32002D0016
L 006/52
ОФИЦИАЛЕН ВЕСТНИК НА ЕВРОПЕЙСКИЯ СЪЮЗ
РЕШЕНИЕ НА КОМИСИЯТА
от 27 декември 2001 година
относно общите договорни клаузи за трансфера на лични данни към лицата, които ги обработват, установени в трети страни, съгласно Директива 95/46/ЕО
(нотифицирано под номер С(2001) 4540)
(текст от значение за ЕИП)
(2002/16/ЕО)
КОМИСИЯТА НА ЕВРОПЕЙСКИТЕ ОБЩНОСТИ,
като взе предвид Договора за създаване на Европейската общност,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 26, параграф 4 от нея,
като има предвид, че:
(1)
Съгласно Директива 95/46/ЕО държавите-членки се задължават да следят даден трансфер на лични данни към трета страна да се извършва само ако съответната страна гарантира адекватно ниво на защита на данните и ако законите на държавите-членки, които са съобразени с другите разпоредби на директивата, се спазват преди трансфера.
(2)
Въпреки това член 26, параграф 2 от Директива 95/46/ЕО предвижда държавите-членки да могат да разрешават при известни гаранции трансфер или цялостен набор от трансфери на лични данни към трети страни, които не гарантират адекватно ниво на защита. Тези гаранции могат да произтичат главно от съответните договорни клаузи.
(3)
Съгласно Директива 95/46/ЕО нивото на защита на данните трябва да бъде преценено с оглед всички обстоятелства, отнасящи се до трансфер или категория трансфери. Групата за защита на лицата по отношение обработването на личните данни, създадена съгласно настоящата директива (2), публикува насоки за улесняване на оценката (3).
(4)
Общите договорни клаузи се отнасят само до защитата на данните и износителят и вносителят са свободни да въвеждат други клаузи от търговски характер, каквито смятат за необходими за договора при условие че те не противоречат на общите договорни клаузи.
(5)
Настоящото решение не засяга националните разрешения, които държавите-членки могат да издават съгласно националните разпоредби, като прилагат член 26, параграф 2 от Директива 95/46/ЕО. Настоящото решение има за цел единствено да задължи държавите-членки да не отказват да признават, че фигуриращите договорни клаузи предлагат адекватни гаранции и при това положение то няма действие върху други договорни клаузи.
(6)
Обхвата на настоящото решение се ограничава да установи, че клаузите, които са изброени в него, могат да бъдат използвани от администратор на лични данни, установен в Общността, за да се гарантират адекватни гаранции по смисъла на член 26, параграф 2 от Директива 95/46/ЕО за трансфера на лични данни към лице обработващо данните, установено в трета страна.
(7)
Настоящото решение следва да изпълни задължението, предвидено в член 17, параграф 3 от Директива 95/46/ЕО и не накърнява съдържанието на договори или юридически актове, установен съгласно тази разпоредба. Във всеки случай, някои общи договорни клаузи, отнасящи се по-специално към задълженията на износителя на данни, трябва да бъдат включени в целта да се увеличи яснотата относно разпоредбите, които могат да бъдат въведени в договор между администратора и лицето, обработващо данните.
(8)
Надзорните органи на държавите-членки играят ключова роля в този договорен механизъм, като гарантират адекватната защита на личните данни след трансфера. В изключителни случаи, когато износителите на данни откажат или не са в състояние да инструктират по подходящ начин вносителя на данните или когато съществува непосредствен риск от тежка вреда за засегнатите лица, общите договорни клаузи трябва да позволяват на надзорните органи да задължават вносителите на данни да проверяват и когато това се окажеуместно, да предприемат мерки, с които последните трябва да се съобразят. Надзорните органи следва да имат правомощието да забраняват или да отменят временно трансфер на данни или цялостен набор от трансфери на данни, базиран на общи договорни клаузи, в изключителните случаи, когато е установено, че трансфер, базиран на договорни условия, рискува да промени забележимо гаранциите и задълженията, предоставящи адекватно ниво на защита на съответното физическо лице.
