Trotz Urteil: Datentransfers in die USA können weitergehen
Der Blanko-Transfer von User-Daten in die USA ist laut einem am Dienstag ergangenen Urteil des Europäischen Gerichtshofs (EuGH) unrechtmäßig. Der österreichische Datenschutzaktivist Max Schrems hat sich mit seiner Klage gegen Facebook durchgesetzt, das Safe Harbor-Abkommen zwischen EU und USA ist somit ungültig.
Noch am selben Tag stellte die EU-Kommission jedoch fest: Die Übertragung von Internet-Daten in die USA kann bis auf Weiteres fortgesetzt werden. Laut EU-Justizkommissarin Vera Jourova würden die geltenden EU-Datenschutzregeln dafür mehrere andere Mechanismen vorsehen. Etwa Standard-Datenschutzklauseln in Verträgen zwischen Unternehmen, die Daten über den Atlantik austauschen, oder verpflichtende Regeln innerhalb einer Konzerngruppe.
Der EuGH-Entscheid besagt, dass die EU-Kommission keine Kompetenz hatte, die Befugnisse der nationalen Datenschutzbehörden durch das Safe Harbor-Abkommen zu beschränken. Nun muss die irische Datenschutzbehörde - wo sich der europäische Facebook-Firmensitz befindet - die Beschwerde von Schrems prüfen und entscheiden, ob die Übermittlung der Daten der europäischen Facebook-Nutzer in die USA auszusetzen ist.
USA: "Wir sind tief enttäuscht
Die USA haben mit Kritik auf das Grundsatzurteil des Europäischen Gerichtshofs (EuGH) zum Daten-Austausch mit Europa reagiert. "Wir sind tief enttäuscht von der heutigen Entscheidung", erklärte US-Handelsministerin Penny Pritzker am Dienstag. Das Urteil schaffe Unsicherheit für amerikanische und europäische Unternehmen wie auch Verbraucher. Zudem stelle es ein Risiko für die Internetbranche dar.
Behörden könnten in Grundrechte eingreifen
Der EuGH argumentierte, dass in den USA die Erfordernisse der nationalen Sicherheit, des öffentlichen Interesses und der Durchführung von Gesetzen Vorrang vor der Safe Harbor-Regelung haben. Daraus ergibt sich, dass US-Firmen diese Schutzregelungen fallen lassen müssen. Somit können US-Behörden in die Grundrechte von Personen eingreifen. Auch in der Entscheidung der EU-Kommission gebe es keine Feststellung darüber, dass derartigen Eingriffen in irgendeiner Weise Grenzen gesetzt wären, noch, dass es einen wirksamen gerichtlichen Rechtsschutz gegen diese gibt.
Der österreichische Jurist Schrems bewertete das Urteil als einen "Meilenstein", was Online-Datenschutz betrifft. "Das Urteil zieht eine klare Linie. Es stelle klar, dass massenhafte Überwachung unsere fundamentalen Rechte verletzt." Schrems hatte in dem Rechtsstreit (C-362/14) gegen die Übermittlung von Facebook-Daten an die USA geklagt, wobei er auch auf den NSA-Skandal verwies. NSA-Enthüller Edward Snowden gratulierte Schrems umgehend via Twitter zu seinem juristischen Erfolg: "Du hast die Welt zum Besseren verändert."
In Europa auch nicht sicher, aber sicherer
Die Daten wären auf europäischen Servern auch nicht wirklich sicher, aber sicherer, sagte Schrems. "Es ist die Frage, wie leicht Facebook & Co. zu den Daten kommen." Seine Hoffnung sei, dass die EU-Kommission nun einen "Deal" mit den USA abschließen werde.
Über ein solches "neues" Safe Harbor-Abkommen wird bereits seit 2013 verhandelt, so Jourova. Die EU-Kommission wolle sicherstellen, dass die nationalen Datenschutzbehörden der 28 EU-Staaten nun geeint vorgehen. Die EU-Kommission will dazu Leitlinien zur Verfügung stellen. Ein "Fleckerteppich" unterschiedlicher Antworten müsse verhindert werden, sagte Kommissions-Vizepräsident Frans Timmermans.
Für die europäische Wirtschaft sei der Datenaustausch mit den USA wichtig. Das EuGH-Urteil unterstreiche aber die Notwendigkeit, die Datenschutzreform in der EU und ein Rahmenabkommen mit den USA zum Austausch persönlicher Daten zwischen den Justizbehörden fertigzustellen. Beide Abkommen sollten noch in diesem Jahr abgeschlossen werden, meinte Jourova.
