RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum16.05.2022 Geschäftszahl2022-0.296.352 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist rechtskräftig. TextGZ: 2022-0.296.352 vo

Art. 46Abs.

3 lit. b DSGVO mit dem U.S.-amerikanischen Public Company Accounting Oversight Board (PCAOB) zur Regelung der Übermittlung personenbezogener Daten wie folgt:Die Datenschutzbehörde entscheidet über den Antrag des Bundesministers für Finanzen (Antragsteller) vom 29. März 2022 auf Genehmigung der Verwaltungsvereinbarung

Artikel 46

, Absatz 3, Litera b, DSGVO mit dem U.S.-amerikanischen Public Company Accounting Oversight Board (PCAOB) zur Regelung der Übermittlung personenbezogener Daten wie folgt:  Die beantragte, in der Beilage („Beilage 1.pdf“) ersichtliche und einen integralen Bestandteil des Spruches bildende Verwaltungsvereinbarung für die Übermittlung personenbezogener Daten an das U.S.-amerikanische Public Company Accounting Oversight Board wird genehmigt. Rechtsgrundlagen: Art. 46 Abs. 3 lit. b, Art. 51 Abs. 1, Art. 57 Abs. 1 lit. r sowie Art. 58 Abs. 3 lit. i der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), ABl. Nr. L 119 vom 4.5.2016 S. 1.Rechtsgrundlagen: Artikel 46, Absatz 3, Litera b,, Artikel 51, Absatz eins,, Artikel 57, Absatz eins, Litera r, sowie Artikel 58, Absatz 3, Litera i, der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: DSGVO), Amtsblatt Nummer L 119 vom 4.5.2016 Seite

1. BEGRÜNDUNG A. Vorbringen der Parteien und Verfahrensgang Die Datenschutzbehörde wurde mit Schreiben der österreichischen Abschlussprüferaufsichtsbehörde (APAB) vom
2. März 2022 über den geplanten Abschluss eines Verwaltungsabkommens zwischen dem Antragsteller und dem U.S.-amerikanischen Public Company Accounting Oversight Board (PCAOB) betreffend die Übermittlung personenbezogener Prüfungsunterlagen durch die APAB informiert. Der Antragsteller brachte in weiterer Folge mit Eingabe vom
3. März 2022 einen Antrag auf Genehmigung einer Verwaltungsvereinbarung nach Art. 46 Abs. 3 lit. b DSGVO für die Übermittlung personenbezogener Daten an das PCAOB bei der Datenschutzbehörde ein.Der Antragsteller brachte in weiterer Folge mit Eingabe vom
4. März 2022 einen Antrag auf Genehmigung einer Verwaltungsvereinbarung nach Artikel 46, Absatz 3, Litera b, DSGVO für die Übermittlung personenbezogener Daten an das PCAOB bei der Datenschutzbehörde ein. Nach vorheriger Konsultierung der für internationale Datenübermittlungen zuständigen Fachgruppe holte die Datenschutzbehörde eine Stellungnahme des Europäischen Datenschutzausschusses zur gegenständlichen Verwaltungsvereinbarung ein. Der Europäische Datenschutzausschuss gab infolge einer Abstimmung seiner Mitglieder im Zeitraum
5. Mai bis
6. Mai 2022 eine positive Stellungnahme zu den in der vorliegenden Verwaltungsvereinbarung vorgesehenen Garantien für den Schutz der Rechte und Freiheiten natürlicher Personen, deren Daten an das PCAOB übermittelt werden, ab. Die Annahme dieser Entscheidung wurde am
7. Mai 2022 vom Sekretariat des Europäischen Datenschutzausschusses bestätigt. B. Sachverhaltsfeststellungen Der unter Punkt A. zusammengefasste Verfahrensgang wird samt dem aktenmäßig dokumentierten Vorbringen des Antragsstellers den Sachverhaltsfeststellungen zugrunde gelegt. Beweiswürdigung: Der vorliegende Sachverhalt ist unstrittig und gründet auf den Eingaben der österreichischen Abschlussprüferaufsichtsbehörde und des Antragstellers. Die genannte Verwaltungsvereinbarung ist im Akt dokumentiert. C. In rechtlicher Hinsicht folgt daraus:

Art. 46Abs.

1 DSGVO dürfen Verantwortliche oder Auftragsverarbeiter, falls kein Beschluss nach Art. 45 Abs. 3 leg. cit. vorliegt, personenbezogene Daten an Empfänger in einem Drittland nur übermitteln, sofern sie geeignete Garantien vorgesehen haben und sofern den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen.