(9)
В бъдеще Комисията може също да преценява дали общите договорни клаузи за трансфера на лични данни към лица, обработващи данните, установени в трети страни, които не предоставят адекватно ниво на защита на данните, представени от търговски организации или други заинтересовани страни, предлагат достатъчни гаранции съгласно член 26, параграф 2 от Директива 95/46/ЕО.
(10)
Разкриването на лични данни на лице, обработващо данните, установено извън Общността, представлява защитен международен обмен по силата на Глава IV от Директива 95/46/ЕО. В резултат на това настоящата директива не покрива трансфера на лични данни, осъществяван от администраторите , установени в Общността, към лица, отговорни за обработката, установени извън Общността, които попадат в обхвата на Решение 2001/497/ЕО на Комисията от 15 юни 2001 г. относно общите договорни клаузи за трансфера на лични данни към трети страни съгласно Директива 95/46/ЕО (4).
(11)
Общите договорни клаузи следва да предвиждат технически и организационни мерки, гарантиращи равнище на сигурност, адаптирано към рисковете, свързани с обработката и характера на данните, които подлежат на защита, което трябва да прилага лице, обработващо данните, установено в трета страна, който не предоставя адекватно ниво на защита. Страните трябва да предвидят в договора технически и организационни мерки, които с оглед на приложимото право за защита на данните на технологично равнище и с цел прилагане са необходими за защита на личните данни срещу непредумишлено или незаконно унищожаване, неволно загубване, промяна, разгласяване или неразрешен достъп, или всякаква друга незаконна форма на обработка.
(12)
За да се улесни потокът на данни, идващи от Общността, е желателно лицата, обработващи данните и предоставящи такива услуги на няколко администратори от Общността, да получават разрешения да прилагат същите технически и организационни мерки, свързани със сигурността, независимо от това коя е държавата по произход на трансфера, по-специално в случаите, когато вносителят на данни получи за последваща обработка данни, произхождащи от различни учреждения на вносителя на данни в Общността.
(13)
Подходящо е да се определят минималната информация, която страните трябва да предвидят в договора за трансфера. Държавите-членки следва да запазят възможността за специфициране на информацията, които страните трябва да предоставят. Прилагането на настоящото решение трябва да се преразгледа в светлината на натрупания опит.
(14)
Вносителят на данни трябва да обработва трансферираните лични данни за изключителната сметка на износителя на данни и според инструкциите и задълженията, включени в клаузите. В частност, вносителят на данни не следва да разгласява личните данни на трета страна освен при някои условия. Износителят на данни трябва да изисква от вносителя на данни по време на периода на услугите по обработката на данните да обработва данните съгласно неговите инструкции, съгласно приложимото право за защита на данните и съгласно задълженията, съдържащи се в клаузите. Трансферът на лични данни към лица, които ги обработват, установени извън Общността, не накърнява в никаква степен факта, че дейностите по обработка трябва да бъдат съобразени във всеки случай с прилагащото се право за защита на данните.
(15)
Общите договорни клаузи трябва да бъдат изпълними не само от организациите, страни по договора, но също и от съответните физически лица, в частност когато на последните се нанася вреда поради прекратяване на договора.
(16)
Съответното физическо лице следва да има право да подаде жалба и, ако е целесъобразно, да получи обезщетение от износителя на данни, който е администратор на трансферираните лични данни. В изключителни случаи съответното физическо лице следва също да има правото да подава жалба и, когато това е целесъобразно, да получи обезщетение от вносителя на данните заради неизпълнението от страна на вносителя на данни на едно или друго задължение, посочено във втория параграф на клауза 3, когато износителят на данни фактически е изчезнал или е престанал да съществува юридически или е изпаднал в несъстоятелност.
