Gesetz über digitale Dienste (DSA)

Kunden, deren Hauptgeschäftssitz sich in Europa, dem Nahen Osten oder Afrika (zusammen EMEA) befindet, erhalten Dienstleistungen auf Grundlage von Verträgen mit F5 Networks, Ltd. F5 Networks hat seinen Hauptsitz im Vereinigten Königreich, wurde nach dessen Recht gegründet und ist das Zentrum der EMEA-Aktivitäten von F5. Die Behörden der EU und der Schweiz haben anerkannt, dass die Gesetze des Vereinigten Königreichs einen Schutz personenbezogener Daten gewährleisten, der die Anforderungen von Kapitel V der DSGVO und des entsprechenden Schweizer Rechts vollständig erfüllt.

Kunden mit Hauptsitz im asiatisch-pazifischen Raum (APAC) schließen Verträge mit F5 Networks Singapore Pte Ltd. in Singapur. Alle anderen Kunden (einschließlich derjenigen mit Hauptsitz in Nordamerika) schließen Verträge mit F5, Inc. in den Vereinigten Staaten. Für alle Dienste von F5 enthält der Zusatz zur Datenverarbeitung (Data Protection Addendum, DPA), ergänzt durch die dienstspezifischen Bedingungen, die Standardvertragsklauseln sowie Bestimmungen, die für alle rechtlich relevanten Übermittlungen an F5 gelten. Diese Standardvertragsklauseln werden für Übermittlungen aus dem Vereinigten Königreich durch den von der britischen Regierung veröffentlichten Zusatz für internationale Datenübermittlungen und für Übermittlungen aus der Schweiz durch zusätzliche, vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten veröffentlichte Formulierungen ergänzt. Für relevante Dienste verfügt F5 außerdem über eine Zertifizierung gemäß dem Datenschutzrahmen EU–USA, der britischen Erweiterung des Datenschutzrahmens EU–USA und dem Datenschutzrahmen Schweiz–USA.

Ja. Für relevante Dienste verfügt F5 über eine Zertifizierung gemäß dem Datenschutzrahmen EU–USA, der britischen Erweiterung des Datenschutzrahmens EU–USA und dem Datenschutzrahmen Schweiz–USA.

Nein. Diese beiden US-amerikanischen Rechtsvorschriften, die im Mittelpunkt der Schrems II-Entscheidung standen, haben keine Auswirkungen auf F5. Unabhängig davon stellte die Europäische Kommission aufgrund der Verbesserungen des US-amerikanischen Rechts im Anschluss an die Schrems II-Entscheidung in ihrem Durchführungsbeschluss vom 10.7.2023 gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates über die Angemessenheit des Schutzniveaus für personenbezogene Daten nach dem Datenschutzrahmen EU-USA fest, dass die früheren Bedenken hinsichtlich dieser Vorschriften ausgeräumt wurden. Der Europäische Datenschutzausschuss (EDSA) analysierte die Entscheidung der Europäischen Kommission und stellte (in seinem Informationsvermerk zu Datenübermittlungen gemäß der DSGVO in die Vereinigten Staaten nach Annahme des Angemessenheitsbeschlusses am 10. Juli 2023) fest, dass „alle von der US-Regierung im Bereich der nationalen Sicherheit eingeführten Garantien (einschließlich des Rechtsbehelfsmechanismus) für sämtliche in die USA übermittelten Daten gelten, unabhängig vom verwendeten Übermittlungsinstrument“ (das heißt unabhängig davon, ob die Daten über den Datenschutzrahmen, Standardvertragsklauseln oder ein anderes Übermittlungsinstrument in die Vereinigten Staaten übermittelt werden).

F5 hat noch nie eine Anfrage auf Datenzugriff oder eine andere Art von Anordnung gemäß FISA 702 erhalten. Viele Dienste von F5 gehören nicht zu den Arten von Diensten, die Gegenstand einer Anordnung gemäß FISA 702 sein können. Darüber hinaus verarbeitet F5 für nahezu alle Kunden seiner Dienste keine Daten, die Gegenstand einer Anordnung gemäß FISA 702 sein können. Dies betrifft Daten über die Verbreitung von Massenvernichtungswaffen, Pläne ausländischer Mächte für Angriffe auf die Vereinigten Staaten, nachrichtendienstliche Erkenntnisse über die geheimen Aktivitäten ausländischer Spione oder andere „ausländische nachrichtendienstliche Informationen“ im Sinne des FISA.

F5 kann auch nicht zur Herausgabe von Kundendaten gemäß EO 12333 verpflichtet werden, da es keine Anordnung gemäß EO 12333 gibt. EO 12333 weist bestimmte Zuständigkeiten innerhalb der Nachrichtendienstgemeinschaft der Vereinigten Staaten zu, begründet jedoch keine Verpflichtungen für den privaten Sektor. F5 verschlüsselt Daten bei der Übertragung und setzt zusätzliche Sicherheitsmaßnahmen ein, um sie vor den theoretisch möglichen Abhörmaßnahmen zu schützen, die das Gericht im Verfahren Schrems II vor dem oben erörterten Angemessenheitsbeschluss der Europäischen Kommission aus dem Jahr 2023 als bedenklich erachtete.