Artikel 46

, Absatz eins, DSGVO dürfen Verantwortliche oder Auftragsverarbeiter, falls kein Beschluss nach Artikel 45, Absatz 3, leg. cit. vorliegt, personenbezogene Daten an Empfänger in einem Drittland nur übermitteln, sofern sie geeignete Garantien vorgesehen haben und sofern den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen. Die Vereinigten Staaten stellen ein Drittland iSd. Kapitels V DSGVO dar. In Ermangelung eines entsprechenden Angemessenheitsbeschlusses der Europäischen Kommission muss die Übermittlung personenbezogener Daten an Empfänger in den Vereinigten Staaten daher auf geeignete Garantien iSd. Art. 46 DSGVO gestützt werden. Dahingehend ist anzumerken, dass der vom Europäischen Gerichtshof aufgehobene partielle Angemessenheitsbeschluss für die Vereinigten Staaten – das sog. „EU-U.S. Privacy Shield“ – auf Datenübermittlungen zwischen Behörden ohnehin nicht anwendbar war (vgl. den ehemaligen Durchführungsbeschluss (EU) 2016/1250 der Kommission, ABl. L 2016/207, S. 1 und seine Aufhebung durch das Urteil des Europäischen Gerichtshofs vom

1. Juli 2020, C-311/18).Die Vereinigten Staaten stellen ein Drittland iSd. Kapitels römisch fünf DSGVO dar. In Ermangelung eines entsprechenden Angemessenheitsbeschlusses der Europäischen Kommission muss die Übermittlung personenbezogener Daten an Empfänger in den Vereinigten Staaten daher auf geeignete Garantien iSd. Artikel 46, DSGVO gestützt werden. Dahingehend ist anzumerken, dass der vom Europäischen Gerichtshof aufgehobene partielle Angemessenheitsbeschluss für die Vereinigten Staaten – das sog. „EU-U.S. Privacy Shield“ – auf Datenübermittlungen zwischen Behörden ohnehin nicht anwendbar war vergleiche den ehemaligen Durchführungsbeschluss (EU) 2016/1250 der Kommission, Amtsblatt , L 2016/207, S. 1 und seine Aufhebung durch das Urteil des Europäischen Gerichtshofs vom
2. Juli 2020, C-311/18). Geeignete Garantien für die Übermittlung personenbezogener Daten an Empfänger in Drittländern können nach Art. 46 Abs. 3 lit. b DSGVO – vorbehaltlich der Genehmigung durch die zuständige Aufsichtsbehörde – in Bestimmungen, die in Verwaltungsvereinbarungen zwischen Behörden oder öffentlichen Stellen aufzunehmen sind und durchsetzbare und wirksame Rechte für die betroffenen Personen einschließen, enthalten sein. Das vom Antragsteller vorgelegte Verwaltungsabkommen mit dem PCAOB stellt ein derartiges genehmigungspflichtiges Übermittlungsinstrument dar.Geeignete Garantien für die Übermittlung personenbezogener Daten an Empfänger in Drittländern können nach Artikel 46, Absatz 3, Litera b, DSGVO – vorbehaltlich der Genehmigung durch die zuständige Aufsichtsbehörde – in Bestimmungen, die in Verwaltungsvereinbarungen zwischen Behörden oder öffentlichen Stellen aufzunehmen sind und durchsetzbare und wirksame Rechte für die betroffenen Personen einschließen, enthalten sein. Das vom Antragsteller vorgelegte Verwaltungsabkommen mit dem PCAOB stellt ein derartiges genehmigungspflichtiges Übermittlungsinstrument dar.

Art. 46Abs.

4 DSGVO war der Europäische Datenschutzausschuss zu befassen.

Artikel 46

, Absatz 4, DSGVO war der Europäische Datenschutzausschuss zu befassen.

Art. 64Abs.

2 DSGVO kann jede Aufsichtsbehörde beantragen, dass eine Angelegenheit mit allgemeiner Geltung oder mit Auswirkungen in mehr als einem Mitgliedstaat vom Europäischen Datenschutzausschuss geprüft wird, um eine Stellungnahme zu erhalten. Der Europäische Datenschutzausschuss gibt

Art. 64Abs.

3 leg. cit. eine Stellungnahme zur vorgelegten Angelegenheit ab, sofern er nicht bereits eine Stellungnahme zu derselben Angelegenheit abgegeben hat.