(17)
Ако спор между съответното физическо лице, който се позовава на клаузата на трето лице - бенефициер, и вносителя на данни не бъде решен по взаимно съгласие, вносителят на данни трябва да се съгласи да предложи на съответното физическо лице да избере между посредничество, арбитраж и съдебен процес. Съответното физическо лице има реална възможност за избор в степен, в която ще може да разполага с надеждни и признати системи за посредничество и на арбитраж. Посредничеството от страна на надзорните органи и по защитата на данните на държавата-членка, в която е установен износителят на данни, трябва да бъде право на избор, когато тези органи предоставят такава услуга.
(18)
Договорът трябва да бъде съобразен с правото на държавата-членка, в която е установен износителят на данни и която позволява на трети бенефициенр да поиска изпълнението на даден договор. Съответните физически лица данни следва да могат да бъдат представлявани от асоциациите или други органи, ако те желаят това и ако националното право го разрешава.
(19)
Работната група за защита на лицата по отношение обработката на личните данни, създадена по силата на член 29 от Директива 95/46/ЕО, излезе със становище за нивото на защита, предвидено от общите договорни клаузи, приложени към настоящото решение. Това становище бе взето предвид при подготвянето на настоящото решение (5).
(20)
Мерките, предвидени в настоящото решение са в съответствие със становището на комитета, създаден съгласно член 31 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Общите договорни клаузи, фигуриращи в приложението, се оценяват като достатъчни гаранции за защитата на личния живот и на основните права на лицата, както и по отношение изпълнението на съответстващите права, както го изисква член 26, параграф 2 от Директива 95/46/ЕО.
Член 2
Настоящото решение се отнася единствено до адекватния характер на защитата, предоставяна чрез общите договорни клаузи за трансфера на лични данни, фигуриращи в приложението. Тя не засяга прилагането на другите национални разпоредби, привеждащи в действие Директива 95/46/ЕО, които се отнасят до обработката на личните данни в държавите-членки.
Настоящото решение се прилага за трансфера на лични данни от администраторите на данни, установени в Общността, до получатели, установени извън територията на Общността, които действат изключително като лица, обработващи данните.
Член 3
По смисъла на настоящото решение:
а)
прилагат се определенията, съдържащи се в Директива 95/46/ЕО;
б)
„особените категории данни“ са данни, посочени в член 8 на тази директива;
в)
„надзорен орган“ е органът, посочен в член 28 на въпросната директива;
г)
„износител на данни“ е администратор на данни, който трансферира личните данни;
д)
„вносител на данни“ е лице, обработващо данните, установено в трета страна, който се съгласява да приеме от износителя на данни лични данни, предназначени да бъдат обработени за сметка на последния след трансфера съгласно неговите инструкции и при условията на настоящото решение, и който не е част от системата на трета страна, гарантираща адекватна защита;
е)
„приложимо право за защита на данните“ е законодателството, защищаващо основните свободи и права на физическите лица, главно правото на личен живот, при обработката на личните данни, и прилагащо се за дадено лице, отговорно за обработката в страната, в който е установен износителят на данни;
ж)
„технически и организационни мерки, свързани със сигурността“ са мерките, предназначени да защищават личните данни срещу непредумишлено или незаконно унищожаване, неволно загубване, промяна, разгласяване или неразрешен достъп, главно когато обработката предполага превеждането на данни по мрежа, и срещу всяка друга незаконна форма на обработка.
