EuGH kippt Datenschutz-Abkommen - Neuverhandlungen

Nach einem aufsehenerregenden Gerichtsurteil müssen Europa und die USA neue Regeln zum Schutz der Daten europäischer Internet-Nutzer finden. Der Europäische Gerichtshof (EuGH) kippte am Dienstag die 15 Jahre alte «Safe Harbor»-Vereinbarung zur unkomplizierten Datenübertragung und -speicherung in den USA. Nun solle so schnell wie möglich ein neues Abkommen ausgehandelt werden, kündigte EU-Justizkommissarin Vera Jourova an. Einen konkreten Zeitplan nannte sie aber nicht.

Informationen seien in den USA nicht ausreichend vor dem Zugriff von Behörden und Geheimdiensten geschützt. Das verletze die Rechte der Europäer, urteilten die Richter. (Rechtssache C-362/14) Das Urteil ist die bisher schwerwiegendste Folge nach den Enthüllungen von Edward Snowden über die Überwachung durch US-Geheimdienste.

Das Urteil hat weitreichende Folgen für die Internet-Wirtschaft. Vor allem kleinere Unternehmen verliessen sich bisher darauf, dass eine Datenübermittlung in die USA unbedenklich ist. Ohne «Safe Harbor» müsste jede Firma selber dafür sorgen, dass der rechtliche Rahmen eingehalten wird, den eine Datenschutz-Grundverordnung der EU von 1995 vorgibt. Die neue Situation kann zusätzliche Verträge und Aufwand für Anwälte bedeuten. Betroffen sind gleichermassen europäische und amerikanische Unternehmen, die Daten aus der EU in die USA fliessen lassen.

Obwohl «Safe Harbor» nun ungültig ist, müssen nach Ansicht der EU-Kommission betroffene US-Internetkonzerne keineswegs die Datenflüsse kurzfristig stoppen. «Die transatlantischen Ströme der Datenübermittlung müssen fortgesetzt werden, denn sie bilden das Rückgrat unserer Wirtschaft», sagte EU-Kommissarin Jourova. Andere Regeln wie die Datenschutz-Verordnung der EU oder konzerninterne Datenschutzklauseln reichten aus. Jourova sagte: «Der EU-Datenschutz sieht verschiedene andere Mechanismen vor, die Schutz bieten.»

Das Urteil ist ein juristischer Erfolg für den österreichischen Facebook-Kritiker Max Schrems, der das Verfahren ins Rollen gebracht hatte. Schrems geht juristisch gegen das weltgrösste Online-Netzwerk Facebook vor, weil seiner Ansicht nach seine Daten in den USA nicht vor staatlicher Überwachung geschützt sind. Zur Begründung verweist er auf den NSA-Skandal. Nun ist der Weg dafür frei, dass seine Beschwerde in Irland auch tatsächlich geprüft wird. Die irischen Datenschützer könnten die Übermittlung europäischer Facebook-Daten auf Server in die USA verbieten, urteilte der EuGH - «weil dieses Land kein angemessenes Schutzniveau für personenbezogene Daten bietet».

Facebook selbst sieht sich von dem Urteil allerdings gar nicht betroffen. «Facebook verlässt sich wie tausende europäische Unternehmen auf eine Reihe von Mitteln nach EU-Recht, um unabhängig von «Safe Harbor» legal Daten von Europa in die USA zu übermitteln», erklärte ein Sprecher. Schon seit der Datenschutz-Grundverordnung von 1995 gebe es diverse Wege, auf denen Daten legal ins Ausland fliessen können. «Safe Harbor» war nur eine Art Blanko-Erlaubnis, die den Datentransfer vereinfachen sollte.

Die Luxemburger Richter bestätigten ausdrücklich, dass Betroffene das Recht haben, die nationalen Gerichte anzurufen. Nationale Datenschutzbehörden dürften prüfen, ob die Daten einer Person ausreichend geschützt seien.

Doch die Richter gingen noch weiter: Das als wirtschaftsfreundlich bekannte «Safe Harbor»-Abkommen biete keine ausreichende Basis für eine Datenübermittlung. Das Gericht erklärte die Einschätzung der EU-Kommission, wonach die USA ein angemessenes Schutzniveau von übermittelten personenbezogenen Daten gewährleisten, für ungültig. In den USA hätten Überlegungen nationaler Sicherheit Vorrang vor persönlichen Rechten und die Europäer könnten dort nicht dagegen vorgehen. «Die EU-Kommission hatte keine Kompetenz, die Befugnisse der nationalen Datenschutzbehörden in dieser Weise zu beschränken», kritisierten die Richter.

Snowden begrüsste das Urteil. «Danke, Europa», schrieb er auf Twitter.

Grundsätzlich ändert das Urteil in der Schweiz nichts, teilt Martin Steiger gegenüber 20 Minuten mit. Der auf IT-Recht spezialisierte Rechtsanwalt erklärt, dass die Schweiz ein eigenes «Safe-Harbor»-Abkommen mit den USA hat, demnach also nicht am EU-USA-Abkommen beteiligt ist. Also müsste der Eidgenössische Datenschutzbeauftragte separat zum Schluss kommen, dass das schweizerisch-amerikanische Abkommen keinen ausreichenden Datenschutz gewährleistet.

Tatsache sei jedoch, dass man auch als Schweizer de facto jede Kontrolle über seine Daten verloren habe, fügt Steiger an. Das am 25. September abgesegnete Datenschutzgesetz werde dieses Problem noch zusätzlich stärken.