Gesetz über digitale Märkte (DMA)
Die EU-Verordnung 2022/1925, besser bekannt als Gesetz über digitale Märkte (Digital Markets Act), soll einen fairen Wettbewerb im digitalen Sektor gewährleisten. Zu diesem Zweck gelten für Unternehmen, die von der Europäischen Kommission als „Gatekeeper“ eingestuft wurden, über die allgemeinen Wettbewerbsregeln hinaus besondere Verpflichtungen: Sie müssen die Interoperabilität mit Diensten Dritter ermöglichen und sogenannte Lock-in-Effekte verhindern.
F5 wurde von der Europäischen Kommission nicht als Gatekeeper benannt und rechnet auch in absehbarer Zukunft nicht mit einer solchen Benennung. Zwar bietet F5 mit seinen Cloud-Computing-Angeboten einen „zentralen Plattformdienst“ an, doch erreichen wir weder die Umsatz- noch die Nutzerschwellenwerte, um als Gatekeeper eingestuft zu werden, noch verfügen wir auf dem Markt für Cloud-Computing-Dienste über eine „gefestigte und dauerhafte Position“. Daher gelten die erhöhten Verpflichtungen, denen Gatekeeper gemäß dem DMA unterliegen, nicht für F5.
Kunden, deren Hauptgeschäftssitz sich in Europa, dem Nahen Osten oder Afrika (zusammen „EMEA“) befindet, erhalten Dienstleistungen auf Grundlage von Verträgen mit F5 Networks, Ltd. F5 Networks hat seinen Hauptsitz im Vereinigten Königreich, wurde nach dessen Recht gegründet und ist das Zentrum der EMEA-Aktivitäten von F5. Die Behörden der EU und der Schweiz haben anerkannt, dass die Gesetze des Vereinigten Königreichs einen Schutz personenbezogener Daten gewährleisten, der die Anforderungen von Kapitel V der DSGVO und des entsprechenden Schweizer Rechts vollständig erfüllt.
Kunden mit Hauptsitz im asiatisch-pazifischen Raum (APAC) schließen Verträge mit F5 Networks Singapore Pte Ltd. in Singapur. Alle anderen Kunden (einschließlich derjenigen mit Hauptsitz in Nordamerika) schließen Verträge mit F5, Inc. in den Vereinigten Staaten. Für alle Dienstleistungen von F5 enthält der Zusatz zur Datenverarbeitung (Data Protection Addendum, DPA), ergänzt durch die dienstleistungsspezifischen Bedingungen, die Standardvertragsklauseln sowie Bestimmungen, die für alle rechtlich relevanten Datenübermittlungen an F5 gelten. Diese Standardvertragsklauseln werden für Datenübermittlungen aus dem Vereinigten Königreich durch den von der britischen Regierung veröffentlichten Zusatz für internationale Datenübermittlungen und für Datenübermittlungen aus der Schweiz durch zusätzliche, vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten veröffentlichte Formulierungen ergänzt. Für die betreffenden Dienstleistungen verfügt F5 außerdem über eine Zertifizierung gemäß dem Datenschutzrahmen EU–USA, der britischen Erweiterung des Datenschutzrahmens EU–USA und dem Datenschutzrahmen Schweiz–USA.
Ja. Für die betreffenden Dienste verfügt F5 über eine Zertifizierung gemäß dem Datenschutzrahmen EU–USA, der britischen Erweiterung des Datenschutzrahmens EU–USA und dem Datenschutzrahmen Schweiz–USA.
