Stellungnahme der Aufsichtsbehörden zum EU-U.S. Data Privacy Shield

Mit dem Schrems II-Urteil des EuGH und dem damit verbundenen Wegfall des US Privacy Shields wurde die Übermittlung persönlicher Daten aus der EU heraus in die Vereinigten Staaten von Amerika zu einer Herausforderung. Etwa zwei Jahre später ist nun ein EU-U.S. Data Privacy Framework im Gespräch, das ein angemessenes Datenschutzniveau sicherstellen soll.

Sowohl der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) als auch durch das European Data Protection Board (EDPB) wird der Vorstoß der USA grundsätzlich begrüßt. Beide Stellen sehen Fortschritte in diversen Bereichen im Verhältnis zum Privacy Shield, die sie klar aus dem Urteil des EuGH ableiten. Der BfDI bewertet das Vorhaben positiv und sieht einen wichtigen Fortschritt im Kontext des internationalen Datenschutzes.

Gleichzeitig bestehen seitens BfDI und EDPB Bedenken, ob über das Framework ein angemessenes und der DSGVO entsprechendes Niveau erreicht werden kann. Konkret sieht das EDPB u.a. Schwachstellen im Kontext der Rechte von Datenschutzsubjekten, Datenweitergaben, Ausnahmeregelungen sowie Sammelerfassungen.

Die Stellungnahme des BfDI finden Sie hier auf dessen Webseite, diejenige des EDPB hier auf deren Webseite.

Quellen: © BfDI – bfdi.bund.de; European Data Protection Board – edpb.europa.eu

ENISA betrachtet Coordinated Vulnerability Disclosures im Rahmen von NIS2

Anhand einer Coordinated Vulnerability Disclosure (CVD) werden identifizierte Schwachstellen durch den Finder an die relevanten Stakeholder kommuniziert, sodass diese vor der Ausnutzung durch einen Angreifer geschlossen werden können. Dabei wird ein koordinierter Ansatz verfolgt, der auf einer Zusammenarbeit zwischen dem Entdecker der Schwachstelle, dem Hersteller oder Anbieter des Produkts oder Services, den Aufsichtsbehörden sowie ggf. Kunden beruht. 

Dieser etablierte Ansatz wird von der NIS2-Richtlinie aufgegriffen. In diesem Kontext beschäftigt sich die ENISA damit, wie harmonisierte nationale Schwachstellenprogramme und -initiativen in der EU aussehen können. Dabei geht sie auf die Erwartungshaltung der EU-Mitgliedstaaten einerseites und der Wirtschaft andererseits ein. Sie greift damit entsprechenden Leitlinien vor.

In ihrem Bericht erreicht die ENISA die nachfolgenden Schlussfolgerungen:

1. Nationale Vorgaben zu CVD können der Industrie als Beispiel dienen;
2. Vorgaben zu CVD und Umgang mit CVD sind weiterhin fragmentiert;
3. Aufklärung und Sensibilisierung im Kontext von CVD sollten vorrangig sein;
4. Es bestehen Herausforderungen auf Ebene des Rechts, der Technik und der Zusammenarbeit;
5. Ansätze zu „Sicherheit und Datenschutz by design“ sind zu bevorzugen.

Den Bericht der ENISA finden Sie hier auf deren Webseite.

Quelle: European Union Agency for Cybersecurity (ENISA) – enisa.europa.eu