Facebook sieht sich nicht betroffen
Facebook sieht sich von dem EuGH-Urteil nicht betroffen. "Facebook verlässt sich wie Tausende europäische Unternehmen auf eine Reihe von Mitteln nach EU-Recht, um unabhängig von Safe Harbor legal Daten von Europa in die USA zu übermitteln", erklärte ein Sprecher. Die EU und die US-Regierung müssten dafür sorgen, dass es verlässliche Wege für den Datentransfer gebe.
Das Bundeskanzleramt meinte: "Für Österreich gibt es unmittelbar keine Auswirkungen. Sollte ein Fall mit USA-Bezug an die Datenschutzbehörde herangetragen werden, wird diese im Einzelfall prüfen, ob die Datensicherheit entsprechend den europäischen und den strengeren österreichischen Vorgaben gesichert ist."
Für Hans Zeger von der ARGE Daten kam das Urteil nicht überraschend. "Ob es etwas bringen wird? Ich bin da sehr, sehr skeptisch", sagte der Fachmann zur APA. Es müsse aber zur Folge haben, dass die EU auf Augenhöhe mit den USA aushandelt, dass nicht jeder US-Gesetze befolgen muss.
Der heimische Providerverband ISPA sieht ein "ganz klares Signal gegen Massenüberwachung und Zensur". Doch Unternehmen bräuchten klare und praktikable Regelungen, weshalb eine Nachfolgeregelung für Safe Harbor nötig sei.
Reaktion von Max Schrems
In einer ersten Stellungnahme sprach der österreichische Jurist Max Schrems von einem "Meilenstein", was Online-Datenschutz betrifft. "Das Urteil zieht eine klare Linie. Es stelle klar, dass massenhafte Überwachung unsere fundamentalen Rechte verletzt."
Ein angemessener Rechtsschutz müsse möglich sein, unterstrich Schrems. Die Entscheidung zeige auch auf, dass Regierungen und Wirtschaft nicht einfach die fundamentalen Datenschutzrechte ignorieren können, sondern die Gesetze befolgen müssen.
Diese Entscheidung ist ein schwerer Schlag für die globale Überwachung durch die USA, die sich in einem hohem Maße auf private Partner verlassen habe. Nun sei klar gestellt worden, dass die amerikanische Wirtschaft nicht einfach die Spionagetätigkeit ihrer Regierung unterstützen könnten und dabei europäische Grundrechte verletzen dürfe.
Das Gerichtsurteil stellt laut dem Österreicher klar, dass nationale Datenschutzbeauftragte den Datentransfer in die USA in jedem individuellen Fall prüfen können. "Safe Harbour" sei zuvor ein Blanko-Schein für die Übermittlung gewesen.
*YAY* #CJEU on #SafeHarbor: SH invalid. DPC had to investigate. #EUdataP
— Max Schrems (@maxschrems) 6. Oktober 2015
Was ist Safe-Harbor?
Die Safe-Harbor-Vereinbarung legt fest, unter welchen Bedingungen Internetunternehmen Nutzerdaten aus Europa in den USA verarbeiten dürfen. Dabei geht es um Daten, die sich auf die einzelnen Nutzern beziehen (personenbezogene Daten).
Die Vereinbarung beruht auf Regeln des US-Handelsministeriums und einer Entscheidung der EU-Kommission aus dem Jahr 2000. Danach müssen Internetunternehmen zusichern, dass sie die Daten ihrer europäischen Nutzer angemessen schützen.
Dann dürfen sie die Daten exportieren und in den USA weiterverarbeiten. Datenschützer kritisieren die Praxis. Seit den Enthüllungen von Edward Snowden sei kaum anzunehmen, dass personenbezogene Daten in den USA ausreichend vor den dortigen Behörden geschützt seien, erklären Datenschutzbeauftragte.
Worauf beruhte die Klage von Schrems?
Der EuGH war aufgerufen zu entscheiden, ob sich der europäische Facebook-Ableger mit Sitz in Dublin an die EU-Grundrechtecharta zum Schutz personenbezogener Daten halten muss und ob er europäisches Datenschutzrecht verletzt.
Was war der Auslöser für die Klage gegen Facebook?
