#schremsii — Public Fediverse posts

Six years after Schrems II, most SMEs using mainstream SaaS have US transfers, Indian sub-processors, AI services running inference somewhere they can't name — and no documented Transfer Impact Assessment for any of it.
Schrems III is pending at the CJEU. The organisations doing TIAs now will barely notice the ruling. The ones relying on DPF certification won't.
https://readmodel.com/blog/article.php?slug=transfer-impact-assessment-guide
#GDPR #SchremsII #readmodel #locaverdi

EU – USA

Zugriff auf biometrische Polizeidaten: EU-Kommission will mit USA geheim verhandeln

Die USA fordern automatisierten Zugriff auf biometrische Polizeidaten in EU-Staaten. Ein Anwalt äußert bei „Beck Online“ erhebliche Bedenken. Die Kommission beginnt trotzdem Verhandlungen mit hoher Geheimhaltung.

Die US-Regierung verlangt von allen Teilnehmenden ihres Visa-Waiver-Programms (VWP), eine „Enhanced Border Security Partnership“ (EBSP) abzuschließen. Das VWP ermöglicht Bürger*innen aus derzeit über 40 Ländern – darunter 24 von 27 EU-Mitgliedstaaten – eine visafreie Einreise in die USA für bis zu 90 Tage. Künftig soll dieses Privileg jedoch an neue Bedingungen geknüpft werden: Die USA fordern einen direkten Zugriff auf nationale Polizeidatenbanken mit Fingerabdrücken und Gesichtsbildern von Teilnehmerstaaten.

Von derartigen Abfragen betroffen wären nicht nur Reisende, sondern grundsätzlich alle Personen, deren Daten im Zuständigkeitsbereich von Grenz- und Polizeibehörden der USA verarbeitet werden. Weigern sich Staaten, diese „Grenzpartnerschaft“ einzugehen, sollen sie aus dem VWP ausgeschlossen werden.

Kommission erhält Verhandlungsmandat

Selbst innerhalb der Europäischen Union existiert kein System, das Polizeibehörden anderer Mitgliedstaaten einen unmittelbaren Zugriff auf nationale Datenbanken erlaubt. In Deutschland allein könnten davon fast sechs Millionen Menschen betroffen sein, die im polizeilichen Informationssystem INPOL mit Gesichtsbildern und Fingerabdrücken gespeichert sind. Rund die Hälfte der erfassten Personen sind Asylsuchende oder ausreisepflichtige Personen.

Kurz vor Weihnachten 2025 erteilten die EU-Staaten der Kommission in Brüssel trotzdem das Mandat, über ein Rahmenabkommen mit den USA zu verhandeln. Dieses soll die Grundlinien für die US-Datenabfragen festlegen. Die konkreten technischen, rechtlichen und organisatorischen Details müssen anschließend in bilateralen Umsetzungsabkommen geregelt werden.

Die Verhandlungsposition der EU bleibt jedoch geheim. Auf eine Anfrage nach dem Informationsfreiheitsgesetz verweigerte die Kommission den Zugang zu dem entsprechenden Dokument. Zur Begründung hieß es, eine Freigabe würde „die Position der Europäischen Kommission bei den Verhandlungen mit den USA schwächen“ und „den Schutz der internationalen Beziehungen beeinträchtigen“.

Erhebliche rechtliche Bedenken

Der Fachanwalt für Strafrecht und IT-Recht Jens Ferner bewertet das geplante Rahmenabkommen mit der EU äußerst kritisch. Die vom Europäischen Gerichtshof (EuGH) geforderten Standards – ein im Wesentlichen gleichwertiges Schutzniveau, die Verhältnismäßigkeit von Überwachungsmaßnahmen und effektiver Rechtsschutz – stünden in „deutlichem Spannungsverhältnis zu den in den USA bestehenden Überwachungsbefugnissen“, schreibt Ferner in einem Gastkommentar für das Magazin „Beck Online“.

Ferner verweist auf die „Schrems II“-Entscheidung des EuGH, in der das Gericht das EU-US-Privacy-Shield für ungültig erklärt hatte, weil US-Überwachungsprogramme nicht auf das zwingend erforderliche Maß beschränkt seien und Betroffene keinen ausreichenden Rechtsschutz genössen. Eine EBSP, die US-Behörden „einen quasi unmittelbaren Online-Zugriff auf biometrische Polizeidaten von Millionen Menschen“ einräume, sei mit dem „tradierten europäischen Daten- und Grundrechtsverständnis“ nicht vereinbar.