Член 4
1. Без да се засягат правата им да предприемат мерки, целящи гарантирането на спазването на националните разпоредби, изработени съгласно глави II, III, IV, V и VI на Директива 95/46/ЕО, компетентните власти на държавите-членки могат да упражняват правата, с които разполагат, за да забраняват или да отменят временно потоците данни към трети страни, за да защищават лицата във връзка с обработката на техните лични данни, в случай, че:
а)
е установено, че правото, на което е субект вносителят на данни, му налага изискване за дерогиране от приложимото право за защита на данните, което се простира извън необходимите ограничения в демократично общество по една от посочените в член 13 от Директива 96/46/ЕО причини, когато тези задължения създават риска да бъдат забележимо изменени гаранциите, предоставяни от приложимото към защитата на данните право и общите договорни клаузи, или
б)
компетентна власт е установила, че вносителят на данни не е спазил договорните клаузи, фигуриращи в приложението, или
в)
е много вероятно общите договорни клаузи, фигуриращи в приложението, да не са или да не бъдат спазени и продължаването на трансфера да увеличи до висока степен риска на засегнатите лица да бъдат нанесени тежки вреди.
2. Забраната или временната отмяна се вдига веднага след изчезването на причините, които я мотивират.
3. Когато държавите-членки приемат мерки съгласно параграфи 1 и 2, те информират незабавно за това Комисията, която предоставя информацията на другите държави-членки.
Член 5
Комисията оценява прилагането на настоящото решение на базата на наличните информации три години след нотифицирането на държавите-членки. Тя представя на Комитета, създаден съгласно член 31 от Директива 96/46/ЕО доклад за осъществените констатации. Докладът включва всяко свидетелство, който е в състояние на повлияе на оценката, отнасяща се до адекватния характер на общите договорни клаузи, фигуриращи в приложението, както и всяко свидетелство, че настоящото решение се прилага по дискриминативен начин.
Член 6
Настоящото решение се прилага от 3 април 2002 г.
Член 7
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 27 декември 2001 година.
Entscheidung der Kommission
vom 27. Dezember 2001
hinsichtlich Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern nach der Richtlinie 95/46/EG
(Bekannt gegeben unter Aktenzeichen K(2001) 4540)
(Text von Bedeutung für den EWR)
(2002/16/EG)
DIE KOMMISSION DER EUROPÄISCHEN GEMEINSCHAFTEN -
gestützt auf den Vertrag zur Gründung der Europäischen Gemeinschaft,
gestützt auf die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr(1), insbesondere auf Artikel 26 Absatz 4,
in Erwägung nachstehender Gründe:
(1) Nach der Richtlinie 95/46/EG müssen die Mitgliedstaaten dafür Sorge tragen, dass die Übermittlung personenbezogener Daten in ein Drittland nur dann erfolgen kann, wenn das betreffende Drittland ein angemessenes Schutzniveau gewährleistet und Gesetze der Mitgliedstaaten, die den anderen Bestimmungen der Richtlinie entsprechen, vor der Übermittlung berücksichtigt werden.
(2) Artikel 26 Absatz 2 der Richtlinie 95/46/EG sieht jedoch vor, dass die Mitgliedstaaten, sofern bestimmte Garantien vorliegen, eine Übermittlung oder eine Kategorie von Übermittlungen personenbezogener Daten in Drittländer genehmigen können, die kein angemessenes Schutzniveau gewährleisten. Diese Garantien können insbesondere in einschlägigen Vertragsklauseln festgeschrieben werden.
(3) Nach der Richtlinie 95/46/EG ist das Datenschutzniveau unter Berücksichtigung aller Umstände zu beurteilen, die bei der Datenübermittlung oder einer Kategorie von Datenübermittlungen eine Rolle spielen; die gemäß dieser Richtlinie eingesetzte Gruppe für den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten(2) hat Leitlinien für die Erstellung solcher Beurteilungen veröffentlicht(3).
(4) Die Standardvertragsklauseln beziehen sich nur auf den Datenschutz. Dem Datenexporteur und dem Datenimporteur ist es freigestellt, weitere geschäftsbezogene Klauseln aufzunehmen, die sie für vertragsrelevant halten, sofern diese nicht im Widerspruch zu den Standardvertragsklauseln stehen.
