Spiegelung von Datensätzen im SWIFT-Rechenzentrum
Deutsche Datenschutzaufsichtsbehörden halten Datenübermittlung im SWIFT-Verfahren für unzulässig
Die Banken werden aufgefordert, unverzüglich Maßnahmen vorzuschlagen, durch die im SWIFT-Verfahren entweder eine Übermittlung von Daten in die USA unterbunden werden kann oder aber zumindest die übermittelten Datensätze hinreichend gesichert werden
- Anzeigen -
![]()
![]()
Der Düsseldorfer Kreis, in dem die für den Datenschutz in der Wirtschaft zuständigen obersten Aufsichtsbehörden zusammenarbeiten, hat festgestellt, dass die gegenwärtige Spiegelung von Datensätzen im SWIFT-Rechenzentrum in den USA und die anschließende Herausgabe von dort gespeicherten Daten an US-amerikanische Behörden wegen fehlender Rechtsgrundlage sowohl nach deutschem Recht als auch nach EG-Datenschutzrecht unzulässig ist. Rechtlich verantwortlich für die Übermittlung der personenbezogenen Daten über den internationalen Zahlungsverkehr in die USA sind sowohl die in Belgien ansässige SWIFT (Society for Worldwide Interbank Financial Telecommunication) als auch die deutschen Banken, die sich trotz des Zugriffs der amerikanischen Behörden auf die bei SWIFT/USA gespeicherten Datensätze auch weiterhin der Dienstleistungen von SWIFT bedienen.
Die Banken werden aufgefordert, unverzüglich Maßnahmen vorzuschlagen, durch die im SWIFT-Verfahren entweder eine Übermittlung von Daten in die USA unterbunden werden kann oder aber zumindest die übermittelten Datensätze hinreichend gesichert werden, damit der bislang mögliche Zugriff der US-amerikanischen Sicherheitsbehörden künftig ausgeschlossen ist.
Unabhängig davon müssen die Banken ihre Kunden nach dem Bundesdatenschutzgesetz darüber informieren, dass im Falle der Weiterleitung von grenzüberschreitenden Zahlungsaufträgen die Datensätze auch an ein in den USA ansässiges SWIFT Operating Center übermittelt werden.
Der Bundesbeauftragte für den Datenschutz Peter Schaar, der zuletzt bei einem Hearing des Europäischen Parlaments am 4. Oktober 2006 bereits auf die nach EU-Recht fehlende Rechtsgrundlage für die Datenweitergabe an die amerikanischen Behörden aufmerksam gemacht hatte, betonte die Wichtigkeit dieses Beschlusses. Die Tatsache, dass die deutschen Aufsichtsbehörden einstimmig das Verfahren als unzulässig bewertet haben und die Mitverantwortung der Banken festgestellt haben, sei ein wichtiges Signal für die weitere Beratung in der Artikel 29-Gruppe der Datenschutzbeauftragten der EU-Mitgliedstaaten, die sich kommende Woche ebenfalls mit dieser Thematik befassen wird.
In einem weiteren Beschluss fordern die obersten Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich, die Entwicklung und Anwendung von RFID-Technologie insbesondere im Handel und im Dienstleistungssektor datenschutzkonform zu gestalten. (BfDI: ra)
eingetragen: 19.02.20
Newsletterlauf: 08.04.20
Meldungen: Datenschutz und Compliance
-
Zum Vollstreckungshilfsmittel geworden
Im vergangenen Jahr wurden mehr als 900.000 Kontenabrufe durch Behörden genehmigt, wie das Bundesministerium der Finanzen mitteilte. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) Ulrich Kelber sieht die jährlich steigende Zahl kritisch: "Jeder Kontenabruf stellt einen Eingriff in das Grundrecht auf informationelle Selbstbestimmung dar. Ich halte eine Evaluierung des Kontenabrufverfahrens für dringend notwendig." Der automatisierte Abruf von Kontoinformationen - kurz Kontenabruf - wurde als Folge der Terroranschläge vom 9. November 2001 eingeführt, um Geldwäsche und Terrorismusfinanzierung besser bekämpfen zu können. Für diesen Zweck müssen Kreditinstitute seitdem bestimmte Kontoinformationen vorhalten.
