Datenschutz-Grundverordnung (DSGVO) und Datenschutzrahmen
Die Datenschutz-Grundverordnung (DSGVO) ist eine Rechtsvorschrift der Europäischen Union, die für alle Organisationen unabhängig von ihrem Standort gilt, sofern sie personenbezogene Daten von Personen im Europäischen Wirtschaftsraum (EWR; die 27 Mitgliedstaaten der EU sowie Island, Norwegen und Liechtenstein) im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen oder der Beobachtung ihres Verhaltens verarbeiten. Gemäß der DSGVO müssen Organisationen eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten bestimmen, betroffene Personen darüber informieren, welche Daten erhoben und wie sie verwendet werden, Anträgen von Personen auf Auskunft, Berichtigung oder Löschung ihrer Daten nachkommen, geeignete Sicherheitsmaßnahmen zum Schutz personenbezogener Daten vor unbefugtem Zugriff ergreifen, betroffene Personen und Behörden über Datenschutzverletzungen benachrichtigen, einen Datenschutzbeauftragten benennen und den Datenschutz bereits zu Beginn einer Tätigkeit berücksichtigen, anstatt ihn erst nachträglich einzubeziehen. Die DSGVO beschränkt außerdem die Übermittlung personenbezogener Daten aus dem EWR, sofern keine Schutzmaßnahmen bestehen, die im Empfängerland ein im Wesentlichen gleichwertiges Schutzniveau gewährleisten.
F5 erfüllt die Anforderungen der DSGVO, wie in unserem Datenschutzhinweis ausführlich beschrieben. F5 erbringt Dienstleistungen als Auftragsverarbeiter für Kunden seiner Distributed Cloud Platform, die Verantwortliche sind (oder als Unterauftragsverarbeiter für einen Kunden, der Auftragsverarbeiter ist). Dementsprechend erfüllt F5 bei jedem seiner Distributed-Cloud-Angebote die Anforderungen von Artikel 28. F5 nimmt am Datenschutzrahmen EU-USA teil, der nach Feststellung der Europäischen Kommission ein angemessenes Schutzniveau für Datenübermittlungen an teilnehmende Unternehmen in den Vereinigten Staaten gewährleistet, und verwendet die Standardvertragsklauseln zum Schutz personenbezogener Daten, die zu Supportzwecken an weltweite SOC-Standorte übermittelt werden. Darüber hinaus verfügt F5 über ein umfassendes Datenschutz- und Sicherheitsprogramm, das sicherstellt, dass Kunden ihren Verpflichtungen gemäß der DSGVO nachkommen können. Wenden Sie sich an einen Vertriebsmitarbeiter, um ein Exemplar des jährlich von F5 herausgegebenen SOC 2 Typ II-Berichts anzufordern. Dieser ist im Rahmen einer Vertraulichkeitsvereinbarung erhältlich und enthält eine Tabelle, in der die Kontrollen den Anforderungen der DSGVO zugeordnet werden.
FAQ
Bei vielen Diensten fungiert F5 als „Auftragsverarbeiter“ (nicht als Verantwortlicher) der personenbezogenen Daten, die für die Bereitstellung eines Dienstes erforderlich sind. Einzelheiten zu den von F5 verarbeiteten personenbezogenen Daten finden Sie in den Datenschutzerklärungen der jeweiligen Dienste. Links zu allen dienstspezifischen Datenschutzerklärungen finden Sie in der Einleitung des Datenschutzhinweises von F5 unter https://www.f5.com/company/policies/privacy-notice.
