© upthebanner, 123RF

Der Europäische Gerichtshof hat das Safe-Harbor-Abkommen zwischen den USA und der EU-Kommission kassiert. Die Reaktionen aus Internetszene, Verbänden und Datenschutz rangieren zwischen Schockstarre und Zuversicht. Eine Bestandsaufnahme.

DerÖsterreicher Maximilian Schrems hatte gegen die seiner Meinung nach unsichere Speicherung europäischer Nutzerdaten des sozialen Netzwerks Facebook in den Vereinigten Staaten geklagt. Mit der Entscheidung [1] des Europäischen Gerichtshof (EuGH) im Oktober 2015 hat er letztlich recht bekommen.

Der Rechtsweg

In der Sache ging es in erster Linie um den so genannten Patriot Act, der nach den Terroranschlägen vom 11. September 2001 den US-Sicherheitsbehörden das Recht einräumt, ohne weitere Erlaubnis der Inhaber auf die in den USA gespeicherte Daten zuzugreifen. Schrems wandte sich mit einer Beschwerde an die irische Datenschutzkommission (Irish Data Protection Commission, DPC), Irland ist der Rechtsstandort der europäischen Facebook-Dependance, und klagte später gegen die seiner Meinung nach untätige DPC vor dem irischen High Court. Die irischen obersten Richter wiederum wandten sich an den Europäischen Gerichtshof (EuGH).

Der EuGH fackelte nicht lange und stellte fest, dass es nationalen Datenschutzbehörden zustehe, auf Beschwerde eines Nutzers zu prüfen, ob die Datenspeicherung den Anforderungen des Datenschutzes genüge. Und dies sei unabhängig davon, ob die EU-Kommission diese Anforderungen durch das Safe-Harbor-Abkommen erfüllt sehe. In Anbetracht der Befugnisse, die der Patriot Act einräumt, hat der EuGH in seinem Urteil das Safe-Harbor-Abkommen in Gänze für ungültig erklärt.

Jubel

Kläger Maximilian Schrems dankt in seiner ersten Reaktion [2] dem Whistleblower Edward Snowden. Ohne dessen Enthüllungen zu den Praktiken der US-Geheimdienste hätte das Gericht wohl nicht in dieser Konsequenz geurteilt. Schrems kann es sich auch nicht verkneifen, den Sieg gegen die obersten irischen Datenschützer zu feiern, die den Antrag von Schrems als frivol bezeichnet hatten. Schrems sieht für den durchschnittlichen Nutzer keine Konsequenzen im täglichen Leben und hofft auf Onlineservices ohne Gefahr der Datenspionage.

Zweifel

Der deutsche Internetverband Eco kann sich dem Jubel nicht anschließen, der Fall des Safe-Harbor-Abkommens bedeutet für viele Unternehmen erhebliche Rechtsunsicherheit, heißt es in einer Stellungnahme [3]. Bundesregierung und Europäische Union müssten nun dringend eine neue Regelung finden, die dem Datenschutzstandards genüge und zugleich eine praktikable Lösung für die Unternehmen schaffe.

Zuversicht

Der Bundesverband IT-Mittelstand e.V. (BITMi), der nach eigenen Angaben über 1200 IT-Unternehmen vertritt, begegnet dem Urteil des Europäischen Gerichtshofs positiv. “Das Safe-Harbor-Prinzip hat in den letzten Jahren für eine enorme Wettbewerbsverzerrung zu Ungunsten der digitalen Wirtschaft in Europa geführt. Während beispielsweise deutsche Unternehmen sehr hohe Auflagen erfüllen mussten, um den Datenschutz zu gewährleisten, konnten sich gerade große internationale IT-Konzerne hinter Regelungen ihrer Heimatstaaten verstecken oder arbeiteten teilweise sogar aktiv daran mit, dass Daten an Regierungsbehörden weitergegeben wurden”, teilte Oliver Grün, Präsident des Bundesverband IT-Mittelstand, mit [4].