Ein unionskonformes Modell müsste mindestens strikte Zweckbindungen vorsehen und sensible Personengruppen wie Zeug*innen, Opfer und Berufsgeheimnisträger ausnehmen, so Ferner. Außerdem müsse eine EBSP am Treffer/Kein-Treffer-Prinzip anknüpfen: Zunächst wird abgefragt, ob ein Datensatz vorhanden ist, danach kann unter engen rechtlichen Voraussetzungen eine Übermittlung beantragt werden. Würden diese Vorgaben nicht eingehalten, sei „mit rechtlichen Auseinandersetzungen vor den Verfassungsgerichten und dem EuGH zu rechnen“.

Berüchtigte US-Behörde ICE könnte Daten nutzen

Der Austausch im EBSP soll auch Personen betreffen, die in „Grenz- und Migrationskontexten“ angetroffen werden. Damit könnten die Daten auch der Einwanderungs- und Zollbehörde ICE zur Verfügung stehen. Unter Präsident Donald Trump wurde diese Behörde massiv ausgebaut. Mit einem zweistelligen Milliarden-Dollar-Budget sind pauschal eine Million Abschiebungen pro Jahr avisiert.

Zum Einsatz kommen dabei unter anderem umstrittene Überwachungssoftware von Palantir sowie weitere fragwürdige IT-Werkzeuge. Ein direkter Zugriff auf europäische Polizeidaten würde diesen Überwachungs- und Abschiebeapparat erheblich stärken. Das hätte Folgen auch für linke politische Aktivist*innen, deren biometrische Daten nach erkennungsdienstlichen Behandlungen ebenfalls in nationalen oder europäischen Systemen gespeichert sind.

Im Herbst hatte die Trump-Administration eine vermeintliche deutsche „Antifa Ost“ auf eine Terrorliste gesetzt. Möglicherweise unter Befolgung damit verbundener Sanktionen kündigte die GLS Bank daraufhin der Solidaritätsorganisation Rote Hilfe ihre Konten. Ein EBSP-Abkommen könnte in diesem Gefüge auch Einzelpersonen bei der US-Reise Repressalien bescheren.

Frist läuft Ende 2026 ab

Bislang hat nach öffentlich bestätigten Informationen lediglich Bahrain ein EBSP-Abkommen mit den USA abgeschlossen. Laut dem Heimatschutzministerium in Washington umfasst es den „automatisierten“ Austausch biometrischer Daten zur Bekämpfung von Terrorismus, organisierter Kriminalität sowie Drogen- und Migrantenschmuggel.

Die EU-Mitgliedstaaten müssen nun entscheiden, ob und unter welchen Bedingungen sie einen solch weitgehenden Datendeal unterzeichnen wollen, um den visafreien Reiseverkehr im Rahmen des Visa-Waiver-Programms fortzuführen – oder daraus auszusteigen. Die von den USA gesetzte Frist endet am 31. Dezember 2026.

Matthias Monroy, Wissensarbeiter, Aktivist und Mitglied der Redaktion der Zeitschrift Bürgerrechte & Polizei/CILIP. Außerdem Redakteur für Innenpolitik der Zeitung nd.Der Tag. Texte auf Englisch unter digit.site36.net, auf Twitter @matthimon. Dieser Beitrag ist eine Übernahme von netzpolitik, gemäss Lizenz Creative Commons BY-NC-SA 4.0.

Ultim'ora (pessima): La 2a corte suprema d'Europa si è espressa positivamente sul #DataPrivacyFramework stipulato tra UE e USA

"Così facendo, si conferma che, alla data di adozione della decisione impugnata, gli Stati Uniti d'America garantivano un livello adeguato di protezione dei dati personali trasferiti dall'Unione europea alle organizzazioni di tale paese", ha aggiunto il Tribunale con sede in Lussemburgo.

#SchremsII #DPF #privacy

https://www.reuters.com/sustainability/boards-policy-regulation/eu-court-backs-latest-eu-us-data-transfer-deal-2025-09-03/

@privacypride

@legoktm @ehasbrouck

The EU privacy laws may demand deletion. But that does Not mean the laws are obeyed.

Both politicians and data protection offices Do mostly Not act on court decisions.

#schrems1 #schrems2 #schrems3 #schremsI #SchremsII #SchremsIII

Diese Woche im #Bundestag findet weitgehend ohne mich statt. Ich hoffe, morgen bin ich fit genug, um per Videokonferenz die Anhörung zur "innovativen #Datenpolitik" im Digitalausschuss zu bestreiten, denn unser Sachverständiger ist @maxschrems (@noybeu, #SchremsI, #SchremsII, ggf bald #SchremsIII ) u da will ich natürlich dabei sein! Gestern war das Fieber noch hoch, heute ist es fast weg.

@[email protected] people trust apple, for some reason.

i don't think they should - apple made a deal with open-ai, and are an american company living under their laws (#schremsii), but people love and trust them for some reason.