F5 und seine Dienste räumen dem Schutz personenbezogener Daten höchste Priorität ein und erfüllen die höchsten Datenschutzstandards.[TJ1] [AC2] Die technischen und organisatorischen Maßnahmen zum Schutz der von F5 erhobenen personenbezogenen Daten sind in den jeweiligen Dienstleistungsverträgen (beispielsweise in den dienstspezifischen Bedingungen für Dienste, die im Rahmen unserer End User Services Agreement bereitgestellt werden) sowie im SOC 2 Typ II-Bericht von F5 aufgeführt. F5 Global Support ist nach ISO 27001 zertifiziert, und F5 Distributed Cloud Services sind nach ISO 27001 mit Erweiterungen gemäß ISO 27017 und ISO 27018 zertifiziert. Darüber hinaus ist F5 als Level-1-Dienstanbieter für die F5 Distributed Cloud Services PCI-DSS-konform. Für bestimmte F5-Dienste und F5-Hardware gelten zusätzliche Sicherheitszertifizierungen. Ausführlichere Informationen zu den Datensicherheitspraktiken finden Sie unter https://www.f5.com/company/policies/privacy-notice.
Kunden, deren Hauptgeschäftssitz sich in Europa, dem Nahen Osten oder Afrika (zusammen EMEA) befindet, erhalten Dienstleistungen auf Grundlage von Verträgen mit F5 Networks, Ltd. F5 Networks hat seinen Hauptsitz im Vereinigten Königreich, wurde nach dessen Recht gegründet und ist das Zentrum der EMEA-Aktivitäten von F5. Die Behörden der EU und der Schweiz haben anerkannt, dass die Gesetze des Vereinigten Königreichs einen Schutz personenbezogener Daten gewährleisten, der die Anforderungen von Kapitel V der DSGVO und des entsprechenden Schweizer Rechts vollständig erfüllt.
Kunden mit Hauptsitz im asiatisch-pazifischen Raum (APAC) schließen Verträge mit F5 Networks Singapore Pte Ltd. in Singapur. Alle anderen Kunden (einschließlich derjenigen mit Hauptsitz in Nordamerika) schließen Verträge mit F5, Inc. in den Vereinigten Staaten. Für alle Dienste von F5 enthält der Zusatz zur Datenverarbeitung (DPA), ergänzt durch die dienstspezifischen Bedingungen, die Standardvertragsklauseln sowie Bestimmungen, die für alle rechtlich relevanten Übermittlungen an F5 gelten. Diese Standardvertragsklauseln werden für Übermittlungen aus dem Vereinigten Königreich durch den von der britischen Regierung veröffentlichten Zusatz für internationale Datenübermittlungen sowie für Übermittlungen aus der Schweiz durch zusätzliche, vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten veröffentlichte Formulierungen ergänzt. Für relevante Dienste verfügt F5 außerdem über eine Zertifizierung gemäß dem Datenschutzrahmen EU–USA, der britischen Erweiterung des Datenschutzrahmens EU–USA und dem Datenschutzrahmen Schweiz–USA.
Ja. Für die betreffenden Dienste verfügt F5 über eine Zertifizierung gemäß dem Datenschutzrahmen EU–USA, der britischen Erweiterung des Datenschutzrahmens EU–USA und dem Datenschutzrahmen Schweiz–USA.
Nein. Diese beiden US-amerikanischen Rechtsvorschriften, die im Mittelpunkt des Schrems II-Urteils standen, haben keine Auswirkungen auf F5. Unabhängig davon stellte die Europäische Kommission aufgrund von Verbesserungen des US-amerikanischen Rechts im Anschluss an das Schrems II-Urteil in ihrem Durchführungsbeschluss vom 10.7.2023 gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates über die Angemessenheit des Schutzniveaus für personenbezogene Daten nach dem Datenschutzrahmen EU-USA fest, dass die früheren Bedenken hinsichtlich dieser Vorschriften ausgeräumt wurden. Der Europäische Datenschutzausschuss (EDSA) analysierte den Beschluss der Europäischen Kommission und stellte (in seinem Informationsvermerk über Datenübermittlungen gemäß der DSGVO in die Vereinigten Staaten nach Annahme des Angemessenheitsbeschlusses am 10. Juli 2023) fest, dass „alle von der US-Regierung im Bereich der nationalen Sicherheit eingeführten Garantien (einschließlich des Rechtsbehelfsmechanismus) für alle in die USA übermittelten Daten gelten, unabhängig vom verwendeten Übermittlungsinstrument“ (das heißt unabhängig davon, ob die Daten über den Datenschutzrahmen, Standardvertragsklauseln oder ein anderes Übermittlungsinstrument in die Vereinigten Staaten übermittelt werden).
