Die Safe-Harbor-Entscheidung der EU-Kommission ist heute vom Europäischen Gerichtshof (EuGH) für ungülitg erklärt worden, Datenübertragungen aus der EU in die USA sind daher nicht mehr per se als zulässig zu erachten, da das vormals definierte gleichwertige Datenschutzniveau nun keinen Bestand mehr hat. Abseits von der um sich greifenden Freude lohnt es sich, noch einmal einen genaueren Blick auf das Urteil zu werfen und sich Ausgangslage und Begründung anzusehen.
Die Kernfrage ist nämlich nicht nur, ob die USA ein angemessenes Datenschutzniveau gewährleisten, sondern: Kann die Safe-Harbor-Entscheidung der EU-Kommission aus dem Jahr 2000 die Aufsichtsbehörden der Mitgliedsstaaten davon abhalten, selbst zu untersuchen, ob Datenschutzbestimmungen und damit Grundrechte verletzt werden und eventuell daraufhin Datenübertragungen einzuschränken?
Die Antwort: Nein. Vor allem steht dem nämlich ihre Unabhängigkeit entgegen. Die Datenschutzaufsichtsbehörden sollen prüfen, ob Datenverarbeitung, ‑erhebung und Co. in Übereinstimmung mit EU-Gesetzen geschehen. Die schreiben nämlich ein gleichwertiges Schutzniveau vor, in dem datenempfangenden Staat müssen alle gesetzlichen Voraussetzungen erfüllt werden können, die in der EU vorgeschrieben sind. Das zu beurteilen ist nicht Sache einer Blankovereinbarung, sondern einer echten Prüfung:
… each of them is therefore vested with the power to check whether a transfer of personal data from its own Member State to a third country complies with the requirements laid down by Directive 95/46 [Data Protection Directive].
Und da jeder Mitgliedsstaat selber berechtigt sein muss, zu prüfen, muss es auch für jeden EU-Bürger möglich sein, bei der nationalen Aufsichtsbehörde Klage einzureichen, sowie Schrems es in Irland, dem Sitz von Facebook in Europa, getan hatte. Die Irische Datenschutzbehörde hatte seine Klage vormals nicht aufgenommen, sah sich nicht in der Verantwortung und war der Auffassung, nicht zuständig zu sein, denn die EU-Kommission hatte ja beschlossen, dass ein angemessenes Datenschutzniveau herrsche. Das ist mit der heutigen Entscheidung hinfällig und die Irische Datenschutzbehörde wird sich des Falles annehmen müssen – ein Erfolg neben der Ungültigkeit der Safe-Harbor-Kommissionsentscheidung selbst und ein Signal an alle nationalen Datenschutzbehörden, nicht untätig eventuellen Grundrechtsverletzungen zuzusehen und sich dabei auf der EU auszuruhen.
Zum Aufheben von Kommissionsentscheidungen braucht es den EuGH aber, das dürfen die nationalen Gerichte nicht allein. Der EuGH entschied heute also auch, dass ein gleichwertiger Datenschutz bei Datenverarbeitung in den USA nicht gewährleistet ist und Safe Harbor damit seiner Grundannahme entbehrt. Zum einen habe die Kommission die nationale Rechtslage der USA nicht hinreichend berücksichtigt, denn US-Unternehmen sind zur Wahrung von US-Gesetzen verpflichtet, Daten an die Landesbehörden zu geben. Diese Gesetze stehen über der Safe-Harbor-Entscheidung und werden nicht durch internationale Regelungen eingeschränkt. Datenschutzbestimmungen der EU können damit per se nicht eingehalten werden, da sie der US-Rechtssituation diametral entgegenstehen. Einen Rechtsschutz für Betroffene gibt es auch nicht, rechtsstaatliche Prinzipien können so nicht eingehalten werden. Die Rechtsstaatlichkeit zweifelt der EuGH auch in Sachen Massenüberwachung an, er gesteht ein, dass die Überwachung im Interesse der USA steht, aber weist auch auf, dass die „Enthüllungen von Edward Snowden zeigen, wie man bei der NSA und anderen US-Behörden über das Ziel hinaus geschossen“ ist.
Darüberhinaus mache die Uneingeschränktheit der bisher zulässigen Datenübermittlung in die USA deutlich, dass die Notwendigkeit der Datennutzung, wie sie im EU-Recht vorgeschrieben ist, nicht besteht, da keinerlei Differenzierung stattfindet und eine generelle Übertragung der Daten mit Safe Harbor vorgesehen ist.
Das heutige Urteil beendet also öffentlichkeitswirksam gleich zwei Blankoscheine: Zum einen denjenigen der USA als sicheren Datenhafen und zum anderen den der Aufsichtsbehörden, die sich bequem auf EU-Entscheidungen berufen. Natürlich ist damit noch längst nicht alles gut oder schlecht. Weder die Massenüberwachung wird spontan unmöglich gemacht noch das Internet wird zusammenbrechen, so wie es einige Alarmisten im Vorfeld des Urteils prophezeiten. Vieles hängt jetzt daran, baldmöglichst einen Rechtsrahmen zu schaffen, der echte Datenschutzbedingungen für den Datentransfer aus der EU in die USA (und den Rest der Welt) formuliert, bevor allerorts versucht wird, Wege zu finden, Datenübertragungen auf andere Weise zu legitimieren, die nicht unbedingt zu besseren Bedingungen führen müssen.