2024 så tycker Swedavia, som är ett statligt bolag, att det bästa sättet att hålla sig uppdaterad om sitt flyg är att ... installera Facebook Messenger 🤔🙄

På deras söksida för flyg kan man inte välja något annat alternativ. De har också en app, som man får leta efter. Men i tillgänglighetens namn, vad är det för fel på SMS? Och hur kan man ens komma på tanken att använda sig av ett Facebook-verktyg ... 😑

#swedavia #gdpr #privacy #dataskydd #dataprotection #schremsii

RT @maxschrems
To everyone that called the #SchremsII decision by @EUCourtPress that data cannot flow to the US over *known* surveillance on EU data "protectionist", "extreme" and "radical":

How do you call forcing a sale of @tiktok_us to a US company over alleged Chinese surveillance?! 🤔

https://washingtonpost.com/technology/2024/03/13/tiktok-ban-passes-house-vote/

@mike

Digital #SelfDefense is just one component. Stopping here would be naïve. It takes #sovereignty, too (owning your data), and #citizenship (getting involved with policy making), otherwise public spaces will just wither under growing #surveillance.

When the #EU started discussing the #GDPR, lots of people were "sure" it would never make a difference. Now it's in effect, we have court rulings like #SchremsI & #SchremsII, plus legal action taken by orgs like @noybeu.

@hughster @supernovae

Datenschutz wird bei bioelektronischen Patienten-Systemen eine wichtige Rolle spielen müssen – worauf wir öfter hingewiesen haben. Heute gab es eine wichtige Entscheidung pro #Datenschutz:

die Bundesregierung muss ihre #Facebook-Seite abschalten

Der #BfDI hatte das schon lange gefordert, sofern nicht nachzuweisen ist, dass keine Daten unbefugt in die USA abfließen (#SchremsII-Urteil). Dieser Nachweis wurde nicht erbracht, so dass nun die Abschaltung angeordnet wurde:
https://www.bfdi.bund.de/SharedDocs/Pressemitteilungen/DE/2023/06-Untersagung-Betrieb-Fanpage-BReg.html

The European Parliament's Committee on Civil Liberties, Justice and Home Affairs ("LIBE") released a draft resolution that does not look very kindly on the US attempt to support an adequacy determination under GDPR through an Executive Order. (It points out all the things it finds lacking in the US attempt at creating a new data privacy framework - no surprises here.) If this is indicative of the final outcome at the Commission (please, no wagering ;) ), Mr Schrems will be happy... and many of us will continue to work under the assumption that this is all going nowhere fast. Among the many failings noted: The US does not have a federal privacy law. #ADPPA was on the table in the last Congress. Are nudges from #POTUS at the #SOTU and from the #EU going to be sufficient to get the ball rolling again? Would any such law comprehensively address the outstanding concerns re: adequacy? Does failure to adopt such a law harm the global economic position of the US in the near term or in the long term? What other issues are raised by this development or by an eventual negative finding re: adequacy? #GDPR #adequacy #LIBE #DPF #dataprivacyframework #dataprivacy #privacy #data #personaldata #personaldataprotection #dataprotection #schremsii #schremsiii #EU #IAPP https://www.europarl.europa.eu/doceo/document/LIBE-RD-740749_EN.pdf

@Gargron Remember to update the #privacy policy to tell #MastodonSocial users about the transfer of personal data towards the USA, as per #GDPR and #SchremsII.
https://gdprhub.eu/Article_44_GDPR

Quite a bit of discussion around my LinkedIn post about how a new adequacy decision would not make it easier to use U.S. cloud providers who offer EU localised processing.
https://www.linkedin.com/posts/armanborghem_gdpr-dpf-fisa702-activity-7010187451876929536-0eiK
#DPF #FISA702 #SchremsII #GDPR #Cloud

Dazu kommt noch, dass der Hersteller von Confluence alle Nutzenden in die Cloud zwingen will. Das bedeutet, dass Internas Deutscher Behörden auf Servern einer anderen Macht liegen - und das kann man nicht für sinnvoll halten, selbst wenn nan den USA blind vertraut. Von den personenbezogenen Daten und DRM damit verbunden Verstoß gegen das #SchremsII-Urteil des EuGH gar nicht zu reden.
@digital

Meanwhile, on the #GDPR front ...

After the invalidation of the second US-EU framework, known as #PrivacyShield was invalidated by the European court in the #SchremsII decision, the US and EU eventually signed an agreement in principle, and a good while later, the US President issued an Executive Order framing a new #DataPrivacyFramework this fall.

