemize}
\end{itemize}


\paragraph{PRISM}

\begin{itemize}
\item im Juni 2013 werden den Zeitungen "The Guardian" und "The Washington Post" Details zu dem PRISM-Programm veröffentlicht
	\begin{itemize}
	\item \href{https://www.washingtonpost.com/investigations/us-intelligence-mining-data-from-nine-us-internet-companies-in-broad-secret-program/2013/06/06/3a0c0da8-cebf-11e2-8845-d970ccb04497_story.html}{https://www.washingtonpost.com/investigations/us-intelligence-mining-data-from-nine-us-internet-companies-in-broad-secret-program/2013/06/06/3a0c0da8-cebf-11e2-8845-d970ccb04497\_story.html}
	\item \href{http://www.theguardian.com/world/2013/jun/06/us-tech-giants-nsa-data}{http://www.theguardian.com/world/2013/jun/06/us-tech-giants-nsa-data}
	\end{itemize}
\item angebliche Kooperation von U.S.-amerikanischen Internet-Firmen mit der NSA und dem FBI / dem GCHQ
	\begin{itemize}
	\item Zugang zu den Nutzerdaten von nicht-U.S.-amerikanischen Nutzern / U.S.-amerikanischen Nutzern in Kommunikation mit nicht-U.S.-amerikanischen Nutzern
		\begin{itemize}
		\item Audio + Video Chats
		\item Videos
		\item Fotografien
		\item E-Mails
		\item Dokumentübertragungen
		\item Verbindungsdaten
		\item soziale Netzwerkdaten
		\end{itemize}
	\item Microsoft, Yahoo, Google, Facebook, PalTalk, AOL, Skype, YouTube, Apple
		\begin{itemize}
		\item Dementi
		\end{itemize}
	\end{itemize}
\end{itemize}


\paragraph{Beschwerden und Klage}

\begin{itemize}
\item \href{http://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:62014CJ0362&from=DE}{http://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:62014CJ0362\$from=DE}
\item die Wiener Datenschutzorganisation europe-v-facebook.org (\href{http://www.europe-v-facebook.org/DE/de.html}{http://www.europe-v-facebook.org/DE/de.html}) gegründet von Max Schrems 
\item legt im Juni 2013 Beschwerde ein gegen:
	\begin{itemize}
	\item Apple und Facebook (in Irland)
		\begin{itemize}
		\item Beschwerde gegen Facebook von Max Schrems persönlich
		\item bei Anmeldung Vertrag mit Facebook Irland
			\begin{itemize}
			\item personenbezogene Daten werden in die U.S.A. zur Verarbeitung transferiert
			\item diese Übermittlung von den Daten von Max Schrems soll die irische Datenschutzbehörde verhindern
				\begin{itemize}
				\item Argument: PRISM
				\end{itemize}
			\end{itemize}
		\end{itemize}
	\item Skype und Microsoft (in Luxemburg)
		\begin{itemize}
		\item Bearbeitung der Beschwerde
			\begin{itemize}
			\item PRISM wäre illegal
			\item Teilnahme an PRISM wurde dementiert
			\end{itemize}
		\end{itemize}
	\item Yahoo (in Deutschland)
		\begin{itemize}
		\item läuft
		\end{itemize}
	\end{itemize}
\item die zuständige Datenschutzbehörde in Irland sieht keinen Handlungsbedarf
	\begin{itemize}
	\item die Rechtsansicht, daß PRISM illegal ist, ist "frivol" -- die Beschwerde muß nicht bearbeitet werden
	\end{itemize}
\item im Oktober 2013 wird die Klagschrift eingereicht
	\begin{itemize}
	\item \href{http://www.europe-v-facebook.org/JR_Grounding_Documents.pdf}{http://www.europe-v-facebook.org/JR\_Grounding\_Documents.pdf}
	\end{itemize}
\end{itemize}