(5) Diese Entscheidung sollte die nationalen Genehmigungen unberührt lassen, die von den Mitgliedstaaten nach ihren eigenen Rechtsvorschriften zur Umsetzung von Artikel 26 Absatz 2 der Richtlinie 95/46/EG erteilt werden können. Diese Entscheidung hat lediglich die Wirkung, dass die Mitgliedstaaten die hier aufgeführten Vertragsklauseln als angemessene Garantien anerkennen müssen, und lässt daher andere Vertragsklauseln unberührt.
(6) Diese Entscheidung beschränkt sich darauf festzulegen, dass die aufgeführten Vertragsklauseln von einem für die Datenverarbeitung Verantwortlichen, der in der Gemeinschaft ansässig ist, angewandt werden können, um nach Artikel 26 Absatz 2 der Richtlinie 95/46/EG angemessene Garantien für die Übermittlung personenbezogener Daten an einen Auftragsverarbeiter, der in einem Drittland ansässig ist, zu gewährleisten.
(7) Diese Entscheidung sollte die Verpflichtung gemäß Artikel 17 Absatz 3 der Richtlinie 95/46/EG durchführen und lässt den Inhalt eines solchen Vertrags beziehungsweise Rechtsakts unberührt. Einige der Standardvertragsklauseln, vor allem diejenigen bezüglich der Pflichten des Datenexporteurs, sollten übernommen werden, um die Bestimmungen zu verdeutlichen, die in einem Vertrag zwischen einem für die Datenverarbeitung Verantwortlichen und einem Auftragsverarbeiter aufgenommen werden können.
(8) Die Kontrollstellen der Mitgliedstaaten spielen eine Schlüsselrolle in diesem Vertragsmechanismus, weil sie sicherstellen, dass personenbezogene Daten nach der Übermittlung angemessen geschützt werden. In Ausnahmefällen, in denen Datenexporteure es ablehnen oder nicht in der Lage sind, dem Datenimporteur angemessene Anweisungen zu geben und in denen eine hohe Wahrscheinlichkeit besteht, dass der betroffenen Person ein schwerwiegender Schaden entsteht, sollten die Standardvertragsklauseln es den Kontrollstellen ermöglichen, Datenimporteure zu prüfen und gegebenenfalls Entscheidungen zu treffen, denen Datenimporteure Folge leisten müssen. Die Kontrollstellen sollten befugt sein, eine Datenübermittlung oder eine Reihe von Datenübermittlungen auf der Grundlage der Standardvertragsklauseln zu untersagen oder zurückzuhalten; dies gilt für jene Ausnahmefälle, für die feststeht, dass sich eine Übermittlung auf Vertragsbasis wahrscheinlich sehr nachteilig auf die Garantien und Pflichten auswirkt, die den betroffenen Personen angemessenen Schutz bieten sollen.
(9) Die Kommission könnte zukünftig ferner überlegen, ob Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Datenverarbeiter in Drittländern, die kein angemessenes Datenschutzniveau gewährleisten und die von Industrieverbänden oder anderen interessierten Parteien vorgelegt werden, angemessene Garantien im Sinne von Artikel 26 Absatz 2 der Richtlinie 95/46/EG bieten.
(10) Die Weitergabe personenbezogener Daten an einen Datenverarbeiter, der außerhalb der Gemeinschaft ansässig ist, stellt eine internationale Datenübermittlung dar, die nach Kapitel IV der Richtlinie 95/46/EG geschützt ist. Diese Entscheidung betrifft nicht die Übermittlung personenbezogener Daten durch für die Verarbeitung Verantwortliche, die in der Gemeinschaft ansässig sind, an für die Verarbeitung Verantwortliche außerhalb der Gemeinschaft, die nach der Richtlinie 95/46/EG in den Anwendungsbereich der Kommissionsentscheidung 2001/497/EG vom 15. Juni 2001 hinsichtlich Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer fallen(4).
