21. Tätigkeitsbericht des Hamburgischen Datenschutzbeauftragten ...

Darüber hinaus beschloss der Düsseldorfer Kreis eine Handreichung zur rechtlichen
Bewertung von Fallgruppen zur internationalen Auftragsdatenverarbeitung.
Sie beinhaltet die häufigsten Fallkonstellationen und soll den Unternehmen die
rechtliche Bewertung erleichtern. Im Einzelfall kann eine abweichende Bewertung
erforderlich sein. Deshalb verbieten sich schematische Lösungen.
Im Internet ist der vollständige Text der Handreichung unter der folgenden
Adresse abrufbar: http://fhh.hamburg.de/stadt/Aktuell/weitere-einrichtungen/
datenschutzbeauftragter/informationsmaterial/wirtschaft/internationale-auftrags-dv.html
20.3 SWIFT
Aufgrund des massiven Drucks durch die europäischen Datenschutzaufsichtsbehörden
konnte erreicht werden, dass Zahlungsverkehrsdaten aus Überweisungen,
die den europäischen Wirtschaftraum betreffen, künftig nicht mehr in
den USA gespeichert werden.
Im Juni 2006 wurde durch eine Veröffentlichung in der New York Times bekannt,
dass das US-amerikanische Finanzministerium aufgrund von Beschlagnahmeanordnungen
zum Zwecke der Bekämpfung des internationalen Terrorismus
auf eine Vielzahl von Zahlungsverkehrsdaten im US-Rechenzentrum
von SWIFT zugegriffen und diese für die Zwecke der Terrorismusbekämpfung
ausgewertet hatte. Die Society for Worldwide Interbank Financial Telecommunication
(SWIFT) mit Sitz in Belgien ist ein weltweit tätiger Banken-Dienstleister
und betreibt ein Telekommunikationsnetzwerk zum automatisierten Austausch
von standardisierten Zahlungsverkehrsnachrichten zwischen Kreditinstituten
im internationalen Zahlungsverkehr. Bei sämtlichen Überweisungen ins Ausland
und bei gesondert beauftragten Eilüberweisungen werden die in der
Überweisung enthaltenen Daten über SWIFT an das Kreditinstitut der Begünstigten
weitergeleitet. Aus Gründen der Datensicherheit werden die Transaktionsdaten
durch SWIFT doppelt gespeichert, d.h. sowohl in seinem Rechenzentrum
in den Niederlanden als auch in seinem Rechenzentrum in den USA.
Daher war es den US-amerikanischen Sicherheitsbehörden möglich, auf die
Transaktionsdaten von sämtlichen grenzüberschreitenden Zahlungsaufträgen,
auch soweit sie nur innerhalb der EU erfolgten, zuzugreifen.
Die europäischen und die deutschen Datenschutzaufsichtsbehörden haben
diese Spiegelung von Zahlungsverkehrsdaten von EU-Bürgern in dem SWIFT-
Rechenzentrum in den USA kritisiert. Der Düsseldorfer Kreis hat im November
2006 beschlossen, dass die Spiegelung von Datensätzen im SWIFT-Rechenzentrum
in den USA wegen fehlender Rechtsgrundlage sowohl nach deutschem
Recht als auch nach EG-Datenschutzrecht unzulässig ist, da die USA
über kein angemessenes Datenschutzniveau im Sinne des Art. 25 Abs. 1 und
Abs. 2 der EG-Datenschutzrichtlinie verfügen. Die deutschen Banken wurden
aufgefordert, unverzüglich Maßnahmen zu ergreifen, durch die im SWIFT- Ver-
114
21. Tätigkeitsbericht 2006/2007 HmbDSB