Grün wertet das Ende von Safe Harbor als Chance für die digitale Wirtschaft, weil nun gleiche Rahmenbedingungen herrschten. Grün fordert, dass jetzt datengetriebene Geschäftsmodelle aus Europa für Europa gefördert werden.

Dauerhaftes Problem

Der Kölner IT-Anwalt Christian Solmecke sieht im US Patriot Act ein dauerhaftes Problem [5]. Solange der Patriot Act, der letztlich das Safe-Harbor-Abkommen unterlaufen habe, nicht außer Kraft gesetzt werde, dürfte jede denkbare Lösung, etwa über den Abschluss von Standardverträgen, an diesem Gesetz scheitern, urteilt Solmecke. Solange die US-Nachrichtendienste die Befugnis haben, auf die Daten der EU-Bürger jederzeit zuzugreifen, sei der Datenschutz nach EU-Grundsätzen nicht gewährleistet.

Ein gangbarer Weg wäre laut Solmecke mühsam, dazu müsste jeder einzelne Bürger sich mit dieser Praxis einverstanden erklären, um einen wirksamen Datenschutz zu erzielen. Für Unternehmen bedeute dies einen enormen Aufwand. Sie müssten den Nutzern detaillierte Einwilligungserklärungen zur Übertragung der Daten zur Verfügung stellen.

Im deutschen Bundesdatenschutzgesetz ist es zudem ausnahmsweise erlaubt, Daten zur Erfüllung eines Vertrages oder zur Durchführung vorvertraglicher Maßnahmen zu übertragen. Damit sind derzeit zumindest Reisebuchungen und Vertragsabschlüsse in den USA möglich, die regelmäßig auch personenbezogene Daten enthalten.

USA müssen reagieren

Die Auffassung, dass der Ball auf Seiten der US-Gesetzgebung liegt, teilt auch Marit Hansen, Leiterin des Unabhängigen Landeszentrums für Datenschutz (ULD) Schleswig-Holstein [6]. Mit Blick auf die hohen Anforderungen, die der EuGH in seinem Urteil aufgestellt hat, kann eine dauerhafte Lösung nur in einer wesentlichen Änderung im US-amerikanischen Recht liegen, teilt Hansen mit.

Für eine Entscheidung der Kommission zur Angemessenheit des Datenschutzniveaus in den USA oder den Abschluss eines völkerrechtlichen Datenschutzabkommens sei diese Änderung des US-Rechts Grundvoraussetzung. Da entsprechende Änderungen derzeit nicht zu erwarten sind, scheiden beide Handlungsoptionen kurz- oder mittelfristig aus, prognostizierte Hansen.

Export prüfen

In einer Analyse empfiehlt Hansen nicht-öffentlichen Stellen, die für ihren Datentransfer in die USA Standardvertragsklauseln verwenden, in Erwägung zu ziehen, den zugrunde liegenden Standardvertrag mit dem Datenimporteur in den USA zu kündigen oder die Datenübermittlungen auszusetzen. In konsequenter Anwendung der Vorgaben des EuGH in seinem Urteil sei eine Datenübermittlung auf Basis von Standardvertragsklauseln nicht mehr zulässig, wertet Hansen.

Unternehmen in Schleswig-Holstein, die personenbezogene Daten in die USA übermitteln, sollten ihre Verfahren schnellstmöglich überprüfen und Alternativen für eine Verarbeitung dieser Daten in den USA erwägen, lautet die Empfehlung. Dies gelte nicht nur für solche Übermittlungen, die sich bisher auf die Safe-Harbor-Grundsätze gestützt haben, sondern für sämtliche Übermittlungen in die USA (Abbildung 1).

Abbildung 1: Für Unternehmen mit Datenübermittlungen in die USA ist der legale Weg derzeit unterbrochen. Quelle: alphaspirit, 123rf