(11) Die Standardvertragsklauseln sollten die technischen und organisatorischen Sicherheitsmaßnahmen vorsehen, die einen Schutz gewährleisten, der den durch die Verarbeitung entstehenden Risiken und der Art der zu schützenden Daten angemessen ist, und die ein Datenverarbeiter in einem Drittland ohne angemessenes Schutzniveau anwenden muss. Die Parteien sollten diejenigen technischen und organisatorischen Maßnahmen vertraglich vorsehen, die unter Berücksichtigung des anwendbaren Datenschutzrechts, des Stands der Technik und der bei ihrer Durchführung entstehenden Kosten erforderlich sind, um personenbezogene Daten gegen die zufällige oder unrechtmäßige Zerstörung oder den zufälligen Verlust, die Änderung, die unberechtigte Weitergabe oder den unberechtigten Zugang und gegen jede andere Form der unrechtmäßigen Verarbeitung zu schützen.
(12) Zur Erleichterung des Datenflusses aus der Gemeinschaft ist es wünschenswert, dass Auftragsverarbeiter, die Dienstleistungen der Datenverarbeitung für mehrere für die Verarbeitung Verantwortliche in der Gemeinschaft erbringen, die Möglichkeit erhalten, ungeachtet des Mitgliedstaats, von dem die Datenübermittlung ausgeht, die gleichen technischen und organisatorischen Sicherheitsmaßnahmen anzuwenden, insbesondere wenn der Datenimporteur von verschiedenen Einrichtungen des Datenexporteurs in der Gemeinschaft Daten zur Weiterverarbeitung erhält; in diesem Fall sollte das Recht des Mitgliedstaats, in dem der Datenexporteur ansässig ist, Anwendung finden.
(13) Es ist angebracht, die Mindestinformationen festzulegen, die von den Parteien in dem Vertrag über die Übermittlung mitgeteilt werden müssen. Die Mitgliedstaaten sollten weiterhin befugt sein, die Informationen im Einzelnen zu benennen, die von den Parteien vorgelegt werden müssen. Die Umsetzung dieser Entscheidung sollte im Lichte der Erfahrung geprüft werden.
(14) Der Datenimporteur sollte die übermittelten personenbezogenen Daten nur im Auftrag des Datenexporteurs und entsprechend dessen Anweisungen sowie den in den Klauseln enthaltenen Pflichten verarbeiten. Der Datenimporteur sollte die personenbezogenen Daten nur unter bestimmten Bedingungen an Dritte weitergeben. Der Datenexporteur sollte den Datenimporteur während der Dauer der Datenverarbeitungsdienste anweisen, die Daten gemäß seinen Anweisungen, dem anwendbaren Datenschutzrecht und den in den Klauseln beschriebenen Pflichten zu verarbeiten. Die Übermittlung personenbezogener Daten an Auftragsverarbeiter, die außerhalb der Gemeinschaft ansässig sind, berührt nicht die Tatsache, dass die Verarbeitung in jedem Fall unter das anwendbare Datenschutzrecht fällt.
(15) Die Standardvertragsklauseln sollten durchsetzbar sein, und zwar nicht nur von den Organisationen, die Vertragsparteien sind, sondern auch von den betroffenen Personen, insbesondere wenn ihnen als Folge eines Vertragsbruchs Schaden entsteht.
(16) Die betroffene Person sollte berechtigt sein, gegen den Datenexporteur, der für die Verarbeitung der übermittelten personenbezogenen Daten verantwortlich ist, Schritte einzuleiten und von diesem gegebenenfalls Schadensersatz zu verlangen. In Ausnahmefällen sollte die betroffene Person auch berechtigt sein, Schritte gegen den Datenimporteur einzuleiten und von diesem gegebenenfalls Schadensersatz zu verlangen wegen Verstoßes des Datenimporteurs gegen dessen in Klausel 3 Absatz 2 genannte Pflichten, und zwar wenn das Unternehmen des Datenexporteurs sich tatsächlich aufgelöst hat oder rechtlich aufgehört hat zu bestehen.
