2015 hatte der Europäische Gerichtshof (EuGH) auf Betreiben des österreichischen Juristen und Datenschutzaktivisten Max Schrems das sogenannte Safe-Harbor-Abkommen zwischen der EU und den USA gekippt. Die Richter sahen es als erwiesen an, dass die Daten europäischer Bürger nicht ausreichend vor dem Zugriff von US-Behörden geschützt worden waren. Jetzt hat der EuGH auch den Safe-Harbor-Nachfolger Privacy-Shield zu Fall gebracht.

Mit Blick auf die Zugriffsmöglichkeiten der US-Behörden seien die Anforderungen an den Datenschutz nicht gewährleistet. Zudem sei der Rechtsschutz für Betroffene unzureichend, urteilten die Richter.

Die Datenübertragung persönlicher Daten aus dem Gebiet der Europäischen Union in die USA ist damit in vielen Fällen illegal, wie die Süddeutsche Zeitung schreibt. Allerdings geschieht der Datenaustausch oft auf Basis von Standardvertragsklauseln (Standard Contractual Clauses – SCCs), die nach dem Urteil der EuGH-Richter zum Privacy-Shield weiterhin erlaubt bleiben. Der EuGH betont in dem Urteil aber, dass Unternehmen trotz solcher SCCs überprüfen müssen, ob im Zielland die Grundsätze des europäischen Datenschutzrechtes eingehalten werden.

Dabei richtete sich die Klage Schrems‘ konkret gegen Facebook und dessen Europazentrale in Irland. Bei der für Facebook zuständigen irischen Datenschutzbehörde beanstandete der Datenschutzaktivist, dass Facebook Irland seine Daten an den Mutterkonzern in den USA weiterleitet. Dort, so die Kritik, sei der Konzern dazu verpflichtet, US-Behörden wie der NSA und dem FBI die Daten zugänglich zu machen – ohne dass Betroffene dagegen vorgehen könnten. Der EuGH entschied jetzt in der Frage eines irischen Gerichts, ob die sogenannten Standardvertragsklauseln und das EU-US-Datenschutzabkommen Privacy-Shield mit dem europäischen Datenschutzniveau vereinbar seien.

Probleme drohen auch tausenden europäischen Unternehmen wie SAP, Siemens, Telefonica und Aldi, die sich den Privacy-Shield-Regeln verschrieben hatten. Ihnen drohen jetzt Bußgelder nach der Datenschutz-Grundverordnung (DSGVO). Laut Alexander Rabe vom Internet-Industrieverband Eco gebe es ohne den Schild praktisch keine Alternativen, Daten legal aus der EU in die USA zu übertragen. Er hatte im Vorfeld der Entscheidung das Kippen der Übereinkunft als „fatal“ bewertet.

Schrems zeigte sich in einer ersten Reaktion aber glücklich über das Urteil. „Auf den ersten Blick scheint uns der Gerichtshof in allen Aspekten gefolgt zu sein. Dies ist ein totaler Schlag für die irische Datenschutzbehörde DPC und Facebook“, so Schrems. Es sei klar, dass die USA ihre Überwachungsgesetze ernsthaft ändern müssten, „wenn US-Unternehmen weiterhin eine Rolle auf dem EU-Markt spielen wollen“. Wie die US-Konzerne wie Facebook, Google, Microsoft, Apple und Yahoo auf das EuGH-Urteil reagieren, wird sich aber erst noch zeigen. (Mit Material von dpa)

Hinweis: Der Artikel wurde am 16. Juli 2020 um 15:40 Uhr korrigiert. Ursprünglich hatten wir geschrieben, dass Standardvertragsklauseln wie im Falle von Facebook nach wie vor rechtens seien ohne auf die Einschränkungen des Urteils hinzuweisen.