\subsubsection{Teil 2: Das Urteil und Reaktionen}



\paragraph{Das Urteil}

\begin{itemize}
\item am 6.10.2015 das Urteil des EuGH
	\begin{itemize}
	\item \href{https://www.datenschutz-guru.de/2015/10/safe-harbor-webinar/}{https://www.datenschutz-guru.de/2015/10/safe-harbor-webinar/}
	\item \href{http://eur-lex.europa.eu/legal-content/DE/ALL/?uri=CELEX:62014CJ0362}{http://eur-lex.europa.eu/legal-content/DE/ALL/?uri=CELEX:62014CJ0362}
	\item das "Safe Harbor Framework"
		\begin{itemize}
		\item bietet keine wirksamen Kontrollmechanismen
		\item ermöglicht unbeschränkten Zugang zu den Daten
		\end{itemize}
	\item kein angemessener Schutz
	\item die Entscheidung der Kommission zu "Safe Harbor" ist ungültig
	\end{itemize}
\end{itemize}


\paragraph{Die Reaktionen}

\begin{itemize}
\item \href{https://www.commerce.gov/news/press-releases/2015/10/statement-us-secretary-commerce-penny-pritzker-european-court-justice}{https://www.commerce.gov/news/press-releases/2015/10/statement-us-secretary-commerce-penny-pritzker-european-court-justice}
\item U.S. Secretary of Commerce Penny Pritzker
	\begin{itemize}
	\item "deeply disappointed"
	\item die Entscheidung schafft "significant uncertainty for both U.S. and EU companies and consumers"
	\item und bringt die "thriving transatlantic digital economy" in Gefahr
	\item eine geupdatete Version des "Safe Harbour Framework" soll so schnell wie möglich herausgebracht werden
	\end{itemize}
\item \href{http://www.europe-v-facebook.org/CJEU_IR.pdf}{http://www.europe-v-facebook.org/CJEU\_IR.pdf}
\item europe-v-facebook.org / Max Schrems
	\begin{itemize}
	\item das Urteil unterstreicht
		\begin{itemize}
		\item daß Massenüberwachung eine Grundrechtsverletzung ist
			\begin{itemize}
			\item U.S.-Firmen nicht behilflich dabei sein dürfen
			\end{itemize}
		\item es möglich sein muss, rechtliche dagegen vorzugehen
		\end{itemize}
	\item setzt Signale für Umgang mit vergleichbarer Überwachung durch E.U.-Mitgliedsstaaten
	\end{itemize}
\item \href{http://europa.eu/rapid/press-release_STATEMENT-15-5782_en.htm}{http://europa.eu/rapid/press-release\_STATEMENT-15-5782\_en.htm}
	\begin{itemize}
	\item Erster Vizepräsident Frans Timmermans (EU-Kommissar für "Better Regulation, Interinstitutional Relations, the Rule of Law and the Charter of Fundamental Rights")
		\begin{itemize}
		\item \href{https://ec.europa.eu/commission/2014-2019/timmermans_en}{https://ec.europa.eu/commission/2014-2019/timmermans\_en}
		\end{itemize}
	\item Věra Jourová, EU-Kommissarin für "Justice, Consumers and Gender Equality"
		\begin{itemize}
		\item \href{https://ec.europa.eu/commission/2014-2019/jourova_en/}{https://ec.europa.eu/commission/2014-2019/jourova\_en/}
		\end{itemize}
	\item Bestätigung für Bemühungen, das "Safe Harbor Framework" neu zu verhandeln
	\item Prioritäten:
		\begin{itemize}
		\item Schutz der personenbezogenen Daten von E.U.-Bürgern bei Transfer in die U.S.A.
		\item ungestörter Datenfluss
		\item Verhandlungen mit jeweiligen Datenschutzbehörden um koordiniert Alternativen zu dem "Safe Harbor Framework" anzubieten
		\end{itemize}
	\end{itemize}
\item andere Reaktionen: \href{https://netzpolitik.org/2015/safe-harbor-urteil-reaktionen-aus-presse-politik-ngos-und-verbaenden/}{https://netzpolitik.org/2015/safe-harbor-urteil-reaktionen-aus-presse-politik-ngos-und-verbaenden/}
\end{itemize}


\subsubsection{Teil 3: Was dann?}



\paragraph{Bisherige Alternativen zu dem "Safe Harbor Framework"}

\href{http://www.europe-v-facebook.org/EN/Complaints/PRISM/Response/response.html}{http://www.europe-v-facebook.org/EN/Complaints/PRISM/Response/response.html}

\href{http://europa.eu/rapid/press-release_STATEMENT-15-5782_en.htm}{http://europa.eu/rapid/press-release\_STATEMENT-15-5782\_en.htm}