(17) Wird eine Auseinandersetzung zwischen einem Datenimporteur, der sich auf die Drittbegünstigtenklausel beruft, und dem Datenimporteur nicht gütlich beigelegt, sollte sich der Datenimporteur verpflichten, der betroffenen Person die Wahl zwischen einem Schlichtungs- oder Schiedsverfahren oder einem Gerichtsverfahren anzubieten. Die tatsächlichen Wahlmöglichkeiten der betroffenen Person hängen von dem Vorhandensein zuverlässiger und anerkannter Schlichtungs- und Schiedssysteme ab. Falls die Kontrollstelle des Mitgliedstaats, in dem der Datenexporteur ansässig ist, zur Schlichtung bereit ist, sollte diese Möglichkeit angeboten werden.
(18) Auf den Vertrag ist das Recht des Mitgliedstaats anzuwenden, in dem der Datenexporteur ansässig ist und das es einem Drittbegünstigten ermöglicht, die Einhaltung des Vertrags durchzusetzen. Betroffene Personen sollten, wenn sie dies wünschen und das nationale Recht es zulässt, von Vereinigungen oder sonstigen Einrichtungen vertreten werden können.
(19) Die Gruppe für den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, die durch Artikel 29 der Richtlinie 95/46/EG eingesetzt wurde, hat eine Stellungnahme zu dem Schutzniveau abgegeben, das die der Entscheidung beiliegenden Standardvertragsklauseln bieten; die Stellungnahme wurde bei der Erarbeitung dieser Entscheidung berücksichtigt(5).
(20) Die in dieser Entscheidung enthaltenen Maßnahmen stimmen mit der Stellungnahme des Ausschusses überein, der durch Artikel 31 der Richtlinie 95/46/EG eingesetzt wurde -
HAT FOLGENDE ENTSCHEIDUNG ERLASSEN:
Artikel 1
Die Standardvertragsklauseln im Anhang gelten als angemessene Garantien hinsichtlich des Schutzes der Privatsphäre, der Grundrechte und der Grundfreiheiten der Personen sowie hinsichtlich der Ausübung der damit verbundenen Rechte im Sinne von Artikel 26 Absatz 2 der Richtlinie 95/46/EG.
Artikel 2
Diese Entscheidung betrifft ausschließlich die Angemessenheit des Schutzes, der durch die im Anhang aufgeführten Standardvertragsklauseln bei der Übermittlung personenbezogener Daten gewährleistet wird. Die Anwendung anderer nationaler Vorschriften zur Durchführung der Richtlinie 95/46/EG, die sich auf die Verarbeitung personenbezogener Daten in den Mitgliedstaaten beziehen, bleibt davon unberührt.
Die vorliegende Entscheidung betrifft die Übermittlung personenbezogener Daten durch für die Verarbeitung Verantwortliche, die in der Gemeinschaft ansässig sind, an Empfänger außerhalb der Gemeinschaft, die nur als Auftragsverarbeiter fungieren.