Der CLOUD Act hat der US-Regierung keine neuen Befugnisse eingeräumt, Daten von Unternehmen anzufordern, die in den Vereinigten Staaten geschäftlich tätig sind. Die US-Regierung erlässt keine „CLOUD-Act-Anordnungen“, und F5 hat noch nie eine solche erhalten. Der CLOUD Act stellte klar, dass in Fällen, in denen die US-Regierung ein ordnungsgemäßes bestehendes Rechtsverfahren einhält (etwa indem sie eine Anordnung eines Richters an einem US-Bundesbezirksgericht erwirkt), um ein Unternehmen zur Herausgabe bestimmter Daten anzuweisen, die sich in seinem Besitz, Gewahrsam oder unter seiner Kontrolle befinden, der Speicherort der Daten nicht als Grundlage dafür dienen kann, dass das Unternehmen die Anordnung anficht (wobei ein Konflikt mit den am betreffenden Ort geltenden Gesetzen weiterhin eine solche Grundlage darstellen kann). Der CLOUD Act war bereits vor der Entscheidung von 2020 in der Rechtssache Schrems II in Kraft. Nach der Entscheidung in der Rechtssache Schrems II nahmen die Vereinigten Staaten verschiedene Verbesserungen an ihren Vorschriften und Verfahren für den staatlichen Zugriff auf Daten vor. Die Europäische Kommission bewertete diese Verbesserungen anschließend und stellte fest, dass das für Datenanforderungen der US-Regierung geltende US-Recht nun ein angemessenes Schutzniveau im Sinne der DSGVO gewährleistet. Siehe Durchführungsbeschluss vom 10.7.2023 gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates über die Angemessenheit des Schutzniveaus für personenbezogene Daten nach dem Datenschutzrahmen EU-USA. Der Europäische Datenschutzausschuss (EDSA) analysierte diesen Beschluss und stellte (in seinen Informationshinweisen zu Datenübermittlungen gemäß der DSGVO in die Vereinigten Staaten nach Annahme des Angemessenheitsbeschlusses am 10. Juli 2023) fest, dass „alle von der US-Regierung im Bereich der nationalen Sicherheit eingeführten Garantien (einschließlich des Rechtsbehelfsmechanismus) für sämtliche in die USA übermittelten Daten gelten, unabhängig vom verwendeten Übermittlungsinstrument“ (das heißt unabhängig davon, ob die Daten über den Datenschutzrahmen, Standardvertragsklauseln oder ein anderes Übermittlungsinstrument in die Vereinigten Staaten übermittelt werden).

Angesichts der Art der Kundenbeziehungen von F5 und der begrenzten (und in der Regel verschlüsselten) Daten, die F5 für Kunden verarbeitet, sind derartige Herausgabeverlangen äußerst selten. Bei jedem Verlangen nach Kundendaten verfolgt F5 die Richtlinie, (i) den Kunden unverzüglich zu benachrichtigen, sofern dies gesetzlich zulässig ist, und anschließend mit dem Kunden bei der Klärung des Verlangens zusammenzuarbeiten, oder (ii) falls eine Benachrichtigung des Kunden rechtswidrig wäre, zu versuchen, die anfragende Behörde an den Kunden zu verweisen. Sollten diese Bemühungen nicht zur Klärung der Angelegenheit führen, würde F5 die Rechtmäßigkeit des Verlangens prüfen und alle angemessenen Rechtsmittel dagegen einlegen (beispielsweise durch Einlegung eines Rechtsbehelfs), einschließlich der Prüfung, ob die Erfüllung des Verlangens gegen die DSGVO oder andere einschlägige Gesetze verstoßen würde. Während dieses Verfahrens würde F5 beantragen, die Wirkung des Verlangens auszusetzen, bis die zuständige Justizbehörde in der Sache entschieden hat, einschließlich etwaiger Rechtsmittelverfahren. F5 würde in einer solchen Situation keine Daten offenlegen, solange und soweit dies nicht nach den geltenden Verfahrensvorschriften erforderlich ist. Sollte dieser Punkt erreicht werden, würde F5 nur das Mindestmaß an Daten offenlegen, das erforderlich ist, um dem nach Abschluss dieser Verfahren verbleibenden Umfang des ursprünglichen Verlangens nachzukommen.

Jeder Kundenvertrag über die Dienstleistungen von F5 (die Endnutzer-Dienstleistungsvereinbarung (EUSA)) enthält dienstleistungsspezifische Bedingungen, die den Nachtrag zur Datenverarbeitung (DPA) von F5 einbeziehen und ergänzen. Dieser enthält die Standardvertragsklauseln mit den jeweils relevanten zusätzlichen Bestimmungen für Datenübermittlungen, die britischem oder schweizerischem Recht unterliegen. In bestimmten Fällen schließen der Kunde und F5 einen anderen Vertrag, der dieselben Schutzmaßnahmen vorsieht, beispielsweise einen Vertrag über bestimmte Supportleistungen von F5. Kunden können außerdem https://www.dataprivacyframework.gov/list aufrufen. Dort ist ersichtlich, dass F5 nach dem Datenschutzrahmen EU–USA, der britischen Erweiterung des Datenschutzrahmens EU–USA und dem Datenschutzrahmen Schweiz–USA zertifiziert ist.

Bei Übermittlungen an F5-Unternehmen in „Drittländern“, einschließlich des Vereinigten Königreichs, stützen sich F5 und seine Kunden auf das International Data Transfer Addendum zu den Standardvertragsklauseln der EU-Kommission, das auf der Website der britischen Datenschutzbehörde verfügbar ist und durch Verweis in die DPA von F5 für entsprechende, dem britischen Recht unterliegende Übermittlungen einbezogen wird. Darüber hinaus ist F5 für bestimmte Dienste gemäß der britischen Erweiterung des Datenschutzrahmens EU-USA zertifiziert.