-
Spiegelung von Datensätzen im SWIFT-Rechenzentrum
Der Düsseldorfer Kreis, in dem die für den Datenschutz in der Wirtschaft zuständigen obersten Aufsichtsbehörden zusammenarbeiten, hat festgestellt, dass die gegenwärtige Spiegelung von Datensätzen im SWIFT-Rechenzentrum in den USA und die anschließende Herausgabe von dort gespeicherten Daten an US-amerikanische Behörden wegen fehlender Rechtsgrundlage sowohl nach deutschem Recht als auch nach EG-Datenschutzrecht unzulässig ist. Rechtlich verantwortlich für die Übermittlung der personenbezogenen Daten über den internationalen Zahlungsverkehr in die USA sind sowohl die in Belgien ansässige SWIFT (Society for Worldwide Interbank Financial Telecommunication) als auch die deutschen Banken, die sich trotz des Zugriffs der amerikanischen Behörden auf die bei SWIFT/USA gespeicherten Datensätze auch weiterhin der Dienstleistungen von SWIFT bedienen.
-
Geldbußen gegen Telekommunikationsdienstleister
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat den Telekommunikationsdienstleister 1&1 Telecom GmbH mit einer Geldbuße in Höhe von 9.550.000 Euro belegt. Das Unternehmen hatte keine hinreichenden technisch-organisatorischen Maßnahmen ergriffen, um zu verhindern, dass Unberechtigte bei der telefonischen Kundenbetreuung Auskünfte zu Kundendaten erhalten können. In einem weiteren Fall sprach der BfDI ein Bußgeld in Höhe von 10.000 Euro gegen die Rapidata GmbH aus. Dazu sagte der Bundesbeauftragte Ulrich Kelber: "Datenschutz ist Grundrechtsschutz. Die ausgesprochenen Geldbußen sind ein klares Zeichen, dass wir diesen Grundrechtsschutz durchsetzen werden. Die europäische Datenschutzgrundverordnung (DSGVO) gibt uns die Möglichkeit, die unzureichende Sicherung von personenbezogenen Daten entscheidend zu ahnden. Wir wenden diese Befugnisse unter Berücksichtigung der gebotenen Angemessenheit an."
-
Informationelles Selbstbestimmungsrecht
Das Bundesverfassungsgericht hat mit zwei Entscheidungen das Persönlichkeitsrecht in der digitalen Welt gestärkt. Es hat das Recht auf Vergessenwerden in einer Weise fortentwickelt, die die Grundrechte der Meinungs- und Informationsfreiheit wie auch das informationelle Selbstbestimmungsrecht optimiert. Die in beiden Fällen in dem Verfahren vom Gericht angeforderten Stellungnahmen des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit wurden bestätigt. Bislang war das durch die Rechtsprechung des EuGH geschaffene und in die geltende Datenschutzgrundverordnung übernommene Recht auf Vergessenwerden überwiegend auf das Verhältnis von Suchmaschinenbetreibern und betroffenen Personen angewendet worden. Letztere können seit 2014 gegenüber Suchmaschinenbetreibern - in Deutschland im Wesentlichen die Suchmaschine von Google - verlangen, dass bestimmte Ergebnisse bei einer namensbezogenen Suche nicht mehr angezeigt werden, wenn dies zum Schutz ihres informationellen Selbstbestimmungsrechts und des Persönlichkeitsrechts erforderlich ist. Dieses Recht wird vom Bundesverfassungsgericht direkt gegenüber Online-Archiven von Presseunternehmen angewandt.
-
EDSA 2019 - Datenschutz für Europa
Der Europäische Datenschutzausschuss (EDSA) veröffentlicht in seiner letzten Sitzung im Jahr 2019 erste Leitlinien zum Recht auf Vergessenwerden. Diese schließen sich an eine Reihe von grundlegenden Entscheidungen des Ausschusses in diesem Jahr an, beispielsweise zu Themen wie Videoüberwachung, Akkreditierung und Zertifizierung, oder Privacy by Design und Default. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Ulrich Kelber, blickt zufrieden auf sein erstes Jahr im EDSA zurück.