F5 hat noch nie eine Anfrage auf Datenzugriff oder eine andere Art von Anordnung gemäß FISA 702 erhalten. Viele Dienste von F5 gehören nicht zu den Arten von Diensten, die Gegenstand einer Anordnung gemäß FISA 702 sein können. Darüber hinaus verarbeitet F5 für nahezu alle Kunden seiner Dienste keine Daten der Art, die Gegenstand einer Anordnung gemäß FISA 702 sein können. Dies betrifft Daten über die Verbreitung von Massenvernichtungswaffen, Pläne ausländischer Mächte für Angriffe auf die Vereinigten Staaten, nachrichtendienstliche Erkenntnisse über die geheimen Aktivitäten ausländischer Spione oder andere „ausländische Geheimdienstinformationen“ im Sinne des FISA.
F5 kann auch nicht zur Herausgabe von Kundendaten gemäß EO 12333 verpflichtet werden, da es keine Anordnung nach EO 12333 gibt. EO 12333 weist bestimmte Zuständigkeiten innerhalb der Nachrichtendienstgemeinschaft der Vereinigten Staaten zu, begründet jedoch keinerlei Verpflichtungen für den privaten Sektor. F5 verschlüsselt Daten bei der Übertragung und setzt zusätzliche Sicherheitsmaßnahmen zum Schutz vor den theoretisch möglichen Abhörmaßnahmen ein, die dem Gericht im Verfahren Schrems II vor der oben erörterten Angemessenheitsentscheidung der Europäischen Kommission aus dem Jahr 2023 Anlass zur Sorge gegeben hatten.
Der CLOUD Act hat der US-Regierung keine neuen Befugnisse eingeräumt, Daten von Unternehmen anzufordern, die in den Vereinigten Staaten geschäftlich tätig sind. Die US-Regierung erlässt keine „CLOUD-Act-Anordnungen“, und F5 hat noch nie eine solche erhalten. Der CLOUD Act stellte klar, dass der Speicherort der Daten nicht als Grundlage dafür dienen kann, dass ein Unternehmen eine Anordnung anficht, wenn die US-Regierung ein ordnungsgemäßes bestehendes Rechtsverfahren einhält (etwa indem sie eine Anordnung eines Richters an einem US-Bundesbezirksgericht erwirkt), um ein Unternehmen zur Herausgabe bestimmter Daten anzuweisen, die sich in seinem Besitz, Gewahrsam oder unter seiner Kontrolle befinden (wobei ein Widerspruch zu den am betreffenden Ort geltenden Gesetzen weiterhin eine solche Grundlage darstellen kann). Der CLOUD Act war bereits vor der Entscheidung Schrems II aus dem Jahr 2020 in Kraft. Nach der Entscheidung Schrems II nahmen die Vereinigten Staaten verschiedene Verbesserungen an ihren Vorschriften und Verfahren für den staatlichen Zugriff auf Daten vor. Die Europäische Kommission bewertete diese Verbesserungen anschließend und stellte fest, dass das für Datenanforderungen der US-Regierung geltende US-Recht nun ein angemessenes Schutzniveau im Sinne der DSGVO gewährleistet. Siehe Durchführungsbeschluss vom 10.7.2023 gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates über die Angemessenheit des Schutzniveaus für personenbezogene Daten nach dem Datenschutzrahmen EU-USA (https://eur-lex.europa.eu/eli/dec_impl/2023/1795/oj). Der Europäische Datenschutzausschuss (EDSA) analysierte diesen Beschluss und stellte (in seinem Informationsvermerk zu Datenübermittlungen gemäß der DSGVO in die Vereinigten Staaten nach Annahme des Angemessenheitsbeschlusses am 10. Juli 2023) fest, dass „alle von der US-Regierung im Bereich der nationalen Sicherheit eingeführten Garantien (einschließlich des Rechtsbehelfsmechanismus) für sämtliche in die USA übermittelten Daten gelten, unabhängig vom verwendeten Übermittlungsinstrument“ (das heißt unabhängig davon, ob die Daten über das Datenschutzrahmenwerk, Standardvertragsklauseln oder ein anderes Übermittlungsinstrument in die Vereinigten Staaten übermittelt werden).