\href{http://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:62014CJ0362&from=DE}{http://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:62014CJ0362\$from=DE}

\begin{itemize}
\item EU-Standardvertragsklauseln
	\begin{itemize}
	\item \href{https://www.datenschutzbeauftragter-info.de/auftragsdatenverarbeitung-was-sind-eu-standardvertragsklauseln/}{https://www.datenschutzbeauftragter-info.de/auftragsdatenverarbeitung-was-sind-eu-standardvertragsklauseln/}
	\item \href{http://www.haufe.de/compliance/haufe-compliance-office-online/datenuebermittlung-ins-ausland-praktikabel-gestalten-32-eu-standardvertragsklauseln_idesk_PI28584_HI6735613.html}{http://www.haufe.de/compliance/haufe-compliance-office-online/datenuebermittlung-ins-ausland-praktikabel-gestalten-32-eu-standardvertragsklauseln\_idesk\_PI28584\_HI6735613.html}
	\item Vertragsmuster von der Europäischen Kommission
		\begin{itemize}
		\item EU-Standardvertrag I (2001)
		\item EU-Standardvertrag II (2004)
		\item EU-Standardvertrag für Auftragsverarbeitungen (2010)
		\end{itemize}
	\end{itemize}
\item Binding Corporate Rules
	\begin{itemize}
	\item \href{http://ec.europa.eu/justice/data-protection/international-transfers/binding-corporate-rules/index_en.htm}{http://ec.europa.eu/justice/data-protection/international-transfers/binding-corporate-rules/index\_en.htm}
	\item \href{https://de.wikipedia.org/wiki/Binding_Corporate_Rules}{https://de.wikipedia.org/wiki/Binding\_Corporate\_Rules}
	\item Regelwerk einer Unternehmensgruppe zum Schutz personenbezogener Daten
		\begin{itemize}
		\item Datenschutzrichtlinien
		\item Wirksamskeitwerkzeuge ("Tools of effectiveness")
		\item Beweis für Rechtskräftigkeit
		\end{itemize}
	\item werden verifiziert von \$ Datenschutzbehörde
	\item alle Datentransfers \textbf{innerhalb} der Unternehmensgruppe müssen diese Regeln befolgen
		\begin{itemize}
		\item \textbf{kein} Datentransfer außerhalb der Unternehmensgruppe auf Basis von diesem Regelsatz möglich
		\end{itemize}
	\end{itemize}
\item außerdem gibt es nach den Datenschutzrichtlinien Ausnahmen für:
	\begin{itemize}
	\item zweifelsfreies Einverständnis der Person auf die sich die personenbezogenen Daten beziehen
	\item Vertragserfüllung
		\begin{itemize}
		\item zwischen der betroffenen Person und dem Datenverarbeiter
		\item im Interesse der betroffenen Person zwischen dem Datenverarbeiter und einem Dritten
		\end{itemize}
	\item wichtiges öffentliches Interesse
	\item lebenswichtiges persönliches Interesse
	\item öffentliches Register / Register, daß allen mit berechtigtem Interesse zugänglich ist
	\end{itemize}
\end{itemize}


\paragraph{Safe Harbor 2.0}

\begin{itemize}
\item \href{http://europa.eu/rapid/press-release_MEMO-13-1059_en.htm}{http://europa.eu/rapid/press-release\_MEMO-13-1059\_en.htm}
\item \href{http://www.europe-v-facebook.org/CJEU_IR.pdf}{http://www.europe-v-facebook.org/CJEU\_IR.pdf}
\item als Folge der PRISM-Enthüllungen hat die EU-Kommission Verbesserungen an dem "Safe Harbor Framework" vorgeschlagen
	\begin{itemize}
	\item "Making Safe Harbor safer"
		\begin{itemize}
		\item mehr \textbf{Transparenz}
		\item einfacherer Zugang zu/mehr Einsicht in die Arbeit von \textbf{Alternative Dispute Resolution}-Providern
		\item mehr \textbf{Kontrollen}
		\item Zugang zu Daten für \textbf{staatlichen Behörden} einschränken / transparenter machen
		\end{itemize}
	\end{itemize}
\item seit 2013 Verhandlungen mit U.S.-amerikanischen Behörden
	\begin{itemize}
	\item Deadlines in 2014/15 sind ohne Ergebnis verstrichen
	\end{itemize}
\end{itemize}


\end{document}