Nein. Diese beiden US-amerikanischen Rechtsvorschriften, die im Mittelpunkt des Schrems-II-Urteils standen, haben keine Auswirkungen auf F5. Unabhängig davon stellte die Europäische Kommission aufgrund der nach dem Schrems-II-Urteil vorgenommenen Verbesserungen des US-Rechts in ihrem Durchführungsbeschluss vom 10.7.2023 gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates über die Angemessenheit des Schutzniveaus für personenbezogene Daten nach dem Datenschutzrahmen EU-USA fest, dass die früheren Bedenken hinsichtlich dieser Vorschriften ausgeräumt wurden. Der Europäische Datenschutzausschuss (EDSA) analysierte den Beschluss der Europäischen Kommission und stellte in seinem Informationsvermerk über Datenübermittlungen gemäß der DSGVO in die Vereinigten Staaten nach Annahme des Angemessenheitsbeschlusses am 10. Juli 2023 fest, dass „alle von der US-Regierung im Bereich der nationalen Sicherheit eingeführten Garantien (einschließlich des Rechtsbehelfsmechanismus) für sämtliche in die USA übermittelten Daten gelten, unabhängig vom verwendeten Übermittlungsinstrument“ (das heißt unabhängig davon, ob die Daten über den Datenschutzrahmen, Standardvertragsklauseln oder ein anderes Übermittlungsinstrument in die Vereinigten Staaten übermittelt werden).
F5 hat noch nie ein Auskunftsersuchen bezüglich Daten oder eine andere Art von Anordnung gemäß FISA 702 erhalten. Viele Dienste von F5 gehören nicht zu den Diensten, an die eine Anordnung gemäß FISA 702 gerichtet werden kann. Darüber hinaus verarbeitet F5 bei nahezu allen Kunden von F5-Diensten nicht die Art von Daten, die Gegenstand einer Anordnung gemäß FISA 702 sein kann. Dies betrifft Daten über die Verbreitung von Massenvernichtungswaffen, Pläne ausländischer Mächte für Angriffe auf die Vereinigten Staaten, nachrichtendienstliche Erkenntnisse über die geheimen Aktivitäten ausländischer Spione oder andere „ausländische Geheimdienstinformationen“ im Sinne des FISA.
F5 kann auch keine Anordnung zur Herausgabe von Kundendaten gemäß EO 12333 erhalten, da es keine EO-12333-Anordnung gibt. EO 12333 weist bestimmte Zuständigkeiten innerhalb der Nachrichtendienstgemeinschaft der Vereinigten Staaten zu, erlegt dem privaten Sektor jedoch keinerlei Verpflichtungen auf. F5 verschlüsselt Daten bei der Übertragung und setzt zusätzliche Sicherheitsmaßnahmen zum Schutz vor den theoretisch möglichen Abfangaktivitäten ein, die das mit Schrems II befasste Gericht vor der oben erläuterten Angemessenheitsfeststellung der Europäischen Kommission aus dem Jahr 2023 beanstandet hatte.
Der CLOUD Act hat der US-Regierung keine neuen Befugnisse eingeräumt, Daten von Unternehmen anzufordern, die in den Vereinigten Staaten geschäftlich tätig sind. Die US-Regierung erlässt keine „CLOUD-Act-Anordnungen“, und F5 hat noch nie eine solche erhalten. Der CLOUD Act stellte klar, dass ein Unternehmen, wenn die US-Regierung ein ordnungsgemäßes bestehendes Rechtsverfahren einhält (etwa indem sie eine Anordnung eines Richters an einem US-Bundesbezirksgericht erwirkt), um es zur Herausgabe bestimmter Daten in seinem Besitz, Gewahrsam oder unter seiner Kontrolle zu verpflichten, den Speicherort der Daten nicht als Grundlage für die Anfechtung der Anordnung heranziehen kann (wobei ein Konflikt mit den am jeweiligen Speicherort geltenden Gesetzen weiterhin eine solche Grundlage darstellen kann). Der CLOUD Act war bereits vor dem Schrems-II-Urteil von 2020 in Kraft. Nach dem Schrems-II-Urteil nahmen die Vereinigten Staaten verschiedene Verbesserungen an ihren Vorschriften und Verfahren für den staatlichen Zugriff auf Daten vor. Die Europäische Kommission bewertete diese Verbesserungen anschließend und stellte fest, dass das auf Datenanforderungen der US-Regierung anwendbare US-Recht nun ein angemessenes Schutzniveau im Sinne der DSGVO gewährleistet. Siehe Durchführungsbeschluss vom 10.7.2023 gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates über die Angemessenheit des Schutzniveaus für personenbezogene Daten nach dem Datenschutzrahmen EU-USA. Der Europäische Datenschutzausschuss (EDSA) analysierte diesen Beschluss und stellte fest (in seinem Informationsvermerk zu Datenübermittlungen gemäß der DSGVO in die Vereinigten Staaten nach Annahme des Angemessenheitsbeschlusses am 10. Juli 2023), dass „alle von der US-Regierung im Bereich der nationalen Sicherheit eingeführten Garantien (einschließlich des Rechtsbehelfsmechanismus) für sämtliche in die USA übermittelten Daten gelten, unabhängig vom verwendeten Übermittlungsinstrument“ (das heißt unabhängig davon, ob die Daten über den Datenschutzrahmen, Standardvertragsklauseln oder ein anderes Übermittlungsinstrument in die Vereinigten Staaten übermittelt werden).