Aufgrund der Art der Kundenbeziehungen von F5 und der begrenzten (und in der Regel verschlüsselten) Daten, die F5 für Kunden verarbeitet, sind solche Herausgabeverlangen äußerst selten. Bei jedem Verlangen nach Kundendaten verfolgt F5 die Richtlinie, (i) den Kunden unverzüglich zu benachrichtigen, sofern dies gesetzlich zulässig ist, und ihn anschließend bei der Klärung der Angelegenheit zu unterstützen, oder (ii) falls eine Benachrichtigung des Kunden rechtswidrig wäre, zu versuchen, die anfragende Behörde an den Kunden zu verweisen. Sollten diese Maßnahmen nicht zur Klärung der Angelegenheit führen, würde F5 die Rechtmäßigkeit des Verlangens prüfen und alle angemessenen Rechtsbehelfe dagegen einlegen (beispielsweise durch ein Rechtsmittel), einschließlich der Prüfung, ob die Erfüllung des Verlangens gegen die DSGVO oder andere einschlägige Gesetze verstoßen würde. Während dieses Verfahrens würde F5 beantragen, die Vollziehung des Verlangens auszusetzen, bis die zuständige Justizbehörde in der Sache entschieden hat, einschließlich etwaiger Rechtsmittelverfahren. F5 würde in einer solchen Situation keine Daten offenlegen, es sei denn und erst dann, wenn dies nach den geltenden Verfahrensvorschriften erforderlich wäre. Sollte dieser Punkt erreicht werden, würde F5 nur das Mindestmaß an Daten offenlegen, das erforderlich ist, um dem verbleibenden Umfang des ursprünglichen Verlangens nachzukommen.
Jeder Kundenvertrag über die Dienstleistungen von F5 (die Endnutzer-Dienstleistungsvereinbarung (EUSA)) enthält dienstleistungsspezifische Bedingungen, die den Datenschutznachtrag (DPA) von F5 einbeziehen und ergänzen. Dieser enthält die Standardvertragsklauseln mit den entsprechenden zusätzlichen Bestimmungen für Übermittlungen, die britischem oder schweizerischem Recht unterliegen. In bestimmten Fällen schließen der Kunde und F5 einen anderen Vertrag, der dieselben Schutzbestimmungen enthält, beispielsweise einen Vertrag über bestimmte Supportleistungen von F5. Kunden können auch https://www.dataprivacyframework.gov/list aufrufen. Dort ist ersichtlich, dass F5 gemäß dem Datenschutzrahmen EU–USA, der britischen Erweiterung des Datenschutzrahmens EU–USA und dem Datenschutzrahmen Schweiz–USA zertifiziert ist.
Bei Übermittlungen an F5-Unternehmen in „Drittländern“, einschließlich des Vereinigten Königreichs, stützen sich F5 und seine Kunden auf das International Data Transfer Addendum zu den Standardvertragsklauseln der EU-Kommission, das auf der Website der britischen Datenschutzbehörde verfügbar ist und durch Verweis in das DPA von F5 für entsprechende, dem britischen Recht unterliegende Übermittlungen einbezogen wird. Darüber hinaus ist F5 für bestimmte Dienste gemäß der britischen Erweiterung des Datenschutzrahmens EU-USA zertifiziert.