This week, the EU issued a draft #adequacy decision -- essentially, a recommendation that the new Framework be recognized as providing adequate protections for personal information of EU citizens if transmitted cross-border to the US. Many commentators have observed shortcomings of the Framework, and many businesses appear loath to plan for reliance on it. (Side note -- other jurisdictions around the world have data localization requirements without even the option to explore "adequacy" determinations. All in all, this approach leads to atomization of data; the pendulum has swung very far in one direction at the moment and I expect that over time things may settle down a bit.)

At every step along the way, Mr. Schrems has indicated his skepticism and his organization (#NOYB - "None of Your Business") is reviewing the draft and is likely to challenge any final adequacy finding in court. (The final adequacy decision is expected next Spring.)

An interesting development to close out this week is the announcement of a new #OECD agreement on safeguarding #privacy in #lawenforcement and #nationalsecurity data access. If this agreement comes close to the headline -- and means what it says, and says what it means, and member states (including the US) go home and fiddle with legislation (rather than Executive Orders -- some of which are not particularly long-lived), then maybe we have a fighting chance of working towards true "adequacy."

Links to all four of these gems below.

What do you think?

#data #business #dataprivacy #dataprivacylaw #digitalhealth #hcldr #HITsm #HarlowOnHC

Data Privacy Framework:
https://www.whitehouse.gov/briefing-room/statements-releases/2022/10/07/fact-sheet-president-biden-signs-executive-order-to-implement-the-european-union-u-s-data-privacy-framework/

Draft Adequacy Decision: https://ec.europa.eu/commission/presscorner/detail/en/ip_22_7631

NOYB statement on draft decision:
https://noyb.eu/en/statement-eu-comission-adequacy-decision-us

Statement on OECD agreement:
https://www.oecd.org/newsroom/landmark-agreement-adopted-on-safeguarding-privacy-in-law-enforcement-and-national-security-data-access.htm

@EP_ThinkTank has just published a very interesting paper with all the first reactions (stakeholders, supervisory authorities, researchers…) & other useful info on 🇺🇸🇪🇺Data Privacy Framework #TADPF - successor #PrivacyShield & response to #SchremsII
https://www.europarl.europa.eu/RegData/etudes/BRIE/2022/739261/EPRS_BRI(2022)739261_EN.pdf

Der hamburgische LfD kritisiert die Kritiker der US Executive Order als Nachfolger des #privacy shields und ist bemüht, die positiven Versuche einer Annäherung hervorzuheben. Wirksamen #Datenschutz verspricht aber allein ein Einschränkung d Massenüberwachung. Rechtsschutz sollte in einem freiheitlichen, demokratischen Rechtsstaat selbstverständlich sein. In der Praxis wird er für viele kaum durchsetzbar sein.
#SchremsII
https://datenschutz-hamburg.de/pages/executiveorder/

#Microsoft365 könne von Organisationen in D nicht rechtskonform eingesetzt werden, "jedenfalls nicht ohne zusätzliche technische Maßnahmen". #Office365 #Datenschutz #PrivacyShield #SchremsII
https://www.heise.de/news/Datenschutzkonferenz-Microsoft-365-ist-und-bleibt-datenschutzwidrig-7352065.html

Ecco come il governo francese risponde a un'interrogazione parlamentare che chiedeva se l'offerta gratuita di Microsoft Office 365 non fosse una forma di dumping e di soggezione a una legge extraterritorlale USA, oltre tutto lesiva delle norme europee sulla privacy: https://questions.assemblee-nationale.fr/q16/16-971QE.htm
La Francia rispetta #SchremsII e chiede che le soluzioni cloud siano offerte da aziende soggette esclusivamente alla legislazione comunitaria: dunque in generale non Microsoft né Google. #souveraineténumérique (no, non si traduce in italiano)

The Procurement Chamber in the German state of Baden-Württemberg decided that the transfer of personal data outside of the EU is not #GDPR compatible.

"It’s a landmark decision that has a huge influence in Germany & the rest of Europe"
https://nextcloud.com/blog/baden-wurttemberg-procurement-chamber-decides-us-cloud-services-are-not-gdpr-compliant/
#GDPR #SchremsII

"American data spies will never care where the servers are"

https://world.hey.com/dhh/american-data-spies-will-never-care-where-the-servers-are-371d4016

#gdpr #gdprcompliance #dataprotection #dataskydd #schrems #schremsii #privacy #privacymatters

„Executive Order des US-Präsidenten ist ein wichtiger Schritt, der aber viele Fragen offenlässt“

Die @lfdi Pressemitteilung zur #ExecutiveOrder des US Präsidenten👇

#Bürgerrechte #Datenschutz #DSGVO #SchremsII

https://www.baden-wuerttemberg.datenschutz.de/usa-eu-datentransfer-durchfuehrungsverordnung-us-praesident/