Angesichts der Art der Kundenbeziehungen von F5 und der begrenzten (und in der Regel verschlüsselten) Daten, die F5 für Kunden verarbeitet, sind derartige Herausgabeverlangen äußerst selten. Bei jedem Verlangen nach Kundendaten verfolgt F5 die Richtlinie, (i) den Kunden unverzüglich zu benachrichtigen, sofern dies rechtlich zulässig ist, und anschließend mit dem Kunden bei der Klärung des Verlangens zusammenzuarbeiten, oder (ii) falls eine Benachrichtigung des Kunden rechtswidrig wäre, zu versuchen, die anfragende Behörde an den Kunden zu verweisen. Sollten diese Bemühungen nicht zur Klärung der Angelegenheit führen, würde F5 die Rechtmäßigkeit des Verlangens prüfen und alle angemessenen Rechtsbehelfe dagegen einlegen (etwa durch Berufung), einschließlich der Prüfung, ob die Erfüllung des Verlangens gegen die DSGVO oder andere einschlägige Gesetze verstoßen würde. Während dieses Verfahrens würde F5 beantragen, die Wirkung des Verlangens auszusetzen, bis die zuständige Justizbehörde – einschließlich im Rahmen etwaiger Rechtsmittelverfahren – in der Sache entschieden hat. F5 würde in einer solchen Situation keine Daten offenlegen, solange und soweit dies nicht nach den geltenden Verfahrensvorschriften erforderlich ist. Sollte dieser Punkt erreicht werden, würde F5 nur das Mindestmaß an Daten offenlegen, das erforderlich ist, um dem nach Abschluss dieser Verfahren verbleibenden Umfang des ursprünglichen Verlangens nachzukommen.
Jeder Kundenvertrag über die Dienstleistungen von F5 (das End User Services Agreement (EUSA)) enthält dienstleistungsspezifische Bedingungen, die den Nachtrag von F5 zur Datenverarbeitung (Data Protection Addendum, DPA) einbeziehen und ergänzen. Dieser umfasst die Standardvertragsklauseln mit den entsprechenden zusätzlichen Bestimmungen für Datenübermittlungen, die britischem oder schweizerischem Recht unterliegen. In bestimmten Fällen schließen der Kunde und F5 einen anderen Vertrag, der dieselben Schutzbestimmungen enthält, beispielsweise einen Vertrag über bestimmte Supportleistungen von F5. Kunden können außerdem https://www.dataprivacyframework.gov/list aufrufen. Dort ist ersichtlich, dass F5 gemäß dem Datenschutzrahmen EU–USA, der britischen Erweiterung des Datenschutzrahmens EU–USA und dem Datenschutzrahmen Schweiz–USA zertifiziert ist.
Für Übermittlungen an F5-Unternehmen in „Drittländern“, einschließlich des Vereinigten Königreichs, stützen sich F5 und seine Kunden auf das International Data Transfer Addendum zu den Standardvertragsklauseln der EU-Kommission, das auf der Website der britischen Datenschutzbehörde (Information Commissioner’s Office) verfügbar ist und für entsprechende, dem britischen Recht unterliegende Übermittlungen durch Verweis in die Auftragsverarbeitungsvereinbarung (DPA) von F5 einbezogen wird. Darüber hinaus ist F5 für bestimmte Dienste gemäß der britischen Erweiterung des Datenschutzrahmens EU–USA zertifiziert.