Max Schrems hatte im Jahr 2011 von Facebook gefordert, dass das Unternehmen alle Informationen herausgeben soll, die es über ihn gespeichert hat. Die Europa-Zentrale von Facebook schickte ihm eine Datei mit 1222 Seiten. Darauf zu lesen: seine persönlichen Daten - auch Informationen, die er bereits gelöscht hatte. Der Jus-Student schaltete einen irischen Datenschutzbeauftragen ein und forderte ihn auf, die Daten aller europäischen Nutzer zu überprüfen. Dieser lehnte allerdings mit dem Verweis auf das Safe-Harbor-Abkommen ab. Denn darin habe die EU-Kommission dem Datenaustausch mit den USA selbst zugestimmt.
Welche Folgen hat das Urteil?
Das Urteil des Europäischen Gerichtshofs zur Datenübermittlung in die USA hat nach Einschätzung des Internet-Verbands eco für die gesamte Internetwirtschaft weitreichende Folgen. Datenbasierte Geschäftsmodelle und der transnationale Austausch von Daten würden volkswirtschaftlich immer wichtiger, sagte eco-Vorstand Oliver Süme laut einer Mitteilung.
Der Fall des Safe-Harbor-Abkommens bedeute für viele Unternehmen jetzt eine erhebliche Rechtsunsicherheit. "Bundesregierung und Europäische Union müssen jetzt schnellstmöglich eine neue Regelung finden, die unseren hohen Datenschutzstandards genügt und gleichzeitig eine praktikable Lösung für die Unternehmen schafft."
Wie viele Firmen stützen sich auf das Abkommen?
Die Wirtschaftskammer rechnet damit, dass weniger als 100 österreichische Unternehmen sich direkt auf das vom Europäischen Gerichtshof gekippte Safe-Harbor-Datenabkommen zwischen der EU und den USA stützen. Wie viele Firmen sogenannte Cloud-Dienste in den USA nutzen und möglicherweise auch betroffen sein könnten, sei schwer abschätzbar, hieß von der WKÖ.
Reaktionen in der EU-Politik
Als "einen wichtigen Tag für den Datenschutz" in Europa haben Europaabgeordnete den Sieg des österreichischen Facebook-Klägers Max Schrems vor dem Europäischen Gerichtshof begrüßt. Der Vizepräsident der Sozialdemokraten im EU-Parlament, Josef Weidenholzer, forderte "eine fundamentale Änderung im Datenaustausch".
Weidenholzer sagte, das bisherige "Safe Harbor"-Abkommen, mit dem die EU-Kommission den USA ein angemessenes Datenschutzniveau bescheinigte, habe nur Unternehmen gedient, aber nicht den Bürgern. "Wir brauchen verbindliche Regeln für den Datenaustausch mit den USA", forderte Weidenholzer.
Auch der ÖVP-Europaabgeordnete Heinz K. Becker begrüßte das EuGH-Urteil und gratulierte Schrems, "der gezeigt hat, wie viel man mit Mut und langem Atem bewegen kann". Die Auswirkungen des Urteils seien möglicherweise gewaltig. "Denn es wird faktisch nicht möglich sein, den Fluss von persönlichen Daten in die USA von heute auf morgen zu stoppen", sagte der EU-Parlamentarier. Das Urteil gelte ab sofort, daher könnte es auch Klagen mit enormen Schadenersatzforderungen geben.
Am schnellsten könnte das Urteil durch eine Reparatur der EU-Datenschutzverordnung umgesetzt werden, "aber das ist nicht einfach, sagte Becker". Oder es müsse ein neues "Safe Harbour"-Abkommen geben. Zunächst müsse die irische Datenschutzbehörde prüfen, ob die USA ein angemessenes Schutzniveau für die Datenweitergabe bieten. In Irland ist der Sitz der europäischen Facebook-Zentrale.
Becker kritisierte, dass das Urteil keine Übergangsfristen vorsieht. Nur eine europäische Regelung könne ein Chaos verhindern. Allerdings biete das Urteil auch die Chance, der europäischen Digitalwirtschaft einen Schub zu geben. Max Schrems habe als Nebeneffekt vermutlich mehr für den Digitalen Binnenmarkt in Europa getan, als der zuständige EU-Kommissar Günther Oettinger je hinkriegen werde, twitterte der grüne EU-Abgeordnete Michel Reimon.
Congratulations, @MaxSchrems. You've changed the world for the better. http://t.co/HmGpRq5Dgt pic.twitter.com/rTLYHhvmoY
— Edward Snowden (@Snowden) 6. Oktober 2015