Datenschutzabkommen zwischen EU und USA: EuGH kippt Privacy Shield
Die Datenübertragung in die USA wird für Unternehmen in Zukunft schwieriger. Es ist ein Erfolg für den Datenschutzaktivisten Max Schrems.
Die Übertragung europäischer Daten an US-Firmen war bis 2015 durch das Safe-Harbour-Abkommen der EU mit den USA geregelt. Dort wurden Anforderungen definiert, die US-Stellen einhalten müssen, damit sie das europäische Datenschutzniveau einhalten. Auf Klage von Schrems erklärte der EuGH im Oktober 2015 den Safe-Harbour-Beschluss der EU-Kommission für nichtig. Hauptkritik des EuGH: Die EU-Kommission habe den fast grenzenlosen Zugriff der US-Sicherheitsbehörden ignoriert.
In der Folge vereinbarte die EU-Kommission mit den USA neue Regeln, den Privacy Shield (Datenschutzschild). Darin sagte die USA zu, auf die anlasslose Massenüberwachung von Europäern zu verzichten – ohne jedoch die US-Gesetze entsprechend zu ändern. Nun hat der EuGH auch den Privacy Shield beanstandet. Er gewähre kein gleichwertiges Schutzniveau wie in der EU. Die US-Überwachungsprogramme seien „nicht auf das zwingend erforderliche Maß beschränkt“. EU-Bürger hätten auch keine sichere Möglichkeit, in den USA ihre Rechte durchzusetzen. Ein dafür neu geschaffener Ombudsmann sei weder wirklich unabhängig, noch könne er gegenüber US-Geheimdiensten verbindliche Anordnungen aussprechen.
Die Kritik am Privacy Shield war von Beginn an groß. Viele Unternehmen haben daher bei Datenübertragungen in die USA gar nicht auf den Privacy Shield vertraut, sondern auf sogenannte Standardvertragsklauseln, die die EU-Kommission 2010 beschlossen hat. Nach Angaben der EU-Kommission ist dies heute in der Praxis der häufigste Weg, mit dem US-Datenschutzproblem umzugehen. Diese zwölf Klauseln können in Verträge integriert werden, wenn eine Datenübertragung ins Nicht-EU-Ausland geregelt wird. Der dortige Vertragspartner muss zum Beispiel versprechen, dass er keinen Gesetzen unterliegt, die sich nachteilig auf die Einhaltung des Datenschutzes auswirken.
Auch Facebook nutzt inzwischen die Standardvertragsklauseln. Max Schrems hatte deshalb die für Facebook zuständige irische Datenschutzbeauftragte Helen Dixon aufgefordert einzuschreiten. Denn Facebook könne gar nicht zusichern, dass es in den USA keiner nachteiligen Rechtslage unterliegt.
Aufgrund einer Vorlage des irischen High Court hat der EuGH nun entschieden, dass die Standard-Vertragsklauseln an sich nicht gegen EU-Recht verstoßen. Denn die jeweils zuständigen Datenschutzbeauftragten seien verpflichtet, die Datenübertragung zu stoppen, wenn die vertraglichen Versprechen nicht eingehalten werden können. Max Schrems sieht nun Helen Dixon am Zug, diese könne sich jetzt nicht mehr vor ihrer Aufgabe drücken. Allerdings hat die EU-Kommission sogleich angekündigt, dass sie neue Verhandlungen mit den USA aufnehmen will.
taz lesen kann jede:r
Als Genossenschaft gehören wir unseren Leser:innen. Und unser Journalismus ist nicht nur 100 % konzernfrei, sondern auch kostenfrei zugänglich. Texte, die es nicht allen recht machen und Stimmen, die man woanders nicht hört – immer aus Überzeugung und hier auf taz.de ohne Paywall. Unsere Leser:innen müssen nichts bezahlen, wissen aber, dass guter, kritischer Journalismus nicht aus dem Nichts entsteht. Dafür sind wir sehr dankbar. Damit wir auch morgen noch unseren Journalismus machen können, brauchen wir mehr Unterstützung. Unser nächstes Ziel: 40.000 – und mit Ihrer Beteiligung können wir es schaffen. Setzen Sie ein Zeichen für die taz und für die Zukunft unseres Journalismus. Mit nur 5,- Euro sind Sie dabei! Jetzt unterstützen
Starten Sie jetzt eine spannende Diskussion!