Artikel 64

, Absatz 2, DSGVO kann jede Aufsichtsbehörde beantragen, dass eine Angelegenheit mit allgemeiner Geltung oder mit Auswirkungen in mehr als einem Mitgliedstaat vom Europäischen Datenschutzausschuss geprüft wird, um eine Stellungnahme zu erhalten. Der Europäische Datenschutzausschuss gibt

Artikel 64, Absatz 3, leg.

cit. eine Stellungnahme zur vorgelegten Angelegenheit ab, sofern er nicht bereits eine Stellungnahme zu derselben Angelegenheit abgegeben hat. Gegenständlich hat der Europäische Datenschutzausschuss bereits zu den in der Verwaltungsvereinbarung zwischen der französischen Abschlussprüferaufsichtsbehörde („Haut Conseil du Commissariat aux Comptes“) und dem PCAOB enthaltenen Garantien zum Schutz personenbezogener Daten die Stellungnahme 05/2021 abgegeben und festgehalten, dass die Vereinbarung den Anforderungen der DSGVO entspricht. Gegenständlich hat der Europäische Datenschutzausschuss bereits zu den in der Verwaltungsvereinbarung zwischen der französischen Abschlussprüferaufsichtsbehörde („Haut Conseil du Commissariat aux Comptes“) und dem PCAOB enthaltenen Garantien zum Schutz personenbezogener Daten die Stellungnahme 05 aus 2021, abgegeben und festgehalten, dass die Vereinbarung den Anforderungen der DSGVO entspricht. Die vom Antragsteller vorgelegte Verwaltungsvereinbarung gleicht – abgesehen von nicht zu beanstandenden formalen Änderungen – im Wesentlichen der vom Europäischen Datenschutzausschuss in seiner Stellungnahme 05/2021 überprüften Vereinbarung. Vor diesem Hintergrund sowie nach Einholung einer positiven Stellungnahme des Europäischen Datenschutzausschusses infolge der im Zeitraum vom

1. Mai bis
2. Mai 2022 erfolgten Abstimmung seiner Mitglieder, sind für die Datenschutzbehörde keine Anhaltspunkte erkennbar, dass die vorliegende Verwaltungsvereinbarung keinen ausreichenden Schutz für die Übermittlung personenbezogener Daten an die PCAOB gewährleistet.Die vom Antragsteller vorgelegte Verwaltungsvereinbarung gleicht – abgesehen von nicht zu beanstandenden formalen Änderungen – im Wesentlichen der vom Europäischen Datenschutzausschuss in seiner Stellungnahme 05 aus 2021, überprüften Vereinbarung. Vor diesem Hintergrund sowie nach Einholung einer positiven Stellungnahme des Europäischen Datenschutzausschusses infolge der im Zeitraum vom
3. Mai bis
4. Mai 2022 erfolgten Abstimmung seiner Mitglieder, sind für die Datenschutzbehörde keine Anhaltspunkte erkennbar, dass die vorliegende Verwaltungsvereinbarung keinen ausreichenden Schutz für die Übermittlung personenbezogener Daten an die PCAOB gewährleistet. Die gegenständliche Verwaltungsvereinbarung war daher

Art. 46Abs. 3 lit. b i

Vm. Art. 57 Abs. 1 lit. r sowie Art. 58 Abs. 3 lit. i DSGVO spruchgemäß zu genehmigen.Die gegenständliche Verwaltungsvereinbarung war daher

Artikel 46

, Absatz 3, Litera b, in Verbindung mit Artikel 57, Absatz eins, Litera r, sowie Artikel 58, Absatz 3, Litera i, DSGVO spruchgemäß zu genehmigen. Eine tiefergehende Begründung kann, da dem Antrag vollinhaltlich entsprochen wurde, iSd. § 58 Abs. 2 AVG entfallen.Eine tiefergehende Begründung kann, da dem Antrag vollinhaltlich entsprochen wurde, iSd. Paragraph 58, Absatz 2, AVG entfallen. Die Aufforderung zur Gebührenentrichtung entfällt im Hinblick auf § 2 Z 1 des Gebührengesetzes 1957. Die Aufforderung zur Gebührenentrichtung entfällt im Hinblick auf Paragraph 2, Ziffer eins, des Gebührengesetzes 1957. Beilage [Anmerkung Bearbeiter: hier nicht wiedergegeben] European Case Law IdentifierECLI:AT:DSB:2022:2022.0.296.352