Artikel 3
In Rahmen dieser Entscheidung
a) gelten die Begriffsbestimmungen der Richtlinie 95/46/EG;
b) bezeichnet der Begriff "besondere Datenkategorien" die in Artikel 8 dieser Richtlinie genannten Daten;
c) bezeichnet der Begriff "Kontrollstelle" die in Artikel 28 dieser Richtlinie genannte Stelle;
d) bezeichnet der Begriff "Datenexporteur" den für die Verarbeitung Verantwortlichen, der die personenbezogenen Daten übermittelt;
e) bezeichnet der Begriff "Datenimporteur" den in einem Drittland ansässigen Verarbeiter, der sich bereit erklärt, vom Datenexporteur dessen Anweisungen und den Vorschriften dieser Entscheidung entsprechend Daten entgegenzunehmen, die nach der Übermittlung in dessen Auftrag verarbeitet werden sollen, und der nicht dem System eines Drittlands unterliegt, das ein angemessenes Schutzniveau bietet;
f) bezeichnet der Begriff "anwendbares Datenschutzrecht" die Vorschriften zum Schutz der Grundrechte und -freiheiten natürlicher Personen, insbesondere des Rechts auf Schutz der Privatsphäre im Hinblick auf die Verarbeitung personenbezogener Daten, die in dem Land, in dem der Datenexporteur ansässig ist, auf den für die Verarbeitung Verantwortlichen anzuwenden sind;
g) bezeichnet der Begriff "technische und organisatorische Sicherheitsmaßnahmen" Maßnahmen, die personenbezogene Daten vor der zufälligen oder unrechtmäßigen Zerstörung, dem zufälligen Verlust, der Änderung, der unberechtigten Weitergabe oder dem unberechtigten Zugang, insbesondere wenn die Verarbeitung die Übermittlung der Daten über ein Netzwerk umfasst, und gegen jede andere Form der unrechtmäßigen Verarbeitung schützen sollen.
Artikel 4
(1) Unbeschadet ihrer Befugnisse, tätig zu werden, um die Einhaltung nationaler Vorschriften gemäß den Kapiteln II, III, V und VI der Richtlinie 95/46/EG zu gewährleisten, können die zuständigen Kontrollstellen in den Mitgliedstaaten ihre bestehenden Befugnisse ausüben, indem sie zum Schutz von Privatpersonen in Bezug auf die Verarbeitung ihrer personenbezogenen Daten die Datenübermittlung in Drittländer verbieten oder aussetzen, wenn
a) feststeht, dass der Datenimporteur nach den für ihn geltenden Rechtsvorschriften Anforderungen unterliegt, die ihn zwingen, vom anwendbaren Datenschutzrecht in einem Maß abzuweichen, das über die Beschränkungen hinausgeht, die im Sinne von Artikel 13 der Richtlinie 95/46/EG für eine demokratische Gesellschaft erforderlich sind, und dass sich diese Anforderungen wahrscheinlich sehr nachteilig auf die Garantien auswirken würden, die das anwendbare Datenschutzrecht und die Standardvertragsklauseln bieten, oder
b) eine zuständige Behörde festgestellt hat, dass der Datenimporteur die Vertragsklauseln im Anhang nicht einhält, oder
c) eine hohe Wahrscheinlichkeit besteht, dass die im Anhang enthaltenen Standardvertragsklauseln derzeit oder künftig nicht eingehalten werden und die Fortsetzung der Übermittlung den betroffenen Personen einen schwerwiegenden Schaden zufügen würde.
(2) Das Verbot oder die Aussetzung gemäß Absatz 1 wird aufgehoben, sobald die Gründe für das Verbot oder die Aussetzung nicht mehr vorliegen.
(3) Sobald die Mitgliedstaaten Maßnahmen gemäß den Absätzen 1 und 2 ergreifen, informieren sie unverzüglich die Kommission, die ihrerseits die Informationen an die anderen Mitgliedstaaten weiterleitet.
Artikel 5
Die Kommission bewertet drei Jahre, nachdem sie den Mitgliedstaaten diese Entscheidung bekannt gegeben hat, anhand der verfügbaren Informationen ihre Durchführung. Sie legt dem durch Artikel 31 der Richtlinie 95/46/EG eingesetzten Ausschuss einen Bericht über ihre Feststellungen vor. Hierzu gehören auch sämtliche Erkenntnisse, die die Beurteilung der Angemessenheit der im Anhang enthaltenen Standardvertragsklauseln berühren könnten sowie etwaige Belege dafür, dass die Entscheidung in diskriminierender Weise angewandt wird.
Artikel 6
Diese Entscheidung gilt ab dem 3. April 2002.
Artikel 7
Diese Entscheidung ist an alle Mitgliedstaaten gerichtet.
Brüssel, den 27. Dezember 2001