Der Europäische Gerichtshof hält das Datenschutzniveau in den USA nicht für gleichrangig mit dem in der Europäischen Union. Deshalb erklärte das Gericht eine Entscheidung der EU-Kommission über den Transfer persönlicher Daten von Europäer*innen in die USA, bekannt als Privacy Shield, am heutigen Donnerstag für unrechtmäßig.
Das Urteil setzt einen vorläufigen Schlussstrich unter einen langen Konflikt. Seit knapp einem Jahrzehnt geht der österreichische Jurist und Aktivist Max Schrems juristisch gegen Facebook vor. 2014 landete eine Klage von Schrems erstmals vor dem EU-Gericht.
Im Kern geht es um die Frage, ob Facebook und andere Firmen die persönlichen Daten ihrer Nutzenden in die USA transferieren und dort für Werbezwecke verarbeiten dürfen. Jenseits des Atlantik gibt es nicht nur weniger Datenschutz, sondern es droht auch Massenüberwachung durch US-Geheimdienste.
Das oberster EU-Gericht bezieht sich in seinem Urteil deutlich auf Überwachungsprogramme der NSA und anderer Geheimdienste. Der Datenschutz in den USA könne schon deshalb nicht gleichwertig dem in der EU sein, da „die auf die amerikanischen Rechtsvorschriften gestützten Überwachungsprogramme nicht auf das zwingend erforderliche Maß beschränkt sind“, heißt es in einer Pressemitteilung des Gerichts.
Schrems kippte schon Vorgänger
Die EU-Kommission bescheinigte der USA trotz Bedenken, die nach Bekanntwerden der NSA-Affäre und den Enthüllungen von Edward Snowden ab 2013 laut wurden, im Rahmen einer Entscheidung namens Safe Harbour lange Zeit ein angemessenes Datenschutzniveau. Ähnliche Rechtskonstrukte, sogenannte Adäquanzentscheidungen der EU, gibt es auch mit anderen Ländern wie etwa Japan.
Schrems kippte Safe Harbour allerdings mit seiner Klage, denn der EuGH entschied 2015 für ihn. Die EU-Kommission schuf daraufhin im Hauruck-Verfahren einen Nachfolger, das Privacy Shield. Darin sind im Gegensatz zum Vorgänger einige eher schwammige Garantien der USA gegen Massenüberwachung enthalten.
Privacy Shield wurde bislang jedes Jahr überprüft, bislang hatte die EU-Kommission wenig daran auszusetzen. Zuletzt bereitete sie sich allerdings dennoch auf ein Scheitern des Abkommens vor, zu schwer wogen die Bedenken von NGOs und Datenschützer:innen.
Irische Behörde auf dem Prüfstand
Bei der Klage von Schrems geht es nicht nur um Privacy Shield, das Gericht prüfte auch die Standardvertragsklauseln von Facebook und die Verantwortung der irischen Datenschutzbehörde. Facebook hat seinen EU-Sitz in Irland, die dortige Behörde ist federführend für die Kontrolle des Datenkonzerns verantwortlich.
Facebook sichert den transatlantischen Datentransfer rechtlich seit einiger Zeit nicht mehr durch die Entscheidung der EU-Kommission ab, sondern durch Standardvertragsklauseln. Bei diesen handelt es sich um eine vertragliche Basis, die den Transfer von Daten über den Atlantik auch ohne Privacy Shield erlaubt.
Bereits zu Jahresbeginn hatte der Generalanwalt des EuGH in einer rechtlich nicht bindenden Schlussantrag erklärt, dass die irische Datenschutzbehörde verantwortlich für die Prüfung der Standardvertragsklauseln von Facebook sei. Die Behörde müsse aktiv werden, wenn durch den Transfer in die USA dort der Datenschutz der Nutzenden kompromittiert werde.
Das höchste Gericht urteilt nun, dass die Standardvertragsklauseln grundsätzlich weiterhin gelten dürften. Allerdings erteilt der EuGH der laxen Rechtsauffassung der irischen Datenschutzbehörde eine Rüge.
Die zuständigen Aufsichtsbehörden seien verpflichtet, eine Übermittlung personenbezogener Daten in ein Drittland auszusetzen oder zu verbieten, wenn sie „im Licht der Umstände dieser Übermittlung der Auffassung sind, dass die Standarddatenschutzklauseln in diesem Land nicht eingehalten werden oder nicht eingehalten werden können“, heißt es in der Mitteilung des Gerichts.
In der Sprache des Gerichts bedeutet das: Die irische und andere Behörden tragen eine Mitverantwortung, wenn Datenkonzerne wie Facebook den Schutz ihrer Nutzer*innen mit Datentransfers in die USA aufs Spiel setzen.
Datenschützer sind glücklich
Der Datenschützer Schrems zeigte sich glücklich über das Urteil. „Es ist klar, dass die USA ihre Überwachungsgesetze ernsthaft ändern müssen, wenn US-Unternehmen weiterhin eine Rolle auf dem EU-Markt spielen wollen”, sagte er laut einer Mitteilung. Schrems betonte:
Das Gericht hat nun zum zweiten Mal klargestellt, dass es ein Aufeinanderprallen von EU-Datenschutzrecht und US-Überwachungsrecht gibt. Da die EU ihre Grundrechte nicht ändern wird, um der NSA zu gefallen, besteht die einzige Möglichkeit, diesen Konflikt zu überwinden, darin, dass die USA solide Datenschutzrechte für alle Menschen – auch für Ausländer – einführen.
Estelle Massé von der NGO Access Now sieht die EU-Kommission in der Verantwortung wegen des plötzlichen Endes von Privacy Shield. „Es war unverantwortlich, dass die Europäische Kommission Privacy Shield geschaffen hat, sowohl aus rechtlicher als auch aus politischer Sicht“, so Massé laut einer Pressemitteilung. „Wir haben immer wieder betont, dass es ein großer Fehler war, das Abkommen nicht auszusetzen, nicht nur, weil es die Rechte der Menschen gefährdet, sondern auch, weil es Rechtsunsicherheit für Unternehmen schafft.“
Die EU-Kommission kündigte in einer ersten Reaktion Gespräche mit den USA zu dem Urteil an. Die nächsten Schritte müssten noch entschieden werden, sagte Justizkommissar Didier Reynders. Kommissionsvizepräsidentin Věra Jourová betonte zugleich, die EU könne die Massenüberwachung durch die USA nicht stoppen. „Wir können amerikanische Gesetz nicht von Europa aus ändern, das müssen die Amerikaner machen“, sagte die Kommissarin.
Das US-Handelsministerium zeigte sich „schwer enttäuscht“ über das Urteil. Die Regeln für den Datenzugriff aus Gründen der nationalen Sicherheit in den USA gingen „in den meisten Fällen“ über die Regeln in Europa hinaus, hieß es in einer Reaktion. Will heißen: Die USA hält seinen Rechtsschutz gegen Geheimdienstüberwachung für besser als den in Europa.
Der EuGH ist da offenkundig anderer Ansicht.
Der Artikel wird laufend mit neuen Reaktionen aktualisiert.